源代码公开测试-关于天蝎座报毒的真相

发表评论
303 次浏览

A+

所属分类：技术关注

关于微博上有人说天蝎座有后门，被绑马的事情。
团队负责代码的Poe同学忍不住了~
决定开始找原因~

于是，我们将报毒的源代码放出来，大家自己编译，看看是多么奇葩和乌龙~
玩C#的同学也注意了，以后别再用这个方法了~会误报毒的！

还是幽灵木马呢~

—————————————————-

首先，我们打开天蝎座的时候是不报毒的~

在使用一些功能的时候报毒了~就像下图~

好的，我们直接将代码扣出来~看看

using System;
using System.Collections.Generic;
using System.ComponentModel;
using System.Data;
using System.Drawing;
using System.Linq;
using System.Net;
using System.Text;
using System.Threading.Tasks;
using System.Windows.Forms;
namespace Test
{
    public partial class Form1 : Form
    {
        public Form1()
        {
            InitializeComponent();
        }
        private void button1_Click(object sender, EventArgs e)
        {
            try
            {
                string url = this.textBox1.Text;
                try
                {
                    //url解析
                    Uri _A = new Uri(url);
                    url = _A.Authority;
                }
                catch (System.Exception ex)
                {
                }
                this.textBox2.Text = SIPAddress(url);
            }
            catch
            {
                MessageBox.Show("请放入正确的域名");
            }
        }
        public string SIPAddress(string ip)
        {
            //string ip = "";
            string address = "";
            try
            {
                //根据Ip  
                //连接地址 
                string scanUrl = @"http://www.ip138.com/ips138.asp?ip=" + ip + "&action=2";
                string html = GetHtmlToURL(scanUrl);
                //解析
                string a1 = ">>";
                string html1 = html.Substring(html.IndexOf(a1) + 2, html.Length - html.IndexOf(a1) - 2);
                string ipHtml = html1;
                ip = ipHtml.Substring(0, ipHtml.IndexOf("<"));
                address = ipHtml.Substring(ipHtml.IndexOf("本站主数据") + 6, ipHtml.IndexOf(@"</li") - ipHtml.IndexOf("本站主数据") - 6);
            }
            catch (System.Exception ex)
            {
                //this.ip = ip;
                address = "未知";
            }
            return address;
        }
        private string GetHtmlToURL(string url)
        {
            string respHTML = "";
            try
            {   //获取HTML页面
                HttpWebRequest request = (HttpWebRequest)WebRequest.Create(url);
                request.Method = "GET";
                request.ContentType = "application/x-www-form-urlencoded";
                request.KeepAlive = true;
                request.UserAgent = "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/535.19 (KHTML, like Gecko) Chrome/18.0.1025.142 Safari/535.19";
                request.AllowAutoRedirect = true;
                //request.Timeout = 1000;
                request.CookieContainer = new CookieContainer();
                System.Net.HttpWebResponse res = (System.Net.HttpWebResponse)request.GetResponse();
                if (res.StatusCode == System.Net.HttpStatusCode.OK)
                {
                    System.IO.Stream s = res.GetResponseStream();
                    System.IO.StreamReader reader = new System.IO.StreamReader(s, System.Text.Encoding.Default);
                    respHTML = reader.ReadToEnd();
                }
            }
            catch
            {
            }
            return respHTML;
        }
    }
}

——————————————

真相是，我们只是链接ip138去查信息，包括链接whois网站等等网站的时候

使用了c#的一个方法~然后就报毒了~

为了证明，我们单独写个demo，就这么点代码~看看会怎么样呢？