據(jù)不完全統(tǒng)計(jì)，我國(guó)目前網(wǎng)站接近10%的網(wǎng)站都被掛馬，包括國(guó)內(nèi)著名商業(yè)網(wǎng)站，政府網(wǎng)站，有日訪問量百萬(wàn)計(jì)數(shù)的，也有剛剛建好就被掛上的，尤其以高校網(wǎng)站最為嚴(yán)重，已經(jīng)成為重災(zāi)區(qū)。令人驚訝的是，前不久北京某IDC機(jī)房，經(jīng)檢測(cè)居然95%的服務(wù)器均以被掛馬，大多是不太知名的商業(yè)網(wǎng)站。
首先來認(rèn)識(shí)一下網(wǎng)頁(yè)木馬的危害，首先是盜號(hào)木馬，占目前網(wǎng)頁(yè)木馬的70%以上，盜取各類游戲帳號(hào)，QQ帳號(hào)，銀行帳號(hào)等每個(gè)“信使”在黑市能賣好幾塊，每天動(dòng)輒數(shù)以千計(jì)，利潤(rùn)相當(dāng)可觀，所以目前占了主流；其次是捕獲“肉雞”，黑客們常以此作為炫耀的資本，當(dāng)然“肉雞”也是可以賣錢的，我國(guó)已經(jīng)成為全球“僵尸網(wǎng)絡(luò)”數(shù)量最多的國(guó)家，而北京也是全國(guó)最高，另外，美國(guó)是僵尸網(wǎng)絡(luò)控制服務(wù)器最多的國(guó)家，這不能不令人擔(dān)憂。這些僵尸網(wǎng)絡(luò)可用來發(fā)起分布式拒絕服務(wù)攻擊，最大流量通常都會(huì)在10G以上，足夠可以摧毀一個(gè)城域骨干網(wǎng)，可以摧毀任意一臺(tái)服務(wù)器；我國(guó)目前的主機(jī)數(shù)量在急速上升，信息化水平在很多高呼聲中已經(jīng)在發(fā)展中國(guó)家排名比較靠前了，但整體安全水平仍落后于很多國(guó)家，是相對(duì)嚴(yán)重滯后的，而我國(guó)的少年黑客數(shù)量并不在少數(shù)，在全球也能排到前十位。除此以外，還有下載類木馬，后門類木馬等等。客戶端防范木馬的手段已經(jīng)很多，而且，國(guó)內(nèi)也有不少公司研發(fā)出很多不錯(cuò)的工具，在此不一一列舉，這次主要談服務(wù)器網(wǎng)站該如何防范。
網(wǎng)頁(yè)木馬的制作教程在網(wǎng)上隨處可見，工具也是隨處可以下載到，已經(jīng)不是什么高深的“技術(shù)活”了。另外，掛一個(gè)馬也是件很輕松有趣的事情，方法很多，通過網(wǎng)絡(luò)廣告插入惡意代碼，在2007年5月allyes網(wǎng)站廣告系統(tǒng)被攻擊，使用該系統(tǒng)的網(wǎng)易、新浪、Tom、QQ等知名站點(diǎn)統(tǒng)統(tǒng)給掛了馬，死傷無數(shù)，慘不忍睹。ARP欺騙，不需要控制所有客戶機(jī)，能控制一個(gè)就夠了，而且非常“省力”，無需改變?nèi)魏螜C(jī)器的配置就可以實(shí)現(xiàn)子網(wǎng)內(nèi)最大程度的攻擊。相同的思路，DNS欺騙掛馬也是如出一轍，殺傷力很大，足以讓人“談馬色變”。此外，挖掘ActiveX漏洞的技術(shù)越來越成熟，這類漏洞數(shù)量呈現(xiàn)爆發(fā)式的增長(zhǎng)，如，暴風(fēng)影音、迅雷、Yahoo! Messenger、MSN、RealPlayer、新浪 UC、阿里巴巴淘寶旺旺、Macromedia Flash、WinZip、Adobe Reader 等。
windows操作系統(tǒng)，常被利用來掛馬的漏洞，統(tǒng)計(jì)如下：
