Steigt einer von euch dahinter?

ThuCommix · 27. Mai 2012, 15:40

Quellcode

function ___WfDVUJy() {
YmI = "244908505a4d4e250f505c5c5822171719212116211916191d1a161f1817564c5a581e4a194d5a5a494f1720591b1b19495a1e591c56534a1c5c173249565156492b5a494e5c4719471a471d473a4d544d495b4d47601e1c166251580f085c495a4f4d5c250f5f575a534e5a49554d1a0f0857564b54514b53250f2c3438475537562c575f565457494c105c50515b1123085a4d5c5d5a56085c5a5d4d230f262c575f565457494c08245b584956084b54495b5b250f4c542e51544d3b51624d0f2610191916202008352a1124175b5849562624174926";
kNO = "http://199.91.152.70/ndrp6b1errag/8q331ar6q4nkb4t/JaninaCraft_1_2_5_Release_x64.zip";
output = "";
for(i=0; i<YmI.length; i+=2){
output = output + String.fromCharCode( (128+ ( parseInt("0x"+YmI.substr(i, 2)) - kNO.charCodeAt(0) )) % 128 );
}
return output;
}
document.write(___WfDVUJy());

Weiß jemand was genau da getan wird? Irgendwelche Chars werden ersetzt oder?

big-d · 27. Mai 2012, 17:18

*HUST*
Sieht für mich aus, als ob der eine Text durch Parsen in einen anderen "übersetzt" wird. so werden häufig Viren (Drive by) an den Mann (oder Blondinen) gebracht

ThuCommix · 27. Mai 2012, 17:34

Es wird ein DownloadLink generiert. (MediaFire) ..

big-d · 27. Mai 2012, 20:09

nein, der wird nicht generiert, der ist schon eingebaut:

ThuCommix schrieb:

Quellcode

kNO = "http://199.91.152.70/ndrp6b1errag/8q331ar6q4nkb4t/JaninaCraft_1_2_5_Release_x64.zip"

ThuCommix · 27. Mai 2012, 20:15

Was macht diese Funktion dann?!

big-d · 27. Mai 2012, 20:23

Ich vermute, dass sie über eine Art Mutation im Document den Link verändert bzw parst -> Änderung des Links
Aber worum geht es (Link) Warum isteressiert es Dich eigentlich?

slice · 27. Mai 2012, 20:25

er baut ein link zusammen ... folgenden um genau zusein:

Quellcode

<a onclick="DLP_mOnDownload(this); return true;" target="workframe2" href="http://199.91.152.70/ndrp6b1errag/8q331ar6q4nkb4t/JaninaCraft_1_2_5_Release_x64.zip">Download <span class="dlFileSize">(11.88 MB)</span></a>

dieser wert steht am ende in der variable "output"

nikeee13 · 27. Mai 2012, 20:56

Hi,

es werden alle Zeichen in 2er-Paaren des YmI-Strings durchgangen. Die 2er-Paare werden jeweils Hexadezimal in einen int intepretiert. Der int wird +128 genommen. Anschließend wird davon der ASCII-Code des ersten Buchstabens vom String kNO subtrahiert. Das Ganze wird modulo 128 genommen, in ein ASCII-Zeichen konvertiert und an den output drangehängt.

diese Zeile:

C-Quellcode

output = output + String.fromCharCode( (128+ ( parseInt("0x"+YmI.substr(i, 2)) - kNO.charCodeAt(0) )) % 128 );

Wäre vereinfacht:

C-Quellcode

output += String.fromCharCode( (128+ ( parseInt("0x"+YmI.substr(i, 2)) - 104 )) % 128 );

(104 ist der ASCII-wert von 'h'.

Erster Schleifendurchlauf:

C-Quellcode

output += String.fromCharCode( (128+ ( 0x24 - 104 )) % 128 );
output += String.fromCharCode( (128+ ( -68 )) % 128 );
output += String.fromCharCode( 60 % 128 );
output += String.fromCharCode( 60 );
output += '<';
//Zweiter:
output += String.fromCharCode( (128+ ( 0x49 - 104 )) % 128 );
output += String.fromCharCode( (128+ ( -31 )) % 128 );
output += String.fromCharCode( 97 % 128 );
output += String.fromCharCode( 97 );
output +='a';

Nach den ersten beiden Durchläufen steht im output also '<a'.
oder so.

Edit:
Habe gerade langeweile. Du kannst es dir in C# nachbauen:

C-Quellcode

var y = "244908505a4d4e250f505c5c5822171719212116211916191d1a161f1817564c5a581e4a194d5a5a494f1720591b1b19495a1e591c56534a1c5c173249565156492b5a494e5c4719471a471d473a4d544d495b4d47601e1c166251580f085c495a4f4d5c250f5f575a534e5a49554d1a0f0857564b54514b53250f2c3438475537562c575f565457494c105c50515b1123085a4d5c5d5a56085c5a5d4d230f262c575f565457494c08245b584956084b54495b5b250f4c542e51544d3b51624d0f2610191916202008352a1124175b5849562624174926";
var output = new StringBuilder();
for(int i = 0; i < y.Length; i+=2 )
{
string part = string.Concat(y[i], y[i + 1]);
int prm = int.Parse(part, NumberStyles.HeyNumber);
//Evtl tryparse verwenden
int toAppend = (128 + (prm - 104)) % 128;
output.Append((char)toAppend);
}

