51.la统计代码被劫持跳转违法网站JS文件被篡改

最近我们有站点客户反应说打开网页挂了木马，经过我们技术人员排查后，最终确定是51.la统计代码的js文件被劫持会跳转违法站点。而且他这个挂马也是挂的相当的隐蔽，下面就看下具体是什么情况！

该病毒代码只针对手机端客户，电脑不跳转，手机端才会，具体是，通过搜索进来或者有来源才会跳转，直接访问域名huangfeiyun.cn也不会跳转，所以这个问题比较难复现。

这种就很奇怪，反复测试了下站点确实可以复现这个问题，在手机端用没访问过该站点的浏览器第一次打开该站点，页面加载完成后会跳转到一个违法站点上去。

按照这种表现来说要么是域名huangfeiyun.cn被劫持了，要么就是站点的php文件或者js文件被挂马了，问题复现然后就能开始准备排查了。

最后通过排除法”重装了服务器操作系统，源码，测试不会跳转，最后发现加载了5l.la 的 js统计代码，就开始被劫持跳转了，所以这个病毒是相当的隐藏“。

手机端用X浏览器可以打开控制台，然后再打开网址测试看到了这个：

关于51la统计js文件被劫持的回忆唤醒了我，关于这个事情51la官方还出了份通知：

尊敬的51LA客户： 近期收到部分客户反馈站点统计JS异常问题，平台高度关注，经初步排查，发现部分JS服务器存在异常，现已做下线处理，具体原因内部还在进一步分析，给您带来影响，十分抱歉。

所以这八九不离十就应该是客户站点用的51la统计里面的js文件出问题了导致的，让客户删掉51la统计代码测试恢复正常了。

荒废博客：blog.huangfeiyun.cn

总结下：

这种跳转类问题，如果站点上了https就不会是域名huangfeiyun.cn被劫持跳转，主要可以排查站点文件和js文件，站点里面的php文件只要没加密是很好看出问题来的，重点还是排查js文件，可以通过排除法一个一个去掉js文件即可得知是哪里造成的问题了。