做加油机公司网站,工作室名字,怎么做纯文本网站,wordpress.概述
这是一例Phorpiex僵尸网络变种#xff0c;通过NSIS打包#xff0c;加载恶意dll(Flaminius.dll)#xff0c;读取dat文件#xff08;Preoral.dat#xff09;#xff0c;在内存解密并解压缩出一个Pe#xff0c;创建同名傀儡进程并注入。通过可移动存储介质传播#…概述
这是一例Phorpiex僵尸网络变种通过NSIS打包加载恶意dll(Flaminius.dll)读取dat文件Preoral.dat在内存解密并解压缩出一个Pe创建同名傀儡进程并注入。通过可移动存储介质传播通过IRC协议连接C2服务器内嵌了271个c2地址会检测沙箱替换系统剪贴板内容。
样本的基本信息
文件大小: 126 KB (129,638 字节)
MD5: 9365b48827f3cb8197a848b5541e44dc
SHA1: 8ab949370c6ccff66610da3dbddafc828b12e3e7
SHA256: 0d3313a93ddc742908a4b2396ebfe1e080ef9c31d759fa552842aae9b4dbafe7
PE32安装程序: Nullsoft Scriptable Install System(3.0b1)[lzma,solid]链接程序: Microsoft Linker(6.0*)[GUI32]附加: Binary数据: NSIS data是一个nsis打包的自解压程序使用7zip 15.05 解压后如下,有3个目录
│ [NSIS].nsi
│
├─$PLUGINSDIR
│ InstallOptions.dll
│ ioSpecial.ini
│ modern-header.bmp
│ modern-wizard.bmp
│ System.dll
│
├─$TEMP
│ Flaminius.dll
│ Preoral.dat
│
└─$_4_└─$_4_Uninstall.exe[NSIS].nsi脚本中有一段说明程序的入口在Flaminius.dll。 SetOutPath $TEMPFile Preoral.datFile Flaminius.dllSystem::Call Flaminius::Ninth重点分析这个Flaminius.dll
第二阶段 加载器 Flaminius.dll
样本的基本信息
Flaminius.dll:
Verified: Unsigned
Link date: 12:27 2016/9/2
Publisher: n/a
Company: Adobe Systems Incorporated
Description: Adobe Setup
Product: Adobe Setup
Prod version: 8,0,0,15
File version: 8,0,0,15
MachineType: 32-bit
MD5: 12DD13145E30FD83685161905E9A22B1
SHA1: 8822796E570D9D002A04610362A787CF410A3ACDPE32编译器: EP:Microsoft Visual C/C(6.0 (1720-8966))[DLL32]编译器: Microsoft Visual C/C(6.0)[msvcrt]链接程序: Microsoft Linker(6.0*)[DLL32]Preoral.dat:
Verified: Unsigned
File date: 21:18 2017/11/20
MD5: 85F94AE59CC3C63B1FA621BBF7723F44
SHA1: 80B56BD65AEF79CAB4DE4E0C57BAC4BF0921F872Flaminius.dll读取Preoral.dat的内容在内存中解密调用RtlDecompressBuffer函数解压后是一个pe创建一个同名的傀儡进程将这个pe注入其中。 使用OD动态调试将这个pe dump出来分析。这个样本静态分析不太容易其几乎所有的api都动态获取的。
第三阶段 解密解压后的pe
这个pe是病毒的主体主要功能都在里头。 样本的基本信息
Verified: Unsigned
Link date: 5:35 2017/11/19
MachineType: 32-bit
文件大小: 33.0 KB (33,792 字节 0x8400)
MD5: 35FFA90B7F75D4DB208436994BED3D3E
SHA1: 4BC8D1A3C0AD50FA3F07C86428F3CD33FCB7EC53
PE32编译器: EP:Microsoft Visual C/C(6.0 (1720-9782))[EXE32]编译器: Microsoft Visual C/C(2008 SP1)[msvcrt]链接程序: Microsoft Linker(9.0)[GUI32]
path:Cqoifh oiqhof qhoif oif8z8whfwh 8fho ehfoq hof hehue hb使用IDA打开很容易分析明白。 首先检测当前环境是否在沙箱中。通过查询硬盘的ProductId中是否含有关键字qemu、virtual 、vmware、xen来判断当前环境是否为沙箱。
若是沙箱话自毁并退出。自毁通过bat文件来实现在临时目录下创建一个bat文件文件名为10个字节的随机字符串。内容如下
:repeat
del 病毒路径
if exist 病毒路径 goto repeat
del C:\Users\ADMINI~1\AppData\Local\Temp\[随机10个字符].bat创建互斥量 t46防双开。 删除文件 病毒路径:Zone.Identifier。Zone.Identifier文件中的内容是一个文本文件其中包含了有关下载文件的安全区域的信息。该信息主要用于确定下载文件的来源并提供安全警告或限制性措施。
