-
-
[注意][注意]你的上网行为被监视着……
-
发表于: 2012-10-18 22:23
-
序：
这事还要从2012年9月1日说起，在论坛下载天易love的一个附件，突然下载了一个游戏外挂，第一感觉是看雪论坛被挂马儿了（也许你会说是不是你电脑中毒了，呵呵，我已经裸奔好多年，偶尔中点黄毒
），于是连续了看雪大哥，经过和“看雪”的一步步测试，发现不是论坛的问，是我的问题，我开始怀疑我的电脑中毒了。于是我关掉window系统，重启，进入fedora，来到看雪，下载附件，同样的问题出现了。
测试1，用IE9下载千千静听：http://ttplayer.qianqian.com/download/ttpsetup-95024068.exe
域名请求数据包截图：
与服务器通信截图：
HttpAnalyzerStdV6 分析：
通过伪服务器下载软件：
测试2：http://bbs.pediy.com/showthread.php?t=155392
点击下载这个附件：
查看一下114.64.255.38归属，通过以上测试发现每次重定向url的末尾都追加了字符串“?y=yjwt08”
供研究数据包： 数据包.rar（数据包使用CommView抓的，可以使用Wireshark来打开）
这事还要从2012年9月1日说起，在论坛下载天易love的一个附件，突然下载了一个游戏外挂，第一感觉是看雪论坛被挂马儿了（也许你会说是不是你电脑中毒了，呵呵，我已经裸奔好多年，偶尔中点黄毒
），于是连续了看雪大哥，经过和“看雪”的一步步测试，发现不是论坛的问，是我的问题，我开始怀疑我的电脑中毒了。于是我关掉window系统，重启，进入fedora，来到看雪，下载附件，同样的问题出现了。测试1，用IE9下载千千静听：http://ttplayer.qianqian.com/download/ttpsetup-95024068.exe
域名请求数据包截图：
与服务器通信截图：
HttpAnalyzerStdV6 分析：
通过伪服务器下载软件：
测试2：http://bbs.pediy.com/showthread.php?t=155392
点击下载这个附件：
查看一下114.64.255.38归属，通过以上测试发现每次重定向url的末尾都追加了字符串“?y=yjwt08”
供研究数据包： 数据包.rar（数据包使用CommView抓的，可以使用Wireshark来打开）
[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法
|
|
|---|---|
|
|
|
|
|
看不懂呀。站位等大牛来解释解释
|
|
|
|
|
|
302,lz中奖了
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
为什么我们没有发生这种事情？
|
|
|
|
|
|
|
|
|
|
|
|
万恶的 “景德镇”
|
|
|
|
|
|
|
|
|
知道的越多越痛苦,所以还是让我做小白吧
|
|
|
|
|
|
目测是F12
|
|
|
好吧 原来是这样
|
|
|
|
|
|
太模糊了
|
|
|
|
|
|
|
