6.cn 恶意弹窗的跟踪调查
Published on 13:02, 09/11,2007
关于近来活动猖獗的 6.cn 恶意弹窗病毒，360安全论坛上的一位网友给出了比较详尽的解释，一句话总结就是，一个很狡猾的网站 www.mmtw.cn 站长利用技术手段，以知名视频网站六间房的网页为伪装，利用普通网民的电脑为其自己的网站增加点击量，借此获取不正当利益。除了给出详尽的解释外，这位网友给出了防范 6.cn 弹窗的有效措施。
无论这位网友的分析是否客观准确，至少是有一定道理，能够自圆其说的，为了让众多网民尽快关注并了解此次恶意弹窗事件的真相，我决定将这位网友的分析全文转载于此。若您对此事有更深入的了解，也烦请通过评论或邮件的方式告诉我。
最近发现有很多网友举报6.cn/(六间房)网站广告弹窗口。
早上无聊，去看看这破广告到底有什么能耐。
找了好久，终于有点收获，据说跳广告窗口是这个网页：
hXXp://union.mmtw.cn/liu.asp?id=chenlin_a17
一进入就弹广告，几秒循环一次，靠！！
第一次来不及反映，浏览器直接卡死。
怨，关浏览器，开SSM与嗅探器，重新进入，仍然弹广告
这次反映快了点，它边弹我边关，哈哈``终于赢了。
关闭后，开嗅探器，从几百记录中跟踪如下：
访问的IP：
202.100.81.80
IP ： 202.100.81.80
地址： 甘肃省兰州市 电信
hXXp://6.cn/watchtc/heywz/ay300.html
这个就是弹广告的地址。
61.139.37.26
IP ： 61.139.37.26
地址： 四川省成都市 电信
hXXp://union.mmtw.cn/liu.asp?id=chenlin_a17
这个是跳网页的主地址，一开始就是从这里进的。
IP ： 61.139.126.72
地址： 四川省绵阳市 电信机房
hXXp://www.mmtw.cn
这个才是罪魁祸首，大垃圾
222.191.251.102
IP ： 222.191.251.102
地址： 江苏省 江阴机房
http://count.51yes.com/basicdata.aspx?id=90806476
是个连接的网站统计。
122.224.146.43
IP ： 122.224.146.43
地址： 浙江省 电信
http://www.51.la/?1200858
51的网站流量统计
还发现了个奇怪的现象：
这个明明是六间房的地址，为什么IP会是hXXp://www.mmtw.cn 的？
后来看了数据包，原来hXXp://www.mmtw.cn是在借刀杀人。
通过在hXXp://www.mmtw.cn自己网站上，建立六间房电影的连接地址。
由于连接的是六间房的网页。所以大家都误以为六间房在弹广告。
看看hXXp://union.mmtw.cn/liu.asp?id=chenlin_a17的代码：
利用框架方式挂了六间房的连接。下面另一个是流量统计。
当打开hXXp://union.mmtw.cn/liu.asp?id=chenlin_a17的时候，它会不停的刷新。
在刷新过程中会不停执行上面的代码，并连接六间房电影的连接地址。
而且是随机的，例如：
hXXp://6.cn/watchtc/pplive/ay383.html
hXXp://6.cn/watchtc/heywz/ay300.html
hXXp://6.cn/watchtc/heywz/ay80.html
所以会不停的弹广告。
结果是：
好了，看看它刷新的结果吧：
一个月的PV流量接近6000万！！！
那些不停弹网页的人肯定愁死了`` -_-!
