解析网页后门与网页挂马原理
解析网页后门与网页挂马原理
转自IT168
网站被挂马，被植入后门，这是管理员们无论如何都无法忍受的。Web服务器被攻克不算，还“城门失火殃及池鱼”，网站的浏览者也不能幸免。这无论是对企业的信誉，还是对管理员的技术能力都是沉重的打击。下面笔者结合实例对网页后门及其网页挂马的技术进行解析，知己知彼，拒绝攻击。
一、前置知识
网页后门其实就是一段网页代码，主要以ASP和PHP代码为主。由于这些代码都运行在服务器端，攻击者通过这段精心设计的代码，在服务器端进行某些危险的操作，获得某些敏感的技术信息或者通过渗透，提权获得服务器的控制权。并且这也是攻击者控制服务器的一条通道，比一般的入侵更具有隐蔽性。
网页挂马就是攻击者通过在正常的页面中(通常是网站的主页)插入一段代码。浏览者在打开该页面的时候，这段代码被执行，然后下载并运行某木马的服务器端程序，进而控制浏览者的主机。
二、网页挂马的类型
1、框架嵌入式网络挂马
网页木马被攻击者利用iframe语句，加载到任意网页中都可执行的挂马形式，是最早也是最有效的的一种网络挂马技术。通常的挂马代码如下：
解释：在打开插入该句代码的网页后，就也就打开了https://www.360docs.net/doc/0117352617.html,/muma.html页面，但是由于它的长和宽都为“0”，所以很难察觉，非常具有隐蔽性。下面我们做过做个演示，比如在某网页中插入如下代码：
在“百度”中嵌入了“IT168安全版块”的页面，效果如图1。(图1)
2、js调用型网页挂马
js挂马是一种利用js脚本文件调用的原理进行的网页木马隐蔽挂马技术，如：黑客先制作一个.js文件，然后利用js代码调用到挂马的网页。通常代码如下：
https://www.360docs.net/doc/0117352617.html,/gm.js就是一个js脚本文件，通过它调用和执行木马的服务端。这些js文件一般都可以通过工具生成，攻击者只需输入相关的选项就可以了，如图2就是一个JS木马的代码。(图2)
3、图片伪装挂马
随着防毒技术的发展，黑手段也不停地更新，图片木马技术逃避杀毒监视的新技术，攻击者将类似：https://www.360docs.net/doc/0117352617.html,/test.htm中的木马代码植入到test.gif图片文件中，这些嵌入代码的图片都可以用工具生成，攻击者只需输入相关的选项就可以了，如图3。图片木马生成后，再利用代码调用执行，是比较新颖的一种挂马隐蔽方法，实例代码如：
注：当用户打开https://www.360docs.net/doc/0117352617.html,/test.htm是，显示给用户的是
https://www.360docs.net/doc/0117352617.html,/test.jpg，而https://www.360docs.net/doc/0117352617.html,/test.htm网页代码也随之运行。(图3)
4、网络钓鱼挂马(也称为伪装调用挂马)
网络中最常见的欺骗手段，黑客们利用人们的猎奇、贪心等心理伪装构造一个链接或者一个网页，利用社会工程学欺骗方法，引诱点击，当用户打开一个看似正常的页面时，网页代码随之运行，隐蔽性极高。这种方式往往和欺骗用户输入某些个人隐私信息，然后窃取个人隐私相关联。比如攻击者模仿腾讯公司设计了一个获取QQ币的页面，引诱输入QQ好和密码，如图4。(图4)
等用户输入完提交后，就把这些信息发送到攻击者指定的地方，如图5。(图5)
5、伪装挂马
高级欺骗，黑客利用IE或者Fixfox浏览器的设计缺陷制造的一种高级欺骗技术，当用户访问木马页面时地址栏显示https://www.360docs.net/doc/0117352617.html,或者https://www.360docs.net/doc/0117352617.html,等用户信任地址，其实却打开了被挂马的页面，从而实现欺骗，示例代码如：
上面的代码的效果，在貌似https://www.360docs.net/doc/0117352617.html,的链接如图6上点击却打开了
https://www.360docs.net/doc/0117352617.html,，如图7。(图6)(图7)
总结：上述的挂马方式都是利用了系统的漏洞，并且挂马的代码不用攻击者编写，都是实现了工具化、傻瓜化。技术门槛比较低，因此危害也特别大。
