瑞星卡卡安全论坛

老大、是昔流芳 解party.css的时候都怎么解出来的19.htm

我的做法是
在party.css后面加了两行代码
all=LHAH+HHAH+SSAH+oah+oaho
alert(all)
得到完整shellcode 直接解出1.exe
为什么没有看到有19.htm:kaka9:

用户系统信息：Mozilla/5.0 (Windows; U; Windows NT 6.1; zh-CN; rv:1.9.1.10) Gecko/20100504 Firefox/3.5.10

关于:hxxp://www.lib.swnu.edu.cn/解密的日志(全体输出 -  21):

Level  0>http://www.lib.swnu.edu.cn/
Level  1>http://www.lib.swnu.edu.cn/menu_index.js
Level  1>http://www.lib.swnu.edu.cn/timer.js
Level  1>http://202.202.96.82/chaxin/admin/test/anhey.html
Level  2>http://202.202.96.82/chaxin/admin/test/love.html
Level  3>http://202.202.96.82/chaxin/admin/test/n95.htm
Level  4>http://202.202.96.82/chaxin/admin/test/of.htm
Level  3>http://202.202.96.82/chaxin/admin/test/19.htm
Level  4>http://www.lib.swu.edu.cn/chaxin/admin/1.exe  ●
Level  3>http://202.202.96.82/chaxin/admin/test/18.htm
Level  4>http://202.202.96.82/chaxin/admin/test/party.css  ●
Level  5>http://www.lib.swu.edu.cn/chaxin/admin/1.exe  ●
Level  3>http://202.202.96.82/chaxin/admin/test/n73.htm
Level  4>http://202.202.96.82/chaxin/admin/test/ahf.htm
Level  5>http://202.202.96.82/chaxin/admin/test/i1.htm
Level  5>http://202.202.96.82/chaxin/admin/test/f2.htm
Level  5>http://202.202.96.82/chaxin/admin/test/i1.htm
Level  1>http://www.lib.swnu.edu.cn/ad1.js
Level  1>http://www.lib.swnu.edu.cn/ad.js
Level  1>http://www.lib.swnu.edu.cn/js/js.js
Level  1>http://www.lib.swnu.edu.cn/stm31.js

analyzed by 是昔流芳

我手动解的.
            [iframe]http://202.202.96.82/chaxin/admin/test/18.htm
                [script]http://202.202.96.82/chaxin/admin/test/party.css
            [exp]http://202.202.96.82/chaxin/admin/test/19.htm(Exploit.Ie0dayCVE0806.a)
                [virus]http://www.lib.swu.edu.cn/chaxin/admin/1.exe
从这个的缩进也可以看出来,party.css不会滤出19.htm这个链接.

呃。。。误会。。。:kaka6: