[hide]首先是取出转义字符 然后从其中的网址中发现一段shellcode 二次esc 后得到网马地址
如图
附件:
您所在的用户组无法下载或查看附件 附件:
您所在的用户组无法下载或查看附件关于:hxxp://job.icxo.com/js/tools/main.htm解密的日志(全体输出 - 22):
Level 0>http://job.icxo.com/js/tools/main.htm
Level 1>http://job.icxo.com/js/tools/thunder.htm
Level 2>http://job.icxo.com/js/z.exe
Level 1>http://job.icxo.com/js/tools/real.htm
Level 2>http://job.icxo.com/js/z.exe
Level 1>http://job.icxo.com/js/tools/bf.htm
Level 2>http://job.icxo.com/js/z.exe
Level 1>http://job.icxo.com/js/tools/lz.htm
Level 2>http://job.icxo.com/js/z.exe
Level 1>http://job.icxo.com/js/tools/ac.htm
Level 2>http://job.icxo.com/js/z.exe
Level 1>http://job.icxo.com/js/tools/14.htm
Level 2>http://job.icxo.com/js/z.exe
Level 1>http://job.icxo.com/js/tools/works.htm
Level 2>http://job.icxo.com/js/z.exe
Level 1>http://job.icxo.com/js/tools/imok.htm
Level 2>http://job.icxo.com/js/tools/sviolaoding.swf
Level 2>http://job.icxo.com/js/tools/high
Level 2>http://job.icxo.com/js/tools/sviolaoding.swf
Level 2>http://www.macromedia.com/go/getflashplayer
Level 2>http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab#version=6,0,40,0
Level 2>http://job.icxo.com/js/z.exe
日志由 Redoce1.9第26次修正版于 2010-3-10 下午 06:15:04 生成。