三、网页漏洞的寻找方法
网页的漏洞主要有注入漏洞、跨站漏洞、旁注漏洞、上传漏洞、暴库漏洞和程序漏洞等等。针对这么多的漏洞威胁，网站管理员要对自己的网站进行安全检测，然后进行安全设置或者代码改写。那如何来检测网站存在的漏洞呢?其实，很多攻击者都是通过一些黑客工具来检测网站的漏洞然后实施攻击的。那么网站的管理员就可以利用这些工具对网站进行安全检测，看有没有上述漏洞，笔者就不一一演示了。下面就列举一个当前比较流行的eWEBEditor在线HTML编辑器上传漏洞做个演示和分析。
1、网站入侵分析
eWEBEditor是一个在线的HTML编辑器，很多网站都集成这个编辑器，以方便发布信息。低版本的eWEBEditor在线HTML编辑器，存在者上传漏洞，黑客利用这点得到WEBS HELL(网页管理权限)后，修改了网站，进行了挂马操作。
其原理是：eWEBEditor的默认管理员登录页面没有更改，而且默认的用户名和密码都没有更改。攻击者登陆eWEBEditor后，添加一种新的样式类型，然后设置上传文件的类型，比如加入asp文件类型，就可以上传一个网页木马了。(图8)
2、判断分析网页漏洞
(1)攻击者判断网站是否采用了eWEBEditor的方法一般都是通过浏览网站查看相关的页面或者通过搜索引擎搜索类似"ewebeditor.asp?id="语句，只要类似的语句存在，就能判断网站确实使用了WEB编辑器。
(2)eWEBEditor编辑器可能被黑客利用的安全漏洞：
a.管理员未对数据库的路径和名称进行修改，导致黑客可以利用编辑器默认路径直接对网站数据库进行下载。
b.管理员未对编辑器的后台管理路径进行修改导致黑客可以通过数据库获得的用户名和密
码进行登陆或者直接输入默认的用户名和密码，直接进入编辑器的后台。
c.该WEB编辑器上传程序存在安全漏洞。
四、网页木马的防御和清除
1、防御网页木马，服务器设置非常重要，反注册、卸载危险组件：(网页后门木马调用的组件)
(1)卸载wscript.shell对象，在cmd先或者直接运行：
regsvr32 /u %windir%system32WS Hom.Ocx
(2)卸载FSO对象，在cmd下或者直接运行：
regsvr32.exe /u %windir%system32scrrun.dll
(3)卸载stream对象，在cmd下或者直接运行：
regsvr32.exe /u /s "C:Program FilesCommon FilesSystemadomsado15.dll"
注：如果想恢复的话只需重新注册即可，例如：regsvr32 %windir%system32WSHom.Ocx
2、清理网页挂马
(1)利用雷客图ASP站长安全助手查找所有在2008-3.1日-2008.3.5日之间所有修改过的文件里是否有iframe语句和https://www.360docs.net/doc/0117352617.html,/a.htm关键词，进行手工清理。
(2)也可利用雷客图ASP站长安全助手批量删除网马。
(3)检测JS文件，在2008-3.1日-2008.3.5日之间增加的JS文件全部删除。(图9)
从分析报告可以看到网站的admin路径下发现lb.asp网页木马，经分析为老兵的网页木马。(加密后依旧能通过特征码分辨，推荐网站管理员使用雷客ASP站长安全助手，经常检测网站是否被非法修改。)
提示：雷客图ASP站长安全助手可以帮助站长分析网站的安全状况，但是一定要更改它的默认用户名和密码。
3、解决eWEBEditor编辑器安全隐患
由于网站在开发时集成了eWEBEditor编辑器，删除或者替换容易导致其他问题的出现，推荐按如下方案解决：
(1)修改该编辑器的默认数据库路径和数据库名，防止被黑客非法下载。
默认登录路径admin_login.asp
默认数据库db/ewebeditor.mdb
(2)修改编辑器后台登录路径和默认的登录用户名和密码，防止黑客进入管理界面。
默认帐号admin
默认密码admin或者admin888(图10)
(3)对Upload.asp语句进行修改，防止黑客利用其上传ASP木马从而获得WEB权限。
对上传语句现在进行修改：
将原来的：sAllowExt=Replace(UCase(sAllowExt),"ASP","")
修改为：