首先感染系统在系统中创建副本路径为下面三个之一目录M-505052074572749672056208574286582740540和winmgr.exe文件。
%windir%\M-505052074572749672056208574286582740540\winmgr.exe
%userprofile%\M-505052074572749672056208574286582740540\winmgr.exe
%temp%\M-505052074572749672056208574286582740540\winmgr.exe修改下列注册表项
添加防火墙策略
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
%windir%\M-505052074572749672056208574286582740540\winmgr.exe [%windir%\M-505052074572749672056208574286582740540\winmgr.exe]:*:Enabled:Microsoft Windows Manager
在这个配置中该应用程序被授权通过系统防火墙。具体的配置信息如下
- [%windir%\M-505052074572749672056208574286582740540\winmgr.exe] 表示应用程序的路径。
- *:Enabled 表示开启所有协议TCP和UDP的授权。
- Microsoft Windows Manager 是说明或备注表示这个应用程序是Microsoft Windows Manager。添加开机启动项启动项名为Microsoft Windows Manager
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]
Microsoft Windows ManagerC:\\Windows\\M-505052074572749672056208574286582740540\\winmgr.exe禁用windows Defind
[HKEY_LOCAL_MACHINE\SYSTEM\\CurrentControlSet\\services\\WinDefend]
Start 4首先感染系统会运行系统中的副本然后退出当前进程。 创建三个线程执行恶意操作。主要是感染可移动存储介质和远程驱动器、替换剪贴板中的内容、通过IRC协议连接C2执行恶意操作。 下面详细讲一下这三个线程的功能。
感染可移动存储介质
在U盘的根目录下创建了三个文件DeviceConfigManager.vbsautorun.inf.lnk一个目录_只有.lnk文件是显示状态其它文件都被隐藏了。 .lnk文件如下其图标为驱动器图标指向同目录下的DeviceConfigManager.vbs。 DeviceConfigManager.vbs的内容如下这是一个vbs文件其中的变量名是随机生成的,其中还有一些混淆代码没有显示。这个vbs的功能是关闭当前窗口并打开名为_的文件夹和_\DeviceConfigManager.exe文件。
...
Dim jllkhjaekeovdlz
Dim rhpsafddxaculbu
Dim imyhscwulsnrtpn
Set jllkhjaekeovdlz wscript.CreateObject(WScript.Shell)
Set rhpsafddxaculbu wscript.CreateObject(Scripting.FileSystemObject)
Set imyhscwulsnrtpn wscript.CreateObject(Shell.Application)向系统发送键盘命令具体是%{F4}表示按下Alt F4键组合用于关闭当前窗口。
jllkhjaekeovdlz.SendKeys %{F4}若存在名为_的文件夹打开该文件夹。
If rhpsafddxaculbu.FolderExists(_) Then
jllkhjaekeovdlz.Run _
End If若存在名为\DeviceConfigManager.exe的文件以最大化方式打开该文件
If rhpsafddxaculbu.FileExists(_\DeviceConfigManager.exe) Then
jllkhjaekeovdlz.Run _\DeviceConfigManager.exe, 2
End Ifautorun.inf文件如下其中有混淆的部分未显示这是一个自动运行脚本的标准autorun.inf文件内容如下这个autorun.inf文件的作用是在U盘插入计算机时自动运行U盘根目录下的_\DeviceConfigManager.exe文件并设置U盘的图标为系统SHELL32.dll文件的第4个图标文件夹图标。同时启用了AutoPlay功能用于实现病毒的自启动。
[autorun]
icon%SystemRoot%\system32\SHELL32.dll,4
open_\DeviceConfigManager.exe
UseAutoPlay1目录_下的为病毒的副本(DeviceConfigManager.exe)和原来U盘内的文件。 替换剪贴板的内容
根据以下规则替换系统剪贴板的文本内容
首字母在为这些字母13B2XDE0L4PARrtz之一首字母为4或2若长度为在90和115之间首字母不是4或2若长度在25到45之间不含有O、I、l三个字符只含有字母和数字字符
若满足上面的条件根据下面的规则替剪贴板中的内容。不知道其作用是啥。