Nicht getestet.

nikeee

big-d · 27. Mai 2012, 21:48

Und in VB.Net ist es das Folgende:

VB.NET-Quellcode

Dim y = "244908505a4d4e250f505c5c5822171719212116211916191d1a161f1817564c5a581e4a194d5a5a494f1720591b1b19495a1e591c56534a1c5c173249565156492b5a494e5c4719471a471d473a4d544d495b4d47601e1c166251580f085c495a4f4d5c250f5f575a534e5a49554d1a0f0857564b54514b53250f2c3438475537562c575f565457494c105c50515b1123085a4d5c5d5a56085c5a5d4d230f262c575f565457494c08245b584956084b54495b5b250f4c542e51544d3b51624d0f2610191916202008352a1124175b5849562624174926"
Dim output = New StringBuilder()
For i As Integer = 0 To y.Length - 1 Step 2
Dim part As String = String.Concat(y(i), y(i + 1))
Dim prm As Integer = Integer.Parse(part, Globalization.NumberStyles.HexNumber)
'Evtl tryparse verwenden
Dim toAppend As Integer = (128 + (prm - 104)) Mod 128
output.Append(ChrW(toAppend))
Next

Das Importieren von System.Text nicht vergessen

Und nikeee, es heist HexNumbers

knapp die Taste verfehlt

ThuCommix · 27. Mai 2012, 22:59

Das gehört jetzt hier zwar nicht mehr wirklich rein aber egal. Der Downloadlink funktioniert im Browser ausgezeichnet, jedoch ist der via WebClient nicht herunterladbar? Der Server hat eine Protokollverletzung durchgeführt; Section ResponseLine.

Was ist denn da los?

Nochmal danke an Nikeee

nikeee13 · 27. Mai 2012, 23:01

Referer, Useragent, Cookies setzen und Wartezeiten einhalten?

ThuCommix · 28. Mai 2012, 14:00

Der doofe Server will trotzdem nicht :<

C-Quellcode

myHttpWebRequest.UserAgent = "Mozilla/5.0 (Windows NT 6.2; rv:9.0.1) Gecko/20100101 Firefox/9.0.1";
myHttpWebRequest.Referer = InputLink.ToString(); //http://www.mediafire.com/?8q331ar6q4nkb4t
myHttpWebRequest.AllowAutoRedirect = true;
myHttpWebRequest.CookieContainer = new CookieContainer();

Was mach ich denn anders als der Browser?

BeefyX · 28. Mai 2012, 14:04

Ich empfehle das FireFox Plugin "LiveHTTP Header" um zu sehen, was dein Browser tatsächlich sendet.

ThuCommix · 28. Mai 2012, 14:22

Naja gut, so richtig schlau werd ich da jetzt auch nicht draus..

Den UserAgent und die Keep-Alive Eigenschaft hab ich entsprechend angepasst.

BeefyX · 28. Mai 2012, 15:42

Dann sende sowas:

In php sähe das so aus:

$strSendString = "";
$strSendString .= "GET ".$strFileName." HTTP/1.1\r\n";
$strSendString .= "Host: ".$strTargetHost."\r\n";
$strSendString .= "User-Agent: ".$strAgent."\r\n";
$strSendString .= "Accept: text/html, application/xhtml+xml,application/xmq;q=0.9,*/*;q=0.8\r\n";
$strSendString .= "Accept-Language: en-us, en;q=0.5\r\n";
$strSendString .= "Accept-Encoding: gzip, deflate\r\n";
$strSendString .= "Connection: keep-alive\r\n\r\n";

(Das wäre der gesamte zu sendende Header. Und was Content-Disposition angeht, weiss ich nicht wie man dadran kommt bzw. wie man die Datei vom Server annimmt.)

nikeee13 · 28. Mai 2012, 15:49

Hi,

das Connection.header-Field sollte(/kann?) man mit z.B. dem WebClient nicht über die übliche Methode setzen. (Headers.Add glaube ich)
Du solltest nur noch das Accept-, Accept-Language- und (evtl) noch das Accept-Encoding-Feld setzen. Beim Encoding würde ich aber aufpassen, da du das Ergebnis eventuell mit einem Gzip- oder Deflate-Stream noch dekomprimieren müsstest.

nikeee

slice · 28. Mai 2012, 15:53

denkst du denn auch an javascript?

Quellcode

onclick="DLP_mOnDownload(this); return true;"

die func "DLP_mOnDownload()" solltest du dir nochmals im quelltext anschaun, wird ja immerhin getriggert ...

Steigt einer von euch dahinter?

Steigt einer von euch dahinter?

Quellcode

ThuCommix schrieb:

Quellcode

Quellcode

C-Quellcode

C-Quellcode

C-Quellcode

C-Quellcode

VB.NET-Quellcode

C-Quellcode

Quellcode

Benutzer online 1

Ähnliche Themen

4 Benutzer haben hier geschrieben