小心！被骗''蜘蛛''在线疯狂搞颜色，误点即刻掉入诈骗漩涡( 二 )

本文插图
看到这里你或许会有疑问，中招的网站怎么区分正常的用户和爬虫呢？其实当用户使用浏览器打开一个网站，浏览器向网站服务器发出请求时，会在请求数据头部设置一个User-Agent的字段，例如访问百度时：

本文插图
而当搜索引擎爬取时， User-Agent设置的则有一些不一样：
百度蜘蛛
Mozilla/5.0(compatible;Baiduspider/2.0;+http://www.baidu.com/search/spider.html）
360蜘蛛：
Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/50.0.2661.102 Safari/537.36; 360Spider
神马蜘蛛：
Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/69.0.3497.81 YisouSpider/5.0 Safari/537.36
搜狗蜘蛛：
Sogou web spider/4.0(+http://www.sogou.com/docs/help/webmasters.htm#07)

本文插图
此次事件中，不法黑客下载的恶意模块会通过判断User-Agent区分用户和蜘蛛（爬虫），当识别为搜索引擎蜘蛛后，就会返回上述100条链接，其中前80条hostname是恶意模块生成的随机页面，与当前网站的hostname一致；后20条hostname则是其他受害网站生成的随机页面，均为接口hxxp://zjclasjsdknlnxsa.com:8081/ping返回（此接口需要特殊User-Agent才能访问）。

本文插图
与此同时， 100条随机生成的页面链接，看似杂乱无章其实暗藏一定规律的，它们的URL一般是由下图中的规则构成，即[]中的为可选。

本文插图
参照上图的URL规则，观察随机链接中的path字段会发现，它们全都是以lista/xzs/api/bks开头，且以上四个关键词，分别对应了四套恶意模块使用网站模版。

本文插图

本文插图
在生成网页过程中，程序还会随机读取keyword等其他表中的数据，以此来替换网站模版中的对应留空位置。四套模版运行如下图所示：

本文插图
上述网页显示内容，都是访问受害网址时数据库关键字替换随机生成的，搜索引擎蜘蛛（爬虫）则会将上述伪造的URL和页面缓存在数据库中。当用户在搜索引擎中搜索色情关键词，一旦命中上述伪造页面内容，那么搜索引擎就会返回上述伪造的URL和页面摘要。
此时，如若用户点击页面网址，浏览器则会默认设置Referer字段，以此来标明是从那个链接找到当前的链接。恶意模块正是利用这一点，区分当前访问页面是否来自于百度/360/搜狗/神马等国内搜索引擎中的一种。

本文插图
特别是，如果接口hxxp://zjclasjsdknlnxsa.com:8081/jump有返回数据，则会设置页面的内容为接口返回的数据：

小心！被骗''蜘蛛''在线疯狂搞颜色，误点即刻掉入诈骗漩涡( 二 )

推荐阅读

在北京工作，在杭州买房，打算在北京长期租房，靠谱吗

娱乐中的趣闻|有我的世界的源代码，还有冒蓝火的加特林，迷你世界：英雄的人物建模

平头哥说|这样的职业装太有魅力，尽显自信魅力，职场年轻女白领

娱乐潮流观察而西装内搭渐变T恤一展绅士形象，朱一龙身穿镂空风衣独特文艺

医用口罩是什么颜色

面对|生命无常，孔、老、庄如何面对生死

达娱海棠|钟汉良演侯爷太有范儿，谭松韵可能借此获奖？，又一宅斗剧杀青

美国■美总统连任已成定局？4大因素表明，白宫或早已稳操胜券

一只超爱笑的小猪猪|周润发老婆，比玻尿酸脸的明星好看太多，老也是真的

1万元适合做什么理财

嚼红茶去口臭吗,绿豆茶的功效与作用去口臭吗

SpringBootCms

溪说笔谈|武松为什么不敢骑马作战？原因很简单，水浒传中

周到|刘铮、何重达正式加盟上海男篮新赛季阵容基本成型

百度官宣造车组建新公司吉利控股为合作方

穿搭|姚晨气质越来越高级，穿紫色包臀裙性感又优雅，气场太霸气

狗喜欢靠着主人睡觉狗挨着人睡觉

『多一点关怀』黄晓明称不油腻沈月大胆怼网友！，明星的过度自信

网购囤货的时候，遇到坑我们可以咋做

「」打衣柜还是我有经验，顶部留空一排做收纳，邻居见了都偷偷学回家

小心！被骗&#039;&#039;蜘蛛&#039;&#039;在线疯狂搞颜色，误点即刻掉入诈骗漩涡( 二 )

推荐阅读

小心！被骗''蜘蛛''在线疯狂搞颜色，误点即刻掉入诈骗漩涡( 二 )