1. 入侵干系网站
2. 然后在网站中插入JS或修正其配置文件，增加相应的挟制代码。其余一样平常会加入判断条件，判断条件一样平常会根据user-agent或referer进行判断。大多数判断条件会判断是爬虫还是人工，如果是人工会返回正常的网站；如果是爬虫，会返回干系博彩、娱乐类等黑客设置好的网站
3. 人工访问时，会显斧正常网站。但是爬虫去访问时，返回是干系博彩、娱乐类网站，导致收录的却是黑客精心准备好的网站
4. 黑帽SEO基本上都是给爬虫收录的，对付正常的人工访问会返回正常的内容，以是导致这种网站很难创造、并且其存留韶光相对较长
1.2 跳转判断
下面通过在实际事情中碰着的JS脚本来阐述JS挟制来实现跳转的方法。该JS脚本综合利用了判断IP归属地、UA、referer来进行跳转判断。
一.2 被修改的运用剖析通过内容剖析，创造这次黑客为SEO性子的。其紧张目的在于通过黑帽SEO获取经济利益，一样平常情形下，黑客植入博彩内容有以下路子：
1\前端挟制一样平常都是在网站的相应页面中插入JS脚本，通过JS来进行跳转挟制。也有创造黑客直接修正相应的页面内容的。
2\做事器端挟制也称为后端挟制，其是通过修正网站动态措辞文件,如global.asax、global.asa、conn.asp、conn.php这种文件。这些文件是动态脚本每次加载时都会加载的配置文件，如访问x.php时会加载conn.php。这样的话，只须要修正这些全局的动态脚本文件(如global.asax)，访问所有的aspx文件时都会加载这个global.asax文件，可以达到全局挟制的效果。
通过页面剖析判断为在做事器端挟制，做事器端挟制一样平常是修正全局配置文件，如global.asax、global.asa、conn.asp、conn.php。通过对该做事器剖析，创造其修正config_global.php该文件。植入如下内容：
这里面黑客将相应的挟制内容进行base64加密了，将个中base64加密的内容进行base64解密，得到以下内容：
个中 function isSpider()函数紧张用来判断是否为爬虫访问，爬虫的浏览器特色如下：
$bots= array( 'baidu' => 'baiduspider', 'sogou' => 'sogou', '360spider' => 'haosouspider', '360spider' => '360spider', 'bingbot' => 'bingbot', 'Yisou' => 'Yisouspider',
如果是爬虫则返回http://l5.wang2017.com/干系的内容。
处置的话比较大略，直接将黑客增加的base64加密的内容删除即可，删除干系内容往后，访问正常。Webshell紧张是网马，其浸染为通过webshell可以掌握全体做事器，并进行系统级别的操作，利用D盾对做事器查杀，创造存在23个webshell。
针对网站创造的23个webshell，目前干系webshell均已删除。
