新型Web劫持技术现身 专攻搜索引擎

　　地址：http://www.baidu.com/s?wd=%D0%C2%B6%BC%C7%C5%BB%E9%C9%B4%C9%E3%D3%B0%C4%C4%BC%D2%BA%C3--%CE%AB%B7%BB%D0%C2%CE%C5%CD%F8

　　打开以后页面为正常页面。

附图1：原页面

　　在这个页面中，点击域名是www.或www.cnncw.cn的网站，会打开一个选项卡去访问目标页面。

附图2：点击的目标页面

　　但是随后能就发现之前的页面已经变成了一个其他网站的地址：

　　http://www.baidu.com.xnb391ax506c.com./s/?wd=%D0%C2%B6%BC%C7%C5%BB%E9%C9%B4%C9%E3%D3%B0%C4%C4%BC%D2%BA%C3--%CE%AB%B7%BB%D0%C2%CE%C5%CD%F8

附图3：被劫持后自动跳转的假页面

　　然后，我们重新打开原页面，点击域名不是www.或www.cnncw.cn的网站，发现原页面不会变成其他地址。

　　原理分析

　　通过现象的分析，我们推测很有可能是新打开的网站里面存在问题。所以挑选了一个网页对其源码进行分析，主要分析其内部引入的脚本文件内容，分析的URL地址是http://www./health/h/2013-06/30/contentt_4038562.htm。

　　通过对引入的脚本文件的分析，我们发现其中一些引入的文件中包含有经过加密处理的脚本代码，这个很有可能就是引起跳转的原因。

附图4：加密脚本内容

　　下面我们来分析引入的那个加密脚本http://www./china/data/forum-20130604183433.js。下载并经过解密分析分析一下，我们得到了核心代码如下附图5所示：

附图5：攻击脚本的核心代码

　　下面我们自己写一个小代码进行本地测试，测试方法比较简单，创建两个文件index.html和new.html。

　　Index.html页面比较简单，就是引入一个a标签，然后点击在新窗口中打开new.Html，代码如下。

附图6：测试用Index.html的代码

　　New.Html里面就增加了一个script脚本，用来处理window.opener，代码如下。

附图7：测试用New.html的代码

　　红框中的就是核心代码，也就是导致原页面重置的原因。然后我们分别在Chrome、Firefox、IE8环境进行测试。

　　Chrome

附图8：Chrome浏览器下的测试结果

　　截图中就可以看到打开新页面时，前面的index.html已经是百度首页了。

　　Firefox

附图9：FireFox浏览器下的测试结果

　　火狐也是一样的。

　　IE8

附图10：IE8浏览器下的测试结果

　　IE8也跳转过去了。

　　至此我们就了解了页面是如何将百度的窗口跳转到另一个页面的。