Как Вы перепроектировали бы это?

Пока можно декодировать вручную, это может скоро стать утомительным, когда у Вас есть много этапов декодирования. Я обычно заменяю оценку/запись для наблюдения каждого шага:

<script>
    window.__eval= window.eval;
    window.eval= function(s) { if (confirm('OK to eval? '+s)) return this.__eval(s); }
    document.__write= document.write;
    document.write= function(s) { if (confirm('OK to write? '+s)) return this.__write(s); }
</script>

Однако этот конкретный сценарий защищен от этого преднамеренным контролем window.eval. Использование arguments.callee также означает, что сценарий полагается на формат конкретного браузера Function.toString в этом случае IE - это не будет работать над другими браузерами. Можно поместить обходные решения в заменяющую функцию оценки для предоставления сценария, что она ожидает в этом случае, но это - все еще что-то вроде боли.

Вы могли использовать Отладчик сценариев для продвижения через код, или что я сделал в этом случае был, позволяют коду работать, в виртуальной машине без сетей этого я мог позволить себе списать. Путем рассмотрения document.body.innerHTML после того, как работал код, я нашел, что он добавил, что невидимый iframe указал:

hxxp://62bc13b764ad2799.bbe4e7d3df5fdea8.axa3.cn/elanguage.cn/

который перенаправляет к:

hxxp://google.com.upload.main.update.originalcn.cn/ebay.cn/index.php

который, просматриваемый в подходящих условиях в IE, дает Вам загрузку использования. Не переходите к этим URL.

Короче говоря Ваш сервер был взломан axa3.cn, одной из многих размещенных китайцами, но управляемых русскими вредоносных банд в операции в данный момент.

Можно попробовать консоль поджигателя и сломать ее по частям. Как запуск:

var jQuery = eval('w;iLn0d;opw;.0epv_a_l;'.replace(/[;0_pL]/g, ''));

просто маскирует функцию "оценки" как "jQuery"

Просто запишите сценарий жемчуга или что-то, что изменяет все завершенные шестнадцатеричные символы на ASCII? Затем просто просмотрите regexs для наблюдения то, что точно происходит, и сделайте то же самое с perl/whatever сценарием.

Самый легкий подход был бы слишком просто использованием простая c программа для преобразования завершенных шестнадцатеричных символов в читаемый текст как так:

#include <stdio.h>

const char wtf[] = ""; // Really long string goes here

int main(void) {
    ::printf("%s\n", wtf);
}

который приводит к этому (я добавил форматирование). Я позволю Вам разрушить последнюю часть, которая, кажется, больше того же.

очень тщательно - если кто-то собирается в эту большую проблему запутать код, это - вероятно, некоторый сценарий нападения

можно произвести результаты выполнения шаг за шагом с помощью локального файла HTML и взять его часть за один раз

выполнение этого я добираюсь:

var jQuery = "eval(" + 
    'w;iLn0d;opw;.0epv_a_l;'.replace(/[;0_pL]/g, '') + 
    ");";
document.writeln('jQuery=' + jQuery);

который уступает

jQuery=eval(window.eval);

который, как crescentfresh наблюдаемый, связывает переменный jQuery с функцией window.eval.

следующий раздел, очевидно, пробует к оценке что-то в шестнадцатеричном коде, поэтому давайте посмотрим то, на что шестнадцатеричная строка кода похожа (переформатированный вручную в целях презентации):

    function g4LZ(s9QNvAL)
    {
        function eDdqkXm(fX09)
        {
            var uaWG=0;
            var jtoS=fX09.length;
            var aCD6=0;
            while(aCD6wQ5.length)
                d971I=0;
            if(f234SD>lIXy6md.length)
                f234SD=0;
            kyCyJ+=String.fromCharCode(nCV2eO^ocx) + '';
        }
        eval(kyCyJ);
        return kyCyJ=new String();
    }
    catch(e){}
}
g4LZ('%33...%5e');

и теперь у нас есть завершенная строка в конце, давайте посмотрим то, что там использует неEscape (усеченный для презентации):

30248118GA0* l: WRG:nt9*82:) 7Z\uF %* {...

откровенно говоря, я скучаю, демонтируя это, так вместо этого я вывел его в локальный файл HTML, разъединенный от Интернета, открытый Firefox, отключенный JavaScript, загрузил файл в Firefox, включил поджигателя, перезагрузил страницу, таким образом, это будет работать и осмотрело DOM.

сценарий создает IFRAME с набором SRC к [измененный для безопасности!]:

http://4b3b9e839fd84e47 [DO NOT CLICK THIS URL] .27f721b7f6c92d76.axa3.cn/elanguage.cn/

axa3.cn является китайским доменом на вредоносном черном списке

Я знаю не ответ, но обычно (где я видел этот вид материала), они размещаются поэтому, если та строка не выполняется, все остановки сценария. Почему они делают это? Хорошо, потому что они печатают свое авторское право на сценарий (или чаще шаблон).

То, когда люди переходят ко всей этой проблеме Вам для предоставления распознавания, - то, потому что у них действительно есть удалить лицензия авторского права, я рекомендовал бы платить за него, с тех пор даже если Вы "перепроектируете" это, они могут (и иметь) другие способы проверить, верна ли Ваша лицензия. (часть того программного обеспечения на самом деле отправит некоторое сообщение при выполнении этого).

Но, прежде чем я получаю любой вид пламени, я согласовываю его интересное, чтобы возвратиться в этом виде ценных бумаг и получить исходный код и повредить его =)