解决方法！！！！：
方法一：
1、暂时断开网络，关闭浏览器。
2、打开Hosts，它的位置在：
C:\Widows\System32\Drvers\Etc
是个未知格式的文件，没有扩展名的，双击打开，选择为记事本方式运行：
3、然后添加如下内容：
注意，127.0.0.1和那个网址之间要有个空格啊，然后关闭，点保存就可以了。
4、重启电脑。
解决方法二（推荐）：
先断开网络。
1、打开控制面板-Internet选项-安全-点击那个“受限制的站点”-再点下面的那个“站点”。
2、添加下面内容：
3、冷启动方式重启电脑。
早上无聊，去看看这破广告到底有什么能耐。
找了好久，终于有点收获，据说跳广告窗口是这个网页：
hXXp://union.mmtw.cn/liu.asp?id=chenlin_a17
一进入就弹广告，几秒循环一次，靠！！
第一次来不及反映，浏览器直接卡死。
怨，关浏览器，开SSM与嗅探器，重新进入，仍然弹广告
这次反映快了点，它边弹我边关，哈哈``终于赢了。
关闭后，开嗅探器，从几百记录中跟踪如下：
访问的IP：
202.100.81.80
IP ： 202.100.81.80
地址： 甘肃省兰州市 电信
hXXp://6.cn/watchtc/heywz/ay300.html
这个就是弹广告的地址。
61.139.37.26
IP ： 61.139.37.26
地址： 四川省成都市 电信
hXXp://union.mmtw.cn/liu.asp?id=chenlin_a17
这个是跳网页的主地址，一开始就是从这里进的。
IP ： 61.139.126.72
地址： 四川省绵阳市 电信机房
hXXp://www.mmtw.cn
这个才是罪魁祸首，大垃圾
222.191.251.102
IP ： 222.191.251.102
地址： 江苏省 江阴机房
http://count.51yes.com/basicdata.aspx?id=90806476
是个连接的网站统计。
122.224.146.43
IP ： 122.224.146.43
地址： 浙江省 电信
http://www.51.la/?1200858
51的网站流量统计
还发现了个奇怪的现象：
这个明明是六间房的地址，为什么IP会是hXXp://www.mmtw.cn 的？
后来看了数据包，原来hXXp://www.mmtw.cn是在借刀杀人。
通过在hXXp://www.mmtw.cn自己网站上，建立六间房电影的连接地址。
由于连接的是六间房的网页。所以大家都误以为六间房在弹广告。
看看hXXp://union.mmtw.cn/liu.asp?id=chenlin_a17的代码：
利用框架方式挂了六间房的连接。下面另一个是流量统计。
当打开hXXp://union.mmtw.cn/liu.asp?id=chenlin_a17的时候，它会不停的刷新。
在刷新过程中会不停执行上面的代码，并连接六间房电影的连接地址。
而且是随机的，例如：
hXXp://6.cn/watchtc/pplive/ay383.html
hXXp://6.cn/watchtc/heywz/ay300.html
hXXp://6.cn/watchtc/heywz/ay80.html
所以会不停的弹广告。
结果是：
好了，看看它刷新的结果吧：
一个月的PV流量接近6000万！！！
那些不停弹网页的人肯定愁死了`` -_-!
解决方法！！！！：
方法一：
1、暂时断开网络，关闭浏览器。
2、打开Hosts，它的位置在：
C:\Widows\System32\Drvers\Etc
是个未知格式的文件，没有扩展名的，双击打开，选择为记事本方式运行：
3、然后添加如下内容：
注意，127.0.0.1和那个网址之间要有个空格啊，然后关闭，点保存就可以了。
4、重启电脑。
解决方法二（推荐）：
先断开网络。
1、打开控制面板-Internet选项-安全-点击那个“受限制的站点”-再点下面的那个“站点”。
2、添加下面内容：
3、冷启动方式重启电脑。
直接按住电源键 5 秒以上，使电脑直接断电关机，重启后不再出现弹窗。
另外，那个hXXp://union.mmtw.cn/liu.asp?id=chenlin_a17究竟是如何来的还未知
我比较过求助网友十多份的日志，不过并无收获。
很多人都说是ISP搞的鬼，看来并非以讹传讹。。。
另外，那个hXXp://union.mmtw.cn/liu.asp?id=chenlin_a17究竟是如何来的还未知
我比较过求助网友十多份的日志，不过并无收获。
很多人都说是ISP搞的鬼，看来并非以讹传讹。。。
4. 终极解决方案。
在 360安全论坛上下载此 隐身僵尸木马专杀工具
从 
