建站知識(shí)

網(wǎng)站資訊動(dòng)態(tài),網(wǎng)站建設(shè)知識(shí),網(wǎng)站優(yōu)化SEO,營(yíng)銷(xiāo)型網(wǎng)站建設(shè),手機(jī)網(wǎng)站建設(shè),搜索引擎營(yíng)銷(xiāo),常見(jiàn)問(wèn)題解答,外貿(mào)網(wǎng)站建設(shè)等相關(guān)知識(shí)與動(dòng)態(tài)。

您當(dāng)前所在位置:首頁(yè) > 建站知識(shí) > 常見(jiàn)問(wèn)題解答 > 正文

安全技術(shù)談:網(wǎng)頁(yè)掛馬工作原理完全分析

2012-01-05

作為網(wǎng)頁(yè)掛馬的散布者,其目的是將木馬下載到用戶本地,并進(jìn)一步執(zhí)行,當(dāng)木馬獲得執(zhí)行之后,就意味著會(huì)有更多的木馬被下載,進(jìn)一步被執(zhí)行,進(jìn)入一個(gè)惡性的循環(huán),從而使用戶的電腦遭到攻擊和控制。為達(dá)到目的首先要將木馬下載到本地。根據(jù)上圖的流程,常見(jiàn)的方式有以下幾種:

1.將木馬偽裝為頁(yè)面元素。木馬則會(huì)被瀏覽器自動(dòng)下載到本地。

2.利用腳本運(yùn)行的漏洞下載木馬

3.利用腳本運(yùn)行的漏洞釋放隱含在網(wǎng)頁(yè)腳本中的木馬

4.將木馬偽裝為缺失的組件,或和缺失的組件捆綁在一起(例如:flash播放插件)。這樣既達(dá)到了下載的目的,下載的組件又會(huì)被瀏覽器自動(dòng)執(zhí)行。 山東公司服務(wù)內(nèi)容:山東做網(wǎng)站m.julielynge.com山東網(wǎng)絡(luò)公司

5.通過(guò)腳本運(yùn)行調(diào)用某些com組件,利用其漏洞下載木馬。

6.在渲染頁(yè)面內(nèi)容的過(guò)程中利用格式溢出釋放木馬(例如:ani格式溢出漏洞)

7.在渲染頁(yè)面內(nèi)容的過(guò)程中利用格式溢出下載木馬(例如:flash9.0.115的播放漏洞)

在完成下載之后,執(zhí)行木馬的方式有以下幾種:

1.利用頁(yè)面元素渲染過(guò)程中的格式溢出執(zhí)行shellcode進(jìn)一步執(zhí)行下載的木馬

2.利用腳本運(yùn)行的漏洞執(zhí)行木馬

3.偽裝成缺失組件的安裝包被瀏覽器自動(dòng)執(zhí)行

4.通過(guò)腳本調(diào)用com組件利用其漏洞執(zhí)行木馬。公司服務(wù)內(nèi)容:網(wǎng)站推廣m.julielynge.com網(wǎng)站維護(hù)

5.利用頁(yè)面元素渲染過(guò)程中的格式溢出直接執(zhí)行木馬。

6.利用com組件與外部其他程序通訊,通過(guò)其他程序啟動(dòng)木馬(例如:realplayer10.5存在的播放列表溢出漏洞)

在與網(wǎng)馬斗爭(zhēng)的過(guò)程中,為了躲避殺毒軟件的檢測(cè),一些網(wǎng)馬還具有了以下行為:

1.修改系統(tǒng)時(shí)間,使殺毒軟件失效

2.摘除殺毒軟件的HOOK掛鉤,使殺毒軟件檢測(cè)失效

3.修改殺毒軟件病毒庫(kù),使之檢測(cè)不到惡意代碼。

4.通過(guò)溢出漏洞不直接執(zhí)行惡意代碼,而是執(zhí)行一段調(diào)用腳本,以躲避殺毒軟件對(duì)父進(jìn)程的檢測(cè)。

網(wǎng)頁(yè)掛馬的檢測(cè)

傳統(tǒng)的檢測(cè)防御方式:

1.特征匹配。將網(wǎng)頁(yè)掛馬的腳本按腳本病毒處理進(jìn)行檢測(cè)。但是網(wǎng)頁(yè)腳本變形方、加密方式比起傳統(tǒng)的PE格式病毒更為多樣,檢測(cè)起來(lái)也更加困難。

