淘宝宝贝详情页被修改的问题排查

有同学反馈说某页面正常展现后，鞋子由七喜变成了new balance，评价详情和成交纪录都被修改了，看上去是页面执行了js修改的，具体的详情是什么样子的呢

修改后的：

部分修改的，图不是太好截：

上利器，chrome，打开该页面，查看元素，既然修改为new balance，那相应的js里肯定有字符串’new balance’，暂时不去想它作了混淆之类的操作。

按一下esc，切换到serch，然后搜索’new balance’，果然我们找到一个js

打开这个js看看，果然是各种修改，居然还有评论之类的，改得挺逼真

那这个js是由什么加载进来的呢，我们再来搜taoyouhuiba.com，可以看到是一个htm文件里引入的

我们打开这个htm文件，找到了下面的这段：

可以看到它主动塞了一个style的闭合标签，这导致了前面style标签结束，开始它的script标签，然后引入js，js执行开始修改页面，

ht]是用来做店铺装修静态化的。可以看到这段插入的东西甚至没有做过混淆处理，对输入css的过滤有点太疏忽大意了。