sAllowExt=Replace(UCase(sAllowExt),"ASP",""),"CER",""),"ASA",""),"CDX",""),"HTR","")增加上传对cer、asa、cdx、htr文件类型的限制，因为这些类型的文件都是可以执行的文件，可以被攻击者利用进行对网站及其服务器进行危险操作的文件类型。
总结：网页后门和网页挂马是网站最大的敌人，他们对网站的危害几乎是毁灭性的。网站管理员们只有了解了其原理、掌握防治技术才能保护网站的安全。
专家教你如何进行网站挂马检测与清除
专家教你如何进行网站挂马检测与清除 不完全统计，90%的网站都被挂过马，挂马是指在获取网站或者网站服务器的部分或者全部权限后，在网页文件中插入一段恶意代码，这些恶意代码主要是一些包括IE等漏洞利用代码，用户访问被挂马的页面时，如果系统没有更新恶意代码中利用的漏洞补丁，则会执行恶意代码程序，进行盗号等危险超过。目前挂马主要是为了商业利益，有的挂马是为了赚取流量，有的是为了盗取游戏等账号，也有的是为了好玩，不管是处于那种目的，对于访问被挂马的网站来说都是一种潜在的威胁，影响运营网站公司形象。 当一个网站运营很长时间后，网站文件会非常多，手工查看网页文件代码非常困难，杀毒软件仅仅对恶意代码进行查杀，对网页木马以及挂马程序不一定全部查杀，本文就如何利用一些安全检测工具软件来检测和清除网站木马方面进行探讨，使用本文提及的工具可以很轻松的检测网站是否被挂马。 (一)检测挂马页面 1.安装urlsnooper软件 Urlsnooper是一款URL嗅探工具，其官方主页地址为：http://www.donationcoder.co m/urlsnooper，目前已经不提供免费下载了，可以到https://www.360docs.net/doc/0117352617.html,/detail -11525.html下载该软件。安装非常简单，按照提示进行安装即可。第一次使用时需要程序会自动检查网卡，查看能否正常连接网络，设置正确无误后，应该出现如图1所示的画面。
图1安装正确后的界面 2.对网站进行侦测 在Urlsnooper中的“ProtocolFilter”中选择“ShowAll”，然后单击“SniffNetwor k”按钮开始监听网络。接着使用IE浏览器打开需要进行检测木马的网站，Urlsnooper会自动抓取网站中的所有连接，在Index中按照五位数字序号进行排列，如图2所示。
MPLS TE RSVP 工作原理详解实战手册
在文档开始之前，我认为MPLS TE的信令协议是有必要知道的。 RSVP-TE --协议本身比较成熟，已经规模应用。 --基于软状态，扩展性比较差。 CD-LDP --协议比较新，不太成熟，基本没有应用。 --基于硬状态，扩展性比较好。 但是，最终还是市场来决定,RSVP因为先把茅坑占了，所以，一说到MPLS TE,大多数厂商都支持RSVP-TE.很少厂商支持CD-LDP协议。貌似，RSVP-TE已经是一个业内的标准了。所以学习MPLS TE有必要了解RSVP的运作。 RSVP的相关知识点有下面几点： ■R SVP基础 ■RSVP分组 ■RSVP操作 ■现实世界中的RSVP. RSVP协议类型是46,虽然把RSVP封装在UDP中是又可能的，但是MPLS TE从来不会把RSVP封装在UDP中。 RSVP是拿来做什么的？ 我们都知道标签分发有几种方式： MPLS LDP/TDP,这个是标准，用来分发mpls标签的协议。 RSVP,用于MPLS TE中的标签分发。和LDP工作没有交集。 还有一个就是BGP对vrf路由的标签分发。 RSVP不是路由协议，任何路由决定都是IGP和CSPF做出的决定.（如果CSPF还有疑问，请参考 https://www.360docs.net/doc/0117352617.html,/351531/657115 , MPLS CSPF工作原理详解和相关实验），RSVP唯一的工作就是通告和维护网络中的保留资源。MPLS TE中，RSVP在控制平面层保留带宽，所以没有对流量的转发平面上做任何控制。 RSVP有三种基本的功能： ■路径的建立和维护
