文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

基于 SVG 的钓鱼攻击与 AmateraPureMiner 载荷的 DNS 基础设施分析

其中，SVG 格式因其在现代浏览器中广泛支持、可嵌入脚本、且常被误认为纯静态图像，成为新型初始投递载体的首选。...尽管主流邮件客户端（如 Outlook）默认不渲染 SVG 内容，但现代浏览器（Chrome、Edge、Firefox）在直接打开本地 SVG 文件时会完整执行其脚本逻辑。...：通过 Windows 组策略或 macOS 配置描述文件，禁止浏览器自动执行本地 SVG 中的 JavaScript；文件关联修改：将 .svg 默认打开方式设为文本编辑器或专用查看器（如 Inkscape...结果如下：7 个样本成功绕过基于扩展名的邮件网关（Exchange Online 默认策略）；启用 SVG 脚本剥离后，100% 阻断初始载荷执行；在 DNS 层部署 CNAME 深度检测规则后，提前...14 天识别出 amaprox[.]click 为潜在恶意域名（早于其首次报告日期）；终端禁用 SVG 脚本后，即使用户双击文件，亦无网络连接产生。

35210
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    JSConf 2010

    Chrome Frame 会把最新版的 Chrome Webkit 内核和 JavaScript 引擎注入到 IE 中。...另外，SVG 文件还可嵌入 JavaScript（严格的说应该是 ECMAScript) 脚本来控制 SVG 对象 3. SVG 图形格式可以方便的建立文字索引，从而实现基于内容的图像搜索 4....SVG 图形格式支持多种滤镜和特殊效果，在不改变图像内容的前提下可以实现位图格式中类似文字阴影的效果 5. SVG 图形格式可以用来动态生成图形。...例如，可用 SVG 动态生成具有交互功能的地图，嵌入网页中，并显示给终端用户 还有一个概念叫 VML，VML 是 The Vector Markup Language(矢量可标记语言) 的缩写。...JavaScript 引擎的发展，性能上看 Chrome 似乎是目前最好的。 JavaScript 可以和 UQL 的创意结合起来，通过简单的代码，开发快速丰富的互联网应用。

    1.1K10

    基于SVG脚本注入的M365钓鱼攻击机制与防御体系研究

    由于SVG在多数邮件安全网关中被归类为静态图像，其内嵌脚本常被忽略，导致绕过率高。...>该界面采用浅蓝色背景、虚线边框，模仿微软官方UI风格，并显示“加载中”状态，制造合法感。...3 技术实现细节与规避机制分析3.1 SVG脚本执行环境尽管现代浏览器（如Chrome、Edge）在直接打开本地SVG文件时默认禁用脚本，但在以下场景仍可能执行：用户使用旧版浏览器（如IE11，仍支持SVG...脚本）；企业环境中通过内部Web应用嵌入SVG（如文档管理系统）；邮件客户端（如Outlook桌面版）在预览窗格中渲染SVG（部分版本存在漏洞）。...5.1 内容控制层：SVG主动剥离与沙箱增强策略1：在邮件网关强制剥离SVG中的脚本节点通过解析SVG XML结构，移除所有、on*属性：import xml.etree.ElementTree

    37310

    HTML5 新特性_CSS3新特性

    （3）SVG 使用 XML 格式定义图形 （4）SVG 图像在放大或改变尺寸的情况下其图形质量不会有损失 （5）SVG 是万维网联盟的标准 2.SVG 的优势： （1）SVG 图像可通过文本编辑器来创建和修改...（2）SVG 图像可被搜索、索引、脚本化或压缩 （3）SVG 是可伸缩的 （4）SVG 图像可在任何的分辨率下被高质量地打印 （5）SVG 可在图像质量不下降的情况下被放大 3.把 SVG 直接嵌入...您可以为某个元素附加 JavaScript 事件处理器 （3）在 SVG 中，每个被绘制的图形均被视为对象。...，不会影响页面的性能 （2）当在 HTML 页面中执行脚本时，页面的状态是不可响应的，直到脚本已完成 （3）web worker 是运行在后台的 JavaScript，独立于其他脚本，不会影响页面的性能...No Web Worker support.. } （2）创建 web worker 文件： 在一个外部 JavaScript 中创建我们的 web worker 我们创建了计数脚本。

