|
[组图]轻轻松松解密各种网页木马
在长长的代码最后我们看到了
var pass="TEST.WWW.CUTEQQ.CN";
if(pass){
pass=unescape(pass);
var cuteqq,cuteqq2,cuteqq3;
cuteqq=XOR(unescape(Qq_784378237),STR.md5(pass));
cuteqq2=XOR(unescape(Qq784378237),STR.md5(pass));
cuteqq3=cuteqq+www_cuteqq_cn_s+cuteqq2;
document.write(cuteqq3);
return(false);
}
意思就是调用pass验证函数，如果为真，就继续执行里面的内容。XOR是运算符，对两个表达式进行逻辑“异或”运算。这里就不详细了解了。关键是最后的Document.write(cuteqq3)了解网页代码的人就知道这段具体的意思就是，如果密码验证正确。就输出cuteqq3这个函数里的内容。当我们遇到document.write的时候我们一般把它改成“alert”得到初步解密：
这里我们就遇到一个问题。Alert根据里显示器的大小显示内容。无法完整显示出内容。怎么办？我们引入一段javascript代码：document.getElementById('textfield').value=cuteqq3;替换掉原来的document.write(cuteqq3);然后在页面的</head>
<body>和<script></script>之间添加一段，效果如下：
| 以下是引用片段： <html> <head> <title>网马</title> </head> <body> <form id="form1" name="form1" method="post" action=""> <label> <textarea name="textfield" cols="100" rows="50"></textarea> </label> </form> <script> ….这里省略解密部分 </script> |
这里的意思是建立一个文本框，然后吧刚才的cuteqq3的内容赋值给文本框，Textfield是文本框的名称。可以自己修改。但是必须修改document.getElementById('textfield').value里对应的名称，再次运行刚才的网马得到结果：
刚才加密过代码大小是：
至于里面的\x72\x65\x73\x70\x6F\x6E\x73\x65\x42\x6F\x64\x79这样的代码，我们就可以用简单的办法突破了。
十六进制转义字符串如下:
<SCRIPT LANGUAGE="JavaScript">
alert("\x72\x65\x73\x70\x6F\x6E\x73\x65\x42\x6F\x64\x79")
</SCRIPT>
就可以显示出来了，顺便说下。刚才的加密页面里用到了防止查看源代码的技术。就是适用下面的代码
<noscript>
<iframe src=*>
</iframe>
</noscript>
这里的noscript元素用来定义在脚本未被执行时的替代内容（文本），此标签可被用于可识别<script>标签但无法支持其中的脚本的浏览器。但当浏览器支持javascript脚本时，就起到隐藏noscript标签中间内容的作用，所以导致无法查看源代码。很多时候我们要盗取别人的网马的时候就会遇到这样的问题，怎么办呢？简单！我们前面说道，所有网马要被执行都要先转换为浏览器可以识别的代码，另外，网马执行的同时也是要保存到浏览器的缓存中的。默认位置是：C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files，打开你要盗取的网马的页面前先清空下你的IE缓存，然后刷新网马页面，就会发现网马乖乖的躺再里面了！（本地测试的网页是不会保存到缓存的所以这里不截图了）
| 完全解析网页后门和挂马 | 04-02 |
| 真实的网络攻击取证纪实 | 03-27 |
| 利用404错误页面挂马 | 03-21 |
| 解密风暴 | 03-21 |
| 社会工程学在黑客中的应用 | 01-02 |
| 轻轻松松解密各种网页木马 | 12-21 |
| SA权限无xp_cmdshell时取权限又一 | 12-14 |
| 实现无net.exe和net1.exe添加系统 | 10-26 |
| 用U盘轻松去除XP管理员密码 | 10-26 |
| 教你多种保护措施限用移动硬盘 | 10-09 |
| bat 延时执行命令 | 10-09 |
| phpwind的一个放后门的方式 | 10-09 |
您现在的位置：