■路径拆除 ■错误通告。 RSVP的主要消息类型如下：一共有7类是主要应用。 关于RSVP信令的建立，简单说来，就2个步骤，原始节点向目的Router发送RSVP path消息，然后目的路由器收到path请求以后，向原始节点回复一个RESV.那么，一个TE隧道就建立成功了。 根据Eric Osborne CCIE 4122的著作MPLS TE流量工程中所描述的，这里我们来看一个RSVP是如何建立一条通路的。下面就是一条路径建立的详细过程： ■在隧道首端完成CSPF的路径计算 ■路径计算好了，首端节点向目的节点通过下一跳发送RSVP path请求。 ■收到path请求的下游路由器会首先检查报文格式是否正确，然后检查path消息中的预留申请的带宽。该过程叫准入控制。 ■当准入控制成功以后，那么下游路由器会产生一个新的path请求，然后发送给通往目的路由节点的下一跳again。直到发送到最后一个节点。也就是MPLS TE隧道尾端的最后一个路由器。
解析网页后门与网页挂马原理
解析网页后门与网页挂马原理 转自IT168 网站被挂马，被植入后门，这是管理员们无论如何都无法忍受的。Web服务器被攻克不算，还“城门失火殃及池鱼”，网站的浏览者也不能幸免。这无论是对企业的信誉，还是对管理员的技术能力都是沉重的打击。下面笔者结合实例对网页后门及其网页挂马的技术进行解析，知己知彼，拒绝攻击。 一、前置知识 网页后门其实就是一段网页代码，主要以ASP和PHP代码为主。由于这些代码都运行在服务器端，攻击者通过这段精心设计的代码，在服务器端进行某些危险的操作，获得某些敏感的技术信息或者通过渗透，提权获得服务器的控制权。并且这也是攻击者控制服务器的一条通道，比一般的入侵更具有隐蔽性。 网页挂马就是攻击者通过在正常的页面中(通常是网站的主页)插入一段代码。浏览者在打开该页面的时候，这段代码被执行，然后下载并运行某木马的服务器端程序，进而控制浏览者的主机。 二、网页挂马的类型 1、框架嵌入式网络挂马 网页木马被攻击者利用iframe语句，加载到任意网页中都可执行的挂马形式，是最早也是最有效的的一种网络挂马技术。通常的挂马代码如下： 解释：在打开插入该句代码的网页后，就也就打开了https://www.360docs.net/doc/0117352617.html,/muma.html页面，但是由于它的长和宽都为“0”，所以很难察觉，非常具有隐蔽性。下面我们做过做个演示，比如在某网页中插入如下代码： 在“百度”中嵌入了“IT168安全版块”的页面，效果如图1。(图1)
网站挂马及检测技术
挂马与检测技术报告 什么是挂马？ 所谓的挂马，就是黑客通过各种手段，包括SQL注入，敏感文件扫描，服务器漏洞，程序0day, 等各种方法获得管理员账号，然后登陆后台，通过数据库备份/恢复或者上传漏洞获得一个webshell。利用获得的webshell修改页面的容，向页面中加入恶意转向代码。也可以直接通过弱口令获得服务器或者FTP，然后直接对页面直接进行修改。当你访问被加入恶意代码的页面时，你就会自动的访问被转向的地址或者下载木马病毒。 挂马的危害 危害和应用的普及程度有关，上网人人都会，也就是说，人人都可能中毒。据金山毒霸安全实验室统计，每天有数百万次浏览与挂马网页有关，中毒概率在20%-50%之间。 很多游戏被挂马，黑客目的就是盗取浏览该玩家的游戏账号，而那些大型被挂马，则是为了搜集大量的肉鸡。被挂马不仅会让自己的失去信誉，丢失大量客户，也会让我们这些普通用户陷入黑客设下的陷阱，沦为黑客的肉鸡。 如果不小心进入了已被挂马的，则会感染木马病毒，以致丢失大量的宝贵文件资料和账号密码，其危害极大。 挂马泛滥的原因 利。病毒木马黑色产业链有丰厚的利润，去年警方抓获的大小姐系列木马案，犯罪集团3个月获得非常收益3000万。网络应用越普及，黑色产业链的从业者收益也就越高。 挂马围 哪些容易被挂马呢？越是流量高的对黑客越有吸引力，黑客攻破一个管理上有漏洞并且流量很高的，一天就可以感染数百万人。那些与公共事业密切相关的，比如政府机关的，，视频，聊天交友，提供盗版软件破解工具的最容易被入侵，几乎每周出现的热点网络事件都被攻击者利用，网民一不小心就会受热门事件吸引中招。 挂马的常见方式 1.框架挂马 其中“地址”处可以输入恶意等。 属性为0意味着该框架是不可见的，受害者若不查看源代码很难发现网页木马。这个方法也是挂马最常用的一段代码，但是随着管理员和广大网民安全意识的提高，只要在源代码中搜索iframe这个关键字，就很容易找到网页木马的源头。 2.js文件挂马
网站漏洞危害及整改建议..