    7K30

    当“图片”会执行代码：SVG钓鱼载荷引爆新型供应链攻击，Amatera窃密与PureMiner挖矿暗流涌动

    随信附带一个名为 invoice_OCT2025.svg 的文件。用户双击打开后，屏幕上只显示一张简洁的矢量发票图——毫无异常。...但与PNG、JPEG等纯栅格图像不同，SVG支持内嵌JavaScript、CSS甚至外部资源引用。这意味着，一个“.svg”文件本质上是一个可执行的微型网页。...但有效})();]]>svg>当用户在浏览器或支持脚本渲染的SVG查看器中打开此文件时，内嵌的JavaScript会立即执行，从远程服务器拉取第二阶段载荷（如Amatera Stealer...更值得警惕的是，PureMiner类挖矿程序在国内云服务器环境中尤为猖獗。攻击者常通过弱口令爆破或未修复漏洞入侵云主机，部署挖矿脚本。...邮件与代理侧：主动剥离与渲染隔离强制将SVG转为静态PNG：在邮件网关或安全邮件平台（如Mimecast、Proofpoint）中配置策略，对所有SVG附件进行无脚本渲染，并转换为不可执行的栅格图像；启用浏览器隔离

    22910

    HTML5 学习总结（四）——canvas绘图、WebGL、SVG

    一、Canvas canvas是HTML5中新增一个HTML5标签与操作canvas的javascript API，它可以实现在网页中完成动态的2D与3D图像技术。...在页面上就显示了一条直线，另存为后就是一张背景透明的png图片。...WebGL完美地解决了现有的Web交互式三维动画的两个问题： 第一，它通过HTML脚本本身实现Web交互式三维动画的制作，无需任何浏览器插件支持; 第二，它利用底层的图形硬件加速功能进行的图形渲染，是通过统一的...特点： 1．任意放缩 用户可以任意缩放图像显示，而不会破坏图像的清晰度、细节等。 2．文本独立 SVG图像中的文字独立于图像，文字保留可编辑和可搜寻的状态。...3．较小文件 总体来讲，SVG文件比那些GIF和JPEG格式的文件要小很多，因而下载也很快。 4．超强显示效果 SVG图像在屏幕上总是边缘清晰，它的清晰度适合任何屏幕分辨率和打印分辨率。

    11K100

    SVG 图片变“特洛伊木马”？新型钓鱼攻击借图形文件投递窃密与挖矿程序

    但它的强大之处也埋下了安全隐患——SVG 支持内嵌 JavaScript 和外部资源引用。...由于 SVG 在多数操作系统中默认由浏览器打开，用户双击后，系统会自动调用 Chrome、Edge 等浏览器渲染该文件。...[.]com/payload.js').then(r=>r.text()).then(eval)">svg>这段代码会在图形加载完成时，悄悄从远程服务器下载并执行一段 JavaScript 脚本。...第三，终端侧：关闭 SVG 的脚本执行能力浏览器可通过策略禁用 SVG 中的 JavaScript（如 Chrome 的 --disable-web-security 不推荐，但企业可配置内容安全策略...CSP）；操作系统层面，将 SVG 默认打开方式设为“图像查看器”而非浏览器；开发者工具（如 VS Code、Figma）也应警惕预览功能自动执行脚本的风险。

    32710

    基于SVG文件的新型无文件攻击路径分析与防御体系构建研究

    此类样本通过内嵌JavaScript代码、利用事件触发机制（如onload、onclick）或加载远程恶意资源，实现用户交互后跳转至钓鱼页面或下载第二阶段载荷，具备高度隐蔽性与规避能力。...根据W3C规范，SVG可通过以下机制实现动态行为：内联脚本：使用标签嵌入JavaScript代码；事件处理器：支持onload、onclick、onmouseover等事件绑定；外部资源引用...典型攻击流程如下：构造恶意SVG：在图形设计工具或文本编辑器中创建SVG文件，嵌入混淆后的JavaScript代码。...对于邮件与协作平台，应禁止在HTML邮件中渲染SVG脚本。...结论本文通过对VirusTotal披露的44个零检测恶意SVG样本的技术分析，揭示了图像类文件在现代网络安全体系中的结构性盲区。

