麻烦帮忙分析一下网站

显示全部楼层 · 发表于 2009-8-25 19:53:24

网站被挂马了

麻烦帮忙分析一下网站
http://www.qdnrm.com/ 黔东南人民网

希望能给个解决方法

显示全部楼层 · 发表于 2009-8-25 20:32:47

关于:hxxp://www.qdnrm.com/解密的日志(全体输出 -  31):

Level  0>http://www.qdnrm.com/
Level  1>http://www.qdnrm.com/ad/200902/8.js
Level  2>http://ddb.xorg.pl/x.js?google_ad=95x24_ad
Level  3>http://myaq.dns0755.net/bb/360.htm
Level  4>http://img.tongji.linezing.com/806392/tongji.gif
Level  4>http://js.tongji.linezing.com/806392/tongji.js
Level  4>http://myaq.dns0755.net/bb/aa.js
Level  5>http://myaq.dns0755.net/bb/aa.htm
Level  6>http://myaq.dns0755.net/bb/ff.html
Level  7>http://myaq.dns0755.net/bb/xp.swf
Level  7>http://myaq.dns0755.net/bb/done.swf
Level  7>http://myaq.dns0755.net/a/nnn.exe  ●
Level  6>http://myaq.dns0755.net/bb/ff.html
Level  6>http://myaq.dns0755.net/bb/ie.html
Level  6>http://myaq.dns0755.net/bb/ff.html
Level  6>http://myaq.dns0755.net/bb/ie.html
Level  6>http://myaq.dns0755.net/bb/ff.html
Level  4>http://myaq.dns0755.net/bb/yt.htm
Level  4>http://myaq.dns0755.net/bb/fff.swf
Level  4>http://myaq.dns0755.net/bb/iie.swf
Level  1>http://www.qdnrm.com/ad/200902/6.js
Level  1>http://www.qdnrm.com/ad/200902/7.js
Level  1>http://www.qdnrm.com/ad/200901/5.js
Level  1>http://www.qdnrm.com/ad/200906/14.js
Level  1>http://www.qdnrm.com/ad/200903/13.js
Level  1>http://www.qdnrm.com/ad/200901/4.js
Level  1>http://www.qdnrm.com/ad/200901/3.js
Level  1>http://www.qdnrm.com/1.swf
Level  1>http://www.qdnrm.com/html/youqin.html
Level  1>http://www.qdnrm.com/ad/uploadadpic/200903/2009032017403198.swf
Level  1>http://s137.cnzz.com/stat.php?id=1223603&web_id=1223603&show=pic

网页分析：是昔流芳

这个挂链我曾经分析过，很奇怪，网马不是一个PE文件

显示全部楼层 · 发表于 2009-8-25 20:34:07

关于:hxxp://www.qdnrm.com/解密的日志(全体输出 -  31):

Level  0>http://www.qdnrm.com/
Level  1>http://www.qdnrm.com/ad/200902/8.js
Level  2>http://%64%64%62%2e%78%6f%72%67%2e%70%6c/x.js?google_ad=95x24_ad
Level  3>http://myaq.dns0755.net/bb/360.htm
Level  4>http://myaq.dns0755.net/bb/aa.js
Level  5>http://myaq.dns0755.net/bb/aa.htm
Level  6>http://myaq.dns0755.net/bb/ff.html
Level  6>http://myaq.dns0755.net/bb/ie.html
Level  4>http://myaq.dns0755.net/bb/yt.htm
Level  5>http://myaq.dns0755.net/bb/bf.htm
Level  6>http://myaq.dns0755.net/bb/bf.js
Level  6>http://myaq.dns0755.net/bb/2.css
Level  7>http://myaq.dns0755.net/a/nn.exe
Level  5>http://myaq.dns0755.net/bb/of.htm
Level  5>http://myaq.dns0755.net/bb/newlz.htm
Level  5>http://myaq.dns0755.net/bb/office.htm
Level  5>http://myaq.dns0755.net/bb/xie.htm
Level  5>http://myaq.dns0755.net/bb/yt.js
Level  4>http://myaq.dns0755.net/bb/iie.swf
Level  1>http://www.qdnrm.com/ad/200902/6.js
Level  1>http://www.qdnrm.com/ad/200902/7.js
Level  1>http://www.qdnrm.com/ad/200901/5.js
Level  1>http://www.qdnrm.com/ad/200906/14.js
Level  1>http://www.qdnrm.com/ad/200903/13.js
Level  1>http://www.qdnrm.com/skin/sealove/more03.gif
Level  1>http://www.qdnrm.com/ad/200901/4.js
Level  1>http://www.qdnrm.com/ad/200901/3.js
Level  1>http://www.qdnrm.com/skin/sealove/space.gif
Level  1>http://www.qdnrm.com/qdn/uploadfiles_2072/200908/2009082216294059.jpg
Level  1>http://www.qdnrm.com/html/youqin.html
Level  1>http://s137.cnzz.com/stat.php?id=1223603&web_id=1223603&show=pic

