天下网吧 >> 网吧天地 >> 网吧技术 >> 网吧安全 >> 正文

网站挂马分析 保障个人网络安全

2008-3-6塞迪网佚名

中午,一个朋友问我瑞星个人防火墙是不是误操作把999宝藏网(www.in9.cn)给屏蔽了。他经常去那个坛子,现在每次都得把防火墙关掉才能上去,很麻烦。登陆那个网站看了下,不止瑞星个人防火墙会拦截,安装了卡卡助手,上这个网站的时候也会提示访问的网址可能是一个不良网站。

随即问了相关的同事,告诉我,那个网站确实被挂马,而且之前也被挂过很多次。于是,对那个网站进行了下简单的分析。

1、查看该网站的源代码,引用了几个js脚本,其中有一个是js路径下的global.js。这个脚本全局引用,打开999宝藏网的任何一页都会调用这个脚本。

2、打开www.in9.cn/js/global.js文件,可以看到这个脚本又同时调用了几个脚本。其中有一行调用了pw_tag.js文件。

3、 继续查看这个www.in9.cn/js/pw_tag.js的代码,可以看到一个高为1的iframe引用,应该是比较明显的挂马或带流量广告的迹象。

而xu.html文件里又有一个iframe,引用“ads.html”文件。

4、 查看www.cnnz8.cn/ads.html,是一个加密的网页。

把代码最后一句window["\x65\x76\x61\x6c"] (t);改成ss.value=(t),在页面的最前面加[textarea id=ss],能够得到解出的页面。

5、 从解出的页面中可以得到几个地址:

http://www.360safee.net.cn/1.html

http://www.360safee.net.cn/x.html

http://www.360safee.net.cn/r.html

http://www.360safee.net.cn/nr.html

http://www.360safee.net.cn/Baidu.cab Baidu.cab文件直接就是木马,瑞星报Trojan.Win32.Undef.ggv 1.html

下载http://www.8yumen.cn/hello.exe,瑞星报Trojan.Win32.Undef.ghz x.html

下载http://www.chinaz8.cn/hello.exe r.html 下载 http://www.chinaz8.cn/hello.exe nr.html

下载http://www.chinaz8.cn/hello.exe 几个下载地址下载的文件相同。去那个论坛随便逛了逛,也有坛友反应被瑞星防火墙屏蔽的事情,一个管理员的回复差点雷死我。 截止到发Blog时,该网站挂马扔没被清除。真不知道这时候是面子重要还是坛友的电脑安全重要~~~

欢迎访问最专业的网吧论坛,无盘论坛,网吧经营,网咖管理,网吧专业论坛https://bbs.txwb.com

关注天下网吧微信,了解网吧网咖经营管理,安装维护:


本文来源:塞迪网 作者:佚名

声明
本文来源地址:0
声明:本站所发表的文章、评论及图片仅代表作者本人观点,与本站立场无关。若文章侵犯了您的相关权益,请及时与我们联系,我们会及时处理,感谢您对本站的支持!联系Email:support@txwb.com.,本站所有有注明来源为天下网吧或天下网吧论坛的原创作品,各位转载时请注明来源链接!
天下网吧·网吧天下
  • 本周热门
  • 本月热门
  • 阅读排行