網(wǎng)站被黑癥狀的一種形式，也就是web前端被黑了，我來(lái)說(shuō)說(shuō)網(wǎng)站頁(yè)面被劫持的一個(gè)癥狀和處理方法。首先我們先來(lái)看一下這個(gè)癥狀是什么樣的，這里我找到了一個(gè)客戶(hù)網(wǎng)站的案例，那么當(dāng)我在通過(guò)百度搜索某些關(guān)鍵詞的時(shí)候，當(dāng)我點(diǎn)擊這個(gè)鏈接的時(shí)候，它會(huì)給你跳到這種菠菜的頁(yè)面，那么怎么樣判斷它是前端還是后端PHP進(jìn)行了一個(gè)劫持，那么我們就把這個(gè)鏈接復(fù)制過(guò)來(lái)，復(fù)制好了后，我打開(kāi)這個(gè)調(diào)試面板，然后在這里有一個(gè) settings的這個(gè)一個(gè)設(shè)置按鈕，把這個(gè)disable javascript這個(gè)腳本把它禁用，那么禁用之后把剛才這復(fù)制過(guò)來(lái)的這個(gè)快照鏈接把它復(fù)制過(guò)來(lái)，然后敲一下回車(chē)，就會(huì)發(fā)現(xiàn)發(fā)現(xiàn)它是不會(huì)跳轉(zhuǎn)的，所以對(duì)于這一種請(qǐng)求跳轉(zhuǎn)，我們把它稱(chēng)之為叫做前端攔截。要知道前一兩年這種形式還是比較少的，但是今年發(fā)現(xiàn)的就越來(lái)越多，原因是什么，原因是PHP腳本里包含跳轉(zhuǎn)代碼的話(huà)會(huì)被殺毒軟件直接查殺出來(lái)。

所以可能以前的那種形式，對(duì)于他們這些做黑產(chǎn)的這些人來(lái)講，以前的形式可能不是那么好用了，所以說(shuō)他們現(xiàn)在就開(kāi)始琢磨著前端這一塊，所以這一種是前端的攔截，那么這種問(wèn)題該怎么處理，那這種問(wèn)題的話(huà)我們我來(lái)講一下這個(gè)處理方法，首先把這個(gè)禁用把它關(guān)閉掉，讓它恢復(fù)原狀，那恢復(fù)原狀之后，我們?cè)谶@個(gè)控制面板里面打開(kāi)這個(gè)網(wǎng)絡(luò)請(qǐng)求這個(gè)日志這里把這個(gè)持續(xù)日志開(kāi)起來(lái)，然后把這個(gè)緩存關(guān)掉，然后清出這個(gè)日志，然后再一次把這個(gè)鏈接把再請(qǐng)求一遍，那請(qǐng)求一遍之后，當(dāng)然我這個(gè)瀏覽器默認(rèn)這里我我是做了一定的調(diào)整的，當(dāng)然他現(xiàn)在還沒(méi)有這樣，在這里我們需要鼠標(biāo)點(diǎn)一下右鍵，把這個(gè)what For what for其實(shí)就是對(duì)你的what for，那其實(shí)就是一個(gè)一個(gè)響應(yīng)的一個(gè)先后順序關(guān)系。

你看他在這里默認(rèn)的情況下，他是從百度過(guò)來(lái)之后，他訪(fǎng)問(wèn)首頁(yè)之后，他就加載JS代碼之后他就開(kāi)始跳轉(zhuǎn)了，導(dǎo)致跳轉(zhuǎn)之后這些請(qǐng)求他還沒(méi)加載完，但是他已經(jīng)跳轉(zhuǎn)了，那這些日志的話(huà)，它就不會(huì)再繼續(xù)請(qǐng)求了，這樣的話(huà)它會(huì)一直是一個(gè)完成狀態(tài)，它這個(gè)圈圈也是沒(méi)有再轉(zhuǎn)了的，所以說(shuō)它其實(shí)是一個(gè)已經(jīng)加載完的一個(gè)狀態(tài)，這些的話(huà)是已經(jīng)不會(huì)在加載了，所以對(duì)于要追蹤這個(gè)前端js哪里出了問(wèn)題，我們需要把這個(gè)日志排一下序，按什么排序，按照what for下面的這個(gè) response time也就是這個(gè)響應(yīng)的時(shí)間，而這些等待狀態(tài)的我肯定是因?yàn)樗鼪](méi)有加載完，所以說(shuō)它肯定不是問(wèn)題的一些腳本所在，這些就可以排除掉，那么我們只要按照看哪些已經(jīng)加載的那個(gè)文件出了問(wèn)題，只要找對(duì)應(yīng)的那些問(wèn)題就可以了，我們按這個(gè) response time進(jìn)行排一下序，那么前面的404錯(cuò)誤的，或者說(shuō)他沒(méi)有去請(qǐng)教的這些fired我們都可以忽略掉，有點(diǎn)的也可以忽略掉，它是已經(jīng)響應(yīng)已經(jīng)完成了，就是說(shuō)已經(jīng)加載的一些這些文件，你看他是從百度過(guò)來(lái)，然后訪(fǎng)問(wèn)了首頁(yè)，然后加上了css然后在這些，按照這么一個(gè)順序來(lái)的。

