黑帽SEO技术鬼手经典之作，逆向分析一个被菠菜沦陷的正规站

zeuson 2019年7月11日东莞SEO培训 11

直接入正题，贴上被入侵网站index.html里面head头部代码。

我们看title标题部分，代码如下：

注意：此处内容需在下方成功“评论回复”后“刷新本页”方可查看！文明留言评论，恶意留言直接进入黑名单！

是不是看不懂。这个代码是Unicode编码的，我们用工具把Unicode编码成中文看下。

注意：此处内容需在下方成功“评论回复”后“刷新本页”方可查看！文明留言评论，恶意留言直接进入黑名单！

顺便把keywords关键词和description描述的Unicode编码转码一下吧。

注意：此处内容需在下方成功“评论回复”后“刷新本页”方可查看！文明留言评论，恶意留言直接进入黑名单！

现在看得懂鸟语了吧！
接下来继续看代码。
来了一个JS。
<script>if(navigator.userAgent.toLocaleLowerCase().indexOf("baidu") == -1){document.title ="超冷、深冷、超深冷、超冷处理-东莞市有容超冷五金配件加工厂"}</script>

这个JS是判断来路的，如果不是百度来的就显示“超冷、深冷、超深冷、超冷处理-东莞市有容超冷五金配件加工厂”。如果是的那就显示Unicode编码转码的

注意：此处内容需在下方成功“评论回复”后“刷新本页”方可查看！文明留言评论，恶意留言直接进入黑名单！

下面还是JS。

注意：此处内容需在下方成功“评论回复”后“刷新本页”方可查看！文明留言评论，恶意留言直接进入黑名单！

把网址复制到浏览器打开显示如下。

注意：此处内容需在下方成功“评论回复”后“刷新本页”方可查看！文明留言评论，恶意留言直接进入黑名单！

其实是一段JS，JS下面又有一个网址https://pv.sohu.com/cityjson?ie=utf-8，复制到浏览器中打开显示如下。

终于有点眉目了。他自己的网站报毒于是生成一个短网址来欺骗搜索引擎，变成一个百度认可的短网址。这个网页中是执行一条JS，用来判断IP地区来路的。我是在东莞的IP，显示是广东省东莞市，如果你是其他地方他会显示其他地方。所以看到以上图片可能和你实际验证的时候有地域差别。这个判断来路的JS其实是搜狐提供的，他调用了。

接下来是这句代码<script>var sf=returnCitySN["cname"]; if(sf.indexOf("广东省")>=0){window.location.href="/indax.html";}</script>

这个代码的意思是如果你的IP是广东省的那么页面直接跳转到indax.html，不是的直接运行下面的代码。