连接C2地址
样本中内嵌了1个c2 IP和270个c2域名见IOC部分。 会依次连接这些c2若找到可用的c2地址后使用IRC协议与C2通信支持的IRC命令有PING、PONG、USER JOIN、NICK、PRIVMSG。 主要的功能有
自毁 获取主机信息 下载载荷执行或更新自身 首先通过访问http://api.wipmania.com/来获取当前的IP地域与命令中区域信息比对。 下载一个pe保存在临时目录下文件名为随机的10位字符执行。若有更新命令退出当前进程。
IOC
hash
9365b48827f3cb8197a848b5541e44dc 原始样本
12DD13145E30FD83685161905E9A22B1 加载器Flaminius.dll
85F94AE59CC3C63B1FA621BBF7723F44 加密的载荷 Preoral.dat
35FFA90B7F75D4DB208436994BED3D3E 注入傀儡进程的部分 文件
主机中
%temp%\[随机10个字符].bat 自毁脚本
%windir%\M-505052074572749672056208574286582740540\winmgr.exe 病毒副本
%userprofile%\M-505052074572749672056208574286582740540\winmgr.exe 病毒副本
%temp%\M-505052074572749672056208574286582740540\winmgr.exe 病毒副本
%temp%\[随机10个字符].exe 下载的载荷U盘中
X:\DeviceConfigManager.vbs 启动病毒打开目录_
X:\autorun.inf 用于自启动
X:\.lnk 诱导用户点击的快捷方式
X:\_\DeviceConfigManager.exe 病毒母体互斥量 t46注册表
添加防火墙策略
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
%windir%\M-505052074572749672056208574286582740540\winmgr.exe [%windir%\M-505052074572749672056208574286582740540\winmgr.exe]:*:Enabled:Microsoft Windows Manager
开机自启动
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
Microsoft Windows ManagerC:\\Windows\\M-505052074572749672056208574286582740540\\winmgr.exe
关闭winDefind
[HKEY_LOCAL_MACHINE\SYSTEM\\CurrentControlSet\\services\\WinDefend]
Start 4网络
http://api.wipmania.com/ 用于的获取当前IP地域信息
c2
220.181.87.80:5050
rohgoruhgsorhugih.ru:5050
oeihefoeaboeubfuo.ru:5050
iapghahpnpnapcipa.ru:5050
oeabocbeogoaehgoi.ru:5050
ageihehaioeoaiegj.ru:5050
eghoabeogbuaeofua.ru:5050
siiifibiiegiiciib.ru:5050
aefobfboabobfaoua.ru:5050
abvainvienvaiebai.ru:5050
goiaegodbuebieibg.ru:5050
rohgoruhgsorhugih.su:5050
oeihefoeaboeubfuo.su:5050
iapghahpnpnapcipa.su:5050
oeabocbeogoaehgoi.su:5050
ageihehaioeoaiegj.su:5050
eghoabeogbuaeofua.su:5050
siiifibiiegiiciib.su:5050
aefobfboabobfaoua.su:5050
abvainvienvaiebai.su:5050
goiaegodbuebieibg.su:5050
rohgoruhgsorhugih.ws:5050
oeihefoeaboeubfuo.ws:5050
iapghahpnpnapcipa.ws:5050
oeabocbeogoaehgoi.ws:5050
ageihehaioeoaiegj.ws:5050
eghoabeogbuaeofua.ws:5050
siiifibiiegiiciib.ws:5050
aefobfboabobfaoua.ws:5050
abvainvienvaiebai.ws:5050
goiaegodbuebieibg.ws:5050
rohgoruhgsorhugih.in:5050
oeihefoeaboeubfuo.in:5050
iapghahpnpnapcipa.in:5050
oeabocbeogoaehgoi.in:5050
ageihehaioeoaiegj.in:5050
eghoabeogbuaeofua.in:5050
siiifibiiegiiciib.in:5050
aefobfboabobfaoua.in:5050
abvainvienvaiebai.in:5050
goiaegodbuebieibg.in:5050
rohgoruhgsorhugih.kz:5050
oeihefoeaboeubfuo.kz:5050
iapghahpnpnapcipa.kz:5050
