瑞星卡卡安全论坛

恶意链接地址如下：http://vipoos2.3322.org/aa/rl.js，由于网马失效性很快，如链接地址失效（不需要再使用freshow的check功能获取源代码）直接使用附件内容进行解密，方法：将要解密的网址粘贴至url区，将附件源代码内容粘贴至freshow上操作区域，进行后续解密即可。
练习要求：将解密重要过程截图上传，并附解密出日志，跟帖回复即可，设置隐藏。
解密工具为：freshow
注意：解密过程中如遇杀毒软件拦截，暂时关闭监控即可，解密完成后再开启监控。提供网马解密方法不会导致系统中毒。

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) ; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)

附件: rl.rar

附件: 11.jpg

附件: 2.jpg

刚刚居然解错了。。该死。。哎刚刚失败的原因是。。删除了太多我看的讨厌的代码。。结果我删除的代码里居然有恶意地址。。。无情的被耍。。。
更改结果。。。:kaka4:  检讨中


附件: QQ截图未命名.png

附件: 2.JPG

不知道怎样设置图片隐藏:kaka4: 也不知道怎样上传图片（以图片直接上传我这提示说是无效图片文件）。:kaka4: 只好把截图压缩上传了。:kaka4:

附件: 解密过程.rar

附件: 3.jpg

Log is generated by FreShow.
[wide]http://vipoos2.3322.org/aa/rl.js
    [object]http://chulaiba.net/svchost.exe
这是shellcode加密
将重复的Game改成%u
 附件: 您所在的用户组无法下载或查看附件
两次ESC解密得到网马
 附件: 您所在的用户组无法下载或查看附件

附件: 1.rar

附件: 2.jpg

Log is generated by FreShow.
[wide]http://vipoos2.3322.org/aa/rl.js
    [object]http://chulaiba.net/svchost.exe

 附件: 您所在的用户组无法下载或查看附件

 附件: 您所在的用户组无法下载或查看附件

附件: 111.jpg

附件: 222222.jpg

 附件: 您所在的用户组无法下载或查看附件




附件: 1.jpg

附件: 2.jpg

网马地址标出来呀

解密方法正确，但是标出的网马地址不正确。

将解密出网马地址复制，粘贴至obj区，点击insert按钮。要清楚是由哪个链接地址解密出来的。

 附件: 您所在的用户组无法下载或查看附件

 附件: 您所在的用户组无法下载或查看附件

该用户帖子内容已被屏蔽

附件: 12.jpg

附件: 14.jpg

老师，我的Log之后为什么是这种格式？
Log is generated by FreShow.
[wide]http://vipoos2.3322.org/aa/rl.js
    [object]http://vipoos2.3322.org/aa/lyurl = "http://chulaiba.net/svchost.exe";

附件: fdasfdasfsd.jpg