网页挂马的方法多种多样！
网页挂马工作原理完全分析
作为网页挂马的散布者，其目的是将木马下载到用户本地，并进一步执行，当木马获得执行之后，就意味着会有更多的木马被下载，进一步被执行，进入一个恶性的循环，从而使用户的电脑遭到攻击和控制。为达到目的首先要将木马下载到本地。根据上图的流程，常见的方式有以下几种：
1.将木马伪装为页面元素。木马则会被浏览器自动下载到本地。
2.利用脚本运行的漏洞下载木马
3.利用脚本运行的漏洞释放隐含在网页脚本中的木马
4.将木马伪装为缺失的组件，或和缺失的组件捆绑在一起（例如：flash播放插件）。这样既达到了下载的目的，下载的组件又会被浏览器自动执行。
5.通过脚本运行调用某些com组件，利用其漏洞下载木马。
6.在渲染页面内容的过程中利用格式溢出释放木马（例如：ani格式溢出漏洞）
7.在渲染页面内容的过程中利用格式溢出下载木马（例如：flash9.0.115的播放漏洞）
在完成下载之后，执行木马的方式有以下几种：
1.利用页面元素渲染过程中的格式溢出执行shellcode进一步执行下载的木马
2.利用脚本运行的漏洞执行木马
3.伪装成缺失组件的安装包被浏览器自动执行
4.通过脚本调用com组件利用其漏洞执行木马。
5.利用页面元素渲染过程中的格式溢出直接执行木马。
6.利用com组件与外部其他程序通讯，通过其他程序启动木马（例如：realplayer10.5存在的播放列表溢出漏洞）
在与网马斗争的过程中，为了躲避杀毒软件的检测，一些网马还具有了以下行为：
1.修改系统时间，使杀毒软件失效
2.摘除杀毒软件的HOOK挂钩，使杀毒软件检测失效
3.修改杀毒软件病毒库，使之检测不到恶意代码。
4.通过溢出漏洞不直接执行恶意代码，而是执行一段调用脚本，以躲避杀毒软件对父进程的检测。
网页挂马的检测
传统的检测防御方式：
1.特征匹配。将网页挂马的脚本按脚本病毒处理进行检测。但是网页脚本变形方、加密方式比起传统的PE格式病毒更为多样，检测起来也更加困难。
2.主动防御。当浏览器要做出某些动作时，做出提示，例如：下载了某插件的安装包，会提示是否运行，比如浏览器创建一个暴风影音播放器时，提示是否允许运行。在多数情况下用户都会点击是，网页木马会因此得到执行。
3.检查父进程是否为浏览器。这种方法可以很容易的被躲过且会对很多插件造成误报。
现今为了炫耀技术而盗号的已经不多，大部分是为了经济利益。所以盗号已经形成一条产业链。
这条产业链其实是一个金字塔形的结构：
第一层
最顶层是木马的编写者，就是所谓的黑客。这些人都具有很高的计算机编程技术，他们编出来的木马有时候可以突破杀毒软件和防火墙的封锁进入用户计算机。但是他们一般不直接从事盗号活动，而是将编写好的木马病毒出售给他人牟利。例如著名的“熊猫烧香”病毒制作者李俊，就是靠出售编写好的病毒牟利的。
第二层
第二层的是将购买来的木马挂载到各个网站上的人，就是挂马者，他们一般也具有一定的计算机编程技术。他们挂马除了入侵网站管理员的服务器以获得管理员权限在网页上挂上木马之外。部分网站站长允许挂马者在他们的网页上挂载木马，并通过这种方法牟利，据说价格是每万IP40-60元左右。从而成了挂马者的帮凶。
第三层
最下面一层是直接盗号者。也就是我们在游戏里看到那些卖盗号装备的人。他们不需要太高的计算机技术，一般人都可以。第二层的挂马者一般也不直接盗号。而是将通过木马盗来的号转卖给最底层的直接盗号者。直接盗号者向挂马者购买帐号和密码（上文说到的“信封”），然后登陆窃取虚拟财富和所需信息。最后卖出去。
当然，其中还有不断转手，一手贩，二手贩……构成一个庞大的盗号网络。如果技术好，对各层又都熟悉的话，还可以从编写木马到贩卖装备一次性完成。
欢迎分享，转载请注明来源：夏雨云
微信扫一扫
支付宝扫一扫
评论列表（0条）