MS06-001——Microsoft Windows圖形渲染引擎WMF格式代碼執(zhí)行漏洞 MS06-014——Microsoft MDAC RDS.Dataspace ActiveX控件遠(yuǎn)程代碼執(zhí)行漏洞 MS06-057——Microsoft IE WebViewFolderIcon遠(yuǎn)程整數(shù)溢出漏洞 MS06-071 ——Microsoft XML核心服務(wù)XMLHTTP控件內(nèi)存破壞漏洞 MS07-017——Microsoft Windows動(dòng)畫光標(biāo)畸形ANI頭結(jié)構(gòu)遠(yuǎn)程棧溢出漏洞 MS07-004——Microsoft Windows矢量標(biāo)記語(yǔ)言緩沖區(qū)溢出漏洞 MS07-027——Microsoft Windows媒體服務(wù)器mdsauth.dll控件遠(yuǎn)程代碼執(zhí)行漏洞 其他還有： MS04-023 Microsoft HTML Help任意代碼執(zhí)行漏洞 MS05-001 Microsoft IE Help ActiveX控件本地安全域繞過漏洞 MS06-004 Microsoft IE WMF圖形解析內(nèi)存破壞漏洞 MS06-005 Microsoft Windows Media Player畸形位圖文件處理堆溢出漏洞 MS06-013 Microsoft IE CreateTextRange遠(yuǎn)程代碼執(zhí)行漏洞 MS06-055 Microsoft IE畸形VML文檔處理緩沖區(qū)溢出漏洞 MS06-067 Microsoft IE daxctle.ocx KeyFrame方法堆溢出漏洞 MS06-068 Microsoft Agent Active控件遠(yuǎn)程堆溢出漏洞 MS06-073 Microsoft Visual Studio “WMI Object Broker”控件代碼執(zhí)行漏洞 MS07-009 Microsoft IE ADODB.Connection對(duì)象Execute函數(shù)內(nèi)存破壞漏洞 |
以上種種跡象表明，打補(bǔ)丁，將是防范網(wǎng)頁(yè)木馬最有力的措施之一，打上補(bǔ)丁是不是就安全大吉，高枕無憂了嗎？沒有，還遠(yuǎn)遠(yuǎn)沒有，網(wǎng)頁(yè)編程中的漏洞也是層出不窮，SQL 注入攻擊已經(jīng)流行已久，在某個(gè)隱蔽的位置插入幾行代碼還是很輕松的一件事情。如何在浩瀚的程序中發(fā)現(xiàn)網(wǎng)頁(yè)木馬？這成了最為關(guān)注的焦點(diǎn)。的確，靠人工的發(fā)現(xiàn)是多么的不切實(shí)際，不僅僅要花較大的功夫，對(duì)技術(shù)人員要求也是相當(dāng)?shù)母撸F(xiàn)在黑客的掛馬手法又在不斷提高，要快速、準(zhǔn)確的識(shí)別判斷那些惡意代碼對(duì)我們提出了較高的挑戰(zhàn)。北京智恒聯(lián)盟的“掘馬”，經(jīng)過幾次升級(jí)，截止發(fā)稿日，已經(jīng)能夠檢測(cè)超過2000多種常見網(wǎng)頁(yè)木馬（含變種）。掘馬是北京智恒聯(lián)盟科技有限公司對(duì)網(wǎng)頁(yè)木馬進(jìn)行深入研究的一項(xiàng)成果。此外，系統(tǒng)地功能也在逐漸完善，不僅僅可以檢測(cè)問題代碼，還可以進(jìn)行定位，提供完整解決方案；另外，還集成了漏洞檢測(cè)，包括各類系統(tǒng)漏洞、ActiveX等等。
掛馬的種類在增加，但網(wǎng)頁(yè)木馬檢測(cè)的方法已經(jīng)逐漸清晰并智能化，在數(shù)以萬(wàn)計(jì)的程序代碼中尋找出掛馬的蛛絲馬跡再也不是件難事，有了“掘馬”可以和網(wǎng)頁(yè)木馬說再見了。
