安全技術談：網頁掛馬工作原理完全分析

發布時間: 2012/6/18 21:06:49

作為網頁掛馬的散布者，其目的是將木馬下載到用戶本地，并進一步執行，當木馬獲得執行之后，就意味著會有更多的木馬被下載，進一步被執行，進入一個惡性的循環，從而使用戶的電腦遭到攻擊和控制。為達到目的首先要將木馬下載到本地。根據上圖的流程，常見的方式有以下幾種：

1.將木馬偽裝為頁面元素。木馬則會被瀏覽器自動下載到本地。

2.利用腳本運行的漏洞下載木馬

3.利用腳本運行的漏洞釋放隱含在網頁腳本中的木馬

4.將木馬偽裝為缺失的組件，或和缺失的組件捆綁在一起（例如：flash播放插件）。這樣既達到了下載的目的，下載的組件又會被瀏覽器自動執行。

5.通過腳本運行調用某些com組件，利用其漏洞下載木馬。

6.在渲染頁面內容的過程中利用格式溢出釋放木馬（例如：ani格式溢出漏洞）

7.在渲染頁面內容的過程中利用格式溢出下載木馬（例如：flash9.0.115的播放漏洞）

在完成下載之后，執行木馬的方式有以下幾種：

1.利用頁面元素渲染過程中的格式溢出執行shellcode進一步執行下載的木馬

2.利用腳本運行的漏洞執行木馬

3.偽裝成缺失組件的安裝包被瀏覽器自動執行

4.通過腳本調用com組件利用其漏洞執行木馬。

5.利用頁面元素渲染過程中的格式溢出直接執行木馬。

6.利用com組件與外部其他程序通訊，通過其他程序啟動木馬（例如：realplayer10.5存在的播放列表溢出漏洞）

在與網馬斗爭的過程中，為了躲避殺毒軟件的檢測，一些網馬還具有了以下行為：

1.修改系統時間，使殺毒軟件失效

2.摘除殺毒軟件的HOOK掛鉤，使殺毒軟件檢測失效

3.修改殺毒軟件病毒庫，使之檢測不到惡意代碼。

4.通過溢出漏洞不直接執行惡意代碼，而是執行一段調用腳本，以躲避殺毒軟件對父進程的檢測。

網頁掛馬的檢測

傳統的檢測防御方式：

1.特征匹配。將網頁掛馬的腳本按腳本病毒處理進行檢測。但是網頁腳本變形方、加密方式比起傳統的PE格式病毒更為多樣，檢測起來也更加困難。

服務器租用