最新版本:CVE-2018-9206出现在野利用，多网站被挂马跳转至*敏*感*词*网站

　　最新版本:CVE-2018-9206出现在野利用，多网站被挂马跳转至*敏*感*词*网站

　　近期，360互联网安全中心得到了很多站长的帮助。当通过搜索引擎打开他们的网站时，会跳转到在线*敏*感*词*页面。经分析发现，该网站使用的jQuery代码被恶意篡改。进一步分析发现，很多站点在CMS中旧版本的jQuery-File-Upload插件被利用后，利用了任意文件上传漏洞（CVE-2018-9062）。插入的恶意代码导致。

　　Blueimp jQuery-File-Upload 是一款应用广泛的文件上传工具，支持多种语言。包括文件选择、文件拖放、进度条显示、图片预览等功能。Blueimp jQuery-File-Upload 9.22.0及之前版本中，近日曝出一个任意文件上传漏洞（CVE编号：CVE​​-2018-9206，详见：）。远程攻击者可利用此漏洞执行代码。

　　该插件是 GitHub 上第二受欢迎的 jQuery 项目（拥有 7844 个分支和 29320 个 Star），仅次于 jQuery 框架。它已经集成到数百个其他项目中，例如：CMS、CRM、Intranet 解决方案、WordPress 插件、Drupal 附加组件、CKEditor（也集成在 DeDeCMS 中）、Joomla 组件等等。

　　过程分析

　　网站上使用的 jQuery 文件上传插件

　　Github 中本项目（）中的安全消息：CVE-2018-9206 漏洞影响 2018 年 10 月之前发布的版本：

　　jQuery 文件上传插件项目页面说明

　　分析发现，该类网站在挂马的jQuery库文件尾部额外插入了混淆代码。去混淆后内容为：判断站点的来源页面（referer）是否为百度（baidu）、谷歌（google）、雅虎（yahoo）、必应（bing）、搜狗（sogou）、360搜索（ so.),有道(youdao),极客(jike),anquan,360导航(),如果是嵌入一段广告代码hxxps://s5[.]cnzz[.]biz/robots.php；

　　在 jQuery 脚本中插入恶意代码

　　robots.php中的脚本内容如下图所示：主要作用是将当前页面的父页面（即搜索页面）重定向到游戏页面：hxxp://www[.]b733[ .]xyz:2682/w .html,

" />

　　在 zz.biz 中捕获内容

　　混淆的广告代码也被插入到 55bbs 中。广告代码去混淆后的作用主要是自动复制一条支付宝吱吱密码领红包打赏的广告。

　　收红包恶意代码

　　下图为判断移动设备跳转到*敏*感*词*网站相关的JS代码：

　　确定是否正在被移动设备访问

　　跳转到投注页面如图：

　　恶意代码攻击效果演示*敏*感*词*（双击查看）：

　　攻击效果演示

　　结语

" />

　　该漏洞已在野外被利用，攻击者可利用该漏洞在服务器上传恶意js文件，甚至后门程序和web shell。因此，建议使用jQuery-File-Upload上传插件的CMS站长尽快更新至修复漏洞的新版本，以免网站或服务器受到攻击。

　　附上插入恶意代码的部分js

　　91淘客：

　　hxxp:///Public/gaiban/js/jquery-3.0.0.min.js

　　健康无忧网：

　　hxxp:///gg/headad1.js

　　55bbs论坛：

　　hxxp:///newPage/js/jquery-1.11.2.min.js

　　星空网：

　　hxxp:///skin/js/jquery.min.js

　　西安市第四医院：

　　hxxp:///templets/default/js/jquery-1.7.1.min.js

　　hxxp:///archives/20180204/1506/index.html

　　hxxp://zz.biz/stat.php?id=33222&web_id=33222&show=pic

　　最新版:刷百度排名软件,刷网站排名

　　刷百度排名软件，刷网站排名

" />

　　百度排名软件是一群在新闻网站上工作的营销人员。他们通过在搜索引擎中快速对网站进行排名，将网站编译成一个安装过程，然后根据这个系统的过程开发软件。该软件还模拟了这些 A 工作流程，供新闻网站营销人员快速排名。目前，我们的百度排名软件是同行业中最有效、最快速、最稳定的。

　　软件经过360杀毒、百度安全管家、百度杀毒等安全厂商验证，只需添加一次，无需挂机、互刷。插入完成后，最慢24小时就能看到效果。一般3-7天后，第二页的字就可以调到最后五页了。

　　该软件模拟新闻网站营销人员的工作流程，永远不会被搜索引擎惩罚。排名稳定，通过常规手段提高关键词排名。即使百度修改了算法，你的排名依然稳定。

　　使用百度排名软件快速提升排名，价格便宜，一个关键词一张月卡，可以使用30天，难度小关键词可以减少月卡的用量，另外无限增加关键词，只要月卡够用，想用多少关键词就用多少。月卡销量越多，优惠越小。适合医疗行业和暴力行业采用快速排名。