假装-该页无法显示的半老不新的网马~

ly5360

我是通过我的IP邻居查询与xxx.haoqq1680.com同一主机的域名。于是得到以下几个域名信息；


第2和3个，我已经封了。唯独chanm.cn没封。。于是访问www.chanm.cn。。。。。

不注意看还以为真的是该页无法显示呢~

嘿嘿，不过我用的是IE7....这个该页无法显示的样式应该是IE6的。。于是感觉有问题。。

后来用FS分析。得到以下结果。。

Log is generated by FreShow.
[wide]http://www.chanm.cn/
    [script]http://j921.cn/a.js
        [frame]http://chanm.cn/zj.asp
            [frame]http://1.100190.com/dl1.htm?07老东西
        [frame]http://xxx.hao1680.com/xx.htm?id=049老东西

sb

我也遇到过这样的情况,可是杀毒软件并没有报警呀?

沸沸

haha,这个有意思

Palkia

好笑~费尔报~

Graybird

The file 'a.js' has been determined to be 'UNDER ANALYSIS'.

上报~

tanlimo

的确都是老东西

UncryptHTML自动分析

-> http://www.chanm.cn/ - 未发现标志
   -> http://j921.cn/a.js - 未发现标志
      -> http://chanm.cn/zj.asp - 未发现标志
         -> http://1.100190.com/dl1.htm?07 - 未发现标志
            -> http://1.100190.com/d/d.htm - 字符串拆分,
               -> http://1.100190.com/d/Ajax.gif - 忽略的URL
               -> http://1.100190.com/d/Ms06014.htm - 字符串拆分,
                  -> http://1.111281.com/down.exe - 提示的URL
               -> http://1.100190.com/d/Real.js - Escape, \x, Alpha2,
               -> http://1.100190.com/d/Bfyy.gif - 忽略的URL
               -> http://1.100190.com/d/Pps.gif - 忽略的URL
               -> http://1.100190.com/d/XunLei.gif - 忽略的URL
               -> http://1.100190.com/d/Lz.gif - 忽略的URL
               -> http://1.100190.com/d/QVod.html - Escape, \x, 字符串拆分,
            -> http://js.users.51.la/1631832.js - 无法访问
         -> http://count30.51yes.com/click.aspx?id=304820891&logo=12 - 未发现标志
            -> http://count.51yes.com/index.aspx?id=304820891 - 未发现标志
               -> http://ad.51yes.com/t12.htm - 未发现标志
               -> http://count.51yes.com/ - 未发现标志
                  -> http://ad.51yes.com/t12.htm - 未发现标志
                  -> http://count.51yes.com/ - 未发现标志
                     -> http://ad.51yes.com/t12.htm - 跳过
                     -> http://count.51yes.com/ - 跳过
                     -> http://demo.51yes.com/all.aspx - 跳过
                     -> http://ad.51yes.com/a1-a6.htm - 跳过
                     -> http://ad.51yes.com/ad.htm - 跳过
                     -> http://ad.51yes.com/a7-a12.htm - 跳过
                     -> http://ad.51yes.com/a13-a18.htm - 跳过
                     -> http://demo.51yes.com/area.aspx - 跳过
                     -> http://demo.51yes.com/area.aspx - 跳过
                     -> http://demo.51yes.com/search.aspx - 跳过
                     -> http://demo.51yes.com/search.aspx - 跳过
                     -> http://ad.51yes.com/a19-a21.htm - 跳过
                     -> http://ad.51yes.com/a22-a24.htm - 跳过
                     -> http://demo.51yes.com/location.aspx - 跳过
                     -> http://demo.51yes.com/location.aspx - 跳过
                     -> http://demo.51yes.com/day.aspx - 跳过
                     -> http://demo.51yes.com/day.aspx - 跳过
                     -> http://ad.51yes.com/ad.htm - 跳过
                     -> http://count1.51yes.com/click.aspx?id=10002&logo=1 - 跳过
                  -> http://demo.51yes.com/all.aspx - 跳过
                  -> http://ad.51yes.com/a1-a6.htm - 跳过
                  -> http://ad.51yes.com/ad.htm - 跳过
                  -> http://ad.51yes.com/a7-a12.htm - 跳过
                  -> http://ad.51yes.com/a13-a18.htm - 跳过
                  -> http://demo.51yes.com/area.aspx - 跳过
                  -> http://demo.51yes.com/area.aspx - 跳过
                  -> http://demo.51yes.com/search.aspx - 跳过
                  -> http://demo.51yes.com/search.aspx - 跳过
                  -> http://ad.51yes.com/a19-a21.htm - 跳过
                  -> http://ad.51yes.com/a22-a24.htm - 跳过
                  -> http://demo.51yes.com/location.aspx - 跳过
                  -> http://demo.51yes.com/location.aspx - 跳过
                  -> http://demo.51yes.com/day.aspx - 跳过
                  -> http://demo.51yes.com/day.aspx - 跳过
                  -> http://ad.51yes.com/ad.htm - 跳过
                  -> http://count1.51yes.com/click.aspx?id=10002&logo=1 - 跳过
               -> http://demo.51yes.com/all.aspx - 跳过
               -> http://ad.51yes.com/a1-a6.htm - 跳过
               -> http://ad.51yes.com/ad.htm - 跳过
               -> http://ad.51yes.com/a7-a12.htm - 跳过
               -> http://ad.51yes.com/a13-a18.htm - 跳过
               -> http://demo.51yes.com/area.aspx - 跳过
               -> http://demo.51yes.com/area.aspx - 跳过
               -> http://demo.51yes.com/search.aspx - 跳过
               -> http://demo.51yes.com/search.aspx - 跳过
               -> http://ad.51yes.com/a19-a21.htm - 跳过
               -> http://ad.51yes.com/a22-a24.htm - 跳过
               -> http://demo.51yes.com/location.aspx - 跳过
               -> http://demo.51yes.com/location.aspx - 跳过
               -> http://demo.51yes.com/day.aspx - 跳过
               -> http://demo.51yes.com/day.aspx - 跳过
               -> http://ad.51yes.com/ad.htm - 跳过
               -> http://count1.51yes.com/click.aspx?id=10002&logo=1 - 跳过
      -> http://xxx.hao1680.com/xx.htm?id=049 - 跳过

