关于（猫扑网）网马解密的方法 - 瑞星卡卡安全论坛bbs.ikaka.com

瑞星卡卡安全论坛技术交流区 恶意网站交流关于（猫扑网）网马解密的方法

	瑞星ESM助力北京石龙医院筑牢安全防线		瑞星恶意代码管理系统助金华电力提升防御能力		俄乌冲突加剧网络攻击风险白俄罗斯政府遭APT攻击		助力国家网络安全瑞星获病毒应急处理中心感谢信
	实力拉满瑞星第四十四次通过VB100测评		瑞星发布2024年六大网络安全趋势		瑞星携手中国农业大学共筑网络安全防线		人工智能在网络安全领域的风险和机遇

1

1 / 1 页

跳转页

[讨论] 关于（猫扑网）网马解密的方法

本主题由大版主 networkedition 于 2010-8-10 8:56:58 执行设置高亮操作

jks_风锋芒艾服狮帖子:2235 注册: 2009-12-17 来自:China	发表于： 2010-08-09 23:05 \| 只看楼主短消息资料字号：小中大 1楼关于（猫扑网）网马解密的方法今天辛达MM也问其这个网马如何解密，前两天09kaka同学MS也有疑问，这里我就写一下解密方法。主要是这个地方：hXXp://bbs.game.mop.com/include/javascript/ajax.js 关键位置：发现有eval，然后立刻想到networkdition老师经常提起的alert替换的方法。把蓝色标记出来的地方复制到记事本上，命名为1.html，然后进行处理。 1.png (101.25 K) 2010-8-9 23:05:23 处理后的代码为： 2.png (145.01 K) 2010-8-9 23:05:23 注意：添加代码的时候记得把后面的两个类“}}”符号去掉，分析上面的代码可以得知是两个IF语句的判断，语句是以分号结束，后面多出两个字符，浏览器就无法解释了，导致无法弹出。 3.png (42.41 K) 2010-8-9 23:05:23 获取的地址：hXXp://www.fm5.cn/ucenter/api/js.js 使用同样的方法继续解密： 4.png (46.79 K) 2010-8-9 23:05:23 然后就明显了 5.png (303.18 K) 2010-8-9 23:05:23 一直都没失效。刚才在网吧一台没打补丁的机器上测试，貌似是个下载者。 hxxp://www.fm5.cn/ucenter/api/game.exe 我以为就我以前知识没打好，看来很多同学都没打好，大家也要注意基础知识，还有就是认真。 networkdition老师原帖地址：http://bbs.ikaka.com/showtopic-8744344.aspx -m老师详细分析referrer：http://bbs.ikaka.com/showtopic-8744351.aspx 百度参考链接：http://zhidao.baidu.com/question/72543450.html?fr=ala0 用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) 本帖被评分 3 次本帖被评分 3 次 jks_风最后编辑于 2010-08-09 23:11:11
jks_风锋芒艾服狮帖子:2235 注册: 2009-12-17 来自:China	分享到：

辛达星郁锋芒艾服狮帖子:1507 注册: 2008-07-17 来自:	发表于： 2010-08-09 23:20 \| 短消息资料字号：小中大 2楼回复：关于（猫扑网）网马解密的方法明白了谢谢风要深入，要专一.......
辛达星郁锋芒艾服狮帖子:1507 注册: 2008-07-17 来自:

Anges() 拙长孩提狮帖子:86 注册: 2010-04-26 来自:	发表于： 2010-08-10 09:08 \| 短消息资料字号：小中大 3楼回复：关于（猫扑网）网马解密的方法还有我哦。。。－ｍ老师～～～吼吼～～～
Anges() 拙长孩提狮帖子:86 注册: 2010-04-26 来自:

学习解密初生襁褓狮帖子:50 注册: 2009-08-18 来自:	发表于： 2010-08-10 11:46 \| 短消息资料字号：小中大 4楼回复：关于（猫扑网）网马解密的方法测试了病毒貌似不能运行
学习解密初生襁褓狮帖子:50 注册: 2009-08-18 来自:

jks_风锋芒艾服狮帖子:2235 注册: 2009-12-17 来自:China	发表于： 2010-08-10 11:57 \| 只看楼主短消息资料字号：小中大 5楼回复 3F Anges() 的帖子师傅丢人了以后不熬夜了熬夜再解网马就一杯具为啥我不看题目呢？
jks_风锋芒艾服狮帖子:2235 注册: 2009-12-17 来自:China

09kaka 雄霸杖朝狮帖子:24047 注册: 2009-02-27 来自:	发表于： 2010-08-11 11:59 \| 短消息资料字号：小中大 6楼回复：关于（猫扑网）网马解密的方法这个大括号确实搞乱了开始看见if(p>0)下面有个{ ，所以直接去掉对应的最后一个 } 前两天看到你那个帖子改用notepad++打开看到对称括号了好好学习天天向上找个老婆生个小胖
09kaka 雄霸杖朝狮帖子:24047 注册: 2009-02-27 来自:

<<上一主题|下一主题>>

1

1 / 1 页

跳转页

页面顶部

Powered by Discuz!NT