网站漏洞危害及整改建议 1. 网站木马 1.1 危害 利用IE浏览器漏洞，让IE在后台自动下载黑客放臵在网站上的木马并运行（安装）这个木马，即这个网页能下载木马到本地并运行（安装）下载到本地电脑上的木马，整个过程都在后台运行，用户一旦打开这个网页，下载过程和运行（安装）过程就自动开始，从而实现控制访问者电脑或安装恶意软件的目的。 1.2 利用方式 表面上伪装成普通的网页文件或是将恶意的代码直接插入到正常的网页文件中，当有人访问时，网页木马就会利用对方系统或者浏览器的漏洞自动将配臵好的木马的服务端下载到访问者的电脑上来自动执行。可被木马植入的网页也意味着能被篡改页面内容。 1.3 整改建议 1）加强网站程序安全检测，及时修补网站漏洞； 2）对网站代码进行一次全面检测，查看是否有其余恶意程序存在； 3）建议重新安装服务器及程序源码，防止有深度隐藏的恶意程序无法检测到，导致重新安装系统后攻击者仍可利用后门进入； 4）如有条件，建议部署网站防篡改设备。
2 . 网站暗链 2.1 危害 网站被恶意攻击者插入大量暗链，将会被搜索引擎惩罚，降低权重值；被插入大量恶意链接将会对网站访问者造成不良影响；将会协助恶意网站（可能为钓鱼网站、反动网站、赌博网站等）提高搜索引擎网站排名。可被插入暗链的网页也意味着能被篡改页面内容。 2.2 利用方式 “暗链”就是看不见的网站链接，“暗链”在网站中的链接做的非常隐蔽，可能访问者并不能一眼就能识别出被挂的隐藏链接。它和友情链接有相似之处，可以有效地提高PR 值，所以往往被恶意攻击者利用。 2.3 整改建议 1）加强网站程序安全检测，及时修补网站漏洞； 2）对网站代码进行一次全面检测，查看是否有其余恶意程序存在； 3）建议重新安装服务器及程序源码，防止无法到检测深度隐藏的恶意程序，导致重新安装系统后攻击者仍可利用后门进入； 4）如有条件，建议部署网站防篡改设备。 3 . 页面篡改 3.1 危害 政府门户网站一旦被篡改将造成多种严重的后果，主要
Web安全之网页木马的检测与防御
Web安全之网页木马的检测与防御随着Web2.0、社交网络、微博等等一系列新型的互联网产品的诞生，基于Web环境的互联网应用越来越广泛，企业信息化的过程中各种应用都架设在Web平台上，Web业务的迅速发展也引起黑客们的强烈关注，接踵而至的就是Web安全威胁的凸显，黑客利用网站操作系统的漏洞和Web服务程序的SQL注入漏洞等得到Web服务器的控制权限，轻则篡改网页内容，重则窃取重要内部数据，更为严重的则是在网页中植入恶意代码，使得网站访问者受到侵害。在Web安全的攻击种类中，网页木马一直是一个不容忽视的问题。黑客把一个木马程序上传到一个网站里面然后用木马生成器生一个网马，再上到空间里面，再加代码使得木马在打开网页里运行，从而获取用户的隐私信息。随着网页木马破坏性的增大，人们对网页木马的重视程度也在逐渐增加。 1网页木马简介 1.1网页木马的定义 网页木马是在宏病毒、木马等恶意代码基础上发展出来的一种新形态的恶意代码.类似于宏病毒通过Word 等文档中的恶意宏命令实现攻击.网页木马一般通过HTML 页面中的一段恶意脚本达到在客户端下载、执行恶意可执行文件的目的,而整个攻击流程是一个“特洛伊木马式”的隐蔽的、用户无察觉的过程,因此,国内研究者通常称该种攻击方式为“网页木马”. 目前,学术界对网页木马尚无一个明确的、统一的定义.Wiki 将它定义为一种用户不知情的下载,发生的场景可以是用户阅览邮件、访问网站页面以及点击一个欺诈性的弹出框时,等等,该定义属于字面解释,包括的内容比较宽泛,如利用社会工程学手段欺骗用户下载也属于其涵盖范围.