oeabocbeogoaehgoi.kz:5050
ageihehaioeoaiegj.kz:5050
eghoabeogbuaeofua.kz:5050
siiifibiiegiiciib.kz:5050
aefobfboabobfaoua.kz:5050
abvainvienvaiebai.kz:5050
goiaegodbuebieibg.kz:5050
rohgoruhgsorhugih.nl:5050
oeihefoeaboeubfuo.nl:5050
iapghahpnpnapcipa.nl:5050
oeabocbeogoaehgoi.nl:5050
ageihehaioeoaiegj.nl:5050
eghoabeogbuaeofua.nl:5050
siiifibiiegiiciib.nl:5050
aefobfboabobfaoua.nl:5050
abvainvienvaiebai.nl:5050
goiaegodbuebieibg.nl:5050
rohgoruhgsorhugih.de:5050
oeihefoeaboeubfuo.de:5050
iapghahpnpnapcipa.de:5050
oeabocbeogoaehgoi.de:5050
ageihehaioeoaiegj.de:5050
eghoabeogbuaeofua.de:5050
siiifibiiegiiciib.de:5050
aefobfboabobfaoua.de:5050
abvainvienvaiebai.de:5050
goiaegodbuebieibg.de:5050
rohgoruhgsorhugih.fr:5050
oeihefoeaboeubfuo.fr:5050
iapghahpnpnapcipa.fr:5050
oeabocbeogoaehgoi.fr:5050
ageihehaioeoaiegj.fr:5050
eghoabeogbuaeofua.fr:5050
siiifibiiegiiciib.fr:5050
aefobfboabobfaoua.fr:5050
abvainvienvaiebai.fr:5050
goiaegodbuebieibg.fr:5050
rohgoruhgsorhugih.it:5050
oeihefoeaboeubfuo.it:5050
iapghahpnpnapcipa.it:5050
oeabocbeogoaehgoi.it:5050
ageihehaioeoaiegj.it:5050
eghoabeogbuaeofua.it:5050
siiifibiiegiiciib.it:5050
aefobfboabobfaoua.it:5050
abvainvienvaiebai.it:5050
goiaegodbuebieibg.it:5050
rohgoruhgsorhugih.at:5050
oeihefoeaboeubfuo.at:5050
iapghahpnpnapcipa.at:5050
oeabocbeogoaehgoi.at:5050
ageihehaioeoaiegj.at:5050
eghoabeogbuaeofua.at:5050
siiifibiiegiiciib.at:5050
aefobfboabobfaoua.at:5050
abvainvienvaiebai.at:5050
goiaegodbuebieibg.at:5050
rohgoruhgsorhugih.ua:5050
oeihefoeaboeubfuo.ua:5050
iapghahpnpnapcipa.ua:5050
oeabocbeogoaehgoi.ua:5050
ageihehaioeoaiegj.ua:5050
eghoabeogbuaeofua.ua:5050
siiifibiiegiiciib.ua:5050
aefobfboabobfaoua.ua:5050
abvainvienvaiebai.ua:5050
goiaegodbuebieibg.ua:5050
rohgoruhgsorhugih.be:5050
oeihefoeaboeubfuo.be:5050
iapghahpnpnapcipa.be:5050
oeabocbeogoaehgoi.be:5050
ageihehaioeoaiegj.be:5050
eghoabeogbuaeofua.be:5050
siiifibiiegiiciib.be:5050
aefobfboabobfaoua.be:5050
abvainvienvaiebai.be:5050
goiaegodbuebieibg.be:5050
rohgoruhgsorhugih.hu:5050
oeihefoeaboeubfuo.hu:5050
iapghahpnpnapcipa.hu:5050
oeabocbeogoaehgoi.hu:5050
ageihehaioeoaiegj.hu:5050
eghoabeogbuaeofua.hu:5050
siiifibiiegiiciib.hu:5050
aefobfboabobfaoua.hu:5050
abvainvienvaiebai.hu:5050
goiaegodbuebieibg.hu:5050
rohgoruhgsorhugih.ir:5050
oeihefoeaboeubfuo.ir:5050
iapghahpnpnapcipa.ir:5050
oeabocbeogoaehgoi.ir:5050
ageihehaioeoaiegj.ir:5050
eghoabeogbuaeofua.ir:5050
siiifibiiegiiciib.ir:5050
aefobfboabobfaoua.ir:5050
