gggggre.cn —— 病毒？木马？插件？窗弹？

笑话 | 有学问的人这么说话 |

最好的五笔输入法：极点五笔 6.3(修正)版本发

Sep 20

ZFreet , 自言直语 , 评论(1) , 引用(0) , 阅读(1056) , 原创

大 | 中 | 小

前头刚说了Chrome 的人性化功能——访问安全提示，今天就多亏它给我安全提示了一回，且慢慢道来……

因需要，我另搭了一个Z-Blog，版本为1.8 Spirit Build 80708 （最新版本为Build 80722，见没有什么需要修补就没有升级）。之前用Chrome、IE 8、FF 3 访问都一切正常，但是今天，突然的，用Chrome 打开，红脸了：

就使用Chrome 的经验来看，这种“红脸”以及Google的“This site may harm your computer.”有80%属于杞人忧天型的；但是现在明明是自己的地方，怎么会有其它网站的元素？而且这域名一看就符合垃圾、流氓、病毒等特征……

.CN，由于你曾经太贱了！ bad

马上又用IE 打开相同的页面，同样有反应，浏览器弹出信息栏：

引用

此网站需要运行以下加载项：“Sina.com Technology (China) Co.,Ltd.”中的“Sina TV插件

如果你信任该网站和该加载项并允许运行该加载项，请单击这里...”。

引用

这要说一下，如果一开始我就用IE 而不是Chrome 来打开这一页，即使弹出了如上的信息栏，我也要么“运行”要么“关闭”，也不会这么仔细的发现还有其它网站的代码在自己的网站的。因为网页上指不定哪段视频就需要插件支持，这也是很正常的事，特别对于IE 来说就更正常了。即便我安装了插件，运行了gggggre.cn 的代码，可能也不至于有什么机毁人亡的后果，但是现在两者一对比起来，还是……哎，有比较才有差别啊！

于是立即查看前页的源码，在第一行有一段：

这么经典的地方，还有什么好说的！

第一反应：1、源文件被感染；2、因服务器中毒而源文件被感染；3、Z-Blog 本来就自带的。

好像第3种情况不太可能，以前一直用得好好的；第1种情况可能性很大，但如何被感染的？那就是因为第2种情况了……

先不忙解决，反正访问的人也少，我倒对gggggre.cn 产生了性趣，到底是TMD个什么东东，zz.htm 又有什么内容？

1、看代码

打开zz.htm 的源文件代码如下：

<HEAD></HEAD>
<BODY><IFRAME height=0 src="123.htm" width=100></IFRAME>
<SCRIPT language=javascript type=text/javascript src="http://js.users.51.la/2138066.js"></SCRIPT>

<SCRIPT>var a8066tf="51la";var a8066pu="";var a8066pf="51la";var a8066su=window.location;var a8066sf=document.referrer;var a8066of="";var a8066op="";var a8066ops=1;var a8066ot=1;var a8066d=new Date();var a8066color="";if (navigator.appName=="Netscape"){a8066color=screen.pixelDepth;} else {a8066color=screen.colorDepth;}</SCRIPT>

<SCRIPT>a8066tf=top.document.referrer;</SCRIPT>

<SCRIPT>a8066pu =window.parent.location;</SCRIPT>

<SCRIPT>a8066pf=window.parent.document.referrer;</SCRIPT>

<SCRIPT>a8066ops=document.cookie.match(new RegExp("(^| )AJSTAT_ok_pages=([^;]*)(;|$)"));a8066ops=(a8066ops==null)?1: (parseInt(unescape((a8066ops)[2]))+1);var a8066oe =new Date();a8066oe.setTime(a8066oe.getTime()+60*60*1000);document.cookie="AJSTAT_ok_pages="+a8066ops+ ";path=/;expires="+a8066oe.toGMTString();a8066ot=document.cookie.match(new RegExp("(^| )AJSTAT_ok_times=([^;]*)(;|$)"));if(a8066ot==null){a8066ot=1;}else{a8066ot=parseInt(unescape((a8066ot)[2])); a8066ot=(a8066ops==1)?(a8066ot+1):(a8066ot);}a8066oe.setTime(a8066oe.getTime()+365*24*60*60*1000);document.cookie="AJSTAT_ok_times="+a8066ot+";path=/;expires="+a8066oe.toGMTString();</SCRIPT>

<SCRIPT>a8066of=a8066sf;if(a8066pf!=="51la"){a8066of=a8066pf;}if(a8066tf!=="51la"){a8066of=a8066tf;}a8066op=a8066pu;try{lainframe}catch(e){a8066op=a8066su;}document.write('<img style="width:0px;height:0px" src="http://vip2.51.la/go.asp?we=A-Free-Service-for-Webmasters&svid=14&id=2138066&tpages='+a8066ops+'&ttimes='+a8066ot+'&tzone='+(0-a8066d.getTimezoneOffset()/60)+'&tcolor='+a8066color+'&sSize='+screen.width+','+screen.height+'&referrer='+escape(a8066of)+'&vpage='+escape(a8066op)+'" />');</SCRIPT>
<IMG style="WIDTH: 0px; HEIGHT: 0px" src="http://vip2.51.la/go.asp?we=A-Free-Service-for-Webmasters&svid=14&id=2138066&tpages=2&ttimes=1&tzone=8&tcolor=32&sSize=1280,1024&referrer=&vpage=http%3A//gggggre.cn/0004/zz.htm"></BODY>

嗯，原来是TMD个统计。

当然，在写日志之间我已经知道gggggre.cn 是TMD个统计引用了，不过我很反感这样的垃圾出现在自己的网站上，于是继续一路下去……

2、找用户

估计2138066 是个ID，于是找到相应的用户网站为“小黑黑...-0.0- 加油!”，但没有权限查看相关数据，未果。

3、查域名

查到相应的Whois 信息，此米的.com 还未被注册：

引用

Domain Name: gggggre.cn
ROID: 20080918s10001s17045504-cn
Domain Status: ok
Registrant Organization: 陈华
Registrant Name: 华陈
Administrative Email: 123635566@qq.com
Sponsoring Registrar: 厦门华商盛世网络有限公司
Name Server:dns1.96ns.com
Name Server:dns2.96ns.com
Registration Date: 2008-09-18 04:09
Expiration Date: 2009-09-18 04:09

有了QQ 号、公司名称、联系人姓名，我还不至于去质问人家什么；不过这样公开人家的信息，会不会怎么怎么样呢？Whois 不就是用来全球人民查看的么，虚毛；18号才注到米，今天就有反应了……

4、问搜索

我想，我不可能这么幸运的一个人中招吧？虽然gggggre.cn 才两天，于是分别百度与Google 之，又是一个比较：

百度给我说：

引用

您可以直接访问：gggggre.cn

嗯，很好！它同时还说如果您在寻找包含“gggggre.cn”的所有网页，请点击这里查询，但结果也是抱歉，没有找到与“domain:gggggre.cn” 相关的网页。

但Google 还算给了我一个结果，原来还真有命运相同的人，也是今天才发的帖。

比较之下，才知道原来搜索引擎还是有不同的……

上面的事情已经说完，到最后没有结果，大不了我可能全部删除那个Z-Blog，也难得排查问题的原因。

上面对浏览器和搜索引擎的对比，只是一个稍微细心一点的用户的实际使用情况，或许也带有一点主观情绪，因为两样主角都是Google 的东西。

曾经，我也盗过号，抓过包，种过马，养过鸡，拦过密码，刷过流量，搞过窗弹……我菜鸟，我自豪。