K3 官改固件广告分析【官方所为】 更新实锤 以及完美解决办法

dnasiodnaiodniu

更新实锤：
下午一直在找解决办法，然而还没找到，但是找到一个有意思的东西。。如图：





使用 nvram show 命令会出现所有的配置，在 392 行出现了 插入我们网页的js 路径。。

所以理论上我们只需要把这个配置删除或者置空即可，但是斐讯那边可能可以控制我们的路由器，修改这个值。。继续研究。。

具体是哪个进程去读了这个配置并插入广告我我没有找到,哪个进程写入这个配置的也没有找到,,,,但是我们可以 换一种思路来解决这个问题
即:写一个脚本,定时执行把这个配置置空即可,以下为脚本内容

nvram set up_script=

加入定时执行

vi /root/cron_file
*/1 * * * * /tmp/media/nand/opt/clearAd.sh

chmod 777 clearAd.sh (赋予执行权限)
clearAd.sh内容即为 nvram set up_script


这样我们每分钟都去清空配置就好了..


以下为原始内容.
---------------------------------------------

今天放假，而且好不容易早起一次，打开电脑看看新闻。结果莫名其妙出现一个广告页面，第一个弹出来还没注意，以为是网站的广告，但是第二次在另外一个网站弹出来就很奇怪了，而且还是同一个广告。
经过分析。发现以下特点。。
该js会在body标签下面插入一段代码

<a href="http://p.6d63d3.com/1/1488.html?uid=921944" target="_blank" style="position: absolute; z-index: 2147483647; display: block; top: 0px; left: 0px; cursor: default; opacity: 0;"><div style="background-color: rgb(255, 255, 255); width: 957px; height: 947px;"></div></a>

如图：


随机出现，
并不是所有的网站都会被插入，

https 网站无法插入，

这个广告应该是斐讯官方插入的，

因为在改js文件中有疑似白名单的内容，

如图：




phicomm 斐讯的域名居然也在里面，

其它大厂不敢劫持很正常，斐讯凭什么？


该js 文件路径为 http://103.49.209.27:11211/t.js


完整内容如下用附件上传，有兴趣的同学可以分析下。


最后感觉日了狗，本来买K3就翻车了，现在居然还搞这一出。。






解决方法：ssh 到 k3上面去 ：添加一条规则：

iptables -t mangle -A PREROUTING -s 103.49.209.27 -j DROP

屏蔽掉这个ip

更新： 很多人说不知道怎么弄。。。
具体一点就是 先在后台打开 ssh. 这个应该不用我说吧，账号默认是 admin 密码就是你后台管理密码。

登录上以后，出现这个窗口：


然后就在这里粘贴上面的命令。就可以了。

当然，这个方法只能治标，不能治本。后面斐讯换了IP 还是再执行一次。。

完美的解决办法就是等待A大更新固件，或者刷别的固件

dnasiodnaiodniu

abccba94 发表于 2018-8-11 13:58
已经找到罪魁祸首

K3是官方的这个程序：

这个字符串在四个程序里面都有，


没有找到是从哪里下载配置和读取配置的。。

dnasiodnaiodniu

lovehc 发表于 2018-8-11 23:35
大神，这个只能屏蔽电脑弹出的广告，现在手机开网页，也会有在底部的飘浮广告。这个怎么解决啊？

这个不一定是斐讯弹的,要抓包分析,按理说把 up_script 置空了就没有广告了,这个是不区分电脑手机的