可疑.(挂马)by:cchao21

显示全部楼层 · 发表于 2010-2-4 23:05:23

本帖最后由 hj5abc 于 2010-2-6 21:41 编辑

看看

hxxp://web.nba1001.net:8888/tj/tongji.js

显示全部楼层 · 发表于 2010-2-4 23:08:47

本帖最后由 fatezero 于 2010-2-4 23:44 编辑

http://bbb.nba1001.net:9090/ff/8.exe

??

显示全部楼层 · 发表于 2010-2-4 23:23:29

[i=s] 本帖最后由 Hopesky 于 2010-2-6 21:48 编辑 [/i]

回复 2# fatezero
请问这个要xor key吗？
是不是从这里解下去？hxxp://web.nba1001.net:8888/tj/rl.jpg

显示全部楼层 · 发表于 2010-2-4 23:43:40

是从这个链接解下去的，要用到的KEY是BD

显示全部楼层 · 发表于 2010-2-4 23:44:05

关于:hxxp://web.nba1001.net:8888/tj/tongji.js解密的日志(全体输出 -  17):

Level  0>http://web.nba1001.net:8888/tj/tongji.js
Level  1>http://web.nba1001.net:8888/tj/mm.htm
Level  2>http://js.tongji.linezing.com/944527/tongji.js
Level  2>http://web.nba1001.net:8888/tj/index.html
Level  3>http://web.nba1001.net:8888/tj/ytu.htm
Level  4>http://web.nba1001.net:8888/tj/of.htm
Level  5>http://web.nba1001.net:8888/tj/fq.jpg
Level  5>http://web.nba1001.net:8888/tj/nop.jpg
Level  5>http://web.nba1001.net:8888/tj/rl.jpg
Level  6>http://bbb.nba1001.net:9090/ff/8.exe  ●
Level  3>http://web.nba1001.net:8888/tj/yut.htm
Level  4>http://web.nba1001.net:8888/tj/yt.htm
Level  5>http://web.nba1001.net:8888/tj/kl.jpg
Level  6>http://bbb.nba1001.net:9090/ff/8.exe  ●
Level  5>http://web.nba1001.net:8888/tj/ml.jpg
Level  3>http://web.nba1001.net:8888/tj/au.htm
Level  4>http://web.nba1001.net:8888/tj/ytl.gif

解密：cchao21(打点的均为真实木马地址)

显示全部楼层 · 发表于 2010-2-6 21:00:39

Log generated by iHeadquarters use mdecoder 0.46
[root]http://web.nba1001.net:8888/tj/tongji.js
[iframe]http://web.nba1001.net:8888/tj/mm.htm
      [iframe]http://web.nba1001.net:8888/tj/index.html
         [iframe]http://web.nba1001.net:8888/tj/au.htm
            [exe]http://bbb.nba1001.net:9090/ff/8.exe
         [iframe]http://web.nba1001.net:8888/tj/yut.htm
            [iframe]http://web.nba1001.net:8888/tj/yt.htm
                  [script]http://web.nba1001.net:8888/tj/nop.jpg
                  [script]http://web.nba1001.net:8888/tj/ml.jpg
                  [script]http://web.nba1001.net:8888/tj/rl.jpg
                     [exe]http://bbb.nba1001.net:9090/ff/8.exe
                  [script]http://web.nba1001.net:8888/tj/kl.jpg
         [iframe]http://web.nba1001.net:8888/tj/ytu.htm
            [iframe]http://web.nba1001.net:8888/tj/of.htm
                  [script]http://web.nba1001.net:8888/tj/rl.jpg
                     [exe]http://bbb.nba1001.net:9090/ff/8.exe
                  [script]http://web.nba1001.net:8888/tj/nop.jpg
                  [script]http://web.nba1001.net:8888/tj/fq.jpg

那个hxxp://web.nba1001.net:8888/tj/rl.jpg不会解……

显示全部楼层 · 发表于 2010-2-6 21:11:33

提示: 该帖被管理员或版主屏蔽

显示全部楼层 · 发表于 2010-2-6 21:41:28

关于:hxxp://web.nba1001.net:8888/tj/tongji.js解密的日志(全体输出 -  24):

Level  1>hxxp://web.nba1001.net:8888/tj/mm.htm
Level  2>hxxp://web.nba1001.net:8888/tj/index.html
Level  3>hxxp://web.nba1001.net:8888/tj/ytu.htm
Level  4>hxxp://web.nba1001.net:8888/tj/of.htm
Level  5>hxxp://web.nba1001.net:8888/tj/fq.jpg
Level  5>hxxp://web.nba1001.net:8888/tj/nop.jpg
Level  5>hxxp://web.nba1001.net:8888/tj/rl.jpg
Level  6>hxxp://bbb.nba1001.net:9090/ff/8.exe ●
Level  3>hxxp://web.nba1001.net:8888/tj/yut.htm
Level  4>hxxp://web.nba1001.net:8888/tj/yt.htm
Level  5>hxxp://web.nba1001.net:8888/tj/kl.jpg
Level  5>hxxp://web.nba1001.net:8888/tj/rl.jpg
Level  6>hxxp://bbb.nba1001.net:9090/ff/8.exe ●
Level  5>hxxp://web.nba1001.net:8888/tj/ml.jpg
Level  5>hxxp://web.nba1001.net:8888/tj/nop.jpg
Level  3>hxxp://web.nba1001.net:8888/tj/au.htm
Level  4>hxxp://web.nba1001.net:8888/tj/ytl.gif
Level  2>hxxp://img.tongji.linezing.com/944527/tongji.gif
Level  2>hxxp://www.linezing.com ●
Level  2>hxxp://js.tongji.linezing.com/944527/tongji.js
Level  1>hxxp://web.nba1001.net:8888/tj/index.html
Level  1>hxxp://js.tongji.linezing.com/944527/tongji.js
Level  1>hxxp://web.nba1001.net:8888/tj/tongji.js
Level  1>hxxp://www.linezing.com ●

By XE鼓

显示全部楼层 · 发表于 2010-2-6 22:06:05

回复 6# 铩雨骑士
直接解这段

var YTMTV="%ud5db%uc9c9%u87cd%u9292%udfdf%u93df%udfd3%u8cdc%u8d8d%u938c%ud8d3%u87c9%u8d84%u8d84%udb92%u92db%u9385%uc5d8%uBDd8%uBD";

复制代码

显示全部楼层 · 发表于 2010-2-6 22:07:57

本帖最后由 Hopesky 于 2010-2-6 22:09 编辑

回复 9# always

这段代码的密钥是BD
这段代码解出来是：

var YTMTV="fhttp://bbb.nba1001.net:9090/ff/8.exe";

复制代码

wyq124618898 头像被屏蔽	发表于 2010-2-6 21:11:33 \| 显示全部楼层提示: 该帖被管理员或版主屏蔽
wyq124618898 头像被屏蔽
	回复举报

[已鉴定] 可疑.(挂马)by:cchao21