瑞星卡卡安全论坛

首页 » 技术交流区 » 恶意网站交流 » 网马解密大讲堂——(winwebmail解密)
networkedition - 2009-6-3 11:24:00
winwebmail这种加密形式网马很少见,也是在最近网马解密中发现有此类型加密网马。这种网马特征如下:网马加密代码中有类似:document.write(unencode(webmm,3422));代码,来看一下源代码:


<SCRIPT LANGUAGE="JavaScript">
<!--
function unencode(datastr, bassnum) {
var tempstr;
var tchar;
var newdata = "";
for (var i = 0; i < datastr.length; i=i+5)
{
tchar = 65535 + bassnum - datastr.substr(i,5);
tempstr = String.fromCharCode(tchar);
newdata = newdata+tempstr;
}
return newdata;
}
var webmm="66708666536666966654"//66663666566665266736666536665466669667076673466719667166672266662666536673466706667086672166653666696665466663666566665266706667556675866708666536666966654666636665666652667366666066671666586666566651666716666566667667076668266702666856666966654666636665666652667066675566758666896665866736666996665466654666576665466736666866666766653666516665966667667366669066667666486665266755667586665066663667366670766736667346666966734667106665066666666636673666707667366673466650666696665666650666506673466755667586665666657666526666766663666686670766734666696666066653666636666866710667346675566758666566665766652666676666366668666486670766734667026670066734667556675866656666576665266667666636666866716667076673466715667146672366714667346675566758666566665766652666676666366668667146670766734667176672366719667346675566758666566665766652666676666366668667126670766734667206672366711667126673466755667586665366667666526673666656666576665266667666736671866673666696665866736667076673666668666576666966651666596666766658666526672266669666546666766671666526666766699666606666766659666676665866652667286673466657666706666266667666696665266734667276675566758666566665766652666676666366700667196671866707667346671866711666996673466755667586665666657666526666766663666686671166707667346671766703667236672066734667556675866656666576665266667666956670066719667176670766734667176671466734667556675866656666576665266667666636666866715667076673466715667036673466755667586665666657666526666766663666686671366707667346671966700667346675566758666566665766652666676666366668667176670766734667016671566734667556675866656666576665266667666636666866719667196670766734667166669866701667346675566758666566665766652666676666366668667196672066707667346672066701667206673466755667586665666657666526666766663666686671866707667346671166714667346675566758666686667166668666576665866665667076673466669666606667166653666536666366668667346675566758666566665766652666676671766707667346669166663666696665466657667346675566758666566665766652666676671466707667346669966734667556675866656666576665266667667166670766734666536665766666666526672266680666916673466755667586666566663666696666766667666676666766707667346669266696666846668466656667346675566758666566665766652666676671566707667346669766734667556675866656666576665266667667136670766734666846673466755667586665666657666526666766673667186667366669666586672266685666676665266703666526665266654666636667066651666526666766736666686667166668666576665866665667246673666736666566665766652666676666366668667306665666657666526666766663666686664866730666566665766652666676666366668667186673066656666576665266667666636666866717667306665666657666526666766663666686671666730666566665766652666676666366668667156673066656666576665266667666636666866714667306665666657666526666766663666686671366730666566665766652666676666366668667126673066656666576665266667666636666866711667306665666657666526666766663666686671966720667306665666657666526666766663666686671966719667306665666657666526666766663667006671966718667306665666657666526666766695667006671966717667556675866666666716666866668666686666866671666536665366668666666670766734666696673466755667586668566667666526673666660666576665066667666566665766652666676670766656666576665266667666736671866673666696665866722667016665466667666716665266667666896667066662666676666966652667286665666657666526666766717667306665666657666526666766716667306666566663666696666766667666676666766724667346673466727667556675866660666576665066667666566665766652666676672266689666566666766658667366665666657666526666766715667306665666657666526666766714667306665666657666526666766713667246673666656666576665266667667246673666698666716666066653666676675566758666606665766650666676665666657666526666766722666856666766658666686675566758666566665766652666676667366661666636665266667666656666566665666656666566665666656666566665667076673466656666576665266667666996666766667666676672266656666636666666734667556675866656666576665266667666736666166663666526666766665666656666566665666656666566665666656666566653667076673466656666576665266667666676666766667666676672266650666706665366734667556675866687667196671866717667166671566714666536670766734666986666366660666676668566647666536665266734667556675866687667196671866717667166671566714666536665366653666486670766734666526665466667666716665966734667556675866687667196671866717667166671566714667076673466685666696665466663666566665266663666586666566722667346675566758666876671966718667176671666715667146665366653667076673466667666596668966670666626666766669666526673466755667586668566667666526673666669666646666366660666716665966736667076673666656666576665266667666736671866673666696665866722666696665466667666716665266667666576667066662666676666966652667286668766719667186671766716667156671466730666876671966718667176671666715667146665366730666876671966718667176671666715667146665366653667246673466734667276675566758666856666766652667366664766663666586666566647666636665866665667366670766736666696666466663666606667166659667226669766667666526668566656666676666966663666716666066698666576666066668666676665466728667186672766755667586665666657666526666766651666536666766654667076673466669666646666366660666716665966734667556675866656666576665266667666736666166663666526666766665666656666566665666656666566665666656666566707666696666466663666606667166659667226670266651666636666066668666886667166652666646672866647666636665866665666476666366658666656672466656666576665266667666736666166663666526666766665666656666566665666656666566665666656666566727667556675866656666576665266667666736666166663666526666766665666656666566665666656666566665666656666566653667076666966664666636666066671666596672266702666516666366660666686668866671666526666466728666476666366658666656664766663666586666566724666566665766652666676667366661666636665266667666656666566665666656666566665666656666566665666536672766755667586668566667666526673666669666646666