别用 CNZZ，有毒！ entry.ximeifang.com

[keinx]

程序员快给你代码中的 cnzz 统计代码删了，有毒！

最近几天打开网址动不动就是 chrome 的安全警告如下图： 一开始没怎么注意，因为知道 chrome 升级快，可能是证书的问题，点了下面的《详细信息》《忽略》

然后不停的是这个页面，我就开始怀疑是不是被 dns 劫持了，于是查看了 dns 发现没有毛病，各种换 DNS ，依旧有这个报警。

然后我就开始对报警的页面查看源代码，根据 entry.ximeifang.com 线索，发现是 cnzz 的代码被感染了。如下图：

然后我又对这个域名的所有者信息查询到如下图：

打开这些网址发现网站是这样的，基本确定是一个人！

然后多次测试发现只要是带有 cnzz 统计代码的基本上都中招了，不知道是 cnzz 内部的问题还是第三人劫持，看来大家为了推广 https 也是够拼的！

[shiny]

除了 DNS 污染还有 http 劫持。劫持统计网站的 js 是很常见的手段。

[keinx]

@shiny
DNS 劫持应该不是，因为我这边换了好几家 DNS （清了 DNS 缓存），依旧有，运营商劫持的话也应该不是，我在网上找这个问题，发现最近也有其他地区联通用户中招，我是电信，而且地区也不一样。
不清楚是 cnzz 还是机房被入侵。

[qiayue]

楼主试试 qiuyumi.com ，我这里不是最新版 chrome

[keinx]

@qiayue

[realzsy]

mark ,看后续大家讨论情况

[1265578519]

你自己网站服务器问题，别怪 cnzz

[nfroot]

@keinx
@qiayue
@shiny
@realzsy

可以确定的是， keinx 和 qiayue 的站点在调用 js 文件的时候是 http 而不是 https ，所以基本考虑原因是 JS 被劫持了。

可以试试我的站点 http://t.cn/R6JDL20

我这里测试你们的都没问题

[nfroot]

和你们不同的是，我的统计代码都走 https 渠道

[keinx]

@1265578519
和我的网站服务器有毛线关系
我访问的网站好多都是，我自己的网站走的 https 没毛病
明显是要么有人恶意给 cnzz http 里面劫持加了代码，要么就是 cnzz 自己加了代码

[keinx]

@nfroot
谢谢，已经确定是 http 劫持，但是应该不是运营商，因为我找了好几个样本，来自不同地区的不同运营商
所有的 https 都没有问题

[victsdo2005]

个人觉得是 hosts 的问题吧。。。
以前用 chrome 很久都没遇到过安全警报
换 hosts 后时不时就会有

[nfroot]

@keinx 我擦，才发现博客被 hacked 了，一直都没注意到 = =。难怪之前数据库空了好多……查查去……

[crab]

address=/bshare.cn/0.0.0.0
address=/bashare.cn/0.0.0.0
address=/3001.net/0.0.0.0
address=/pic.x.soso.com/0.0.0.0
address=/pingma.qq.com/0.0.0.0
address=/51.la/0.0.0.0
address=/umeng.com/0.0.0.0
address=/cnzz.com/0.0.0.0
address=/tajs.qq.com/0.0.0.0
address=/nsclick.baidu.com/0.0.0.0
address=/doubleclick.net/0.0.0.0
address=/beacon.sina.com.cn/0.0.0.0
address=/sax.sina.cn/0.0.0.0
address=/sj.qq.com/0.0.0.0
address=/s.pcapps.qq.com/0.0.0.0

[palytoxin]

14 年我的 cnzz 也被劫持，问了客服没办法。最后弃用了

[RobertYang]

百度统计也会被劫持为广告 （移动端）

[HLT]

应该就是劫持的

[dong3580]

@crab
3ks
有更新了一波。
你怎么都是指向 0?我都是 127

[cenxun]

jb51 偶尔会出现，不是运营商劫持么，上海联通

[Chalice]

http 劫持了，我这里也复现了

[miaomiao888]

@dong3580 0.0.0.0 相当于直接返回空域名 127 在浏览器上可能还需要一点时间连接