Question

Rsaencrypt 이상한 자바 스크립트 기능 (예, T, R, N, C, A, L) : 각 페이지를 다시로드와

<script type="text/javascript"> 
n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
e = '010001'; 
</script> 
<script>!function(e,t,r,n,c,a,l){function i(t,r){return r=e.createElement('div'),r.innerHTML='<a href="'+t.replace(/"/g,'&quot;')+'"></a>',r.childNodes[0].getAttribute('href')}function o(e,t,r,n){for(r='',n='0x'+e.substr(t,2)|0,t+=2;t<e.length;t+=2)r+=String.fromCharCode('0x'+e.substr(t,2)^n);return i(r)}try{for(c=e.getElementsByTagName('a'),l='/cdn-cgi/l/email-protection#',n=0;n<c.length;n++)try{(t=(a=c[n]).href.indexOf(l))>-1&&(a.href='mailto:'+o(a.href,t+l.length))}catch(e){}for(c=e.querySelectorAll('.__cf_email__'),n=0;n<c.length;n++)try{(a=c[n]).parentNode.replaceChild(e.createTextNode(o(a.getAttribute('data-cfemail'),0)),a)}catch(e){}}catch(e){}}(document);</script></script> 

N 값이 변경 . 내가 프리랜서에서 내 웹 페이지의 템플릿을 얻고 먼저 이전에 게시 확인하고자했다

, 내가 data-cfemail 또는 .__cf_email__ 같은 코드의 속성을 발견 캔트 때문에 나에게 이상한 또한 /cdn-cgi/l/email-protection#

같은 것을 가지고 있겠지 알려주세요 그것은 무엇입니까? 그것은 악의적 일 수 있습니까? 그것이 무엇을 테스트해야합니까?

Answer 1

이 코드는 그래서 그들을 모든 페이지의 링크, 반복을 얻고 링크가

/cdn-cgi/l/email-protection# 

포함되어있는 경우 다음을 수행

e /*document*/ .getElementsByTagName('a') 

로 시작

a.href='mailto:'+o(a.href,t /*the position of the upper inside the link*/+l.length /*the length of the upper*/) 

코드 내에서 반복되는 다른 루프

e.querySelectorAll('.__cf_email__') 

와 이러한 요소의 텍스트 대체

o( 
    a /* one of the upper elems*/ .getAttribute('data-cfemail'), 
    0 
) 

은 그래서 재미있는 것은 실제로 신비 O 기능입니다. N 반면

String.fromCharCode('0x'+e.substr(t,2) /*the pair*/^n); 

이다 :

n='0x'+e.substr(t,2)|0 

때문에 기본적으로 처음 두 바이트에 기초하여 XOR 연산을 수행하는 전달 된 문자열로 반복은 2 바이트 쌍 변환있다. 그래서이 :

A1 B2 C3 D4 

이 결과는 다음 작은 트릭을 사용하여 동적 URL 단축하고 반환

B2^A1 
C3^A1 
D4^A1 

가 발생합니다. 그래서 기본적으로 이것은 어떤 종류의 이메일 보호입니다. 이것은 매우 기본적인 xor 암호화를 사용하여 내용을 암호화합니다. 그리고 그게 다야.

---

그 행동이 단순히 연결하는 콘텐츠에 대한 링크를 넣어 테스트하려면 :

//the start link we need: 
/cdn-cgi/l/email-protection# 
//the xor encryption disabler as (a^0 = a) 
00 
//test@example.com in hex 
74657374406578616d706c652e636f6d 

그리고 당신은 itll는이 test@example.com에 연결할 것을 볼 수 있습니다.

---

Test environment

그래서 나는 결론을 내릴 수있다 : 당신은 아마 몇 가지 코드는 이전 버전에서 남은이 암호화를 사용하는 링크 나 텍스트를 havent 경우이 스크립트는 무해한 이메일 링크 암호화입니다.

나는

Answer 2

임 죄송합니다, 그 mr.robot에서 부활절 달걀 사이트 아니지만 ... 두 변수 n 및 e는 아무것도 변경 시사하는 징후 발견 havent 한?

screen from site with this script

http://www.conficturaindustries.com/ 당신이 당신의 코드가 있는지 확인 있습니까?

자사의 이메일 인코딩 sript, 당신은 결과 페이지 코드를 보면, 당신은 당신이 발견