教你几招识别和防御Web网页木马

网页木马是网页恶意软件威胁的罪魁祸首,准确说,网页木马并不是木马程序,而应该称为网页木马"种植器",就是一种通过攻击浏览器或浏览器外挂程序(目标通常是 IE 浏览器和ActiveX 程序)的漏洞,向目标用户机器植入木马、病毒、密码盗取等恶意程序     

网页木马机理与防御技术

网页木马是一种以JavaScript,VBScript,CSS等页面元素作为攻击向量,利用浏览器及插件中的漏洞,在客户端隐蔽地下载并执行恶意程序的基于Web的客户端攻击.网页木马的表现形式是一个或一组有内嵌链接关系的页面/脚本,有漏洞的客户端在访问该(组)页面时会“过路式下载”木马等恶意程序.网页木马通过这种被动攻击模式,能隐蔽、有效地将恶意程序植入客户端,这已经成为恶意程序传播的一种重要方式.近年来,围绕网页木马的攻防博弈在持续进行.首先阐述网页木马的机理和特点,然后从检测、特征分析、防范这3个方面对网页木马防御方的研究进行总结和分析,最后对网页木马攻防双方的发展趋势进行讨论.     

你能躲过17个网页木马围攻吗？

有了网站空间的控制权,该如何更好的挂马呢？现在各种网页木马生成器非常强悍,一个生成器往往集合了十余个系统或软件漏洞,可生成各种各样的网页木马。大家可以各取所需,挂上其中的某个网页木马,不过每个网页木马都有针对性,只能针对攻击一个系统或软件漏洞,如果想让自己的网页木马威力更大,通知各种各样的系统该怎么办呢？看我们如何将所有网页木马集成在一个网页上,绝杀所有访问者！     

病毒播报 第3期

IE7攻击代码 Hack.Exploit.Script.JS.Agent.ic 警惕程度 黑客攻击代码 用于挂马网页 依赖系统：Windows NT／2000／XP／2003 这是一段恶意攻击代码。当用户误打开含有该代码的挂马网页时,它就会突破用户系统的防护,使各种盗号木马和木马下载器能够轻易入侵。     

基于MMTD网页挂马响应的研究

当今网络中通过网页来种植木马的现象已很普遍。利用网页来传播木马技术就是将木马的域名隐藏在网页里,用户在浏览网页时,隐藏在网页中的木马就会被种植到用户的系统中。因此如果被访问的网页嵌入了木马的域名,那么当网络用户发出链接请求响应时,网络的响应将变得异常。基于上述原因,本文从链接请求响应次数的角度,来判断网页中是否藏有木马域名。首先简介木马技术,网页挂马技术和中介的基本概念,然后给出检测函数y=f(x)以及MMTD在检测木马上的应用,最后给出具体检测算法。     

自动下载行为检测

目前,很多恶意网页仅利用常规的Web编程技术使得浏览器自动下载木马等恶意软件并诱骗用户执行。这种恶意行为被称为自动下载。浏览器中现有的防御机制并不能有效地识别这种攻击。针对此类恶意行为,提出了一种防御方法。该方法通过监控网页中能导致自动下载的操作,并在下载实际发生时判断是否由用户触发,来识别自动下载行为并加以阻断。此防御方法已经在WebKitGtk+2.8.0和Chromium 38.0.2113.1两个浏览器中实现,并进行了评估：两个检测防御系统针对现存的攻击样本均无误报和漏报,额外的性能开销分别为1.26%和7.79%。实验结果表明,该方法能够有效地监测并阻断自动下载攻击且性能开销较小。     

金山网盾让你上网无忧

最近一段时间天气逐渐转凉，成为流感等病毒的高发期，因此大量的医疗网站被黑客入侵并挂马。如果使用的是IE浏览器还好，如使用的是其他的浏览器，那么很多安全软件就无法拦截网页木马了。使用其它内核的浏览器用户，怎么才可以抵御网页木马的入侵呢？     

木马劫持账号 原是IE提供入口

近来N O D32安全人员发现了两种独特的木马程序:PWS和MetaFisherSpy-Agent(又名Spy-Agent),它们可以劫持用户账号密码,并隐藏在看似合法的rootkit工具中,使用户难以发现。安全工程师发现,黑客们放置木马时会利用I E浏览器中的一个Windows Meta File漏洞。它们侵入电脑之后会潜伏起来,当我们访问合法的银行站点时,木马程序会适时弹出恶意H T M L网页,我们输入的一次性P I N s码或交易数字就会被木马程序劫取。该木马的传播依赖Alcra蠕虫来完成,中毒以后甚至会挖掘出电脑上以前输入过的用户名和密码。由于木马程序隐藏在一些内核roo…     

斩断恶意网页之手

网上处处是陷阱,木马、病毒、流氓软件满天飞,各种恶意网页利用系统或浏览器的漏洞在后台下载木马,悄悄破坏系统,让人不胜其烦。对于各种网页木马、病毒和恶意插件,杀毒软件往往不能全面防范,怎么办呢?用"网页木马拦截器"彻底赶走各种恶意网页木马病毒,从此上网无忧。     

安全上网我用傲游浏览器

傲游浏览器日前发布新版本，增中了对Windows7系统新特性的支持，并增加了网盾功能，今后用户在使用傲游浏览器上网时，可不必担心网页病毒、木马等程序，下面来看看如何应用吧。     

ARP病毒防范初探

近一段时间以来,校园网部分用户受到一种名为ARP欺骗木马程序（病毒）的攻击（ARP是“AddressResolution Protocol”“地址解析协议”的缩写）,病毒发作时其症状表现为计算机网络连接正常,却无法打开网页;或由于ARP欺骗的木马程序（病毒）发作时发出大量的数据包,导致局域网用户上网不稳定,极大地影响了校园网用户的正常使用,给整个网的安全带来严重的隐患。本人在文中讨论了ARP病毒的故障现象、故障的原理、并给出了用户检查和处理“ARP欺骗”木马的方法。     

