网马解密悬赏第五十五期 bbs.ikaka.com

networkedition - 2010-10-27 9:50:00

引用:

解密地址：http://myst11.com/go/xuxzxtctxudrxn.php

引用:

规则：1.一次解完并附解密日志和步骤（包含swf和pdf网马），奖赏20贡献，每步奖赏5威望；
2. 如地址失效，请下载附件源代码来进行解密。
3. 严禁使用自动解密工具（shellcode自动解密工具）
4. 对于积极参与此活动会员，并多次中奖者，我们可以诚邀加入卡卡反病毒小组

引用:

解密工具：
Freshow（中文版）
Redoce（中文版）
Malzilla （汉化版）

引用:

在线解析站点：
http://glacierlk.cn/openlab/jm.htm
http://www.cha88.cn/

引用:

注：论坛所有会员均可参加，严禁使用md的自动解密功能

引用:

恶意网址来源瑞星全功能安全软件拦截到真实有效的地址

用户系统信息：Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) ; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729; InfoPath.2)

附件: xuxzxtctxudrxn.rar

jks_风 - 2010-10-31 12:27:00

PHP的看的有点晕:kaka8: 有eval，里面还有JavaScript标记。
等待高手解密~:kaka12:

leo108 - 2010-11-1 20:11:00

[复制到剪贴板]

CODE:

function kmape(kmapeub){return kmapeub.replace(/`/ig,' ').replace(/~/ig,'"').replace(/?ig,String.fromCharCode(0x5*2)).replace(/?ig,String.fromCharCode(0x2E*2));}

这段函数错了吧。。。。。。。

leo108 - 2010-11-1 20:31:00

确切是说是
/?ig
这个有问题。。。。。。貌似不符合replace函数的语法

shadowmin - 2010-11-3 19:06:00

原地址已经失效，又找了一个相同加密的网址，因解出来的代码太长，结果以附件的形式上传
网马地址：

[复制到剪贴板]

CODE:

http://yardunknownsheet.co.cc/portal/ivduxskveug.php

附件: result.txt

瑞星卡卡安全论坛