日志由 Redoce2.0第36次修正版于 2009-8-25 20:32:08 生成。

js头部给插了代码……

显示全部楼层 · 发表于 2009-8-25 21:34:11

nnn.exe不是有效的PE文件但nn.exe是的

显示全部楼层 · 发表于 2009-8-25 21:44:37

原始 - http://www.qdnrm.com/
原始 - http://www.qdnrm.com/AD/200902/8.js
原始 - http://www.qdnrm.com/ad/200902/6.js
原始 - http://www.qdnrm.com/ad/200902/7.js
原始 - http://www.qdnrm.com/Ad/200901/5.js
原始 - http://www.qdnrm.com/Ad/200906/14.js
原始 - http://www.qdnrm.com/AD/200903/13.js
原始 - http://www.qdnrm.com/AD/200901/4.js
原始 - http://www.qdnrm.com/AD/200901/3.js
原始 - http://www.qdnrm.com/1.swf
原始 - http://www.qdnrm.com/html/youqin.html
原始 - http://www.qdnrm.com/AD/UploadADPic/200903/2009032017403198.swf
原始 - http://www.cq.xinhuanet.com/image/title_bg.gif
原始 - http://www.qdnrm.com/img/2008index.css
原始 - http://www.qdnrm.com/AD/200902/http:/\/%64%64%62%2E%78%6F%72%67%2E%70%6C/s?google_ad=95x24_ad
原始 - http://www.qdnrm.com/qdn/HTML/20090812111308_7293.html
原始 - http://ddb.xorg.pl/x.js?google_ad=95x24_ad原始 - http://ddb.xorg.pl/x.js?google_ad=95x24_ad
开始自动解析 - http://ddb.xorg.pl/x.js?google_ad=95x24_ad
L1 - http:/\/myaq.dns0755.net/bb\/360.htm
开始自动解析 - http://ddb.xorg.pl/x.js?google_ad=95x24_ad
L1 - http:/\/myaq.dns0755.net/bb\/360.htm
开始自动解析 - http://ddb.xorg.pl/x.js?google_ad=95x24_ad
L1 - http://ddb.xorg.pl/http:/\/myaq.dns0755.net/bb\/360.htm
原始 - http:/\/myaq.dns0755.net/bb\/360.htm
开始自动解析 - http:/\/myaq.dns0755.net/bb\/360.htm
开始自动解析 - http:/\/myaq.dns0755.net/bb\/360.htm
开始自动解析 - http:/\/myaq.dns0755.net/bb\/360.htm
原始 - http://myaq.dns0755.net/bb/360.htm（手动解决了反斜杠

）
开始自动解析 - http://myaq.dns0755.net/bb/360.htm
可能的Flash溢出 - http://myaq.dns0755.net/bb/iie.swf
可能的Flash溢出 - http://myaq.dns0755.net/bb/fff.swf
L1 - http://myaq.dns0755.net/bb/yt.htm
L1 - http://myaq.dns0755.net/bb/aa.js
L2 - http://myaq.dns0755.net/bb/yt.js
L2 - http://myaq.dns0755.net/bb/xie.htm
L2 - http://myaq.dns0755.net/bb/office.htm
L2 - http://myaq.dns0755.net/bb/newlz.htm
L2 - http://myaq.dns0755.net/bb/of.htm
L2 - http://myaq.dns0755.net/bb/bf.htm
L2 - http://myaq.dns0755.net/bb/aa.htm
L3 - http://myaq.dns0755.net/bb/3.htm
L3 - http://myaq.dns0755.net/bb/4.htm
可能的Flash溢出 - http://myaq.dns0755.net/bb/av1.swf
可能的Flash溢出 - http://myaq.dns0755.net/bb/av3.swf
可能的Flash溢出 - http://myaq.dns0755.net/bb/av2.swf
L3 - http://myaq.dns0755.net/bb/newlz.css
自动解析 - Auto XOR - http://myaq.dns0755.net/a/nn.exe
L4 - http://myaq.dns0755.net/bb/2.css
自动解析 - Auto XOR - http://myaq.dns0755.net/a/nn.exe

此分析日志由绿豆蛙使用某邪恶工具在 2090年8月25日21时43分1秒（火星时间）生成。

日志不是一般的乱

[ 本帖最后由 llzy3575 于 2009-8-25 21:58 编辑 ]

显示全部楼层 · 发表于 2009-8-25 21:49:22

请等待下个版本

显示全部楼层 · 发表于 2009-8-25 22:00:23

报告bug有大奖么

显示全部楼层 · 发表于 2009-8-25 22:04:36

我早就发现了

显示全部楼层 · 发表于 2009-8-29 19:06:21

高手多多啊

[其它] 麻烦帮忙分析一下网站

回复 5楼 llzy3575 的帖子

回复 6楼 IllusionWing 的帖子

回复 7楼 llzy3575 的帖子