美国军事和政府网站的子域名网站有一个棘手的问题：它们很容易被黑帽子覆盖SEO战术攻击导致该网站重新定向包含垃圾广告和色情视频的网站。例如，在明尼苏达州国家警卫队网站上dot.mil广告出现在子域。
安全研究人员认为，这些垃圾广告出现在许多政府网站上的原因是，许多政府机构使用相同的网站软件。事实证明，该软件包含一个漏洞（已修复），允许用户未经网站所有者授权将非法文件推送到该网站。
这个软件叫Laserfiche，该公司生产的内容管理系统由一家政府软件供应商生产，并根据公共采购记录出售给陆军、海军、联邦调查局等机构。这个漏洞允许攻击者.gov和.mil在域名上创建钓鱼链接，将访问者重新定位为恶意网站，并可能利用其他漏洞攻击这些用户。
以重定向为基本特征的黑帽SEO这项活动已经持续了很多年，有时它会恐吓用户，但当涉及到重定向色情网站时，它主要是嘲笑用户。从过去的事件来看，随着访问者的大量报告，它们很快就会消失。
然而，根据研究人员在过去一年中的跟踪，发现这些新漏洞更加复杂，难以清除。
它非常顽固域名在政府或军事网站上停留的时间越长，它就越顽固SEO可信度就越高。
研究人员已经在子域名上发现了这些广告，包括上述明尼苏达州国家警卫队的网站。你可能会错误地认为这个广告链接是一个关于临床健康测试的合法网站。当你点击进入时，你会发现关于成人信息的垃圾邮件。现在明尼苏达州的垃圾邮件已经被删除了，但你仍然可以在网络文件中阅读原始帖子。
现在有一个开放的重定向问题：重定向通过特定的域名缓存。如果单击链接，访问者将被发送到dot-mil和dot-gov网站色情子域。
研究人员发现，这个问题已经出现在大约50个不同的政府子域名上，但它们通常很快就会消失。但重定位并非如此，它们非常复杂，似乎是持续的，它们的疯狂是，所有这些骗局都试图从政府网站域名中获得SEO利益，因此他们会将成人网址和各种产品内容在政府网站的页面上保持相当长一段时间。这将在理论上增加在谷歌和其他搜索引擎中的权重，并且还可以提高这些域名的可信度。
溯源到了Laserfiche公司
研究人员在爱达荷州政府的域名网站上发现了非法文件，并显示了一个关于Laserfiche错误信息。谷歌搜索还发现了非常受欢迎的信息Roblox游戏币广告等所谓的游戏平台Xbox广告礼品卡生成器。
补丁已经发布
Laserfiche该漏洞已公开披露，并及时发布了关键的安全更新。根据其披露，Laserfiche该文件上传的漏洞被黑客广泛使用，可供未经认证的第三方用户使用Laserfiche分发临时托管上传文件的功能。
Laserfiche该公司表示，使用合法表单提交的数据不受影响。Laserfiche Forms 10.4.5通过减少临时文件下载链接的活动时间，可以很好地解决这一漏洞。
对于那些不能立即访问外部的人Laserfiche Forms对于服务器安装更新的用户，还有其他一些缓解措施。
Laserfiche在其更新中，Laserfiche Forms 10.x安全更新修改了公共表格的默认行为，不再提供下载链接。Laserfiche还为Laserfiche Forms公共门户提供清洁工具。
研究人员表示，各机构应尽快安装补丁。包括军事机构在内的大量城市、州和联邦机构正在使用Laserfiche，现在应该立即安装补丁，并确定是否需要采取其他措施。然而，对于任何使用旧软件的机构，如果没有修复措施，应该鼓励这些机构升级软件或保持警惕。
本文翻译自：https://threatpost.com/porn-viagra-spams-govt-military-sites/174794/如果转载，请注明原始地址。