网马解密大讲堂——网马解密中级篇(Document.write篇)
作者: networkedition
一.Document.write 函数简介：
在Microsoft JScript 提供了两种方式来在浏览器中直接显示数据。可以使用write( ) 和 writeln( )，这两个函数是document 对象的方法。也可以在浏览器中以表格的方式显示信息，以及用警告、提示和确认消息框来显示信息。
使用document.write( ) 和 document.writeln( )显示信息最常用的方式是 document 对象的 write( ) 方法。该方法用一个字符串作为其参数，并在浏览器中显示。该字符串可以是普通文本或 HTML。
字符串可以用单引号或双引号引起来。这样可以引用那些包含引号或撇号的内容。
注：Document.write函数是将字符串转换为Html代码，里面必须有HTML脚本标签，脚本才可以执行，否则，将会被当作字符串输出在网页上。
二.Document.write函数实例
例1：
复制内容到剪贴板代码:
<script>
document.write("hell world")
</script> 将此段代码粘贴至记事本，保存为htm格式直接运行打开。这段代码的执行结果实际上是将hell world 在网页显示出来。
例2：
复制内容到剪贴板代码:
<script>
document.write("<iframe src=www.hundan></iframe>")
</script> 将上面的代码粘贴至记事本，保存为htm直接运行打开，这段代码的执行结果为在联网的情况下，直接会在网页上显示一个框架，而框架的内容为286合购。
我们来简单分析一下这两个例子的执行结果为什么不同：
例1实际上是一个简单的输出，就是将document.write函数后的内容输出至页面。
例2内容包含了html脚本标签：<iframe>、 src、</iframe> ，此时将会直接执行脚本，而执行的结果为在网页上显示一个框架，而框架的内容为286合购。
例1和例2实际上是对“Document.write函数是将字符串转换为Html代码，里面必须有HTML脚本标签，脚本才可以执行，否则，将会被当作字符串输出在网页上”。这段话的一个印证。
Document.write解密方法之alert方法，即在获得的包含有document.write函数的网马代码中，将document.wirte替换为alert函数，将代码保存至记事本，扩展名为htm文件，直接浏览运行。
下面我们将结合一个实例来进行讲解：
复制内容到剪贴板代码:
www.photoman/feng/3.htm 将上述网址恶意链接地址粘贴至freshow工具url处，我们点击check进行链接，获取网站源代码，详细操作请看下面截图
我们看到在获得源代码中红框标出的为document.write，接下来我们点击freshow的p按钮将代码复制，将此段代码保存至记事本，使用记事本的查功能，查内容为“document.write”，将document.write替换为alert，将修改好的
代码保存为扩展名为htm格式文件，直接运行打开保存好的网页。
我们在浏览刚才保存的htm文件过程中，会有上述截图的提示，鼠标右键点中这个提示，选择允许阻止的内容，在弹出的安全警告对话框，点击是继续运行。点击两次确定后会看到如下内容：
在这个加密的源代码中，实际上隐含了这么一段代码：
复制内容到剪贴板代码:
<script src=3.css></script>将此代码粘贴至freshow上操作区域，点击filter按钮，我们将会在数据收集区域看到两个网址。相见下面截图怎么编辑网页源代码
接下来我们点击数据收集区域的www.photoman/feng/3.css，进行check链接获取网页源代码。
实际我们解密的这个恶意网址是根据realplayer漏洞，而RealPlayer采用的加密形式为alpha2，这段代码实际上是一个alpha2加密的特例，后续我们会详细讲解alpha2解密方法。
这里的解密选项自然选择alpha2，点击decode进行解密，相见下列截图：
接下来点击up按钮，将第一次解密的结果上翻至上操作区域进行二次解密，解密选项选择esc，再点击decode完成最终的解密，获得网马下载地址。
红框内容为实际的网马下载地址。
接下来我们可以将网马地址复制粘贴至obj区，点击insert按钮，将解密出的网马地址插入数据收集区。
点击all按钮全选，再点击log按钮，将解密出日志格式化输出。
Log is generated by FreShow.
[wide]www.photoman/feng/3.htm
[script]www.photoman/feng/3.css
[object]a.cdd1/m.css

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。