此外,Wiki 还用Drive-by-Install 这一术语来表示下载并安装恶意程序的过程;Google 的Provos 等人将网页木马限定为客户端在访问页面时受到攻击并导致恶意可执行文件的自动下载、执行,该定义指出了“访问页面时受到攻击”和“自动下载、自动执行恶意可执行文件”两个关键点;UCSB 的Cova 等人进一步指出,网页木马是以一段JavaScript 代码作为攻击向量的一种客户端攻击方式,而实际上,还存在一些通过CSS 元素、VBScript 脚本发起攻击的网页木马。 综上所述,网页木马定义为:一种以JavaScript,VBScript,CSS 等页面元素作为攻击向量,利用浏览器及插件中的漏洞,在客户端隐蔽地下载并执行恶意程序的基于Web 的客户端攻击。 1.2网页木马的攻击流程 网页木马采用一种被动攻击模式(即pull-based 模式):攻击者针对浏览器及插件的某个特定漏洞构造、部署好攻击页面之后,并不像发送垃圾邮件那样主动将内容推送给受害用户(即push-based 模式),而是被动地等待客户端发起的页面访问请求.其典型攻击流程如图 1 所示:1. 客户端访问攻击页面;2. 服务器做出响应,将页面内容返回给客户端;3. 页面被浏览器加载、渲染,页面中包含的攻击向量在浏览器中被执行并尝试进行漏洞利用;4,5. 存在该漏洞的客户端被攻破,进而下载、安装、执行恶意程序。
VR指标详解及实战用法
VR指标详解及实战用法 VR（Volitility Volumle Ratio）中文名称：成交量变异率,主要的作用在于以成交量的角度测量股价的热度，不同于AR、BR、CR的价格角度，但是却同样基于“反市场操作”的原理为出发点。和VR指标同性质的指标还有PVT、PVI、NVI、A/DVOLUME……等。VR指标概述 对于以“反市场操作”的原理使用VR指标，看起来似乎很简单，实则内部蕴藏玄机，“反市场操作”的背后还有“反反市场操作”，如同“反间谍”的背后还有“反反间谍 ”，这个市场“螳螂捕蝉，黄雀在后” 尔虞我诈，投资人无不须时时谨慎提防。 当你认为盲目的群众绝对是错误的时候，群众却可能是对的。所以，什么时候该脱离群众？什么时候该附和群众？这是VR指标最大的课题。如果你追求真理！那么，股票市场有一个真理，也是唯一的股市真理─“没有道理的道理”。 该指标主要的作用在于以成交量的角度测量股价的热度，表现股市的买卖气势，以利于投资者掌握股价可能之趋势走向。该指标基于“反市场操作
”的原理为出发点。 使用方法 1.VR之分布 A、低价区域：70~40——为可买进区域 B、安全区域：150~80——正常分布区域 C、获利区域：450~160——应考虑获利了结 D、警戒区域：450以上——股价已过高 2．在低价区域中，VR值止跌回升，可买进， 3．在VR>160时，股价上扬，VR值见顶，可卖出，使用心得 1．VR指标在低价区域准确度较高，当VR>160时有失真可能，特别是在350~400高档区，有时会发生将股票卖出后，股价仍续涨的现象，此时可以配合PSY心理线指标来化解疑难。 2．VR低于40的形态，运用在个股走势上，常发生股价无法有效反弹的效应，随后VR只维持在40~60之间徘徊。因而，此种讯号较适宜应用在指数方面，并且配合ADR、OBOS……等指标使用效果非常好。 计算公式 1．24天以来凡是股价上涨那一天的成交量都称为AV，将24天内的AV总和相加后称为AVS。 2．24天以来凡是股价下跌那一天的成交量都称为BV，
