CVE-2018-9206出现在野利用多网站被挂马致搜索跳转博彩网站

责编：gltian ｜2018-10-26 13:59:39

近期360互联网安全中心收到多位站长求助，其网站在通过搜索引擎打开时，会跳转到网络博彩页面。经过分析发现，是网站使用的jQuery代码被恶意篡改，进一步分析发现，很多站点是因为使用的CMS中的旧版本jQuery-File-Upload插件存在任意文件上传漏洞(CVE-2018-9206)被利用后插入的恶意代码导致。

Blueimp jQuery-File-Upload是一款被广泛使用支持多种语言的文件上传工具，它包括文件选择、文件拖放、进度条显示和图像预览等功能。 Blueimp jQuery-File-Upload 9.22.0及之前版本中，在最近被爆出存在任意文件上传漏洞(CVE编号：CVE-2018-9206，详情见：http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-9206)。远程攻击者可利用该漏洞执行代码。

该插件是GitHub上第二个最受欢迎的jQuery项目(有7844个分支，Star为29320)，仅次于jQuery框架。并且已经集成到数百个其他项目中，如：CMS、CRM、Intranet解决方案、WordPress插件、Drupal附加组件、CKEditor(DeDeCMS中也有集成)、Joomla组件等等。

过程分析

某网站上使用的jQuery File Upload插件

Github中该项目(https://github.com/blueimp/jQuery-File-Upload)中安全提示信息：CVE-2018-9206漏洞影响2018年10月之前发布的版本：

jQuery File Upload插件项目页面说明

分析发现此类被挂马的网站的jQuery库文件的尾部被额外插入经过混淆的代码，经过去混淆后其内容为：判断站点的来源页面(referer)是否为百度(baidu)、谷歌(google)、雅虎(yahoo)、必应(bing)、搜狗(sogou)、360搜索(so.)、有道(youdao)、极客(jike)、anquan、360导航(360.cn)其中之一，如果是则会嵌入一段广告代码hxxps://s5[.]cnzz[.]biz/robots.php;