分析并清除web服务器上的网页木马
来源：asp之家 发布时间：2009-05-28 08:36:00
很多朋友都碰到过这样的现象：打开一个网站，结果页面还没显示，杀毒软件就开始报警，提示检测到木马病毒。有经验的朋友会知道这是网页恶意代码，但是自己打开的明明是正规网站，没有哪家正规网站会将病毒放在自己的网页上吧？那么是什么导致了这种现象的发生呢？其中最有可能的一个原因就是：这个网站被挂马了。
挂马这个词目前我们似乎经常能听到，那么什么是挂马呢？挂马就是黑客入侵了一些网站后，将自己编写的网页木马嵌入被黑网站的主页中，利用被黑网站的流量将自己的网页木马传播开去，以达到自己不可告人的目的。例如很多游戏网站被挂马，黑客的目的就是盗取浏览该网站玩家的游戏账号，而那些大型网站被挂马，则是为了搜集大量的肉鸡。网站被挂马不仅会让自己的网站失去信誉，丢失大量客户，也会让我们这些普通用户陷入黑客设下的陷阱，沦为黑客的肉鸡。下面就让我们来了解这种时下最流行的黑客攻击手段。
挂马的核心：木马
从“挂马”这个词中我们就可以知道，这和木马脱离不了关系。的确，挂马的目的就是将木马传播出去，挂马只是一种手段。挂马使用的木马大致可以分为两类：一类是以远程控制为目的的木马，黑客使用这种木马进行挂马攻击，其目的是为了得到大量的肉鸡，以此对某些网站实施拒绝服务攻击或达到其他目的（目前绝大多数实施拒绝服务攻击的傀儡计算机都是挂马攻击的受害者）。另一类是键盘记录木马，我们通常称其为 * 木马，其目的不言而喻，都是冲着我们的游戏帐号或者银行帐号来的。目前挂马所使用的木马多数属于后者。
木马的免杀伎俩
作为挂马所用的木马，其隐蔽性一定要高，这样就可以让用户在不知不觉中运行木马，也可以让挂马的页面存活更多的时间。黑客为了让木马躲避杀毒软件的查杀，使用的伎俩很多。通常使用的方法有：
加壳处理：关于壳的概念我们曾经介绍过，就是为了让别人无法修改编译好的程序文件，同时压缩程序体积。木马经过加壳这一道工序后就有可能逃过杀毒软件的查杀，这也是为什么我们装了杀毒软件还会感染老病毒的原因。虽然目前的杀毒软件都支持对程序脱壳后再查杀，但只局限于一些比较热门的加壳程序，例如aspack、UPX等，而碰上一些经过冷门加壳程序处理后的木马时，就无能为力了。所以加壳仍是黑客比较常用的免杀伎俩之一。
冷门的加壳程序
修改特征码：杀毒软件是根据病毒特征码来判定一个程序是否是病毒的。杀毒软件在对程序进行检测时，如果在程序中发现了病毒特征码，就将该程序判定为病毒。黑客当然也明白这个道理，于是他们会修改木马中被定为特征码的部分代码，将其加密或使用汇编指令将其跳转，这样杀毒软件就无法在木马中找到病毒特征码，自然也就不会将其判定为病毒了。
虽然这两种方法都可以躲过杀毒软件的查杀，但是我们还是有办法阻止木马运行的，具体方法将在防范部分讲到。那么木马是如何“挂”在网站上的呢？这里我们以“灰鸽子”木马为例，演示一下黑客挂马的过程。演示用的“灰鸽子”木马已经经过免杀处理，杀毒软件无法查杀。
0
投稿猜你喜欢
- 不少博主给博客添加了Loading加载效果，即当点击博客文章标题链接时，标题的显示会变成如“Loading……”或“请稍候，正在加载中……”
- 在WP2.7的时候就推出了快捷键功能。(若按键无效，则可以在后台快捷键那个设置的地方打上勾就可以了)，相信很少会有人注意到，我也是刚不小心看
- Linux是一个多用户的系统，一旦人家取得你的root用户之后，他就可以在你的系统上为所欲为了，由于单用户对系统有完全的控制权限，如果操作不
- 关于分区一个潜在的黑客如果要攻击你的Linux服务器，他首先就会尝试缓冲区溢出。在过去的几年中，以缓冲区溢出为类型的安全漏洞是最为常见的一种
在看这篇文章之前，有几点要注意：1、everyone用户完全控制目录在服务器上绝对不能出现2、WEB目录上的权限都是独立的一般情况下是读取和- 有人这样形容囧的魅力：囧是一种态度，囧是一种哲学；囧是平凡的，但是囧然一看，却又包含着万般语言；囧是神奇的，囧中有着对世界的探索；囧，就是囧
- 信息服务器IIS是BACKOFFICE系列产品 * 能最强大、最流行的应用程序，它与整个BACKOFFICE组件一样，IIS也是围绕WINDO
- WordPress3.3已经宣布功能添加冻结，预计在未来几周将进入Beta测试阶段，WordPress3.3可能将在12月份发布。WordP
- 计算网格为那些强大的新型探索工具提供了基础设施，这些基础设施包括桌面计算、智能设备、协作和分布式计算。Globus 项目（Globus Pr
- 谷歌声称其 AdWords的实时定位和详细报告为客户抵御经济衰退找到了一个有效的方式。 该公司提供了六个详细战术使您的AdWords投资最大
- 组策略是管理员为用户和计算机定义并控制程序、网络资源及操作系统行为的主要工具。通过使用组策略可以设置各种软件、计算机和用户策略。例如，可使用
- 1，我自己琢磨网站有三四年了，真正赚钱是从今年开始。以下是我从开始做网站到现在的一些情况。本文首发我的个站[张顺海].2，现在我的主站IP日
- 如果您已经在网站上使用链接单元，也许会注意到一个小小的变化，当访问者点击链接单元标题之后进入广告页面，在页面的底部我们新增了一个图片广告。我
- 这是我不小心遇到的呵!昨天在同类(免费资源)站看到我朋友载入的广告代码<DIV class=ggad><span id=&
- 大学生卖肉让人佩服，当“破烂王”能否被市民接受？说起“破烂王”，很多人立刻就会联想到那些蹬着破旧的三轮车，在社区的街巷里弄大声吆喝 “收破烂
- Dash，有“冲撞，锐气，精力，干劲”之意，VeryCD站长黄一孟网名就是Dash，他的身上也名副其实有着这样的精神。黄一孟的父亲从事体育运
- 【故障原因】局域网内有人使用ARP欺骗的木马程序（比如：传奇 * 的软件，某些传奇 * 中也被恶意加载了此程序）。【故障原理】要了解故障原理，我
- 二、解决非人性化问题：当然我们不可能将自己的系统更改成windows XP系统，毕竟单位服务器需要服务器版操作系统。那么我们如何设置远程桌面
- 针对BIND DNS服务软件的安全配置情况，我们要充分利用BIND自身已经实现的保护功能，加强BIND安全性，从而能抵御目前已知的BIND安
- 有很多发布商写信来问怎样才算鼓励点击，还有一些发布商在接到我们的违反政策警告的时候甚至并不认为自己在鼓励点击，现在我们就来说说“鼓励点击”。