    39810

    分享 63 个面向前端开发人员的开源项目工具

    、社交网络链接... 13、Wrap SVG Online 地址：https://pavellaptev.github.io/warp-svg/ Wrap SVG Online 是一个应用程序，通过拖放从我们的计算机上传的图像...SVG 图像。...但是，今天它也可以通过以 SVG 样式格式化的图标用于许多其他项目。它将帮助我们通过 CSS 轻松设置图标样式，而不必担心损坏的图像。...53、Codeimg 地址：https://codeimg.io/ Codeimg 是一种工具，可帮助我们通过具有许多支持功能的图像显示代码，例如选择背景主题、指定颜色、字体大小、代码语言... 54...59、Pretty Snap 地址：https://prettysnap.app/ Pretty Snap 是一种工具，可帮助我们为要在网页中显示的图像创建漂亮的背景。

    5.5K40

    分享前端开发常用代码片段

    作者：WEBING segmentfault.com/a/1190000014700549 一、预加载图像 如果你的网页中需要使用大量初始不可见的（例如，悬停的）图像，那么可以预加载这些图像。 ?...二、检查图像是否加载 有时为了继续脚本，你可能需要检查图像是否全部加载完毕。 ? 你也可以使用 ID 或 CLASS 替换 标签来检查某个特定的图像是否被加载。...三、自动修复破坏的图像 逐个替换已经破坏的图像链接是非常痛苦的。不过，下面这段简单的代码可以帮助你。 ? 四、悬停切换 当用户鼠标悬停在可点击的元素上时，可添加类到元素中，反之则移除类。 ?...五、淡入淡出/显示隐藏 ?...通过使用链式，可以改善 ? 还有一种方法是在（前缀$）变量中高速缓存元素 ? 链式和高速缓存的方法都是 jQuery 中可以让代码变得更短和更快的最佳做法。

    1.6K51

    分享前端开发常用代码片段-值得收藏

    一、预加载图像 如果你的网页中需要使用大量初始不可见的（例如，悬停的）图像，那么可以预加载这些图像。 ? 二、检查图像是否加载 有时为了继续脚本，你可能需要检查图像是否全部加载完毕。 ?...你也可以使用 ID 或 CLASS 替换 标签来检查某个特定的图像是否被加载。 三、自动修复破坏的图像 逐个替换已经破坏的图像链接是非常痛苦的。不过，下面这段简单的代码可以帮助你。 ?...五、淡入淡出/显示隐藏 ?...function isSupportSVG() { var SVG_NS = 'http://www.w3.org/2000/svg'; return !!...通过使用链式，可以改善 ? 还有一种方法是在（前缀$）变量中高速缓存元素 ? 链式和高速缓存的方法都是 jQuery 中可以让代码变得更短和更快的最佳做法。

    2.6K31

    武器化SVG文件在金融钓鱼攻击中的演化与防御机制研究

    研究发现，该攻击链通过嵌入混淆JavaScript代码，在用户交互后触发ZIP归档下载，并进一步部署基于Java的模块化远程访问木马（RAT），最终实现凭证窃取、会话劫持与数据外泄。...SVG作为一种基于XML的矢量图像格式，被广泛用于网页图标、响应式设计及金融票据可视化场景，其本身支持内嵌脚本（尤其是JavaScript），且多数企业邮件网关默认允许其通行，这使其成为理想的“隐形”攻击通道...同时，现代浏览器（Chrome、Firefox、Edge）普遍支持本地SVG文件的脚本执行，使得一旦用户双击打开附件，嵌入的JavaScript即可在本地上下文中运行，绕过同源策略限制，直接访问本地文件系统......));]]>svg>当用户在支持脚本的浏览器中打开该文件时，标签内的代码被执行。...防御机制构建5.1 终端层面禁用SVG脚本执行：通过组策略或浏览器扩展禁止本地SVG文件运行JavaScript；限制Java执行：非必要不安装JRE；若必须使用，限制其网络访问权限；强化EDR规则：监控

    24210

    Nue：一个挑战Next.js的新静态站点生成器

    我不知道“Bun”是什么；显然它是一个组合的捆绑器和 JavaScript 运行时，Nue 推荐使用它。 所以首先安装 Bun。这很快： 它礼貌地将自己添加到我的脚本中。...如果我们剪切图像、CSS 和 JavaScript，只查看博客内容目录，我们就能了解其结构： 通常，我们得到一个 *.dist* 输出开发目录，显示 Markdown 文件 (.md) 被转换为 HTML...添加 BlueSky svg 后： 并编辑 site.yaml： 这立即更新了页脚： 不客气！这也为我们提供了 Nue 声明式性质的线索。...页眉和页脚是通过 *@global/layout.html* 和 标签排列的： 它们读取 *site.yaml* 中的数据并从中创建这些页脚项。...让我们看一下最新的条目： front matter 用于在页面列表中为条目创建一个小的框，包含“thumb”图像和标题文本，我们在上面的网页上看到了这些内容。