国内黑客解密网络攻击全过程
上个月，百名网银被窃用户集体状告某大国有银行一事尚未有个说法，上周，又有读者杜先生致电本报向记者反映:“刚才某某银行通知我说，我的信用卡昨天通过网上支付在境外消费了2万美元，可我昨天根本就没在网上购买过任何东西，我赶紧找银行挂失、投诉，他们说，这件事还要等过几天向美国那边核实后才能知道结果。我想我肯定是被人通过网上支付在境外盗刷的。”随后，记者拨打了该行的客服电话证实了此事。 为了回答读者关于网上支付到底安全不安全，黑客到底是如何进行“偷窃”的，上周五，记者采访到一位出道10余年的“骨灰级”(指极其资深者)国内黑客。他告诉记者，杜先生信用卡账号及密码被盗的最大原因是其电脑中被植入了“木马”程序(病毒)，在他进行网上支付时账号与密码一起被窃走。随后，他还为记者模拟演示了黑客设置木马、蠕虫、僵尸程序发起攻击的全过程。 由于按照国家相关规定，无法以互联网上的真实用户作为攻击对象，仅是在内部电脑上进行了模拟演示，但即便如此，一种神秘而紧张的气氛也围绕着整个演示过程。由于这些攻击大部分是非显性的，同时也为防止个别人恶意模仿，记者仅将采访中了解到的部分情节及病毒程序编写的部分页面截屏后呈现给大家。 【现场目击】 木马攻击一招比一招狠 采访对象小白在演示中用了一个目前最低端的木马制作软件软件来制作网页木马并进行挂马(安装木 马程序)。首先要配置好一个木马服务端，然后生成服务端，假设生成的木马服务端为mm.exe，接着打开软件选择mm.exe 然后点生成，就会在相同目录下自动生成一个mm.chm和mm.htm注意:这几个文件可不要轻易去点)。接着就把mm.chm和mm.htm传到自己的空间。然后要应用到另外一个软件html网页加密程序，选择源文件为mm.htm目标文件m.htm然后点加密，程序就会在mm.htm目录下生成一个用avascript 加密后的m.htm，然后传到肉鸡(指被感染电脑)或空间里去。在本机测试看:http://127.0.0.1/m.htm就是网页木马地址了，只要把这个发给别人，对方浏览了就会中木马。但这个还属于被动的一种，需要你接收，然后打开。还有一种更强硬的方式:入侵挂马，直接入侵知名网站挂马，不用接受，不知不觉中就会中招。小白介绍说，自己最多时成功俘虏了2万多台僵尸电脑，今年曾用来对某一非盈利性网站发起过攻击，导致该网站瘫痪达29个小时。 【专家支招】 4招提升网上支付安全性 某国际知名防病毒厂商中国区金融/电信行业售前技术支持部经理郭先生，向记者详细解读了如何加强防御病毒入侵的方法及网银安全的防护法。 1.长时间没对防病毒软件升级、没有安装防病毒软件或对自己的计算机疑虑的用户，建议先卸载掉所有的非基础应用程序，再进行自查。如在进程及注册表中发现异常程序，可以先将进程结束再把注册表中相应的程序删除。若要进行此操作，最好拨打所购买杀毒软件厂商的客服电话，并在工程师的指导下进行。 2.及时更新 WINDOWS系统补丁、升级，杀毒软件要保持定期更新病毒库特征码(可设为联网自动更新)。
网页挂马详细步骤教程