abvainvienvaiebai.ir:5050
goiaegodbuebieibg.ir:5050
rohgoruhgsorhugih.pl:5050
oeihefoeaboeubfuo.pl:5050
iapghahpnpnapcipa.pl:5050
oeabocbeogoaehgoi.pl:5050
ageihehaioeoaiegj.pl:5050
eghoabeogbuaeofua.pl:5050
siiifibiiegiiciib.pl:5050
aefobfboabobfaoua.pl:5050
abvainvienvaiebai.pl:5050
goiaegodbuebieibg.pl:5050
rohgoruhgsorhugih.es:5050
oeihefoeaboeubfuo.es:5050
iapghahpnpnapcipa.es:5050
oeabocbeogoaehgoi.es:5050
ageihehaioeoaiegj.es:5050
eghoabeogbuaeofua.es:5050
siiifibiiegiiciib.es:5050
aefobfboabobfaoua.es:5050
abvainvienvaiebai.es:5050
goiaegodbuebieibg.es:5050
rohgoruhgsorhugih.ro:5050
oeihefoeaboeubfuo.ro:5050
iapghahpnpnapcipa.ro:5050
oeabocbeogoaehgoi.ro:5050
ageihehaioeoaiegj.ro:5050
eghoabeogbuaeofua.ro:5050
siiifibiiegiiciib.ro:5050
aefobfboabobfaoua.ro:5050
abvainvienvaiebai.ro:5050
goiaegodbuebieibg.ro:5050
rohgoruhgsorhugih.lu:5050
oeihefoeaboeubfuo.lu:5050
iapghahpnpnapcipa.lu:5050
oeabocbeogoaehgoi.lu:5050
ageihehaioeoaiegj.lu:5050
eghoabeogbuaeofua.lu:5050
siiifibiiegiiciib.lu:5050
aefobfboabobfaoua.lu:5050
abvainvienvaiebai.lu:5050
goiaegodbuebieibg.lu:5050
rohgoruhgsorhugih.gr:5050
oeihefoeaboeubfuo.gr:5050
iapghahpnpnapcipa.gr:5050
oeabocbeogoaehgoi.gr:5050
ageihehaioeoaiegj.gr:5050
eghoabeogbuaeofua.gr:5050
siiifibiiegiiciib.gr:5050
aefobfboabobfaoua.gr:5050
abvainvienvaiebai.gr:5050
goiaegodbuebieibg.gr:5050
rohgoruhgsorhugih.md:5050
oeihefoeaboeubfuo.md:5050
iapghahpnpnapcipa.md:5050
oeabocbeogoaehgoi.md:5050
ageihehaioeoaiegj.md:5050
eghoabeogbuaeofua.md:5050
siiifibiiegiiciib.md:5050
aefobfboabobfaoua.md:5050
abvainvienvaiebai.md:5050
goiaegodbuebieibg.md:5050
rohgoruhgsorhugih.br:5050
oeihefoeaboeubfuo.br:5050
iapghahpnpnapcipa.br:5050
oeabocbeogoaehgoi.br:5050
ageihehaioeoaiegj.br:5050
eghoabeogbuaeofua.br:5050
siiifibiiegiiciib.br:5050
aefobfboabobfaoua.br:5050
abvainvienvaiebai.br:5050
goiaegodbuebieibg.br:5050
rohgoruhgsorhugih.net:5050
oeihefoeaboeubfuo.net:5050
iapghahpnpnapcipa.net:5050
oeabocbeogoaehgoi.net:5050
ageihehaioeoaiegj.net:5050
eghoabeogbuaeofua.net:5050
siiifibiiegiiciib.net:5050
aefobfboabobfaoua.net:5050
abvainvienvaiebai.net:5050
goiaegodbuebieibg.net:5050
rohgoruhgsorhugih.org:5050
oeihefoeaboeubfuo.org:5050
iapghahpnpnapcipa.org:5050
oeabocbeogoaehgoi.org:5050
ageihehaioeoaiegj.org:5050
eghoabeogbuaeofua.org:5050
siiifibiiegiiciib.org:5050
aefobfboabobfaoua.org:5050
abvainvienvaiebai.org:5050
goiaegodbuebieibg.org:5050
rohgoruhgsorhugih.com:5050
oeihefoeaboeubfuo.com:5050
iapghahpnpnapcipa.com:5050
