How to become an author
Search
Profile
Pull to refresh

Comments 44

Интересно. А почему они делают window['eval'], а не просто eval(var2) — какая-то особенность?
И да, прикрепите код, интересно всё-таки.
Total votes 3: ↑3 and ↓0 +3
Думаю что-бы дополнительно скрыться от антивирусов и их эвристических анализаторов. Изначально не видно что будет eval, он получается в процессе работы.

Код прикрепил в UPD2
Total votes 5: ↑5 and ↓0 +5
Интересное кино.

А с этим window.eval = function(arg) — это грамотно получилось.
Total votes 5: ↑5 and ↓0 +5
Для фф есть аддон Javascript Deobfuscator https://addons.mozilla.org/en-US/firefox/addon/10345 который умеет показывать какой сейчас js компилится и какой выполняется. Скорее всего им тоже можно было расшифровать.
Total votes 4: ↑4 and ↓0 +4
Да, это расширение могло бы решить проблему. Но скрипт бы все же выполнился, что нежелательно (т.к. он сконструирован на лету ему пришлось бы пройти через eval чтобы быть «скомпилированным»).
This comment wasn’t rated yet 0
Есть Malzilla, но не всегда хорошо работает. Если Javascript Deobfuscator сможет нормально вскрывать сложные скрипты, тогда отключение от сети или работа в виртуалке спасет :-)
This comment wasn’t rated yet 0
Ну он поможет только получить код. Т.е. сделать то, для чего (в данном конкретном случае) я использовал отладчик и замену window.eval = function()
This comment wasn’t rated yet 0
Надо будет поиграться на досуге…
This comment wasn’t rated yet 0
Можно отключиться от интернета — тогда ничего угрожать при деобфускации и выполнении скрипта не будет.
Total votes 3: ↑3 and ↓0 +3
вроде firebug показывает весь выполненный js код тоже
This comment wasn’t rated yet 0
Добавлю ещё, может кому интересно будет, что сервер с вирусами находится на этом IP: 91.213.174.12, можете посмотреть, там много доменов непонятного назначения, видимо чтобы дольше не банили? А автор походе Bondarenko Dmitriy Vladimirovich, если данные не левые.

ЗЫ: Если желания хватит, то расскажу, как мы этот троян быстренько грохнули, чтобы потом выяснять, откуда он вообще взялся.
Total votes 4: ↑4 and ↓0 +4
Написал пост, иначе история была бы не полной © :)
Total votes 2: ↑2 and ↓0 +2
Такое в jQuery 1.3 использовалось для обработки нестандартного джейсона (JSON по спецификации должен везде иметь двойные кавычки):
if ( type == "json" ) data = window["eval"]("(" + data + ")");
Total votes 2: ↑1 and ↓1 0
Ха. теперь вирусописатели будут проверять typeof(window.eval), или как там.
Total votes 2: ↑1 and ↓1 0
Безтолку. В обоих случаях он function. Да и зачем? Ну узнал вирус что eval заменен, оригинальный та негде получить уже.
Total votes 1: ↑1 and ↓0 +1
узнать что заменён и не выполнить — с целью запутать.
This comment wasn’t rated yet 0
А как еще он сможет свои деструктивные функции выполнить кроме как через eval? Эффект достигнут (с)
Total votes 2: ↑2 and ↓0 +2
почему деструктивные? зачастую там простой ифрейм, который прячут. определили что подменён евал — дали другой урл, реверсер ушел по неверному пути.
This comment wasn’t rated yet 0
Тогда код должен быть в чистом виде, не закодированный.
This comment wasn’t rated yet 0
Определить подмену можно, так как одно ждело функция а другое — native code-функция.
This comment wasn’t rated yet 0
А расскажите пожалуйста как, интересно.
typeof() в обоих случаях честно говорит 'function'
This comment wasn’t rated yet 0
1) window.eval.toString()
2) Посмотреть window.eval.prototype и .constructor
Total votes 2: ↑2 and ↓0 +2
fakeEval = function () { debugger; };
fakeEval.prototype = eval.prototype;
fakeEval.toString = function () { return 'function eval() { [native code] }' };
eval = fakeEval;
Total votes 1: ↑1 and ↓0 +1
Function.toSource() забыли :)

А если так сделать: var decodeKey = eval('… '); и этим decodeKey расшифровывать тело вируса? Если вы подмените eval, он например, неправильно расшифруется и ничего не произойдет.

А еще можно, например, для расшифровки использовать куски ДОМа, который исседователь при расшифровке не скопирует :) А еще выкачивать вирус по кускам АЯКС-запросами :)
This comment wasn’t rated yet 0
создать ифрейм и взять эвал из него
Total votes 3: ↑3 and ↓0 +3
Да вы тут все вирусописатели я смотрю!
This comment wasn’t rated yet 0
на подопечном сайте был встроен троян который был обфускейчен не меньше десяти раз, через алерты прогнал — оказался банальный iframe
This comment wasn’t rated yet 0
Да… мне достался совсем даже не закодированный экземпляр =)
This comment wasn’t rated yet 0
Жесть, рульный «Hello World!»
This comment wasn’t rated yet 0
> определял браузер, установленные плагины и прочую интересную для дальнейших
> действий информацию (включена ли Java, язык системы (?)).
> Далее, в соответствии с полученными данными, формировался URL
> для получения дальнейшего скрипта, который, в свою очередь, рендерил
> на страницу наиболее подходящий для данной конфигурации эксплойт

user_pref(«Mozilla/5.0 (Macintosh; U; Intel Mac OS X 10_6_1; en-us) AppleWebKit/531.9 (KHTML, like Gecko) Version/4.0.3 Safari/531.9»);
спасёт отца русской демократии от злодейского «определителя»
Total votes 2: ↑0 and ↓2 -2
Нет, не так, а вот так: «navigator.plugins», так «window.navigator.javaEnabled», так «navigator.mimeTypes[»video/x-ms-wmv"].enabledPlugin" и вот так «opera.buildNumber()»
Total votes 1: ↑1 and ↓0 +1
UFO just landed and posted this here
ок. а куда и как эти «navigator.plugins», так «window.navigator.javaEnabled» писать?
This comment wasn’t rated yet 0
Их заполняет сам user-agent (и сами плагины). И никто со стороны им этим заниматься не запретит.
This comment wasn’t rated yet 0
Это куски кода, которые занимались определением того, какой эксплоит подсунуть данному пользователю.

Или имелось ввиду, что надо работать на Mac под Safari и тогда никакие вирусы не страшны =)?
This comment wasn’t rated yet 0
Блин, даже дырку WindowsMediaPlayer под Firefox используют.
This comment wasn’t rated yet 0
UFO just landed and posted this here
Да, можно. Но хотелось прямо здесь и сейчас =)
Можно просто отключить сеть на самом деле.

А еще хотелось под IE, т.к. изначально коллега словил вирус под ним.
This comment wasn’t rated yet 0
Ребят, ну сколько можно?! Писать СЛОВИТЬ и ВПОЙМАТЬ безграмотно!
Извините, если задел чьи-то чувства, просто глаз режет…
Total votes 6: ↑2 and ↓4 -2
Only those users with full accounts are able to leave comments. Log in, please.

Your account

Sections

Information

Services

Support Return to old version
© 2006–2023, Habr