木馬是網(wǎng)上安全的一大隱患，說是上網(wǎng)者心中永遠(yuǎn)的痛也不為過。對(duì)于木馬采用敬而遠(yuǎn)之的態(tài)度并不是最好的方法，我們必須更多地了解其“習(xí)性”和特點(diǎn)，只有這樣才能做到“知己知彼，百戰(zhàn)不殆”。隨著時(shí)間的推移，木馬的植入方式也悄悄地發(fā)生了一定的變化，較之以往更加隱蔽，對(duì)大家的威脅也更大，以下是筆者總結(jié)的五種最新的木馬植入方式，以便及時(shí)防范。
1．方法一，利用共享和Autorun文件
為了學(xué)習(xí)和工作方便，有許多學(xué)?；蚬镜木钟蚓W(wǎng)中會(huì)將硬盤共享。更有甚者，竟將某些硬盤共享設(shè)為可寫!這樣非常危險(xiǎn)。別人可以借此給其植入木馬再利用木馬程序結(jié)合 Automn．inf文件就可以進(jìn)行破壞。方法是把Autorun．inf和配置好的木馬服務(wù)端一起復(fù)制到對(duì)方D盤的根目錄下，這樣不需對(duì)方運(yùn)行木馬服務(wù)端程序，只需他雙擊共享的磁盤圖標(biāo)就會(huì)使木馬運(yùn)行。這樣做對(duì)下木馬的人來說的好處顯而易見，那就是大大增加了木馬運(yùn)行的主動(dòng)性。許多人在別人給他發(fā)來可執(zhí)行文件時(shí)會(huì)非常警惕，不熟悉的文件他們輕易不會(huì)運(yùn)行，而這種方法就很難防范了。
下面我們簡(jiǎn)單說一下原理。大家知道，將光盤插入光驅(qū)會(huì)自動(dòng)運(yùn)行，這是因?yàn)樵诠獗P根目錄下有個(gè)Automn．inf文件，該文件可以決定是否自動(dòng)運(yùn)行其中的程序。同樣，如果硬盤的根目錄下存在該文件，硬盤也就具有了AutoRun功能，即自動(dòng)運(yùn)行Autorun．inf文件中的內(nèi)容。把木馬文件.exe文件以及Autorun．inf放在磁盤根目錄(這里假設(shè)對(duì)方的D盤共享出來且可寫)，對(duì)于下木馬的人來說，他還會(huì)修改Autorun．inf文件的屬性，將該文件隱藏起來。這樣，當(dāng)有人雙擊這個(gè)盤符，程序就運(yùn)行了。這一招對(duì)于經(jīng)常雙擊盤符進(jìn)入“我的電腦”的人威脅最大。
更進(jìn)一步，利用一個(gè)．REG文件和Automn．inf結(jié)合，還可以讓用戶所有的硬盤都共享出去！
2．方法二，把木馬文件轉(zhuǎn)換為BMP格式
這是一種相對(duì)比較新穎的方式，把EXE轉(zhuǎn)化成為BMP來欺騙大家。其原理是：BMP文件的文件頭有54個(gè)字節(jié)，包括長(zhǎng)度、位數(shù)、文件大小、數(shù)據(jù)區(qū)長(zhǎng)度。只要在EXE的文件頭上加上這54個(gè)字節(jié)，IE就會(huì)把該EXE文件當(dāng)成BMP圖片下載。由于這樣做出的圖片是花的，為防止我們看出來，下木馬者會(huì)在其網(wǎng)頁中加入如下代碼：<img scr=“xxx．bmp”higth=“0”width=“0”>，把這樣的標(biāo)簽加到網(wǎng)頁里，就看不見圖片了，因此我們就無法發(fā)現(xiàn)這個(gè)“圖片”不對(duì)勁。
在用IE瀏覽后，IE會(huì)把圖片自動(dòng)下載到IE臨時(shí)目錄中，而下木馬者只需用一個(gè)JavaScfipt文件在我們的硬盤中寫一個(gè)VBS文件，并在注冊(cè)表添加啟動(dòng)項(xiàng)，利用那個(gè)VBS找到BMP，調(diào)用debug來還原EXE，最后，運(yùn)行程序完成木馬植入，無聲無息非常隱蔽。
3．方法三，利用錯(cuò)誤的MIME頭漏洞
其實(shí)，這一招并不神秘，危害卻很大。錯(cuò)誤的MIME頭漏洞是個(gè)老漏洞了，但對(duì)于沒有打補(bǔ)丁的用戶威脅非常大!去年流行的許多病毒都是利用了該漏洞，如尼姆達(dá)病毒和笑哈哈病毒都是如此。這類病毒一旦和錯(cuò)誤MIME頭漏洞結(jié)合起來，根本不需要執(zhí)行，只要收到含有病毒的郵件并預(yù)覽了它，就會(huì)中招。同樣的道理，攻擊者通過創(chuàng)建一封HTML格式的 E-mail也可以使未打補(bǔ)丁的用戶中木馬!Internet Explorer 5．0、5．01和5．5均存在該漏洞，我們常用的微軟郵件客戶端軟件Outlook Express 5．5 SPl以下版本也存在此漏洞。
下木馬的人，會(huì)制作一封特定格式的E-mail，其附件為可執(zhí)行文件(就是木馬服務(wù)端程序)，通過修改MIME頭，使IE不能正確處理這個(gè)MIME所指定的可執(zhí)行文件附件。由于IE和OE存在的這個(gè)漏洞，當(dāng)攻擊者更改MIME類型后，IE會(huì)不提示用戶而直接運(yùn)行該附件，從而導(dǎo)致木馬程序直接被執(zhí)行。
