域名注册网络公司流程_溯源“西安环卫网事件“背后黑产域名抢注引流手法

近日，安恒信息技术中央研究院零一实验室发现，一个黑灰产业团伙注册了“西安环卫网”简称的域名，并在其中植入色情信息，利用链接跳转至色情APP“小黄书”进行推广导流。黑灰产业注册这些域名，一方面是为了窃取原网站及原网站链接网站的流量，另一方面，部分注册域名可能仍处于有效备案状态，常被用来绕过各类安全检查机制。

由于域名的欺骗性，公众被误导认为“政府网站管理不善”，另外引用预注册域名的网站会被“列入黑名单”，直接指向非法网站，成为传播违法信息的帮凶，因此各网站应加强自身外部链接的安全检查。

活动概要

2023年2月3日，网上盛传西安环卫网涉黄，包含大量日本成人影片信息。一时间，网上众说纷纭，有说网站被黑了，有说网站交给外包公司，抄袭色情网站模板，忘记删除原有色情信息。

安恒信息中央研究院零一实验室立即对事件展开调查，并制定了详细的时间线（如下图，具体调查过程和证据链见第三部分），认定该事件是由黑灰产业抢注域名，冒用政府网站名称，将流量引流至色情APP，对政府形象造成极大损害而引发的。本文将深入分析该事件的背景以及什么是抢注，为什么要抢注，以及抢注后如何将流量引流至黑灰产业。

事件背后的黑灰色产业

零一实验室研究后发现，此次事件涉及域名抢注、为黑灰产业搭建流量站点等行为，都是为了给黑灰产业引流。所谓域名抢注，是指注册的域名在有效期到期前，若不及时续费，则在一段时间后会被删除或者拍卖，而在此期间，域名有可能会被黑灰产业抢注。黑灰产业为什么要抢注域名呢？我们推测有以下几个原因：

该域名价值较高，用于勒索原域名使用者或者欺骗正常用户，比如是“西安市环境卫生网”的拼音缩写，这样的域名结合logo很容易让人误以为这是官方网站；

抢注域名可以获得其原有的流量，这些流量可以用来欺骗搜索引擎爬虫。你可以把互联网上每一个网站想象成一块种满庄稼的田地，爬虫和用户的访问流量就是灌溉田地的水。种庄稼的好田地（网站内容合法、优质、易读）容易得到爬虫的青睐，因此非常肥沃；而新建/种药的田地（指含有违法信息的黑灰网站）并不能直接获得大量水源，因此非常贫瘠。黑灰行业抢注域名后，会通过一定的手段，将正常网站中的水引流到自己的非法田地中，大量引流之后，黑灰行业的非法田地也会随之繁荣起来。

活动回顾

可追溯性

根据whois记录显示，该域名注册于2013年2月4日，2022年2月4日注册到期后，将进入30天的续费宽限期和29天的高价赎回期，之后进入删除等待期。

该域名开放注册后，于2022年4月8日被灰黑工业公司注册。

根据谷歌爬虫的快照记录可以发现，2022年11月10日该网站就出现了色情内容。

黑灰产排水分析

经过研究发现，黑灰产业通过链接跳转+终端判断的方式实现引流，网址为：///go.html，虽然原网站已经无法访问，但推测链接是跳转到这个网址的，查了该网站的ICP备案，发现是乌鲁木齐市工信局的，所以以为是正常的网址。

我尝试去访问，但是发现访问失败。

但是我的网页篡改经历让我萌生了尝试的想法，于是继续在源码中搜索，发现了一个奇怪的js——，打开之后发现有些异常。

这段代码会判断访问者的平台，如果是手机或者Linux系统，就会加载另外一个js，继续访问发现这个js会判断访问是否是移动端，并跳转到这个URL。

当你用手机打开上述网址就会发现端倪，会被重定向到一个色情APP下载页面，这就是黑灰产业引流的POC。

总结

黑灰行业利用注册域名作为传播非法信息的媒介，可以轻易将注册域名所链接的网站引导至自己的非法页面，使政府、事业单位等重点单位的网站看似被黑客入侵却毫不知情，因此十分有必要关注网站外部链接的安全。

所谓外部链接安全，就是指一个网站会有很多指向外部的链接，黑灰行业如果注册了这些外部链接，就可以轻而易举的让所有包含该链接的网站都把流量引流到该链接上。网站管理员很难及时识别自己网站上注册的外部链接，所以往往在发生重大事故后才意识到外部链接安全现象。

其中，最为轰动的当属2017年发生的“人教版教材涉赌链接”事件。事件起因是普通高中课程标准实验教材《生物学必修3：稳态与环境》第14页有一个“网站登录”栏，里面有一个链接（）。打开后，是一个赌博网站，页面上有“赌场”、“斗地主游戏”等字样。当时造成了非常恶劣的影响，事后证实，这个本该是生物学教材网站的域名被黑灰产业抢注。

安恒安全数据部由影子实验室、零一实验室、西安实验室、回声实验室组成，团队专注于数据分析与技术研究，致力于以数据驱动安全创造用户价值。

零一实验室

网络空间安全威胁与事件研究团队专注于基于人工智能等技术发现网络空间安全事件和潜在威胁。

网络安全研究基地