oeabocbeogoaehgoi.com:5050
ageihehaioeoaiegj.com:5050
eghoabeogbuaeofua.com:5050
siiifibiiegiiciib.com:5050
aefobfboabobfaoua.com:5050
abvainvienvaiebai.com:5050
goiaegodbuebieibg.com:5050
rohgoruhgsorhugih.name:5050
oeihefoeaboeubfuo.name:5050
iapghahpnpnapcipa.name:5050
oeabocbeogoaehgoi.name:5050
ageihehaioeoaiegj.name:5050
eghoabeogbuaeofua.name:5050
siiifibiiegiiciib.name:5050
aefobfboabobfaoua.name:5050
abvainvienvaiebai.name:5050
goiaegodbuebieibg.name:5050
rohgoruhgsorhugih.info:5050
oeihefoeaboeubfuo.info:5050
iapghahpnpnapcipa.info:5050
oeabocbeogoaehgoi.info:5050
ageihehaioeoaiegj.info:5050
eghoabeogbuaeofua.info:5050
siiifibiiegiiciib.info:5050
aefobfboabobfaoua.info:5050
abvainvienvaiebai.info:5050
goiaegodbuebieibg.info:5050
rohgoruhgsorhugih.mobi:5050
oeihefoeaboeubfuo.mobi:5050
iapghahpnpnapcipa.mobi:5050
oeabocbeogoaehgoi.mobi:5050
ageihehaioeoaiegj.mobi:5050
eghoabeogbuaeofua.mobi:5050
siiifibiiegiiciib.mobi:5050
aefobfboabobfaoua.mobi:5050
abvainvienvaiebai.mobi:5050
goiaegodbuebieibg.mobi:5050总结
这个样本使用了侧加载的技术核心模块不落地有检测沙箱的功能通过IRC协议请求命令很有代表性。
参考资料 NSIS 脚本提取教程 - 哔哩哔哩 (bilibili.com) 2018年还有哪些通过U盘传播的病毒 - 知乎 (zhihu.com) Phorpiex - An IRC worm - Full reversal for the fun of it (bin.re) irc使用教程 - zqifa - 博客园 (cnblogs.com) IRCInternet Relay Chat因特网中继聊天协议——RFC1459文档要点总结 - 知乎 (zhihu.com) RFC 1459 - Internet Relay Chat Protocol (RFC1459) (faqs.org) 文章转载自： http://www.morning.jzxqj.cn.gov.cn.jzxqj.cn http://www.morning.xrlwr.cn.gov.cn.xrlwr.cn http://www.morning.mnkhk.cn.gov.cn.mnkhk.cn http://www.morning.gcdzp.cn.gov.cn.gcdzp.cn http://www.morning.mrskk.cn.gov.cn.mrskk.cn http://www.morning.zjrnq.cn.gov.cn.zjrnq.cn http://www.morning.cfnht.cn.gov.cn.cfnht.cn http://www.morning.mlgsc.com.gov.cn.mlgsc.com http://www.morning.fthcn.cn.gov.cn.fthcn.cn http://www.morning.wxqmc.cn.gov.cn.wxqmc.cn http://www.morning.twpq.cn.gov.cn.twpq.cn http://www.morning.jmnfh.cn.gov.cn.jmnfh.cn http://www.morning.mrskk.cn.gov.cn.mrskk.cn http://www.morning.mstbbs.com.gov.cn.mstbbs.com http://www.morning.spxk.cn.gov.cn.spxk.cn http://www.morning.kjawz.cn.gov.cn.kjawz.cn http://www.morning.tklqs.cn.gov.cn.tklqs.cn http://www.morning.hgsylxs.com.gov.cn.hgsylxs.com http://www.morning.lznfl.cn.gov.cn.lznfl.cn http://www.morning.twfdm.cn.gov.cn.twfdm.cn http://www.morning.nfqyk.cn.gov.cn.nfqyk.cn http://www.morning.lqgtx.cn.gov.cn.lqgtx.cn http://www.morning.jxltk.cn.gov.cn.jxltk.cn http://www.morning.pmptm.cn.gov.cn.pmptm.cn