那么當(dāng)我們看看的時(shí)候，你會(huì)發(fā)現(xiàn)這里有一個(gè)這樣的域名，那懇請(qǐng)這個(gè)域名的按CS的話(huà)，我們都大家都認(rèn)識(shí)，那肯定一般性的也不會(huì)出太大的問(wèn)題，盡管說(shuō)cncc有可能官方有推廣廣告，但是這一次的話(huà)是可以排除的，它不是屬于這一個(gè)站點(diǎn)的，原來(lái)這個(gè)站點(diǎn)的一個(gè)個(gè)鏈接，所以我們就要追蹤一下這個(gè)腳本是怎么來(lái)的，那怎么樣追蹤。那么我們就需要記住這三個(gè)鍵，記住，那么記住什么鍵，那么記住的是這里CTRL加shift加out這三個(gè)鍵，就是說(shuō)你要按住這三個(gè)鍵control out shift的，然后你在這個(gè)日志上面滑動(dòng)，然后你滑動(dòng)到它的上面，你會(huì)看到上面有三個(gè)綠的，而最下面那一個(gè)綠的就是 PPT books也就是這個(gè)，這個(gè)它會(huì)顯示成綠色，那么當(dāng)我放在這個(gè)上面的時(shí)候，最后一個(gè)這個(gè)綠色的是是這個(gè)PPT books，這個(gè)腳本它是由PPT books發(fā)出來(lái)的，所以當(dāng)我追蹤的時(shí)候，我按照control out shift的這三個(gè)鍵的時(shí)候，你就可以追蹤到這個(gè)腳本是怎么來(lái)的，它是在頁(yè)面的第十六行的這一個(gè)腳本里面出來(lái)的，那我們可以實(shí)現(xiàn)為了驗(yàn)證一下，我們可以把這個(gè)腳本點(diǎn)開(kāi)，然后查看一下這里面的代碼，當(dāng)然這個(gè)只要你稍微有一點(diǎn)腳本的知識(shí)，沒(méi)有大問(wèn)題，你只要往下面翻，翻到最后面你會(huì)發(fā)現(xiàn)你看一下這里有三個(gè)JS，那這個(gè)腳本的話(huà)就是從這里發(fā)出來(lái)的，那發(fā)出來(lái)之后它發(fā)出來(lái)是個(gè)什么鬼，我們點(diǎn)進(jìn)去再轉(zhuǎn)到看一下。

Ok，多了一個(gè)雙引號(hào)，左邊看一下，你會(huì)發(fā)現(xiàn)原來(lái)在這里的代碼，這個(gè)s等于它的一個(gè)來(lái)源地址，那么當(dāng)這個(gè)來(lái)源地址里面存在有百度、搜狗、搜搜這些搜索引擎的時(shí)候，它就會(huì)跳轉(zhuǎn)到這么一個(gè)地址，復(fù)制地址打開(kāi)后，其實(shí)就是這個(gè)菠菜網(wǎng)的地址，所以說(shuō)最終的罪魁禍?zhǔn)拙褪乔岸说膯?wèn)題。Ok那么當(dāng)我們找到這個(gè)位置的話(huà)，那么我們就可以定位到這個(gè)文件把這些代碼刪除，那么這個(gè)的話(huà)你前端被黑被劫持的一個(gè)問(wèn)題所在，那么我們只要找到這個(gè)腳本把它刪掉就可以了。當(dāng)然你會(huì)發(fā)現(xiàn)就是說(shuō)這種情況下，你把這個(gè)域名復(fù)制過(guò)來(lái)，你直接請(qǐng)求打開(kāi)他是不會(huì)跳轉(zhuǎn)的，因?yàn)槟隳莻€(gè)來(lái)源地址是直接輸入的，它就沒(méi)有那個(gè)來(lái)源地址，它不是從百度也不是從其他搜索引擎過(guò)來(lái)的，所以說(shuō)它就不會(huì)進(jìn)行跳轉(zhuǎn)，那么對(duì)于這種情況我們可以直接上去，js里面這個(gè)PPT把這個(gè)腳本刪除掉，那么這個(gè)問(wèn)題就會(huì)處理掉，如果遇到網(wǎng)站被反復(fù)篡改跳轉(zhuǎn)的話(huà)，就得對(duì)網(wǎng)站的源代碼進(jìn)行安全審計(jì)，木馬后門(mén)清理，以及修復(fù)網(wǎng)站漏洞杜絕被再次篡改的風(fēng)險(xiǎn)，實(shí)在解決不掉的話(huà)可以向網(wǎng)站漏洞修復(fù)公司尋求技術(shù)支持。