瑞星卡卡安全论坛技术交流区恶意网站交流 版主们分析这个挂马吧：http://bbs.51edu.com/

12   1  /  2  页   跳转页

[讨论] 版主们分析这个挂马吧：http://bbs.51edu.com/

收藏
redbsd
头像
拙长孩提狮
  • 帖子:137
  • 注册: 2009-08-20
  • 来自:
发表于： 2009-09-09 21:02 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

版主们分析这个挂马吧：http://bbs.51edu.com/

我找了很长时间，也没找出所挂的马，所使用的工具是FRESHOW和REDOCE。

版主找一下这个马吧，如果找到了，说一下方法，呵呵。3Q

用户系统信息：Mozilla/5.0 (Windows; U; Windows NT 5.1; zh-CN; rv:1.9.1.2) Gecko/20090729 Firefox/3.5.2
分享到：
gototop
 
induooo
头像
初生襁褓狮
  • 帖子:9
  • 注册: 2009-09-02
  • 来自:
发表于： 2009-09-09 21:46 | 短消息 资料
字号： 小 中 大 2楼

回复：版主们分析这个挂马吧：http://bbs.51edu.com/

未发现挂马
gototop
 
redbsd
头像
拙长孩提狮
  • 帖子:137
  • 注册: 2009-08-20
  • 来自:
发表于： 2009-09-09 22:02 | 只看楼主 短消息 资料
字号： 小 中 大 3楼

回复：版主们分析这个挂马吧：http://bbs.51edu.com/

有挂马地址，
gototop
 
induooo
头像
初生襁褓狮
  • 帖子:9
  • 注册: 2009-09-02
  • 来自:
发表于： 2009-09-09 22:56 | 短消息 资料
字号： 小 中 大 4楼

回复：版主们分析这个挂马吧：http://bbs.51edu.com/

那你给我个地址吧
我沙盘运行都没发现下载下什么东西
gototop
 
virussec
头像
禁止发言
  • 帖子:37
  • 注册: 2009-07-29
  • 来自:
发表于： 2009-09-09 23:28 | 短消息 资料
字号： 小 中 大 5楼

回复：版主们分析这个挂马吧：http://bbs.51edu.com/

该用户帖子内容已被屏蔽
gototop
 
redbsd
头像
拙长孩提狮
  • 帖子:137
  • 注册: 2009-08-20
  • 来自:
发表于： 2009-09-10 09:42 | 只看楼主 短消息 资料
字号： 小 中 大 6楼

回复：版主们分析这个挂马吧：http://bbs.51edu.com/

这个http://1.z88b.com/t.js
链接，就是从http://bbs.51edu.com/找出来的，可是我就没找到。
gototop
 
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-09-10 10:36 | 短消息 资料
字号： 小 中 大 7楼

回复 6F redbsd 的帖子

看了一下那个js的源代码，应该是利用搜索引擎，如通过百度搜索引擎搜索网站再访问后，才会中招。论坛首页未见异常，其它链接页面就不太好说了。还有就是已经清除了。
最后编辑networkedition 最后编辑于 2009-09-10 10:38:21
gototop
 
redbsd
头像
拙长孩提狮
  • 帖子:137
  • 注册: 2009-08-20
  • 来自:
发表于： 2009-09-10 11:01 | 只看楼主 短消息 资料
字号： 小 中 大 8楼

回复：版主们分析这个挂马吧：http://bbs.51edu.com/

networkedition 版主终于来了，谢谢。
版主是通过哪个地方辨认出是通过“利用搜索”来达到中招的目的；还是并没有清除啊，你看一下：
Log is generated by FreShow.
[wide]http://1.z88b.com/t.js
    [frame]http://444sadg.3322.org/kuaile/14.htm
    [frame]http://444sadg.3322.org/kuaile/14.htm
    [frame]http://444sadg.3322.org/kuaile/14.htm
        [script]http://w2dge.cn/x59/091.js
        [script]http://w2dge.cn/x59/092.js
        [frame]http://w2dge.cn/x59/xx.html
            [frame]http://w2dge.cn/x59/Td14.htm
            [frame]http://w2dge.cn/x59/yt.htm
            [frame]http://w2dge.cn/x59/td09.htm
                [script]http://w2dge.cn/x59/091.js
                    [object]http://d.cxdde.com/xx/x59.css
                [script]http://w2dge.cn/x59/092.js
            [frame]http://w2dge.cn/x59/yut.htm
        [script]http://js.tongji.linezing.com/1240689/tongji.js
    [frame]http://444sadg.3322.org/kuaile/14.htm
    [frame]http://444sadg.3322.org/kuaile/14.htm
    [frame]http://444sadg.3322.org/kuaile/14.htm
    [frame]http://444sadg.3322.org/kuaile/14.htm
    [frame]http://444sadg.3322.org/kuaile/14.htm
    [frame]http://444sadg.3322.org/kuaile/14.htm
    [frame]http://444sadg.3322.org/kuaile/14.htm
gototop
 
induooo
头像
初生襁褓狮
  • 帖子:9
  • 注册: 2009-09-02
  • 来自:
发表于： 2009-09-10 11:13 | 短消息 资料
字号： 小 中 大 9楼

回复：版主们分析这个挂马吧：http://bbs.51edu.com/



引用:
var p=url.toLowerCase().indexOf("www.baidu.com");
if (p>0)
{
document.writeln("");
}
var url=document.referrer;
var p=url.toLowerCase().indexOf("www.google.cn");
if (p>0)
{
document.writeln("");
}
var url=document.referrer;
var p=url.toLowerCase().indexOf("www.sogou.com");
if (p>0)
{
document.writeln("");
}
var url=document.referrer;
var p=url.toLowerCase().indexOf("www.soso.com");
if (p>0)
{
document.writeln("");
}
var url=document.referrer;
var p=url.toLowerCase().indexOf("114search.118114.cn");
if (p>0)
{
document.writeln("");
}
var url=document.referrer;
var p=url.toLowerCase().indexOf("cn.bing.com");
if (p>0)
{
document.writeln("");
}
var url=document.referrer;
var p=url.toLowerCase().indexOf("www.yahoo.cn");
if (p>0)
{
document.writeln("");
}
var url=document.referrer;
var p=url.toLowerCase().indexOf("www.youdao.com");
if (p>0)
{
document.writeln("");
}
var url=document.referrer;
var p=url.toLowerCase().indexOf("one.cn.yahoo.com");
if (p>0)
{
document.writeln("");
}
var url=document.referrer;
var p=url.toLowerCase().indexOf("search.114.vnet.cn");
if (p>0)
{
document.writeln("");
}

从上往下依次是百度，谷歌，sogou，等
至于没发现是因为清除了
最后编辑induooo 最后编辑于 2009-09-10 11:14:35
gototop
 
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-09-10 11:22 | 短消息 资料
字号： 小 中 大 10楼

回复 8F redbsd 的帖子

论坛源代码中没有呀 估计已经清除了，看9楼的源代码吧
gototop
 
<<上一主题|下一主题>>
12   1  /  2  页   跳转页
页面顶部
Powered by Discuz!NT