51.la统计的js文件被劫持了会跳转违法网站

最近有个客户说他网站的数据库被挂了木马，我第一反应是数据库被挂木马这个有点扯，然后问客户是怎么判定的？

客户说通过排除法”重装了服务器操作系统，源码，测试不会跳转，只要导入之前的数据库sql，就开始跳转了，所以怀疑病毒是被隐藏到数据库了“。

然后问客户被挂马的具体表现是什么，回答说是”该病毒代码只针对手机端用户，电脑不跳转，手机端才会，具体是，通过搜索进来或者有来源才会跳转，直接访问域名则不会“。

这种就很奇怪，然后我自己测试了下客户的网站确实可以复现这个问题，在手机端用没访问过该网站的浏览器第一次打开该网站，页面加载完成后会跳转到一个违法网站上去。

按照这种表现来说要么是域名被劫持了，要么就是网站的php文件或者js文件被挂马了，问题复现然后就能开始准备排查了。

手机端用X浏览器可以打开控制台，然后再打开网址测试看到了这个：

关于51la统计js文件被劫持的回忆唤醒了我，关于这个事情51la官方还出了份通知：

尊敬的51LA用户： 近期收到部分用户反馈网站统计JS异常问题，平台高度关注，经初步排查，发现部分JS服务器存在异常，现已做下线处理，具体原因内部还在进一步分析，给您带来影响，十分抱歉。

所以这八九不离十就应该是客户网站用的51la统计里面的js文件出问题了导致的，让客户删掉51la统计代码测试恢复正常了。

总结下：这种跳转类问题，如果网站上了https就不会是域名被劫持跳转，主要可以排查网站文件和js文件，网站里面的php文件只要没加密是很好看出问题来的，重点还是排查js文件，可以通过排除法一个一个去掉js文件即可得知是哪里造成的问题了。