·	没有路由密码权限时的鸽	08-23	·	上网安全 Vista自我防范	10-11
·	让濒临崩溃的Windows XP	10-11	·	有备无患，快速自制救急	10-11
·	要你好看!Windows看图工	10-11	·	空间赞助网提供不同类型	10-11
·	讨论net.exe和net1.exe的	10-10	·	让3389远程桌面传输更通	10-10
·	巧妙入侵渗透赌博站	10-10	·	Aspx空间扫权限工具	10-10
·	Windows2003最新提权工具	10-10	·	易淘乐提供100M免费全能	10-10
·	系统开机密码忘了不着急	10-09	·	中意网络提供免费100M免	10-09
·	与众不同 Windows XP开始	10-08	·	让桌面图标翻跟斗在XP上	10-08
·	上海宽元站长资助计划-提	10-08	·	个性化Windows XP的任务	10-07
·	趣盘提供3G免费网络硬盘	10-07	·	秀山热线提供200MB免费全	10-07
·	一次艰辛的提权过程	10-06	·	成功入侵IT大卖场的渗透	10-06
·	mysqlhack- MYSQL利用工	10-06	·	lanker一句话PHP后门客户	10-06
·	WIXI提供3G免费多媒体网	10-06	·	新人网络提供100M/ftp免	10-06
·	如何利用QQ带来高流量	10-05	·	UuShare提供免费网络文件	10-05

[组图]轻轻松松解密各种网页木马

热荐 ★★★★★

轻轻松松解密各种网页木马

文章整理发布：黑客风云文章来源：www.05112.com 更新时间：2007-12-21 10:34:50

下面我们再来看一种加密方式

    这个是申通快递被挂马的时候抓到的，后来无意中得知这个加密方式用到的是JS混淆，http://www.cha88.cn/safe/JSencode.php这个网站有这个加密方式，但是没有解密方式。怎么办？简单！

    大家一起看看最后这段代码：

    t=utf8to16(xxtea_decrypt(base64decode(t), '\x64\x63\x75\x6d\x65\x6e\x74'));//对t数组进行提取、重组、解密处理

    window["\x64\x6f\x63\x75\x6d\x65\x6e\x74"]["\x77\x72\x69\x74\x65"] (t);//输出加密后的t的内容

    是不是有什么感觉？觉得像什么？

    我们把\x64\x6f\x63\x75\x6d\x65\x6e\x74和\x77\x72\x69\x74\x65分别用我们刚才的alert的办法解密出来，他们分别对应的是document和write，也就是说最后这2行的意思就是对t数组进行提取、重组、解密处理并输出最后正确的结果。知道这个我们就很容易理解了,所有网马到最后为了输出让浏览器识别，都要进行最后的解密输出。通常就是document.write和eval里的内容了。那么我们用刚才的document.getElementById('textfield').value=t;替换掉window["\x64\x6f\x63\x75\x6d\x65\x6e\x74"]["\x77\x72\x69\x74\x65"] (t);并再页面顶端的<body>下面加入如下代码：

以下是引用片段：
    <form id="form1" name="form1" method="post" action="">
    <label>
    <textarea name="textfield" cols="100" rows="50"></textarea>
    </label>
    </form>

    再次运行网马。即可得到第一层解密的结果：

   这还不是我们要的最终结果。还记得上面讲过的？遇到eval就替换为alert：

   到的就是解密的结果，点下窗口标题，然后Ctrl+C快捷键，复制下，然后粘贴出来，就可以得到代码了！
  顺便提下最近比较流行的溢出型网马的解密方式：var shellcode = unescape("邐"+"邐"+

    这样的代码其实是可以翻译成明文的，这里使用的加密方式是将ASCII转换为unescape，对应解密方式就是反过来啦，借助工具

    就可以轻易解密了，这样你就可以再没有生成器的时候将别人的网马改为自己的了！
无意中猎取到一个Oday的话，就happy了O(∩_∩)o…
    最后终结：
    我们适用到的几个关键词和办法：
    关键词：
    1. document.write
    2. eval
    3. alert
    4. <noscript>
    <iframe src=*>
    </iframe>
    </noscript>
    5.document.getElementById('textfield').value=t;

以下是引用片段：
    <form id="form1" name="form1" method="post" action="">
    <label>
    <textarea name="textfield" cols="100" rows="50"></textarea>
    </label>
    </form>

用法：
碰上document.write，我们一般把它改成“alert”，如果遇到“eval”一般改成“document.write”，遇到alert无法显示完整代码时适用document.getElementById('textfield').value=t;将他赋值给一个文本框，然后再

以下是引用片段：
<form id="form1" name="form1" method="post" action="">
    <label>
    <textarea name="textfield" cols="100" rows="50"></textarea>
     </label>
    </form>
    表单中显示出来，如果遇到使用了
    <noscript>
    <iframe src=*>
    </iframe>
    </noscript>

而无法显示网页代码的。就到IE缓存中寻找被保存到本地的网马文件，用我提供的办法应该可以解开绝大部分的网马了，希望大家看完知道不是盲目的套用，而是可以举一反三！这样才能不断进步。没有你做不到的，只有你想不到的！

上一页 [1] [2] [3] [4]

文章录入：cainiaowang 责任编辑：cainiaowang

上一篇文章：十三WEBSEHLL VIP版解密加密的代码

下一篇文章：三次击键即可令Windows蓝屏

【字体：小大】

中介交易区

没有路由密码权限时的鸽子上线方	08-23
完全解析网页后门和挂马	04-02
真实的网络攻击取证纪实	03-27
利用404错误页面挂马	03-21
解密风暴	03-21
社会工程学在黑客中的应用	01-02
轻轻松松解密各种网页木马	12-21
SA权限无xp_cmdshell时取权限又一	12-14
sqlserver2005中恢复xp_cmdshell	11-10
实现无net.exe和net1.exe添加系统	10-26
用U盘轻松去除XP管理员密码	10-26
教你多种保护措施限用移动硬盘	10-09