電波姫休憩所セキュリティ講座

４．問題HTMLページ例

　ホームページを閲覧するという形で感染させられる場合、Internet Explorerの仕様というか弱点を突いたものが大半です。
　（バグというか弱点というか仕様というか。そこを逆手に取って悪用してくる）
　電波姫日記「2005/04/27:ぱくりHP」からの引用ですが、Yahooで「リネージュ」検索するとスポンサーサイトにとんでもないものが出ます。

Yahoo検索例

YAHOO検索の一例。
つーてもこんな画像とか作るの、アホみたい。しかしアホでもやる。それがアホ。

　画像を見ると、「スポンサーサイト」という部分に検索結果として二カ所のリンクが表示されています。
　スポンサーサイトってゆーのは、金払って上位の別スペースに表示してもらう権利を持ってるサイト。
　金払ってでも上に載って開かせたら勝ちってことですかね。
　中のページはステキなほど日本語がグッチャグチャです。
　以下の二点リンクは該当サイトにはつながってません。だから開いて大丈夫。
　感染のためのスクリプトも除外してあります。
　どんだけステキな日本語なのか読んで楽しもうというものです。（楽しい…のか？）

以下二つの画像のリンク先は加工済みなので開いても感染しません。興味はあるけどモノホン見るのは気味悪い、って方はどうぞ。画像の○の部分。ここに0×0サイズのインラインフレームが埋め込まれていました。画像のリンク先の加工ソースでは該当部のインラインフレームを表示させています。
リネージュ情報館	リネージュゲーム site
リネージュ情報を提供して，攻撃策略の心得，武器の装備,新鮮な壁紙. ↑閲覧用にソース加工してあります。ダミーサイトなので安全です。	攻略情報局。リネージュの地図。リネージュ裏技-NEW。 ↑閲覧用にソース加工してあります。ダミーサイトなので安全です。
もう紹介文自体が日本語からずれてる。ステキ。（違）新鮮な壁紙って何だ？ぴちぴちなのか？ぴちぴちぎゃるか？（古）「ヒロト甲本」はどのサーバーの人なのか。非常に気になります。こちらは右以上の爆裂した日本語でデキテマス。 ~~どこのサイトのパクリなのか不明。~~ 判明しました。更新停止の放置状態のようです。制作者の方もいるんだか、いないんだか…	リネージュ裏技、とか書いちゃったりして開きそうな感じです。実際には裏技すぎてヤラレル側としては最悪の裏技ですわ。画像からデータからパクリだらけでステキすぎます。左上にちらっと見える赤丸がポイント。ここに0×0サイズのインラインフレームを設置し、 SPY_LINEAGE.GENの強制インストールを仕掛けています。なんかね、もうありえないアイテムとかあるんだけど。またソース内に聞いたことないような書体が指定されてます。
0×0インラインフレーム部では「ad.htm」が表示されるようになっています。（見本ソースでは外しています） ad.htm内にて直下にある「svchost.exe（49KB）」を実行するように指定しています。（もともとSvchost.exeはWindows内にあり、起動関連等通常のプロセスを担っています） Windows内にあるのに、サーバー上のSvchost.exeを読み込ませ動作させる、という役目を持っています。通常のsvchost.exeは14-21KB。もう何してくれてんだこの野郎て感じですね。本来Windows上にあるファイルと同一にすることで偽装し、ばれにくくするという意図が見えます。また、上二つのサイト共通で「ad.htm」が指定されてます。ホームページ自体を制作した人間が同じなのか、それとも「ad.htm」と「偽のSvchost.exe」を配布してる奴がいるのか。インラインフレーム以外のソース的な類似点がなく、加工者は別人同士だろうなぁ… 二つのサイトのad.htmの内容はほぼ同じです。エンコード部分だけ相違がありますが。デコード化してないんで内容不明です。めんどくさ。とりあえずこれ作った奴もう逝けと言いたいとこだけど、精神的には逝ってそうだ。

　とりあえずペケ。ペケまくり。どペケケケケケケ。
　ためしに検索するまでは平気だけど、好奇心だけなら開かない方が無難です。
　ちなみに私は好奇心ぶっちぎりで開きました。なんだよ文句あるんかい(゜Д゜)

また別のフレーズでリネージュ関係をYahoo検索すると「http://www.01919.com」というのが出ます。
実際にはフルフレームでhttp://www.rmtvv.com/が表示されます。
こちらの中身もまったくもって調べてない。
が、ざっと見たところあまり楽しい感じではない。
頭イテェ。



		これは私の考えすぎかもしれませんが。『短期間で「スパイウエア・ウイルス」を改変している』可能性があります。考えすぎだよって言われるかもしれないけどさ。そうでないと理由がつけられんのがある。

＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋

以下二つの画像のリンク先は加工済みなので開いても感染しません。興味はあるけどモノホン見るのは気味悪い、って方はどうぞ。画像の○の部分。ここに0×0サイズのインラインフレームが埋め込まれていました。画像のリンク先の加工ソースでは該当部のインラインフレームを表示させています。
リネージュ情報館	リネージュゲーム site
リネージュ情報を提供して，攻撃策略の心得，武器の装備,新鮮な壁紙. ↑閲覧用にソース加工してあります。ダミーサイトなので安全です。	攻略情報局。リネージュの地図。リネージュ裏技-NEW。 ↑閲覧用にソース加工してあります。ダミーサイトなので安全です。
もう紹介文自体が日本語からずれてる。ステキ。（違）新鮮な壁紙って何だ？ぴちぴちなのか？ぴちぴちぎゃるか？（古）「ヒロト甲本」はどのサーバーの人なのか。非常に気になります。こちらは右以上の爆裂した日本語でデキテマス。 ~~どこのサイトのパクリなのか不明。~~ 判明しました。更新停止の放置状態のようです。制作者の方もいるんだか、いないんだか…	リネージュ裏技、とか書いちゃったりして開きそうな感じです。実際には裏技すぎてヤラレル側としては最悪の裏技ですわ。画像からデータからパクリだらけでステキすぎます。左上にちらっと見える赤丸がポイント。ここに0×0サイズのインラインフレームを設置し、 SPY_LINEAGE.GENの強制インストールを仕掛けています。なんかね、もうありえないアイテムとかあるんだけど。またソース内に聞いたことないような書体が指定されてます。
0×0インラインフレーム部では「ad.htm」が表示されるようになっています。（見本ソースでは外しています） ad.htm内にて直下にある「svchost.exe（49KB）」を実行するように指定しています。（もともとSvchost.exeはWindows内にあり、起動関連等通常のプロセスを担っています） Windows内にあるのに、サーバー上のSvchost.exeを読み込ませ動作させる、という役目を持っています。通常のsvchost.exeは14-21KB。もう何してくれてんだこの野郎て感じですね。本来Windows上にあるファイルと同一にすることで偽装し、ばれにくくするという意図が見えます。また、上二つのサイト共通で「ad.htm」が指定されてます。ホームページ自体を制作した人間が同じなのか、それとも「ad.htm」と「偽のSvchost.exe」を配布してる奴がいるのか。インラインフレーム以外のソース的な類似点がなく、加工者は別人同士だろうなぁ… 二つのサイトのad.htmの内容はほぼ同じです。エンコード部分だけ相違がありますが。デコード化してないんで内容不明です。めんどくさ。とりあえずこれ作った奴もう逝けと言いたいとこだけど、精神的には逝ってそうだ。