對(duì)于這種植入方式，只要給系統(tǒng)打上補(bǔ)丁就可以進(jìn)行防范。微軟公司為該漏洞提供了一個(gè)補(bǔ)丁，下載地址為：
http：／／www．microsoft．com／windows／ie／download／critical／Q290108／default．a(chǎn)sp。
4．方法四，在Word文檔中加入木馬文件
這是最近才流行起來的一種方法，比較奇特。這種植入木馬的方法就是新建一個(gè)DOC文件，然后利用VBA寫一段特定的代碼，把文檔保存為newdoc．doc，然后把木馬程序與這個(gè)DOC文件放在同一個(gè)目錄下，運(yùn)行如下命令：copy／b xxxx．doc+xxxxx．exe newdoc．doc把這兩個(gè)文件合并在一起(在Word文檔末尾加入木馬文件)，只要?jiǎng)e人點(diǎn)擊這個(gè)所謂的Word文件就會(huì)中木馬。
不過，以上方法能得以實(shí)現(xiàn)的前提是用戶的Word 2000安全度為最低的時(shí)候才行，即 HKEY CURRENT_USER＼Software＼Microsoft＼Office＼9．0＼Word＼Security中的Level值必須是1或者0。大家知道，當(dāng)Level值為3的時(shí)候(代表安全度為高)，Word不會(huì)運(yùn)行任何宏；Level值為2時(shí)(安全度中)，Word會(huì)詢問是否運(yùn)行宏；Level值為1的時(shí)候(安全度低)，Word就會(huì)自動(dòng)運(yùn)行所有的宏。而如果這個(gè)值為0的時(shí)候Word雖然會(huì)顯示安全度為高，但能夠自動(dòng)運(yùn)行任何宏!
要想把Word的安全度在注冊(cè)表中的值改為0，方法非常多，利用網(wǎng)頁惡意代碼修改瀏覽者的注冊(cè)表就可以。在這方面大家都有很多經(jīng)驗(yàn)，就不多說了。對(duì)于這種欺騙方式，最重要的是小心防范，陌生人的附件千萬不要查看。網(wǎng)上的鏈接也不要隨意點(diǎn)擊，如要點(diǎn)擊應(yīng)確認(rèn)是否為．DOC文件，如是則一定不要直接點(diǎn)擊查看。
5．方法五，通過Seripl、AetiveX及ASP、CGI交互腳本的方式植入
由于微軟的瀏覽器在執(zhí)行Script腳本上存在一些漏洞，攻擊者可以利用這些漏洞傳播病毒和木馬，甚至直接對(duì)瀏覽者電腦進(jìn)行文件操作等控制，前不久就出現(xiàn)一個(gè)利用微軟Scripts腳本漏洞對(duì)瀏覽者硬盤進(jìn)行格式化的HTML頁面。如果攻擊者有辦法把木馬執(zhí)行文件上載到攻擊主機(jī)的一個(gè)可執(zhí)行WWW目錄夾里面，他便可以通過編制CGI程序在攻擊主機(jī)上執(zhí)行木馬。木馬防范的方法如下所述。
(1)給系統(tǒng)打上各種補(bǔ)丁，微軟的補(bǔ)丁是很有用的。
(2)安裝網(wǎng)絡(luò)防火墻和病毒防火墻，并注意更新。
(3)使用代理上網(wǎng)。在QQ中也使用代理，這樣可以防范有人通過查看用戶的IP地址后進(jìn)行攻擊。
(4)不要輕易相信別人，不要下載不了解的軟件運(yùn)行，在運(yùn)行前用殺毒軟件和木馬檢測(cè)軟件進(jìn)行檢查。對(duì)于陌生人發(fā)來的郵件附件最好不要看。
(5)將IE和OE的安全級(jí)別設(shè)置為“高”。
(6)注意用進(jìn)程管理軟件檢查進(jìn)程，發(fā)現(xiàn)異常情況趕緊殺之。
(7)盡量不要將硬盤共享出去，資源共享完成之后馬上關(guān)閉共享。如果必須用共享而又對(duì)安全重視的話，建議不要使用“共享級(jí)的訪問控制”而用“用戶級(jí)的訪問控制”(在本機(jī)的“控制面板”→“網(wǎng)絡(luò)”→“訪問控制”下設(shè)置)。
(8)將系統(tǒng)設(shè)置為顯示所有文件，同時(shí)注意硬盤中Autorun．inf文件的內(nèi)容。
(9)對(duì)于外來的Word文檔，先用Windows自帶的寫字板打開，將其轉(zhuǎn)換為寫字板格式的文件保存后，再用Word調(diào)用。因?yàn)閷懽职宀徽{(diào)用、不記錄、不保存任何宏，文檔經(jīng)此轉(zhuǎn)換，所有附帶的宏都將丟失，這條經(jīng)驗(yàn)特別有用。另外，建議在查看Word文檔時(shí)，先禁止所有的以Auto開頭的宏的執(zhí)行。這樣能保證用戶在安全啟動(dòng)Word文檔后，再使用殺毒軟件對(duì)其進(jìn)行必要的檢查。并將Word的安全度設(shè)為高。
(10)對(duì)于個(gè)人用戶，建議在發(fā)現(xiàn)異常情況時(shí)，立刻斷線，然后進(jìn)行認(rèn)真檢查。
