1   1  /  1  页   跳转

[问题/讨论] 网马解密求指导!

网马解密求指导!

首先感谢℡_ㄨ序幕 提供网马地址:hxxp://www.030033.com/

小白我在用redoce解密上面这个网址的时候遇到了些问题,希望大牛帮忙指导一下!
我先说一下我的过程吧,首先把网址输入,点go得到代码,如图1。

 附件: 您所在的用户组无法下载或查看附件



[img]file:///C:/Documents%20and%20Settings/Administrator/Application%20Data/Tencent/Users/1403049417/QQ/WinTemp/RichOle/1%60H_6969T$A$%7DNGDMzUKX.jpg[/img]

发现有好多%3D%22的东东,在解密那选第一个1>转义符清除(\x,\,%)(参数/无参数),点开始,得到图2的结果,

 附件: 您所在的用户组无法下载或查看附件


然后点击URL>解析出一个网址:hxxp://www.030033.com/qwert/wsx.htm
点击它再点GO,得到代码如下图:

 附件: 您所在的用户组无法下载或查看附件



发现一个url,把url地址复制到上面,再点一下GO,得到代码,顺便点一下旁边的+,使该网址添加到hxxp://www.030033.com/qwert/wsx.htm的下面
这个代码相当的长,看内容是香港六合彩的网……
记得老师说过看到代码很长不知道从哪入手的时候就查找document.write,于是我在执行那选择第4个,4>标出Documents.Write位置,开始,看到代码中果然有此物,在解密中选择D>Document.Write清除,把它清除掉。之后出现3个脚本错误,选“是”后,得到被精简许多的代码,如下图:

 附件: 您所在的用户组无法下载或查看附件



发现中间有好多%u,是shellcode加密,在解密中选第5个,5>Unicode清除(%u,\u)(参数/无参数) ,得到的代码还是带有很多%,这个时候我选了解密的第一个清除掉,再点URL得到3个网址(事实上,不用选第一个清除掉%,也能得到这3个网址……)

 附件: 您所在的用户组无法下载或查看附件



得到的3个网址链接中前两个是没用的,选了第3个,GO之后,又是一段巨长的代码……同样的方法,标出Documents.Write位置,清除document.write,再选Unicode清除(%u,\u)清除,点URL,得到两个网址,第一个是没用的,第二个如下图:

 附件: 您所在的用户组无法下载或查看附件



选择转义符清除,点URL,又得到3个网址……(感觉永远不会完……)
同样前两个是没用的,点了第3个,又是段长代码,但是,没有document.write,也没有eval,也没发现什么可以的地方,直接点url,得到了10个网址


于是我感觉我解错了,想请教各位,我的步骤哪里错了,应该怎么解?? (这个网址我解了两天了……)




用户系统信息:Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US) AppleWebKit/534.3 (KHTML, like Gecko) Chrome/6.0.472.33 Safari/534.3 SE 2.X MetaSr 1.0
分享到:
gototop
 

回复:网马解密求指导!

count.51yes这个网站应该是网站统计。。。。。你找错方向了。。。。
还有就是你咋知道这个网站有挂马。。。。
世界上有10种人,一种懂二进制,一种不懂……
gototop
 

回复 2F leo108 的帖子

我也觉得…… 但是有个恶意网站链接应该是没有问题的
最后编辑风之仙 最后编辑于 2011-01-22 13:37:15
gototop
 

回复:网马解密求指导!

恶意网站链接不一定是有网马,有可能是钓鱼网站等等
世界上有10种人,一种懂二进制,一种不懂……
gototop
 

回复:网马解密求指导!

哇哇、、竟然是我提供的耶、、我都不知道了、、
gototop
 
1   1  /  1  页   跳转
页面顶部
Powered by Discuz!NT