? ? 当前位置 : 主页 > 网络安全 > 黑客教程 > 网页挂马详细步骤教程 来源：互联网作者：佚名时间：04-30 13:19:33【大中小】点评：其实很简单的的，说到原理，就一个：就是在人家网站的主页那里插入一个自己的网马的页面，等有漏洞的人查看了人家网站的主页，那么他就成了你的肉鸡了。下面我介绍5种方法，我一个一个介绍方法一：这个就是最简单的了，只要你懂点html语言把下面这段代码插进网页中： 其实很简单的的，说到原理，就一个：就是在人家网站的主页那里插入一个自己的网马的页面，等有漏洞的人查看了人家网站的主页，那么他就成了你的肉鸡了。 下面我介绍5种方法，我一个一个介绍 方法一：这个就是最简单的了，只要你懂点html语言 把下面这段代码插进网页中： 我来插入，理论上来说插到任何地方都行，只是不要把html语言给弄乱了就行 本来没有插进去的页面就是这样，不知道网易那里有没有弹出的广告了，好我们运行，注意到网页的左下角的网址变化 看到左下角了吧，那里在请求https://www.360docs.net/doc/0117352617.html,，说明我们插入进去的页面也运行了，哦，还有个弹出的窗口，给我的工具拦了，我来刷新一次，看到吧 width="0" height="0" frameborder="0"就是大小高度的意思，我们把他设置为零，那我们就不能看到网页的内容了 看下一种方法，把原来插进去的清理掉先，等下那个文件还要用 方法二：这个就是脚本 我们做网页的时候就会加入很多网页特效，同样我们也可以用来打开我们的网马，那么浏览过机子就会中我们的网马了～ 学过java的都知道上面一段代码的意思了把！打开网站的同时也就打开了我们的
解析网页后门与网页挂马
解析网页后门与网页挂马 网站被挂马，被植入后门，这是管理员们无论如何都无法忍受的。Web服务器被攻克不算，还“城门失火殃及池鱼”，网站的浏览者也不能幸免。这无论是对企业的信誉，还是对管理员的技术能力都是沉重的打击。下面笔者结合实例对网页后门及其网页挂马的技术进行解析，知己知彼，拒绝攻击。 一、前置知识 网页后门其实就是一段网页代码，主要以ASP和PHP代码为主。由于这些代码都运行在服务器端，攻击者通过这段精心设计的代码，在服务器端进行某些危险的操作，获得某些敏感的技术信息或者通过渗透，提权获得服务器的控制权。并且这也是攻击者控制服务器的一条通道，比一般的入侵更具有隐蔽性。 网页挂马就是攻击者通过在正常的页面中(通常是网站的主页)插入一段代码。浏览者在打开该页面的时候，这段代码被执行，然后下载并运行某木马的服务器端程序，进而控制浏览者的主机。 二、网页挂马的类型 1、框架嵌入式网络挂马 网页木马被攻击者利用iframe语句，加载到任意网页中都可执行的挂马形式，是最早也是最有效的的一种网络挂马技术。通常的挂马代码如下： 解释：在打开插入该句代码的网页后，就也就打开了https://www.360docs.net/doc/0117352617.html,/muma.html 页面，但是由于它的长和宽都为“0”，所以很难察觉，非常具有隐蔽性。下面我们做过做个演示，比如在某网页中插入如下代码： 在“百度”中嵌入了“IT168安全版块”的页面，效果如图1。(图1)
如何防范解决网站被挂马
如何防范解决网站被挂马？ 1.一般所谓的黑客入侵网站，都会用一些黑客软件，最常用的就是用SQL注入软件，检测网站有没有SQL注入，以及上传的漏洞。这些软件在网上多的是，而且有很多视频教程，只要有人去研究的话，都可以称自己是黑客。 2.挂马的常用方法有： 挂马代码大全 ps:检查文件是否被挂马的时候可以参考下！ 一:框架挂马 二:js文件挂马 首先将以下代码 document.write(""); 保存为xxx.js， 则JS挂马代码为 三:js变形加密 muma.txt可改成任意后缀 四:body挂马
五:隐蔽挂马 top.document.body.innerHTML = top.document.body.innerHTML + \r\n