惡意代碼或誤報？

我在一個網站運行「Sucuri SiteCheck」，即時通訊工作和sitecheck報告下面的代碼爲惡意軟件：惡意代碼或誤報？

已知的JavaScript惡意軟件。

詳情：

http://labs.sucuri.net/db/malware/mwjs-include-unescape3?v1

代碼：

var i,y,x="3c646976207374796c653d22706f736974696f6e3a6162736f6c7574653b6c6566743a3070783b746f703a3070783b7669736962696c6974793a68696464656e3b222069643d2264617461646976223e3c696d67207372633d2267706c75732e637322206865696768743d2230222077696474683d2230223e3c2f696d673e3c2f6469763e";y='';for(i=0;i<x.length;i+=2){y+=unescape('%'+x.substr(i,2));}document.write(y);</script></aside><aside id="bp-4" class="WP"><script language="JavaScript" type="text/javascript">//

搜索後，我發現這個代碼在一個文件中

"<script language=\"JavaScript\" type=\"text/javascript\">//\nvar i,y,x=\"$hex_string\";y='';for(i=0;i<x.length;i+=2){y+=unescape('%'+x.substr(i,2));}document.write(y);</script>"

有人可以告訴我這段代碼做了什麼，它確實是惡意的？

非常感謝！

最好的問候！

來源

2015-11-22 kodden

它看起來像Sucuri SiteCheck不喜歡它被混淆的方式。它解讀爲十六進制，它是：

<div style="position:absolute;left:0px;top:0px;visibility:hidden;" id="datadiv"> 
    <img src="gplus.cs" height="0" width="0"> 
    </img> 
</div>

一個問題，它是否是惡意取決於什麼gplus.cs是。

來源

2015-11-22 04:03:46

謝謝大衛，現在我質疑自己爲什麼會被混淆。我可以使用解碼的代碼來幫助檢查sitecheck警報嗎？ – kodden

@kodden我沒有使用sitecheck，但我想你可以提供gplus.cs的URL來讓它掃描它。 –

gplus.cs聽起來不像一個圖像 - 它正在尋找腳本本地的東西 - 你確定在腳本所在的頁面附近沒有任何東西滑落到你的服務器上？「datadiv」聽起來不可思議！ – Steve

惡意代碼或誤報？

回答

相關問題