基本介紹
- 中文名：網頁掛馬
- 工作原理：將木馬下載到用戶本地
- 目的：會有更多的木馬被下載
- 常見方式：1.將木馬偽裝為頁面元素
工作原理,常見方式,執行方式,檢測方式,如何防止,擴展閱讀,
工作原理
作為網頁掛馬的散布者，其目的是將木馬下載到用戶本地，並進一步執行，當木馬獲得執行之後，就意味著會有更多的木馬被下載，進一步被執行，進入一個惡性的循環，從而使用戶的電腦遭到攻擊和控制。為達到目的首先要將木馬下載到本地,
常見方式
1.將木馬偽裝為頁面元素。木馬則會被瀏覽器自動下載到本地。
2.利用腳本運行的漏洞下載木馬
3.利用腳本運行的漏洞釋放隱含在網頁腳本中的木馬
4.將木馬偽裝為缺失的組件，或和缺失的組件捆綁在一起（例如：flash播放外掛程式）。這樣既達到了下載的目的，下載的組件又會被瀏覽器自動執行。
5.通過腳本運行調用某些com組件，利用其漏洞下載木馬。
6.在渲染頁面內容的過程中利用格式溢出釋放木馬（例如：ani格式溢出漏洞）
7.在渲染頁面內容的過程中利用格式溢出下載木馬（例如：flash9.0.115的播放漏洞）
執行方式
1.利用頁面元素渲染過程中的格式溢出執行shellcode進一步執行下載的木馬
2.利用腳本運行的漏洞執行木馬
3.偽裝成缺失組件的安裝包被瀏覽器自動執行
4.通過腳本調用com組件利用其漏洞執行木馬。
5.利用頁面元素渲染過程中的格式溢出直接執行木馬。
6.利用com組件與外部其他程式通訊，通過其他程式啟動木馬（例如：realplayer10.5存在的播放列表溢出漏洞）
在與網馬鬥爭的過程中，為了躲避防毒軟體的檢測，一些網馬還具有了以下行為：
1.修改系統時間，使防毒軟體失效
2.摘除防毒軟體的HOOK掛鈎，使防毒軟體檢測失效
3.修改防毒軟體病毒庫，使之檢測不到惡意代碼。
4.通過溢出漏洞不直接執行惡意代碼，而是執行一段調用腳本，以躲避防毒軟體對父進程的檢測。
檢測方式
1.特徵匹配。將網頁掛馬的腳本按腳本病毒處理進行檢測。但是網頁腳本變形方式、加密方式比起傳統的PE格式病毒更為多樣，檢測起來也更加困難。
2.主動防禦。當瀏覽器要做出某些動作時，做出提示，例如：下載了某外掛程式的安裝包，會提示是否運行。比如瀏覽器創建一個暴風影音播放器時，提示是否允許運行。在多數情況下用戶都會點擊是，網頁木馬會因此得到執行。
3.檢查父進程是否為瀏覽器。這種方法可以很容易的被躲過且會對很多外掛程式造成誤報。
如何防止
(1)：對網友開放上傳附屬檔案功能的網站一定要進行身份認證，並只允許信任的人使用上傳程式。
(2)：保證你所使用的程式及時的更新。
(3)：不要在前台網頁上加注後台管理程式登入頁面的連結。
(4)：要時常備份資料庫等重要檔案，但不要把備份資料庫放在程式默認的備份目錄下。
(5)：管理員的用戶名和密碼要有一定複雜性，不能過於簡單。
(6)：IIS中禁止目錄的寫入和執行功能，二項功能組合，可以有效的防止ASP木馬。
(7)：可以在伺服器、虛擬主機控制臺，設定執行許可權選項中，直接將有上傳許可權的目錄，取消ASP的運行許可權。
(8)：創建一個robots.txt上傳到網站根目錄。Robots能夠有效的防範利用搜尋引擎竊取信息的駭客。點此查看robots.txt使用方法。
對於網頁被掛馬 可以找下專業安全人士 及時的處理會避免因為網頁被掛馬造成的危害。
擴展閱讀
(1):掛馬要治標而且治本。治標用上面的方法就可以，結合掛馬清理工具，清理掛馬，或者用備份程式覆蓋；
(2):只修改IIS以及網站不夠，必須強化伺服器安全設定，包括伺服器上的軟體的安全，特別是MySQL和SQLServer，磁碟許可權設定，網站獨立許可權設定（防止跨站），安裝木馬實時防禦軟體。如護衛神就效果不錯。
「網頁掛馬」又稱為網頁隱藏式惡意連結。簡單來說，其攻擊模式分成四個步驟：
1. 黑客攻擊企業、政府或知名網站，僅植入一段惡意連結而不竄改網頁外觀；或設立惡意網站，透過各種宣傳手法，吸引民眾瀏覽。
2. 使用者瀏覽該網站，由於黑客並未竄改網頁外觀，因此不會產生警覺。
3. 使用者看不到這個連結，也無須點選惡意連結，只要瀏覽該網站，就會背景導向在線上至黑客預先設計好的陷阱。
4. 在不知情的狀況下，使用者被植入間諜軟體/木馬程式。