2.主動(dòng)防御。當(dāng)瀏覽器要做出某些動(dòng)作時(shí),做出提示,例如:下載了某插件的安裝包,會(huì)提示是否運(yùn)行,比如瀏覽器創(chuàng)建一個(gè)暴風(fēng)影音播放器時(shí),提示是否允許運(yùn)行。在多數(shù)情況下用戶都會(huì)點(diǎn)擊是,網(wǎng)頁(yè)木馬會(huì)因此得到執(zhí)行。

3.檢查父進(jìn)程是否為瀏覽器。這種方法可以很容易的被躲過(guò)且會(huì)對(duì)很多插件造成誤報(bào)。

安天防線的行為分析方式:

1.檢測(cè)偽裝文件格式。通過(guò)對(duì)文件格式精確的識(shí)別,判斷頁(yè)面元素是否為偽裝的惡意代碼。

2.檢查頁(yè)面元素來(lái)源是否為長(zhǎng)期散布網(wǎng)頁(yè)掛馬的站點(diǎn)。

3.檢測(cè)特定函數(shù)調(diào)用堆棧實(shí)現(xiàn)。

(a)區(qū)分用戶下載文件,瀏覽器自動(dòng)下載文件。

(b)檢測(cè)已知緩沖區(qū)漏洞。

(c)檢測(cè)進(jìn)程創(chuàng)建調(diào)用堆棧、調(diào)用參數(shù)是否和瀏覽器常規(guī)一致,以檢測(cè)未知漏洞造成的文件執(zhí)行。

4.對(duì)文件執(zhí)行進(jìn)行監(jiān)控,檢測(cè)文件執(zhí)行參數(shù)等特征。

5.對(duì)部分目錄寫(xiě)文件操作進(jìn)行監(jiān)控。

6.檢測(cè)系統(tǒng)時(shí)鐘修改。

7.檢測(cè)對(duì)系統(tǒng)DLL內(nèi)存鏡像修改(導(dǎo)入、導(dǎo)出表、函數(shù)體內(nèi)容)。

8.檢查PE文件和CAB包裹的數(shù)字簽名。

9.特定文件格式檢測(cè),檢測(cè)已知的格式溢出。

通過(guò)對(duì)以上幾項(xiàng)的加權(quán)處理,可以實(shí)現(xiàn)有效對(duì)已知和未知網(wǎng)頁(yè)掛馬的檢測(cè)。

本文由山東網(wǎng)站建設(shè)m.julielynge.com山東網(wǎng)站制作經(jīng)驗(yàn)的渝網(wǎng)互聯(lián)山東網(wǎng)站設(shè)計(jì)整理編撰。

以上部分內(nèi)容(文字、圖片)收集于互聯(lián)網(wǎng),版權(quán)歸原作者所有。感謝每一位辛勤著寫(xiě)的作者,感謝每一位的分享。免責(zé)聲明:如有侵犯您的原創(chuàng)版權(quán)請(qǐng)告知,我們將盡快刪除相關(guān)內(nèi)容,感謝您的理解與支持。
上一篇:網(wǎng)站推廣十不要 下一篇:如何讓你的網(wǎng)站討好搜索引擎

服務(wù)項(xiàng)目查看更多

免責(zé)聲明

非常感謝您訪問(wèn)我們的網(wǎng)站,并請(qǐng)您仔細(xì)閱讀本聲明的所有條款:

1、本站部分內(nèi)容來(lái)源自網(wǎng)絡(luò),涉及到的部分文章和圖片版權(quán)屬于原作者,本站轉(zhuǎn)載僅供大家學(xué)習(xí)和交流,切勿用于任何商業(yè)活動(dòng)。

2、本站不承擔(dān)用戶因使用這些資源對(duì)自己和他人造成任何形式的損失或傷害。

3、本聲明未涉及的問(wèn)題參見(jiàn)國(guó)家有關(guān)法律法規(guī),當(dāng)本聲明與國(guó)家法律法規(guī)沖突時(shí),以國(guó)家法律法規(guī)為準(zhǔn)。

4、如果侵害了您的合法權(quán)益,請(qǐng)您及時(shí)與我們聯(lián)系,我們會(huì)在第一時(shí)間刪除相關(guān)內(nèi)容!

聯(lián)系方式:023-65309616
電子郵件:543874515@qq.com

ENABLE YOUR BRAND
TO BURST INTO EXCELLENCE
中高端定制開(kāi)發(fā)服務(wù)商
掃一掃,微信咨詢
130-7236-3699 543874515