淘宝宝贝详情页被修改的问题排查
有同学反馈说某页面正常展现后,鞋子由七喜变成了new balance,评价详情和成交纪录都被修改了,看上去是页面执行了js修改的,具体的详情是什么样子的呢
修改后的:
部分修改的,图不是太好截:
上利器,chrome,打开该页面,查看元素,既然修改为new balance,那相应的js里肯定有字符串’new balance’,暂时不去想它作了混淆之类的操作。
按一下esc
,切换到serch,然后搜索’new balance’,果然我们找到一个js
打开这个js看看,果然是各种修改,居然还有评论之类的,改得挺逼真
那这个js是由什么加载进来的呢,我们再来搜taoyouhuiba.com
,可以看到是一个htm文件里引入的
我们打开这个htm文件,找到了下面的这段:
可以看到它主动塞了一个style的闭合标签,这导致了前面style标签结束,开始它的script标签,然后引入js,js执行开始修改页面,
ht]是用来做店铺装修静态化的。可以看到这段插入的东西甚至没有做过混淆处理,对输入css的过滤有点太疏忽大意了。