    77610

    面试官：用纯 JS 将 HTML 页面转换为图像，有什么思路

    在工作时，需要实现一个功能:把一个HTML网页的转换为图像。我想到的第一个想法是使用第三方库，但像dom-to-image或使用Chrome Headless，如Puppeteer。...那如何使用纯Javascript解决这种需求呢？ 让我们尝试在不使用任何库的情况下实现这一点。 使用Canvas将HTML网页转换为图像 由于安全原因，我们不能直接将HTML绘制到Canvas中。...创建包含渲染内容的SVG图像 svg xmlns="http://www.w3.org/2000/svg" width="200" height="200"> svg> 在SVG中插入一个元素，...不允许在SVG图像中编写脚本，无法从其他脚本访问SVG图像的DOM, SVG图像中的DOM元素不能接收输入事件。...因此，无法将特权信息加载到表单控件中(例如中的完整路径)并呈现它。 从安全性的角度来看，脚本不能直接接触渲染到画布的DOM节点，这一限制非常重要。

    3.3K50

    面试官：请用纯 JS 实现，将 HTML 网页转换为图像

    在工作时，需要实现一个功能:把一个HTML网页的转换为图像。我想到的第一个想法是使用第三方库，但像dom-to-image或使用Chrome Headless，如Puppeteer。...那如何使用纯Javascript解决这种需求呢？ 让我们尝试在不使用任何库的情况下实现这一点。 使用Canvas将HTML网页转换为图像 由于安全原因，我们不能直接将HTML绘制到Canvas中。...创建包含渲染内容的SVG图像 svg xmlns="http://www.w3.org/2000/svg" width="200" height="200"> svg> 在SVG中插入一个SVG图像中编写脚本，无法从其他脚本访问SVG图像的DOM, SVG图像中的DOM元素不能接收输入事件。...因此，无法将特权信息加载到表单控件中(例如中的完整路径)并呈现它。 从安全性的角度来看，脚本不能直接接触渲染到画布的DOM节点，这一限制非常重要。

    2.3K41

    01 . 前端之HTML

    JavaScript JS JavaScript简称JS，是一种动态的弱类型脚本解释性语言，和HTML、CSS并称为三大WEB核心技术，得到了几乎所有主流浏览器支持. 1994年，网景Netscape...(通常是JavaScript)来完成canvas标签只是图形容器,你必须使用脚本来绘制图形,你可以通过多种方法使用Canva绘制路径,盒,圆,字符以及添加图像....SVG用来定义网络的基于矢量的图形 SVG使用XML格式定义图形 SVG图像在放大或改变尺寸的情况下其图形质量不会有损失 SVG是万维网联盟的标准 SVG的优势: SVG图像可通过文本编辑器来创建和修改...SVG图像可被搜索，索引，脚本化或被亚索 SVG是可伸缩的 SVG图像可在任何的分辨率下被高质量地打印 SVG可在图像质量不下降的情况下被放大....WebWorker WebWorker是运行在后台的JavaScript，独立于其他脚本，不会影响页面的性能.

    2K50

    WebKit三件套(1)：WebKit之WebCore篇

    、chromeclient等内容；rendering 主要包括如何使用样式，组织布局、显示html元素等方面内容；plugins 主要包括浏览端如何实现NPPlugin方面的内容；svg 主要包括与svg...WebCore中实现的dom、html、svg、css等，往往需要通过一定的方式输出给Javascript的实现如JavascriptCore、V8，以便JS Engineer能认识这些dom元素等，并且能调用其中的方法...首先定义一组非标准的idl接口，然后通过运行一组perl脚本如generate-bindings.pl、CodeGenerator.pm、CodeGeneratorJS.pm等，就可根据idl接口定义，...生成一组符合指定Javascript实现规则的脚本对象类。...这一点与gecko中将不同的xpcom接口Binding给Javascript实现有本质上的差别，在gecko中通过xpconnect及一组classinfo来维护原生元素与JS对象之间的关系，不同原生元素对应的

    1.6K20
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券