Web安全开发：SQL注入攻击和网页挂马

SQL注入攻击是最为常见的网站攻击的手段。本文剖析了这一攻击手法,并给出了在代码中采用的相应防范措施。概述网页挂马这个话题想来大家并不陌生。为什么有这么多的网页上存在着木马去攻击普通用户？不可否认,相当一部分网页原本就是恶意的：网页的作者故意在上面放上木马,然后通过各种手段引诱用户去浏览。     

网页木马攻防战

在病毒木马五花八门的入侵方式中,网页木马称得上是“最经典”的渗透伎俩。黑客将精心设计的网页木马潜藏在某些网页中,让用户很．难发现其踪迹。尤其是黑客侵入特定的网站后,为了“扩大战果”会在其中嵌入网页木马,更让用户防不胜防。本文将教给广大网管员朋友们如何维护网站运行,及时对网站进行检测,发现并清除可能存在的网页木马。     

基于代码覆盖的浏览器漏洞利用攻击检测方法

根据漏洞利用攻击的概念验证,使用WinDbg逆向工程找出该类攻击的特征,并根据该特征编写检测代码。而后将检测代码封装至DLL中,并通过远程线程方式将DLL注入网页浏览器。被注入的DLL会以代码覆盖的方法拦截浏览器的API,使浏览器跳转到检测代码。根据浏览器打开网址时检测代码的返回值,来判断该网址是否包含利用该漏洞进行攻击的网页木马。通过将该技术部署于众多虚拟机中,批量检测网页,来向杀毒软件公司以及搜索引擎等提供高可信度的挂马网页黑名单。     

基于动态行为分析的网页木马检测方法

网页木马是一种在网页中插入攻击脚本,利用浏览器及其插件中的漏洞,使受害者的系统静默地下载并安装恶意程序的攻击形式.本文结合动态程序分析和机器学习方法,提出了基于动态行为分析的网页木马检测方法.首先,针对网页木马攻击中的着陆页上的攻击脚本获取行为,监控动态执行函数执行,包括动态生成函数执行、脚本插入、页面插入和URL跳转,并根据一套规则提取这些行为,此外提取与其相关的字符串操作记录作为特征.其次,针对利用堆恶意操作注入shellcode的行为,提出堆危险指标作为特征.最后从Alexa和VirusShare收集了500个网页样本作为数据集,用机器学习方法训练分类模型.实验结果表明：与现有方法相比,文中方法具有准确率高（96.94%）、能有效对抗代码混淆的干扰（较低的误报率6.1%和漏报率1.3%）等优点.     

基于网页挂马的僵尸网络的机理、检测与防御

随着现代信息技术的不断发展,国家、团体、个人间利益的博弈,网络安全防护正日益成为人们关注的热点话题.网页木马以页面元素作为攻击向量,利用浏览器或插件中的漏洞进行Web的客户端攻击;僵尸网络通过网页挂马广泛传播,形成大量受攻击者控制的以恶意活动为目的的覆盖网络：这已经对当前的网络安全构成了严重的威胁.本文从网页木马和僵尸网络的机理入手,深入分析了危害形成的原理和作用机制,并据此阐述了相关的检测与防御手段和方法,最后总结分析了今后的安全防御思路.     

未知链接做安检,远离网页木马

目前各种网页木马层出不穷,给我们日常浏览网页带来极大的安全隐患。前不久曝出的网页ANI挂马漏洞更是让人触目惊心。利用该漏洞木马程序只须伪装成一个图片嵌入到网页中,然后通过论坛、QQ、MSN、邮件或RSS等方式发布网页链接,诱使他人登录该网页,一旦网页被打开电脑就会立即感染上木马程序,让人防不胜防。虽然目前微软已经及时发布了漏洞补丁程序(补丁号:KB925902),可以阻止该漏洞的危害,但也给我们提了一个醒,面对从论坛、QQ和邮件发来的未知网页链接一定要谨慎小心,切忌随意打开未知网页,否则就很容易成为网页木马的受害者。     

给网站做“体检”

Web漏洞、网页木马,如今的网站安全问题防不胜防,定期给网站做"体检"显得尤未必要。最近几天,某制造企业自设的B2B网站突然接到大量用户的投诉,说是只要登陆网站,就会遭到木马攻击。该企业经理半信半疑地自己登陆尝试,果然也遭到了木马攻     

基于预过滤的恶意JavaScript脚本检测与分析方法

恶意网页利用网页木马来攻击网络用户使之成为僵尸网络中的节点,是目前互联网上较为流行的一种攻击手段。攻击者通常将JavaScript编写的恶意脚本嵌入到网页中,当用户浏览该页面时,脚本执行并试图对浏览器或浏览器插件进行攻击。提出一种适用于大规模网页检测的基于预过滤的恶意JavaScript脚本检测与分析方法———JSFEA,该方法使用静态检测快速扫描页面并判定网页是否为可疑页面,如果判定可疑则进行动态检测。实验表明, JSFEA对恶意网页的误报率很低,并减少了85%以上的页面进行动态检测,大大提高了大规模恶意网页检测效率。     

禁用“Windows Scripting Host”防范网页黑手

目前来自网页黑手的攻击分为两种:一种是通过编辑的脚本程序修改IE浏览器;另外一种是直接破坏Windows系统。前者一般会修改IE浏览器的标题栏、默认主页等,关于此方面的文章比较多。下面就来介绍一些针对破坏Windows系统的网页黑手的防范方法。