轻松挖出恶意网站中藏的病毒_派派后花园

用户中心 游戏论坛 社区服务
发帖 回复
阅读:1040 回复:3

轻松挖出恶意网站中藏的病毒

刷新数据 楼层直达
罖罖罖

ZxID:1237416


等级: 热心会员
|▌秂到死莳財綄渼、
举报 只看楼主 使用道具 楼主   发表于: 2008-05-03 0
前不久,很多网友都感染了www.7b.com.cn的病毒,首页被改成这个网站,并且无法改回。黑客是如何做到锁定用户的浏览器首页呢?下面我们就去探个究竟。

  提醒:分析病毒存在一定风险,建议在虚拟机下操作。

  第一步 查看www.7b.com.cn首页的源代码,可以发现在尾部有如下的字样:

  这是一个嵌入到7b网址之家首页的页面,即打开www.7b.com.cn也就同时打开了这个页面。

  而“http://m.dashow.com.cn/m.html”表示的是一个字符串,“&#”后面是每个字符串ASCII的十进制值。

  直接把这段乱码保存为HTM文件,用IE打开,就可以看到它的真实面目“http://m.dashow.com.cn/m.html”。

  第二步 查看http://m.dashow.com.cn/m.html的源代码,把看的脚本段中的Execute替换为Document.Write,然后打开这个HTM页面,就会出现一段代码,同样地,把EXECUTE换成我们无敌的Document.Write,前后加脚本标记,存HTM打开。屏幕上立即出现了一段令人眼花的东西。把眼花缭乱的东西整理一下,并将出现的CHR()在前面用到过,作用是把字符的ASCII转成字符,只不过这次是16进制。然后再将字符拼接成字符串,然后再Execute运行这个命令字符串。继续用Document.Write替换掉EXECUTE,前后加脚本标记,存HTM打开。

  第三步 经过上几步的还原后终于看到了这个恶意页面的最终面目。

  on error resume next curl = "http://m.dashow.com.cn/start.exe"……其后省略。

  这段代码中我们可以很清楚地看到http://m.dashow.com.cn/start.exe这个链接。没错,它就是运行后可以将用户主页锁定为www.7b.com.cn的病毒。

  可以用下载工具将这个文件下载下来,如果你的杀毒软件查不到的话最好立即上报。这样可以保证杀毒软件快速查杀这个病毒,并使更少的网友免受该病毒的侵害。
還以僞迩会陪峩地耂兲荒
傆來偝景電影結侷兜﹃樣
csgcwx520

ZxID:1380384

等级: 派派新人
举报 只看该作者 地板   发表于: 2008-05-03 0
其实用360也可以的哦!
linhaizhou

ZxID:1368342

等级: 读书识字
偶尔出现~~~
举报 只看该作者 板凳   发表于: 2008-05-03 0
。。。上次直接重装系统。。
c5010156

ZxID:1222702

等级: 寒窗墨者
举报 只看该作者 沙发   发表于: 2008-05-03 0
顶你的
发帖 回复