瑞星预警：新型Web劫持技术现身专攻搜索引擎

显示全部楼层 · 发表于 2013-8-20 13:04:23

近期，瑞星互联网攻防实验室截获了一例利用script脚本进行Web劫持的攻击案例，在该案例中，黑客利用一批新闻页面重置了搜索引擎页面，并将搜索结果替换为自己制作的假页面，以达到恶意推广的目的。瑞星安全专家表示，这种Web劫持在国内尚属首例，同时也非常危险，用户稍不留神就可能进入黑客制作的钓鱼页面，从而被骗取钱财及隐私信息。因此，广大用户在上网时应随时保持警惕，一旦发现页面内容出现异常，应马上核对所在页面的网址，以免上当受骗。

瑞星安全专家指出，该类新型Web劫持是利用script脚本实现的。在已知的案例中，黑客入侵了某地方门户网站，篡改了该网站的新闻页面，并向这些页面植入自己的广告、新闻及恶意代码。一旦用户从搜索结果页面点击进入被篡改过的新闻页面，script脚本就会用假页面置换原搜索结果页面。因为该黑客使用了与原搜索引擎极其近似的域名，并阻止浏览器的后退功能退回原页面，所以一般用户很难察觉自己打开的网站已经被调包了。

图1：原搜索结果页面

图2：被黑客植入恶意代码的新闻页面

图3：被劫持后自动跳转的假页面

瑞星安全专家表示，这种新型Web劫持非常危险，今后还有可能有更多网站遭遇劫持，其中搜索引擎、金融、电商以及票务等网站可能成为高危攻击目标。它能够悄无声息地替换用户打开的任意页面，在用户以为自己仍在浏览常用网站时，却落入了黑客的圈套，受害的用户将在毫不知情的情况下被套取钱财及个人隐私信息。因此，瑞星安全专家再次提醒广大用户，浏览网站时，页面出现任何不同寻常的变化都要警惕，同时仔细核对页面地址，以免遭受不必要的损失。

附：瑞星互联网攻防实验室《Web劫持搜索页面分析报告》

Web劫持搜索页面分析报告

现象分析

地址：

http://www.baidu.com/s?wd=%D0%C2 ... B%D0%C2%CE%C5%CD%F8
打开以后页面为正常页面。

附图1：原页面

在这个页面中，点击域名是www.wfnews.com.cn或www.cnncw.cn的网站，会打开一个选项卡去访问目标页面。

附图2：点击的目标页面

但是随后能就发现之前的页面已经变成了一个其他网站的地址：

http://www.baidu.com.xnb391ax506 ... B%D0%C2%CE%C5%CD%F8

附图3：被劫持后自动跳转的假页面

然后，我们重新打开原页面，点击域名不是www.wfnews.com.cn或www.cnncw.cn的网站，发现原页面不会变成其他地址。

原理分析

通过现象的分析，我们推测很有可能是新打开的网站里面存在问题。所以挑选了一个网页对其源码进行分析，主要分析其内部引入的脚本文件内容，分析的URL地址是http://www.wfnews.com.cn/health/h/2013-06/30/contentt_4038562.htm。

通过对引入的脚本文件的分析，我们发现其中一些引入的文件中包含有经过加密处理的脚本代码，这个很有可能就是引起跳转的原因。