被挂马了，发出来大佬们分析分析

nk123

首页底部被挂js木马

木马连接：https://cdn.jsdelivr.vip/jquery.min-3.6.8.js

jquery_decoded.zip (38.17 KB, 下载次数: 24)

前天19:23 上传

点击文件名下载附件

88232128

看这域名怎么这么熟悉，你是不是用了Goedge投毒版。

nk123

88232128 发表于 2025-3-5 14:44
看这域名怎么这么熟悉，你是不是用了Goedge投毒版。

Goedge投毒版也是这个人的木马，不过我没有使用，我使用的cf

lmy56131

是苹果cms吗

羊村你喜哥

判断一些设备然后跳转https://weewqrfv.com/redirect?from=idjc
然后gpt总结了下
动态加载外部脚本： 通过 loadJS 动态添加 script>标签，并在脚本加载完成后执行回调。
设备判断： 使用 isPc 判断当前用户是否为 PC 端，从而区分 PC 和移动设备。
Cookie 管理： 包含设置、获取、删除 cookie 的工具函数，用于记录用户访问次数以及是否屏蔽重定向。
时区判断： 获取用户时区并与允许列表对比，用于确定是否满足重定向条件。
重定向逻辑： 针对移动设备，根据当前主机、来源、时间、随机概率和时区等条件，决定是否通过加载额外脚本来重定向用户到特定 URL，同时通过 cookie 控制同一用户短时间内不重复重定向。
代码
https://file.bachang.org/#/?code=89568

Cuchemist

你怎么发现的?复盘一下?

zsj1259

Cuchemist 发表于 2025-3-5 18:50
你怎么发现的?复盘一下?

估计打开控制台，看到network 有请求陌生的域名就发现了

nk123

羊村你喜哥 发表于 2025-3-5 17:55
判断一些设备然后跳转https://weewqrfv.com/redirect?from=idjc
然后gpt总结了下
动态加载外部脚本： 通过...

点击下载是空白，无法获取下载
他的代码可以学习借鉴下，蛮有技术的

明日之子OxO

这域名伪装的真好，不注意真看不出

nk123

lmy56131 发表于 2025-3-5 17:32
是苹果cms吗

有什么说处吗？