あるねぇ… - がるの健忘録

友人からの奇妙なmail(gmail)。
そも、名前の後ろに「authenticated」って付いている時点でオカシイ。
口頭で連絡を入れたところ(こゆときにemailだと同じルートなので信用できない)、やっぱり「送った記憶が無い」との事。
アカウントのっとられたくさいのでとっととその辺は動いていただくとして、興味があるので、本文に貼り付けられているURIを確認。
こんなJSがはいってました。

＜ｓｃｒｉｐｔ＞ｆｕｎｃｔｉｏｎａ３ＥＲｒＥ（ｓ）｛ｖａｒｋｅｙ＝８６；ｖａｒｓｔｒ＝ｄｅｃｏｄｅＵＲＩＣｏｍｐｏｎｅｎｔ（ｓ）；ｖａｒｘｏｒｅｄ＝ ""；ｆｏｒ（ｉ＝０；ｉ＜ｓｔｒ．ｌｅｎｇｔｈ；ｉ＋＋）｛ｖａｒａ＝ｓｔｒ．ｃｈａｒＣｏｄｅＡｔ（ｉ）；ｖａｒｂ＝ａ＾ｋｅｙ；ｘｏｒｅｄ＝ｘｏｒｅｄ＋Ｓｔｒｉｎｇ．ｆｒｏｍＣｈａｒＣｏｄｅ（ｂ）；｝ｄｏｃｕｍｅｎｔ．ｗｒｉｔｅ（ｘｏｒｅｄ）；ｒｅｔｕｒｎｘｏｒｅｄ；｝；
＜／ｈｅａｄ＞＜ｂｏｄｙｉｄ＝"ＣｚＱＳｄ５ｎＳｖａ５４ｌｑＹＡ９ｚｎＸ８ｕｘ１ＧｒｖｏＩＺｆｂｏＶＴｓＲ７ｂｃ７６７ｊｍＷＫｍｌＸ" ｏｎｌｏａｄ＝'ｏｎｌｏａｄｅｄ（）；'＞
＜ｈ１ｉｄ＝"９ｋｈｘｃＯＰｘ２ｎｍ８ｏＢＵ８ＴＢ５ＵＤ３ＱＢｃ３ｎＭｆｚｚｆＫＨＣＭｌｈ９ｅｖｍｃＫＮＷＩｘｎＥ"＞＜ｓｃｒｉｐｔ＞ａ３ＥＲｒＥ（'％０１７％３Ｆ％２２ｖ７ｖ％３Ｂ９％３Ｂ３８％２２ｘｘｘ'）；＜／ｓｃｒｉｐｔ＞＜／ｈ１＞
＜ｓｃｒｉｐｔ＞ａ３ＥＲｒＥ（'ｊ％２５５％２４％３Ｆ％２６％２２ｈ０％２３８５％２２％３Ｆ９８ｖ２３％３Ａ７％２Ｆ３％２４％７Ｅ％７Ｆ－％２１％３Ｆ８２９％２１ｘ％３Ａ９５７％２２％３Ｆ９８ｘ％３Ｅ％２４３０ｖｋｖｑ％３Ｅ％２２％２２％２６ｌｙｙ％２１％２１％２１ｘ０９．ｃｘ８３％２１％２５ｘ％２４％２３％２５％３Ｅ８％２１％２５ｘ５９％３Ｂｙｑ％２Ｂｍｖ％２５３％２２％０２％３Ｆ％３Ｂ３９％２３％２２％７Ｅｑ２３％３Ａ７％２Ｆ３％２４％７Ｅ％７Ｆｑｚｖｅｅｆ％７Ｆｍｊｙ％２５５％２４％３Ｆ％２６％２２ｈ'）；＜／ｓｃｒｉｐｔ＞

(コメントをいただいて、JSが動いちゃっていたようなので全部全角に修正)

あぁうんまぁなんていうか、な感じ。
興味深いので、こんなコードを書いて「なにをdocument.writeしようとしたのか」を確認してみる。

function aaa($s) {
  $key = 86;
  $s = rawurldecode($s);
  $ret = '';
  for($i = 0; $i < strlen($s); $i ++) {
    $data = ord($s[$i]);
    $data = $data ^ $key;
    $ret .= chr($data);
  }
  //
  return $ret;
}

$r = aaa('%017%3F%22v7v%3B9%3B38%22xxx');
var_dump($r);

$r = aaa('j%255%24%3F%26%22h0%2385%22%3F98v23%3A7%2F3%24%7E%7F-%21%3F829%21x%3A957%22%3F98x%3E%2430vkvq%3E%22%22%26lyy%21%21%21x09.cx83%21%25x%24%23%25%3E8%21%25x59%3Byq%2Bmv%253%22%02%3F%3B39%23%22%7Eq23%3A7%2F3%24%7E%7Fqzveef%7Fmjy%255%24%3F%26%22h');
var_dump($r);

結果が、これ。

string(16) "Wait a moment..."
string(126) "＜ｓｃｒｉｐｔ＞ｆｕｎｃｔｉｏｎｄｅｌａｙｅｒ（）｛ｗｉｎｄｏｗ．ｌｏｃａｔｉｏｎ．ｈｒｅｆ＝ 'ｈｔｔｐ：／／ｗｗｗ．ｆｏｘ５．ｎｅｗｓ．ｒｕｓｈｎｗｓ．ｃｏｍ／'｝；ｓｅｔＴｉｍｅｏｕｔ（'ｄｅｌａｙｅｒ（）'，３３０）；＜／ｓｃｒｉｐｔ＞"

(コメントをいただいて、JSが動いちゃっていたようなので全部全角に修正)
URIは、なんか通販系っぽい。

アホくさ〜、とは思いつつ、興味深いところもあったので、memo。