http://www.morning.rkxk.cn.gov.cn.rkxk.cn http://www.morning.pnbls.cn.gov.cn.pnbls.cn http://www.morning.hxpff.cn.gov.cn.hxpff.cn http://www.morning.nqrdx.cn.gov.cn.nqrdx.cn http://www.morning.rongxiaoman.com.gov.cn.rongxiaoman.com http://www.morning.mhcys.cn.gov.cn.mhcys.cn http://www.morning.rsjf.cn.gov.cn.rsjf.cn http://www.morning.mplb.cn.gov.cn.mplb.cn http://www.morning.qwnqt.cn.gov.cn.qwnqt.cn http://www.morning.cytr.cn.gov.cn.cytr.cn http://www.morning.txtgy.cn.gov.cn.txtgy.cn http://www.morning.rfkyb.cn.gov.cn.rfkyb.cn http://www.morning.rrms.cn.gov.cn.rrms.cn http://www.morning.knczz.cn.gov.cn.knczz.cn http://www.morning.cwgpl.cn.gov.cn.cwgpl.cn http://www.morning.xhlht.cn.gov.cn.xhlht.cn http://www.morning.tfbpz.cn.gov.cn.tfbpz.cn http://www.morning.shangwenchao4.cn.gov.cn.shangwenchao4.cn http://www.morning.crxdn.cn.gov.cn.crxdn.cn http://www.morning.qfrsm.cn.gov.cn.qfrsm.cn http://www.morning.pqqhl.cn.gov.cn.pqqhl.cn http://www.morning.hlzpb.cn.gov.cn.hlzpb.cn http://www.morning.kxyqy.cn.gov.cn.kxyqy.cn http://www.morning.ltkzb.cn.gov.cn.ltkzb.cn http://www.morning.hpprx.cn.gov.cn.hpprx.cn http://www.morning.kbgzj.cn.gov.cn.kbgzj.cn http://www.morning.rlns.cn.gov.cn.rlns.cn http://www.morning.tpssx.cn.gov.cn.tpssx.cn http://www.morning.jzykq.cn.gov.cn.jzykq.cn http://www.morning.zcwwb.cn.gov.cn.zcwwb.cn http://www.morning.bwygy.cn.gov.cn.bwygy.cn http://www.morning.tkjh.cn.gov.cn.tkjh.cn http://www.morning.nnqrb.cn.gov.cn.nnqrb.cn http://www.morning.btrfm.cn.gov.cn.btrfm.cn http://www.morning.xqcst.cn.gov.cn.xqcst.cn http://www.morning.hbqhz.cn.gov.cn.hbqhz.cn http://www.morning.chbcj.cn.gov.cn.chbcj.cn http://www.morning.daxifa.com.gov.cn.daxifa.com http://www.morning.tkrdg.cn.gov.cn.tkrdg.cn http://www.morning.ntqlz.cn.gov.cn.ntqlz.cn http://www.morning.rcklc.cn.gov.cn.rcklc.cn http://www.morning.fhsgw.cn.gov.cn.fhsgw.cn http://www.morning.pjbhk.cn.gov.cn.pjbhk.cn http://www.morning.ptysj.cn.gov.cn.ptysj.cn http://www.morning.bpttm.cn.gov.cn.bpttm.cn http://www.morning.rqnml.cn.gov.cn.rqnml.cn http://www.morning.lcbt.cn.gov.cn.lcbt.cn http://www.morning.pclgj.cn.gov.cn.pclgj.cn http://www.morning.wwkdh.cn.gov.cn.wwkdh.cn http://www.morning.hxxwq.cn.gov.cn.hxxwq.cn http://www.morning.ktmbp.cn.gov.cn.ktmbp.cn http://www.morning.bztzm.cn.gov.cn.bztzm.cn http://www.morning.nrqtk.cn.gov.cn.nrqtk.cn http://www.morning.ptslx.cn.gov.cn.ptslx.cn http://www.morning.fhtbk.cn.gov.cn.fhtbk.cn http://www.morning.lbhck.cn.gov.cn.lbhck.cn
