大量中文網(wǎng)站被黑，嵌入世界杯相關(guān)關(guān)鍵詞用于黑帽SEO
在黑帽 SEO 中，經(jīng)常會出現(xiàn)的是被黑網(wǎng)站的 <title>標簽被修改為中文關(guān)鍵詞，使搜索引擎的檢索結(jié)果中明顯可見。但如果使用瀏覽器打開時，則會顯示原始未修改的標題。
黑帽 SEO 經(jīng)常會推廣中文的賭博、體育彩票類網(wǎng)站，研究人員發(fā)現(xiàn)此類攻擊已經(jīng)產(chǎn)生了巨大的影響。根據(jù) PublicWWW 的數(shù)據(jù)，失陷的站點數(shù)量應該已經(jīng)超過 5 萬個。近期，攻擊者開始利用世界杯作為話題進行引流。
嵌入世界杯關(guān)鍵詞
最近，很多失陷網(wǎng)站都更新了關(guān)鍵詞，主要是與 2022 年卡塔爾世界杯的標題。
- 卡塔爾世界杯賽事分析·(中國)世界杯賽事中心
- 2022世界杯買球投注-世界杯安全買球網(wǎng)站【官方平臺】
- 世界杯賽事預測世界杯在線直播世界杯賽時間 – 體育新世界
重定向的站點通常也是世界杯相關(guān)主題的，如下所示：
重定向網(wǎng)站
檢查失陷網(wǎng)站的 HTML 源代碼，其中 <title>與 <meta>中有很多關(guān)鍵詞：
失陷網(wǎng)站的標題
這些 HTML 實體使用 UTF-8 中的字符代碼表示 Unicode 字符。以 title 標簽為例：
解碼后漢字為 <title>世界杯外-圍網(wǎng)站-ios/安卓/手機版app下載</title>。
title 切換
使用瀏覽器打開失陷網(wǎng)站時，就看不到與賭博和世界杯相關(guān)的內(nèi)容。攻擊者使用的 HTML 腳本會檢查訪問者是不是中文搜索引擎爬蟲，即時將 title 修改為原始內(nèi)容。
目前在失陷網(wǎng)站上部署了兩個主要的變種：
(1) 只匹配百度的爬蟲：
(2) 匹配包括百度在內(nèi)的其他爬蟲：
在某些站點上，還發(fā)現(xiàn)了其他腳本，這些腳本會控制頁面內(nèi)除了 title 以外的其他內(nèi)容切換。
范圍與影響
在撰寫本文時，PublicWWW 在 50172 個網(wǎng)站上發(fā)現(xiàn)了第一個腳本，在 14010 個網(wǎng)站上檢測到第二個腳本。
看似已經(jīng)很多了，但實際上相比前幾年超過十萬的規(guī)模已經(jīng)收縮了不少。而且失陷網(wǎng)站大多數(shù)是中文網(wǎng)站，在全球其他地方的曝光度較低。
賭博網(wǎng)站重定向和混淆腳本
攻擊者還使用了幾種不同類型的重定向腳本。最簡單的重定向腳本沒有經(jīng)過任何混淆，檢查訪問者是否來自搜索引擎，滿足條件的重定向到賭博網(wǎng)站。
沒有混淆的重定向腳本
還有經(jīng)過混淆的腳本，如下所示。解碼后，可以得到外部鏈接 hxxp://#68010[.]com/4/tzm.js。
使用 HTML 實體進行混淆
還有攻擊者常用的 eval 混淆方式，如下所示。解碼后，可以得到外部鏈接 hxxps://www.makeafortune88[.]com/bb.js。
eval 混淆
外部鏈接
外部鏈接也有多種變種，如：
外部鏈接變種
外部鏈接變種
外部鏈接變種
在滿足特定條件時，將訪問者重定向到賭博網(wǎng)站。也有部分外部鏈接是針對移動設備的：
移動設備重定向
腳本中會預制許多賭博網(wǎng)站，將用戶重定向到其中之一。
多個網(wǎng)站
攻擊者利用百度的自動推送功能，提高攻擊效率。每當訪問者打開失陷網(wǎng)站時。腳本都會向百度發(fā)送將 URL 添加到索引中的請求。注：百度站長服務平臺在 2020 年 12 月宣布停用自動推送功能。
搜索引擎誘導
