悠悠鸟影视论坛（uuniao）主站被黑，并被“黑客”植入网马挂马！

 

 

 

 

挂马代码截图

刚刚去找电影，发现悠悠鸟被挂马，被挂马域名列表如下：

悠悠鸟老域名：

http://www.uubird.com/

http://bbs.uubird.com/

悠悠鸟新域名：

http://www.uuniao.com/

http://bbs.uuniao.com/

都在同一台服务器上：

58.218.204.31 --> 江苏省徐州市 电信

全站及首页被挂如下代码：

一眼就看出是网马，访问：http://www.d9cn.net/xba.htm （www.d9cn.net 这是个正常的网站，应该也是同样被黑客黑了，它在这里充当了一次“跳板”，用于黑客隐藏自己并绕过杀毒软件黑名单，如今很多挂马的都这样干），代码如下：

继续访问：http://huandan4.8866.org:8832/DD01/index.html，代码：

");}

不用看了，绝对是网马，不解释。。。

挂马域名如下：

huandan4.8866.org --> 58.221.36.212 --> 江苏省南通市 电信

huandan2.8866.org //在下边的帖子里发现的另一个地址

接下来搜了下这个挂马域名，结果如下：

发现一小时前，有人在询问“discuz论坛问题”，地址：http://www.im286.com/thread-9100166-1-1.html

内容如下：

论坛首页有时候打不开，一开始以为是自己电脑问题，后来尝试清空IE缓存等等。短暂恢复打开，之后又不行了，重启iis、修复数据库等等都尝试过，还是依然存在该问题。主页打不开的时候的源代码是：









请帮忙看看怎么回事

很明显，这就是刚刚的挂马代码，作者是：路也侯，发表时间仅仅是一小时之前，所以我推测此人是悠悠鸟站长，或者与之相关的人。

接着又收集该挂马服务器信息，发现是一个职业挂马服务器，并且有非常长的挂马历史，起码一年多。

总体推测：

1、可能是服务器被黑，并且有服务器权限，整站挂马。

2、C段Arp挂，这种可能性比较高，范围比较大，是职业挂马干的。

网马结构如下：

Log generated by anonymous use mdecoder 0.67
[root]http://huandan4.8866.org:8832/DD01/index.html
    
http://huandan4.8866.org:8832/DD01/1.htm
        [script]http://huandan4.8866.org:8832/DD01/1.js
        
http://a.d.qaoc.info:8832/dd01/3.htm
        
http://huandan4.8866.org:8832/DD01/2.htm
            [flash]http://huandan4.8866.org:8832/DD01/nb.swf
        [flash]http://huandan4.8866.org:8832/DD01/nbwm.swf
    [color=red][exp]http://huandan4.8866.org:8832/DD01/i6.htm(Exploit.Ie0dayCVE0806.a)[/color]
        [script]http://huandan4.8866.org:8832/DD01/i1.js
        [script]http://huandan4.8866.org:8832/DD01/i2.js
        [script]http://huandan4.8866.org:8832/DD01/i3.js
        [script]http://huandan4.8866.org:8832/DD01/i4.js
        [script]http://huandan4.8866.org:8832/DD01/i5.js
        [color=red][virus]http://a.d.qaoc.info:8832/xx/dd01.css[/color]

木马地址为：http://a.d.qaoc.info:8832/xx/dd01.css

网马利用的漏洞有两个，第一个是 flash 网马，第二个是“Exploit.Ie0dayCVE0806.a”，都是老漏洞，烂大街了，不解释……

稍后附上EXE木马分析结果……

不知挂马挂了多久了，估计有一两个小时吧，在几个小时内，有访问过悠悠鸟所有网站的用户请及时杀毒！！

---

2012-2-28 22:41:19 补充：

悠悠鸟影视论坛（uuniao）主站被挂网马中的木马分析

---

2012-2-28 22:44:56 补充：

悠悠鸟论坛貌似已经恢复……

文章来源于lcx.cc:悠悠鸟影视论坛（uuniao）主站被黑，并被“黑客”植入网马挂马！

相关推荐: 求生之路2新地图 我恨山(I Hate Mountains)

地图名称：我恨山(I Hate Mountains) 地图名称：IHM Team 更新日期：2010年6月18日 运行平台：L4D (求生之路1) 地图版本：1.1 (完整) 游戏类型：战役 关卡数量：5/5 文件大小：268.65MB 文件名称：ihatem…