網(wǎng)站被黑癥狀的一種形式，也就是web前端被黑了，我來說說網(wǎng)站頁面被劫持的一個癥狀和處理方法。首先我們先來看一下這個癥狀是什么樣的，這里我找到了一個客戶網(wǎng)站的案例，那么當(dāng)我在通過百度搜索某些關(guān)鍵詞的時候，當(dāng)我點擊這個鏈接的時候，它會給你跳到這種菠菜的頁面，那么怎么樣判斷它是前端還是后端php進(jìn)行了一個劫持，那么我們就把這個鏈接復(fù)制過來，復(fù)制好了后，我打開這個調(diào)試面板，然后在這里有一個 settings的這個一個設(shè)置按鈕，把這個disable JAVAscript這個腳本把它禁用，那么禁用之后把剛才這復(fù)制過來的這個快照鏈接把它復(fù)制過來，然后敲一下回車，就會發(fā)現(xiàn)發(fā)現(xiàn)它是不會跳轉(zhuǎn)的，所以對于這一種請求跳轉(zhuǎn)，我們把它稱之為叫做前端攔截。要是前一兩年這種形式還是比較少的，但是今年發(fā)現(xiàn)的就越來越多，原因是什么，原因是PHP腳本里包含跳轉(zhuǎn)代碼的話會被殺毒軟件直接查殺出來。
所以可能以前的那種形式，對于他們這些做黑產(chǎn)的這些人來講，以前的形式可能不是那么好用了，所以說他們現(xiàn)在就開始琢磨著前端這一塊，所以這一種是前端的攔截，那么這種問題該怎么處理，那這種問題的話我們來講一下這個處理方法，首先把這個禁用把它關(guān)閉掉，讓它恢復(fù)原狀，那恢復(fù)原狀之后，我們在這個控制面板里面打開這個網(wǎng)絡(luò)請求這個日志這里把這個持續(xù)日志開起來，然后把這個緩存關(guān)掉，然后清出這個日志，然后再一次把這個鏈接把再請求一遍，那請求一遍之后，當(dāng)然我這個瀏覽器默認(rèn)這里我我是做了一定的調(diào)整的，當(dāng)然他現(xiàn)在還沒有這樣，在這里我們需要鼠標(biāo)點一下右鍵，把這個what For what for其實就是對你的what for，那其實就是一個一個響應(yīng)的一個先后順序關(guān)系。
你看他在這里默認(rèn)的情況下，他是從百度過來之后，他訪問首頁之后，他就加載JS代碼之后他就開始跳轉(zhuǎn)了，導(dǎo)致跳轉(zhuǎn)之后這些請求他還沒加載完，但是他已經(jīng)跳轉(zhuǎn)了，那這些日志的話，它就不會再繼續(xù)請求了，這樣的話它會一直是一個完成狀態(tài)，它這個圈圈也是沒有再轉(zhuǎn)了的，所以說它其實是一個已經(jīng)加載完的一個狀態(tài)，這些的話是已經(jīng)不會在加載了，所以對于要追蹤這個前端js哪里出了問題，我們需要把這個日志排一下序，按什么排序，按照what for下面的這個 response time也就是這個響應(yīng)的時間，而這些等待狀態(tài)的我肯定是因為它沒有加載完，所以說它肯定不是問題的一些腳本所在，這些就可以排除掉，那么我們只要按照看哪些已經(jīng)加載的那個文件出了問題，只要找對應(yīng)的那些問題就可以了，我們按這個 response time進(jìn)行排一下序，那么前面的404錯誤的，或者說他沒有去請教的這些fired我們都可以忽略掉，有點的也可以忽略掉，它是已經(jīng)響應(yīng)已經(jīng)完成了，就是說已經(jīng)加載的一些這些文件，你看他是從百度過來，然后訪問了首頁，然后加上了css然后在這些，按照這么一個順序來的。
那么當(dāng)我們看看的時候，你會發(fā)現(xiàn)這里有一個這樣的域名，那懇請這個域名的按CS的話，我們大家都認(rèn)識，那肯定一般性的也不會出太大的問題，盡管說cncc有可能官方有推廣廣告，但是這一次的話是可以排除的，它不是屬于這一個站點的，原來這個站點的一個個鏈接，所以我們就要追蹤一下這個腳本是怎么來的，那怎么樣追蹤。那么我們就需要記住這三個鍵，記住，那么記住什么鍵，那么記住的是這里CTRL加shift加out這三個鍵，就是說你要按住這三個鍵control out shift的，然后你在這個日志上面滑動，然后你滑動到它的上面，你會看到上面有三個綠的，而最下面那一個綠的就是 PPT books也就是這個，這個它會顯示成綠色，那么當(dāng)我放在這個上面的時候，最后一個這個綠色的是是這個PPT books，這個腳本它是由PPT books發(fā)出來的，所以當(dāng)我追蹤的時候，我按照control out shift的這三個鍵的時候，你就可以追蹤到這個腳本是怎么來的，它是在頁面的第十六行的這一個腳本里面出來的，那我們可以實現(xiàn)為了驗證一下，我們可以把這個腳本點開，然后查看一下這里面的代碼，當(dāng)然這個只要你稍微有一點腳本的知識，沒有大問題，你只要往下面翻，翻到最后面你會發(fā)現(xiàn)你看一下這里有三個JS，那這個腳本的話就是從這里發(fā)出來的，那發(fā)出來之后它發(fā)出來是個什么鬼，我們點進(jìn)去再轉(zhuǎn)到看一下。
Ok，多了一個雙引號，左邊看一下，你會發(fā)現(xiàn)原來在這里的代碼，這個s等于它的一個來源地址，那么當(dāng)這個來源地址里面存在有百度、搜狗、搜搜這些搜索引擎的時候，它就會跳轉(zhuǎn)到這么一個地址，復(fù)制地址打開后，其實就是這個菠菜網(wǎng)的地址，所以說最終的罪魁禍?zhǔn)拙褪乔岸说膯栴}。Ok那么當(dāng)我們找到這個位置的話，那么我們就可以定位到這個文件把這些代碼刪除，那么這個的話你前端被黑被劫持的一個問題所在，那么我們只要找到這個腳本把它刪掉就可以了。當(dāng)然你會發(fā)現(xiàn)就是說這種情況下，你把這個域名復(fù)制過來，你直接請求打開它是不會跳轉(zhuǎn)的，因為你那個來源地址是直接輸入的，它就沒有那個來源地址，它不是從百度也不是從其他搜索引擎過來的，所以說它就不會進(jìn)行跳轉(zhuǎn)，那么對于這種情況我們可以直接上去，js里面這個PPT把這個腳本刪除掉，那么這個問題就會處理掉，如果遇到網(wǎng)站被反復(fù)篡改跳轉(zhuǎn)的話，就得對網(wǎng)站的源代碼進(jìn)行安全審計，木馬后門清理，以及修復(fù)網(wǎng)站漏洞杜絕被再次篡改的風(fēng)險，實在解決不掉的話可以向網(wǎng)站漏洞修復(fù)公司SINESAFE尋求技術(shù)支持。