[ 本帖最后由 tanlimo 于 2008-2-11 12:29 编辑 ]

费饭饭

原帖由 ly5360 于 2008-2-11 08:59 发表
我是通过我的IP邻居查询与xxx.haoqq1680.com同一主机的域名。于是得到以下几个域名信息；

198893
第2和3个，我已经封了。唯独chanm.cn没封。。于是访问www.chanm.cn。。。。。

不注意看还以为真的是该页无法显 ...

怎么用fs分析？？？

醉一生爱妍

-> http://www.chanm.cn/ - 未发现标志
   -> http://j921.cn/a.js - 未发现标志
      -> http://chanm.cn/zj.asp - 未发现标志
         -> http://1.100190.com/dl1.htm?07 - 未发现标志
            -> http://1.100190.com/d/d.htm - 字符串拆分,
               -> hxxp://1.100190.com/d/Ajax.gif - 忽略的URL
               -> http://1.100190.com/d/Ms06014.htm - 字符串拆分,
                  -> http://1.111281.com/down.exe - 提示的URL
               -> http://1.100190.com/d/Real.js - Escape, \x, Alpha2,
               -> hxxp://1.100190.com/d/Bfyy.gid - 忽略的URL
               -> hxxp://1.100190.com/d/Pps.gif - 忽略的URL
               -> hxxp://1.100190.com/d/XunLei.gif - 忽略的URL
               -> hxxp://1.100190.com/d/Lz.gif - 忽略的URL
               -> http://1.100190.com/d/QVod.html - Escape, \x, 字符串拆分,
            -> http://js.users.51.la/1631832.js - Escape,
               -> http://vip2.51.la/go.asp?we=A-Fr ... &id=1631832&tpages=\ - 无法访问
         -> http://count30.51yes.com/click.aspx?id=304820891&logo=12 - 跳过
      -> http://xxx.hao1680.com/xx.htm?id=049 - 跳过

[ 本帖最后由 qianwenxiang 于 2008-2-11 15:58 编辑 ]

tanlimo

估计会有很多人进这帖时报毒

qigang

瑞星病毒查杀结果报告

清除病毒种类列表：

病毒： Trojan.Win32.Edog.k      

MAC 地址：00:11:5B:F3:6D:69

用户来源：互联网

软件版本：20.30.60