javascript - 无论用户在JS中点击页面的哪个位置，如何重定向点击？

Question

我正在调查一个免费电影网站上的恶意软件。恶意软件会将用户重定向到其他页面无论点击何处。

我尝试删除 header 标签、带有主 id 标签和页脚标签的 div 以及最终整个 body 标签，但重定向仍然有效。因此我得出的结论是，恶意函数是在点击时触发的，而不是附加到 HTML 中的任何特定元素。

我的问题是这是如何完成的？

(如果你想自己尝试一下，只需谷歌fmovie)

Answer 1

我认为整个网站都是一个骗局，旨在为恶意软件提供服务，除此之外别无其他。即使广告和新窗口被禁用，我也无法找到播放视频的方法。我能得到的最接近的是“播放视频”界面，该界面拒绝播放，但也显示“您必须创建一个免费帐户才能流式传输此电影/剧集”，该界面链接到指示用户的场外位置下载恶意软件。

这不是一个被恶意软件分发者接管的视频托管网站 - 这是一个冒充视频托管网站的恶意软件分发网站。

如果你想阻止它打开窗口，如果是我，我会编写一个用户脚本来在页面有机会运行任何内容之前对页面进行猴子补丁。您所要做的就是用不打开窗口的函数覆盖 window.open ，并且不会打开任何内容:

// ==UserScript==
// @name         No Window Opening
// @match        https://ww3.fmovie.sc/*
// @run-at       document-start
// @grant        none
// ==/UserScript==

window.open = () => null;

您需要一个用户脚本管理器，例如 Tampermonkey .

在加载网站上的任何内容之前，用户脚本需要尽快运行(否则广告脚本将能够引用原始 window.open 在覆盖之前)。如果用户脚本没有及时运行，它将无法工作。如果您有这种经历，请进入 Tampermonkey 设置，打开“高级”选项，滚动到底部，然后将(实验)注入(inject)模式设置为“即时”。

广告脚本将对 window.open 的引用保存到名为 glxopen 的顶级变量中，因此另一个选择是覆盖 window.glxopen 带有返回无操作函数的 getter 和不执行任何操作的 setter。

另一种选择是完全阻止为脚本提供广告的网址/域 - 您可以使用您首选的 Adblock 版本来阻止 https://ilivaris.pw/rr44aiahDEp/15863 ，或将 https://ilivaris.pw/ 添加到您的 Hosts 文件中。