记一次排查js文件后门

起因

今天调试博客时猛地发现电脑卡的不像样，排除后发现是控制台的问题，再一看控制台里全是网络请求，这可不是好事啊

Snipaste_2024-03-08_20-40-38.webp

起初，因为我回档了所有更改依然有这种情况，我猜是浏览器插件问题，但关闭了所有插件后依然如此

然后，我查看了异常js引入的时间点，并往上挨个检查

Snipaste_2024-03-08_20-37-33.webp

最初的异常引入在sdk.html，随后在js文件里依次搜索，最后定位到lazyload.min.js

Snipaste_2024-03-08_20-37-04.webp

但是嘛，当我在新标签页里打开时，显示的又是正常的js，对比发现请求ip不同，在改hosts后成功获取到带后门的js文件

不正常的

Snipaste_2024-03-08_20-39-35.webp

正常的

Snipaste_2024-03-08_20-39-25.webp

Snipaste_2024-03-08_20-42-50.webp

将https://cdn.bootcdn.net/ajax/libs全部替换为https://cdn.staticfile.net

Snipaste_2024-03-08_20-48-17.webp