安全技術(shù)談：網(wǎng)頁(yè)掛馬工作原理完全分析

作為網(wǎng)頁(yè)掛馬的散布者，其目的是將木馬下載到用戶本地，并進(jìn)一步執(zhí)行，當(dāng)木馬獲得執(zhí)行之后，就意味著會(huì)有更多的木馬被下載，進(jìn)一步被執(zhí)行，進(jìn)入一個(gè)惡性的循環(huán)，從而使用戶的電腦遭到攻擊和控制。為達(dá)到目的首先要將木馬下載到本地。根據(jù)上圖的流程，常見(jiàn)的方式有以下幾種：

1.將木馬偽裝為頁(yè)面元素。木馬則會(huì)被瀏覽器自動(dòng)下載到本地。

2.利用腳本運(yùn)行的漏洞下載木馬

3.利用腳本運(yùn)行的漏洞釋放隱含在網(wǎng)頁(yè)腳本中的木馬

4.將木馬偽裝為缺失的組件，或和缺失的組件捆綁在一起（例如：flash播放插件）。這樣既達(dá)到了下載的目的，下載的組件又會(huì)被瀏覽器自動(dòng)執(zhí)行。

5.通過(guò)腳本運(yùn)行調(diào)用某些com組件，利用其漏洞下載木馬。

6.在渲染頁(yè)面內(nèi)容的過(guò)程中利用格式溢出釋放木馬（例如：ani格式溢出漏洞）

7.在渲染頁(yè)面內(nèi)容的過(guò)程中利用格式溢出下載木馬（例如：flash9.0.115的播放漏洞）

在完成下載之后，執(zhí)行木馬的方式有以下幾種：

1.利用頁(yè)面元素渲染過(guò)程中的格式溢出執(zhí)行shellcode進(jìn)一步執(zhí)行下載的木馬

2.利用腳本運(yùn)行的漏洞執(zhí)行木馬

3.偽裝成缺失組件的安裝包被瀏覽器自動(dòng)執(zhí)行

4.通過(guò)腳本調(diào)用com組件利用其漏洞執(zhí)行木馬。

5.利用頁(yè)面元素渲染過(guò)程中的格式溢出直接執(zhí)行木馬。

6.利用com組件與外部其他程序通訊，通過(guò)其他程序啟動(dòng)木馬（例如：realplayer10.5存在的播放列表溢出漏洞）

在與網(wǎng)馬斗爭(zhēng)的過(guò)程中，為了躲避殺毒軟件的檢測(cè)，一些網(wǎng)馬還具有了以下行為：

1.修改系統(tǒng)時(shí)間，使殺毒軟件失效

2.摘除殺毒軟件的HOOK掛鉤，使殺毒軟件檢測(cè)失效

3.修改殺毒軟件病毒庫(kù)，使之檢測(cè)不到惡意代碼。

4.通過(guò)溢出漏洞不直接執(zhí)行惡意代碼，而是執(zhí)行一段調(diào)用腳本，以躲避殺毒軟件對(duì)父進(jìn)程的檢測(cè)。

網(wǎng)頁(yè)掛馬的檢測(cè)

傳統(tǒng)的檢測(cè)防御方式：

1.特征匹配。將網(wǎng)頁(yè)掛馬的腳本按腳本病毒處理進(jìn)行檢測(cè)。但是網(wǎng)頁(yè)腳本變形方、加密方式比起傳統(tǒng)的PE格式病毒更為多樣，檢測(cè)起來(lái)也更加困難。

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]