Привет, Хабр! Вчера вечером жена пожаловалась, что не может зайти на сайт детской одежды, потому что с него перебрасывает на совершенно посторонний ресурс. Проверяю сам — действительно, во время загрузки главной страницы (или любой другой, если успеть перейти по ссылке с загружающейся страницы) внезапно перебрасывает на другой домен.
На улице сентябрь и холодает, поэтому решил не отступать перед проблемой и выбрать-таки ребёнку демисезонный костюм, попутно разобравшись в чём же дело!
Первое и очевидное, что приходит в голову — поискать явный редирект на странице. Открываю исходный код страницы в попытке найти что-нибудь такое:
Безрезультатно, к тому же это было бы слишком просто. Раз нет стандартного редиректа, следовательно он реализован средствами JS. Проверяем гипотезу отключением JS в браузере — страница загрузилась, никуда не перекидывает. При этом window.location на странице нигде не используется, подменяющего URL тоже нет. Глянем, какие ресурсы закачивает браузер:
Сразу бросается в глаза подозрительный URL, по запросу к которому возвращается HTTP код 301: is.gd/J87Pzs
По этому URL быстро находим строчку в исходниках страницы:
Отмечу, что эта строчка присутствует на всех страницах, где смотрел.
Хм, необходимо разобраться, что же такое происходит по этой ссылке: is.gd/J87Pzs.
is.gd — это типичный «ссылкоукорачиватель». За данным URL стоит следующий: home-income-business.com/sfi/i/qwe
GET-запрос на него возвращает такой контент:
Дело уже можно было бы закрывать, как в этот момент я переключаюсь на другую точку доступа к Интернет, а проблема (внезапно) исчезает: HTTP-запрос по последнему URL в цепочке начинает возвращать пустой контент! Что за?! Переключаемся опять на другую точку доступа — зловредный код снова отдаётся. А это уже интереснее! Выходит, в зависимости от ip-адреса отдаётся разное содержимое. Как такое может быть? Например, в nginx есть специальный модуль geo, с использованием которого можно настроить подобное поведение. Содержимое HTTP-ответа косвенно подтверждает вышесказанное:
Зачем делать атаку с редиректом на другой сайт? Причин может быть множество, в том числе меркантильных, например, для осуществления нечестной конкуренции или привлечения трафика на сайт.
При этом владелец сайта-жертвы может даже не догадываться, что находится под атакой, поскольку с его ip-адресов сайт будет прекрасно открываться и работать, а с других… Пользователи, зайдя на такой сайт, вероятно просто уйдут и не будут заморачиваться.
Я заморочился. И написал на e-mail, указанный в контактах. А уже на следующий день, то есть сегодня, со мной связался администратор сайта, которому я подробно изложил проблему. И, пока я писал этот пост и готовил картинки, проблему уже исправили, удалив зловредный скрипт со страниц сайта!
Вероятно, вам интересно узнать, как же зловредный код оказался на страницах сайта: администратор высказал предположение, что это его предшественник оставил «подарок».
P.S. Посчитал неуместным указывать подвергшийся атаке сайт.
На улице сентябрь и холодает, поэтому решил не отступать перед проблемой и выбрать-таки ребёнку демисезонный костюм, попутно разобравшись в чём же дело!
Первое и очевидное, что приходит в голову — поискать явный редирект на странице. Открываю исходный код страницы в попытке найти что-нибудь такое:
<meta http-equiv="refresh" content="3;url=http://подозрительный-сайт-точка-ру/">
Безрезультатно, к тому же это было бы слишком просто. Раз нет стандартного редиректа, следовательно он реализован средствами JS. Проверяем гипотезу отключением JS в браузере — страница загрузилась, никуда не перекидывает. При этом window.location на странице нигде не используется, подменяющего URL тоже нет. Глянем, какие ресурсы закачивает браузер:
Сразу бросается в глаза подозрительный URL, по запросу к которому возвращается HTTP код 301: is.gd/J87Pzs
По этому URL быстро находим строчку в исходниках страницы:
Отмечу, что эта строчка присутствует на всех страницах, где смотрел.
Хм, необходимо разобраться, что же такое происходит по этой ссылке: is.gd/J87Pzs.
is.gd — это типичный «ссылкоукорачиватель». За данным URL стоит следующий: home-income-business.com/sfi/i/qwe
GET-запрос на него возвращает такой контент:
function process(){ window.location = "http://подозрительный-сайт-точка-ру/"; } window.onerror = process; process()Дело уже можно было бы закрывать, как в этот момент я переключаюсь на другую точку доступа к Интернет, а проблема (внезапно) исчезает: HTTP-запрос по последнему URL в цепочке начинает возвращать пустой контент! Что за?! Переключаемся опять на другую точку доступа — зловредный код снова отдаётся. А это уже интереснее! Выходит, в зависимости от ip-адреса отдаётся разное содержимое. Как такое может быть? Например, в nginx есть специальный модуль geo, с использованием которого можно настроить подобное поведение. Содержимое HTTP-ответа косвенно подтверждает вышесказанное:
Зачем делать атаку с редиректом на другой сайт? Причин может быть множество, в том числе меркантильных, например, для осуществления нечестной конкуренции или привлечения трафика на сайт.
При этом владелец сайта-жертвы может даже не догадываться, что находится под атакой, поскольку с его ip-адресов сайт будет прекрасно открываться и работать, а с других… Пользователи, зайдя на такой сайт, вероятно просто уйдут и не будут заморачиваться.
Я заморочился. И написал на e-mail, указанный в контактах. А уже на следующий день, то есть сегодня, со мной связался администратор сайта, которому я подробно изложил проблему. И, пока я писал этот пост и готовил картинки, проблему уже исправили, удалив зловредный скрипт со страниц сайта!
Вероятно, вам интересно узнать, как же зловредный код оказался на страницах сайта: администратор высказал предположение, что это его предшественник оставил «подарок».
Выводы:
- Самый эффективный способ предупреждения внедрения таких скриптов — не использовать подгружаемые со сторонних сайтов ресурсы;
- Для исключения их выполнения также можно применять Content Security Policy, используя HTTP-заголовок Content-Security-Policy (X-WebKit-CSP для старых версий Chrome и X-Content-Security-Policy для старых версий Firefox и IE 10-11), который в силу своей относительной молодости и статуса Candidate Recomendation не поддерживается в старых браузерах;
- И по возможности отправлять баг-репорты, так мы сможем сделать Интернет чище.
P.S. Посчитал неуместным указывать подвергшийся атаке сайт.