366660666716665966653667366670766736666566665766652666676667366718666736666966658667226666966654666676667166652666676665766670666626666766669666526672866687667196671866717667166671566714666536665366653667306668766719667186671766716667156671466653666536665366648667246673466734667276675566758666856666766652667366666866658666696666266736667076673666660666576665066667666566665766652666676675566758666696666466663666606667166659666536672266652666476665666667667076671966755667586666966664666636666066671666596665366722666896665666667666586675566758666696666466663666606667166659666536672266681666546666366652666676673666668666586666966662667226668666667666536665666657666586665366667667026665766668666476675966755667586670866721666536666966654666636665666684667066670866653666696665466663666566665266736666606667166658666656665166671666656666766707667346669466671666506667166685666696665466663666566665266734667066675566758666696666466663666606667166659666536667766734666856667166650666676665266657666666666366660666676673466675667286665666657666526666766673666616666366652666676666566665666656666566665666656666566665666656672466718667276670966755667586670866721666536666966654666636665666652667066670866653666696665466663666566665266736666606667166658666656665166671666656666766707666826670266685666696665466663666566665266706667556675866669666646666366660666716665966653667226670166660666576665366667667556675866669666646666366660666716665966653667226668466647666566666766707667186675566758666696666466663666606667166659666536672266689666566666766658667556675866669666646666366660666716665966653667226668166654666636665266667666846666766648666526673666736667346672966695667366669266689666826669966736666566665766652666676673666684666996670366691667346673066734667296669566736666926668966682666996673666656666576665266667667366668466699667036669166734667306665066670667016665466692666666673066734666856666766652667366669266657666506666766673666566665766652666676673666707667366670166654666676667166652666676668966670666626666766669666526672866734667346668166653666696665466663666566665266734667306673466722666856666466667666606666066734667346672766734667306673466729666956673666692666896668266699667366665666657666526666766736666846669966703666916673466730666506670266701666546669266666667306673466729666956673666692666896668266699667366666566657666596666766667666676673666684666996670366691667346673066734667296666366736666926668966682666996673666665666576665966667666676666766736666846669966703666916673466730666506667066701666546669266666667306673466692666576665066667666736665666657666526666766722666546665166658667366672866734667346673466730666566665766652666676667366661666636665266667666656666566665666656666566665666656666566665667306673466734667346672766734667306665066670667016665466692666666673066734667296669566736666926668966682666996673666656666576665266667667366668466699667036669166734667306673466729666956673666692666896668266699667366665666657666526666766736666846669966703666916673466755667586666966664666636666066671666596665366722666856667166650666676665266657666666666366660666676673666656666576665266667666736666166663666526666766665666656666566665666656666566665666656666566653667246671866755667586666966664666636666066671666596665366722667016666066657666536666766755667586664966649666496670766734666856666466667667346675566758666696665166652666676670766734666606666066722667036673466755667586665566655667076673466656666566666066734667556675866669666586670766734666636666966671667346675566758666616666666655666556670766734666526666366657666586673466755667586665666657666526666766668666616670766734666896673466755667586665666657666526666766668666616665366707667346665666734667556675866656666576665266667666686666166653666536670766734666676673466755667586665666657666526666766668666616665366653666536670766734666586673466755667586665866651666546666766649666656670766734666696666966669666696673466755667586668566667666526673666669666516665266667666736665566655666736666966658666736665566655666736671966718667176671666715667146673666707667366665666657666526666766673667186667366669666586672266669666546666766671666526666766657666706666266667666696665266728666496664966649667306666966651666526666766730666556665566730666696665866730666616666666655666556672466736667346673466727667556675866685666676665266736666486664866648666486664866648666486664866670666486664866648666556665566655666556665566655666556665566736667076673666656666576665266667666736671866673666696665866722666696665466667666716665266667666576667066662666676666966652667286664966649666496673066669666516665266667667306665566655667306666966658667306666166666666556665566724667366673466734667276675566758666486664866648666486664866648666486664866670666486664866648666556665566655666556665566655666556665566722666856666466667666606666066699666486666766701666516665266667667366665666657666526666766673666616666366652666676666566665666656666566665666656666566665666656665366724667366673466734667246673666734667346672466736666566665766652666676666866661667306665666657666526666766668666616665366730666566665766652666676666866661666536665366730666566665766652666676666866661666536665366653667246673666720667556675866708667216665366669666546666366656666526670666708666536666966654666636665666652667366665266647666566666766707667346665266667666486665266721666626665366669666546666366656666526673466706666666665166658666696665266663666576665866736666636665866663666526672866727667366664566736666686665766669666516665966667666586665266722666496665466663666526666766728667346673466727667096664366649666636665866668666576664966722666576665866660666576667166668667366670766736666636665866663666526670966668666576666966651666596666766658666526672266649666546666366652666676672866734667346672766709667086672166653666696665466663666566665266706667556675866708666706665466706667086670266654667066670866670666546670666708666706665466706667086667066654667066670866670666546670666708666706665466706667086667066654667066670866670666546670666755667586670866670666576666866647667366665766658666686665466671666656665366652666716665466652667076673466654666676665266651666546665866736666666667166660666536666766734667366665766658666536666766660666676666966652666536665266671666546665266707667346665466667666526665166654666586673666666666716666066653666676673466736666576665866669666576665866652666676664866";
document.write(unencode(webmm,1233));
//-->
</SCRIPT>;


