恶意网站交流区网马解密悬赏第二十七期（已结束） bbs.ikaka.com

networkedition - 2009-7-29 16:55:00

引用:

http://jpkc.nxu.edu.cn/login.asp

引用:

规则：1.一次解完并附解密日志和步骤（包含swf和pdf网马），奖赏10威望，如果部分解出，每步奖赏2威望；
2.对于积极参与此活动会员，并多次中奖者，我们可以诚邀加入卡卡反病毒小组

引用:

解密工具：
Freshow（中文版）
Redoce（中文版）
Malzilla （汉化版）

引用:

在线解析站点：
http://glacierlk.cn/openlab/jm.htm
http://www.cha88.cn/

引用:

注：卡卡反病毒小组成员禁止参加

引用:

恶意网址来源瑞星全功能安全软件拦截到真实有效的地址

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) ; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)

shadowmin - 2009-7-29 17:11:00

Log is generated by FreShow.
[wide]http://jpkc.nxu.edu.cn/login.asp
[frame]http://x.kaspersky-com.info
[frame]http://x.kaspersky-com.info/mepeg.htm
[script]http://x.kaspersky-com.info/dj.jpg
[object]http://x.kaspersky-com.info/mm.exe
[script]http://x.kaspersky-com.info/dj1.jpg
[frame]http://x.kaspersky-com.info/of.htm
[script]http://x.kaspersky-com.info/of.js
[object]http://x.kaspersky-com.info/mm.exe
[frame]http://x.kaspersky-com.info/jkbb.htm
[script]http://x.kaspersky-com.info/bff1.css
[object]http://x.kaspersky-com.info/mm.exe
[script]http://x.kaspersky-com.info/bff.css
[script]http://count12.51yes.com/click.aspx?id=125592983&logo=1
[frame]http://x.kaspersky-com.info

merryzhao - 2009-7-29 17:14:00

Log is generated by FreShow.
[wide]http://disk.e165.com/new.js
[frame]http://x.kaspersky-com.info
[frame]http://x.kaspersky-com.info/mepeg.htm
[script]http://x.kaspersky-com.info/dj.jpg
[object]http://x.kaspersky-com.info/mm.exe
[script]http://x.kaspersky-com.info/dj1.jpg
[script]http://x.kaspersky-com.info/dj.jpg
[script]http://x.kaspersky-com.info/dj1.jpg
[frame]http://x.kaspersky-com.info/of.htm
[frame]http://x.kaspersky-com.info/jkbb.htm
[script]http://count12.51yes.com/click.aspx?id=125592983&logo=1
[frame]http://x.kaspersky-com.info

QoS - 2009-7-29 17:22:00

Log is generated by FreShow.
[wide]http://jpkc.nxu.edu.cn/login.asp
[frame]http://%78%2e%6b%61%73%70%65%72%73%6b%79%2d%63%6f%6d%2e%69%6e%66%6f
[frame]http://%78%2e%6b%61%73%70%65%72%73%6b%79%2d%63%6f%6d%2e%69%6e%66%6f/mepeg.htm
[script]http://%78%2e%6b%61%73%70%65%72%73%6b%79%2d%63%6f%6d%2e%69%6e%66%6f/dj.jpg
[object]http://x.kaspersky-com.info/mm.exe
[script]http://%78%2e%6b%61%73%70%65%72%73%6b%79%2d%63%6f%6d%2e%69%6e%66%6f/dj1.jpg
[frame]http://%78%2e%6b%61%73%70%65%72%73%6b%79%2d%63%6f%6d%2e%69%6e%66%6f/of.htm
[frame]http://%78%2e%6b%61%73%70%65%72%73%6b%79%2d%63%6f%6d%2e%69%6e%66%6f/jkbb.htm
[script]http://%78%2e%6b%61%73%70%65%72%73%6b%79%2d%63%6f%6d%2e%69%6e%66%6f/bff1.css
[object]http://x.kaspersky-com.info/mm.exe
[script]http://%78%2e%6b%61%73%70%65%72%73%6b%79%2d%63%6f%6d%2e%69%6e%66%6f/bff.css
[script]http://count12.51yes.com/click.aspx?id=125592983&logo=1
[frame]http://count12.51yes.com/sa.aspx?id=125592983'+yesdata+'
[frame]http://%78%2e%6b%61%73%70%65%72%73%6b%79%2d%63%6f%6d%2e%69%6e%66%6f

晓雾を忆凝 - 2009-7-29 17:27:00

直接截图片工具用的是FreShow1.5
图片是解析出的恶意网址

然后排除掉1（第一个是被挂的） 2 3个又相同所以得出网址http://x.kaspersky-com.info

是昔流芳 - 2009-7-29 17:29:00

Log is generated by FreShow.
[wide]http://jpkc.nxu.edu.cn/login.asp
[frame]http://x.kaspersky-com.info
[frame]http://x.kaspersky-com.info/mepeg.htm
[script]http://x.kaspersky-com.info/dj.jpg
[object]http://x.kaspersky-com.info/mm.exe
[script]http://x.kaspersky-com.info/dj1.jpg
[frame]http://x.kaspersky-com.info/of.htm
[script]http://x.kaspersky-com.info/of.js
[object]http://x.kaspersky-com.info/mm.exe
[frame]http://x.kaspersky-com.info/jkbb.htm
[script]http://x.kaspersky-com.info/bff1.css
[object]http://x.kaspersky-com.info/mm.exe
[script]http://x.kaspersky-com.info/bff.css
[script]http://count12.51yes.com/click.aspx?id=125592983&logo=1
[frame]http://x.kaspersky-com.info

里面还有QQ号？

多数是十进制解密后再Shellcode解密

瑞星卡卡安全论坛