恶意网站交流区网马解密悬赏第十九期 bbs.ikaka.com

networkedition - 2009-7-17 14:15:00

引用:

http://etc.sjtu.edu.cn/kctft_files/ad_files/reg_files/dog_files/new04_files/test.htm

引用:

规则：1.一次解完并附解密日志和步骤（包含swf和pdf网马），奖赏10威望，如果部分解出，每步奖赏2威望；
2.对于积极参与此活动会员，并多次中奖者，我们可以诚邀加入卡卡反病毒小组

引用:

解密工具：
Freshow（中文版）
Redoce（中文版）
Malzilla （汉化版）

引用:

在线解析站点：
http://glacierlk.cn/openlab/jm.htm
http://www.cha88.cn/

引用:

注：卡卡反病毒小组成员禁止参加

引用:

恶意网址来源瑞星全功能安全软件拦截到真实有效的地址

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) ; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)

ty88 - 2009-7-17 15:02:00

关于:hxxp://etc.sjtu.edu.cn/kctft_files/ad_files/reg_files/dog_files/new04_files/test.htm解密的日志(全体输出 - 7):

Level 0>http://etc.sjtu.edu.cn/kctft_files/ad_files/reg_files/dog_files/new04_files/test.htm
Level 1>http://down.dj7788.cn/bd.cab http://down.dj7788.cn/bd.exe
Level 1>http://xxx.749571.com/webtest/test.htm
Level 2>http://searchportal.information.com?a_id=1637&domainname=749571.com&adultfilter=off&popunder=off
Level 1>http://xxx.749571.com/wm/1.js
Level 1>http://xxx.749571.com/wm/b.js
Level 1>http://xxx.749571.com/wm/pps.js

日志由 Redoce2.0第13次修正版于 2009/7/17 15:00:54 生成。

先声明。我不会解密，祥子教的

QoS - 2009-7-18 9:56:00

关于:hxxp://etc.sjtu.edu.cn/kctft_files/ad_files/reg_files/dog_files/new04_files/test.htm解密的日志(全体输出 - 6):

Level 0>http://etc.sjtu.edu.cn/kctft_files/ad_files/reg_files/dog_files/new04_files/test.htm
Level 1>http://xxx.749571.com/wm/1.js
Level 1>http://xxx.749571.com/wm/b.js
Level 1>http://xxx.749571.com/wm/pps.js
Level 1>http://down.dj7788.cn/bd.cab ●
Level 1>http://down.dj7788.cn/bd.exe ●

日志由 Redoce2.0第15次修正版于 2009-7-18 上午 09:55:04 生成。

gtyre2 - 2009-7-18 14:13:00

引用:

原帖由 ty88 于 2009-7-17 15:02:00 发表
关于:hxxp://etc.sjtu.edu.cn/kctft_files/ad_files/reg_files/dog_files/new04_files/test.htm解密的日志(全体输出 - 7):

Level 0>http://etc.sjtu.edu.cn/kctft_files/ad_files/reg_files/dog_files/new04_files/test

祥子都教了。。。。
看来是高手:kaka12:

ty88 - 2009-7-18 14:21:00

引用:

原帖由 gtyre2 于 2009-7-18 14:13:00 发表
[quote] 原帖由 ty88 于 2009-7-17 15:02:00 发表
关于:hxxp://etc.sjtu.edu.cn/kctft_files/ad_files/reg_files/dog_files/new04_files/test.htm解密的日志(全体输出 - 7):

Level 0>[url=http://etc.sjtu.edu.cn/kct

你应该也看到了吧。。。

ty88 - 2009-7-18 14:46:00

引用:

原帖由 QoS 于 2009-7-18 9:56:00 发表
关于:hxxp://etc.sjtu.edu.cn/kctft_files/ad_files/reg_files/dog_files/new04_files/test.htm解密的日志(全体输出 - 6):

Level 0>http://etc.sjtu.edu.cn/kctft_files/ad_files/reg_files/dog_files/new04_files/test

你怎么用游览器弹得。我用alert怎么弹不出来

QoS - 2009-7-18 16:37:00

先 1>转义符清除(\x,\,%)(参数/无参数)
再 window["document"]["write"] 换成alert

shadowmin - 2009-7-18 17:03:00

关于:解密的日志(全体输出 - 4):

Level 1>http://down.dj7788.cn/bd.cab ●
Level 1>http://xxx.749571.com/wm/1.js
Level 1>http://xxx.749571.com/wm/b.js
Level 1>http://xxx.749571.com/wm/pps.js

日志由 Redoce1.9第68次修正版于 2009-7-18 17:01:28 生成。
第一个函数里，把return改成 alert就好了。
alert( o$SZhbz2["\x6a\x6f\x69\x6e"](''));}

瑞星卡卡安全论坛