用户系统信息:Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)
networkedition - 2009-6-3 12:45:00
其实这种加密也提供了解密函数,下面就是解密函数,有兴趣的研究一下。
<!--
function unencode(datastr, bassnum) {
var tempstr;
var tchar;
var newdata = "";
for (var i = 0; i < datastr.length; i=i+5)
{
tchar = 65535 + bassnum - datastr.substr(i,5);
tempstr = String.fromCharCode(tchar);
newdata = newdata+tempstr;
}
return newdata;
}

在这里我提供大家一个解密方法,这类加密解密时也需要有密钥。而密钥在代码中也给出了。下面讲解一下解密方法:
networkedition - 2009-6-3 12:54:00
我们可以使用freshow的winwebmail解密选项来进行解密,在这里我们首先还是要将代码处理一下,将不必要的字符删除,方法就不在这里讲解了。详见下例截图:

networkedition - 2009-6-3 13:02:00
解密选项选择winwebmail,接下来在输入密钥的位置输入密钥:1233 点击decode解密,密钥为什么是1233呢,通过这个得出来:document.write(unencode(webmm,1233))。详见下列截图:



上图红色框中我们解密出一个14.js,由于当时恶意网址链接未保存(有可能已失效),所以我们就再无法继续解密,在这里我们提供了一个winwebmail解密方法,在今后网马解密中遇到类似加密形式,大家可参考此方法进行解密。
竹本无ベ - 2009-6-3 13:14:00
加密的方式和参数都在代码中,只要你认真点就能解出来的。
redbsd - 2009-8-26 14:38:00
嗯,不错。
springyun - 2010-5-25 16:32:00
呵呵,不错
1
查看完整版本: 网马解密大讲堂——(winwebmail解密)