日韩在线播放一区 I 热久久国产 I 91网站视频在线观看 I 少妇裸体精油按摩 I 影音先锋毛片 I 欧洲激情一区二区 I 超碰97人人做人人爱少妇 I 欧美黄色网占 I 粗大的内捧猛烈进出小视频 I 中国美女光屁股无遮挡 I 天堂资源wwwav啪啪 I 四川妇搡bbbb搡bbbb I 高h教授1v1h喂奶沈司卿 I 亚洲一区二区三区图片 I 91人人插 I 色欲精品国产一区二区三区av I 18岁免费看片 I 日韩视频免费中文字幕 I 久久综合九色 I 在线观看成人动漫 I 日韩伦 I 丰满女邻居的嫩苞张开视频 I 91精品国产自产在线观看永久 I 中文字幕在线播放 I 中文字幕精品亚洲 I 白袜调教女素人视频丨vk I 国产色综合网 I 中国娇小18xxxxhd I 美女破处视频 I 欧美亚洲日韩国产人成在线播放 I 国产精品性夜天天拍拍2021 I 国产中文区字幕区2021 I 求欧美精品网址 I 国产av成人精品播放 I 老司机电影网你懂的视频 I 体育生gay网站 I 秋霞电影一区二区 I 色姑娘色综合 I 亚洲一区 国产一区 I 快射影院 I 一级全黄60分钟免费看 I 清纯美女被爆操 I 国产第十页 I 国产伦精品一区二区 I 日本黄色免费在线看 I 丰满少妇夜夜爽爽高潮水 I av人摸人人人澡人人超碰妓女 I 999网站 I 一区二区三区国产好的精华液 I 韩国做爰露性器50部 I 日本美女性高潮视频 I 欧美大黄视频 I 国产在线偷 I 国语av I 亚洲午夜小视频 I 国产1区2区在线观看 I 久久乐九色婷婷综合色狠狠182 I 男女做网站 I 亚洲精品欧美 I 色狠狠av北条麻妃 I 久久成年网 I 天天综合五月天 I 亚洲线精品一区二区三八戒

作為網頁掛馬的散布者，其目的是將木馬下載到用戶本地，并進一步執行，當木馬獲得執行之后，就意味著會有更多的木馬被下載，進一步被執行，進入一個惡性的循環，從而使用戶的電腦遭到攻擊和控制。為達到目的首先要將木馬下載到本地。根據上圖的流程，常見的方式有以下幾種：

1.將木馬偽裝為頁面元素。木馬則會被瀏覽器自動下載到本地。

2.利用腳本運行的漏洞下載木馬

3.利用腳本運行的漏洞釋放隱含在網頁腳本中的木馬

4.將木馬偽裝為缺失的組件，或和缺失的組件捆綁在一起（例如：flash播放插件）。這樣既達到了下載的目的，下載的組件又會被瀏覽器自動執行。

5.通過腳本運行調用某些com組件，利用其漏洞下載木馬。

6.在渲染頁面內容的過程中利用格式溢出釋放木馬（例如：ani格式溢出漏洞）

7.在渲染頁面內容的過程中利用格式溢出下載木馬（例如：flash9.0.115的播放漏洞）

在完成下載之后，執行木馬的方式有以下幾種：

1.利用頁面元素渲染過程中的格式溢出執行shellcode進一步執行下載的木馬

2.利用腳本運行的漏洞執行木馬

3.偽裝成缺失組件的安裝包被瀏覽器自動執行

4.通過腳本調用com組件利用其漏洞執行木馬。

5.利用頁面元素渲染過程中的格式溢出直接執行木馬。

6.利用com組件與外部其他程序通訊，通過其他程序啟動木馬（例如：realplayer10.5存在的播放列表溢出漏洞）

在與網馬斗爭的過程中，為了躲避殺毒軟件的檢測，一些網馬還具有了以下行為：

1.修改系統時間，使殺毒軟件失效

2.摘除殺毒軟件的HOOK掛鉤，使殺毒軟件檢測失效

3.修改殺毒軟件病毒庫，使之檢測不到惡意代碼。

4.通過溢出漏洞不直接執行惡意代碼，而是執行一段調用腳本，以躲避殺毒軟件對父進程的檢測。

網頁掛馬的檢測

傳統的檢測防御方式：

1.特征匹配。將網頁掛馬的腳本按腳本病毒處理進行檢測。但是網頁腳本變形方、加密方式比起傳統的PE格式病毒更為多樣，檢測起來也更加困難。

2.主動防御。當瀏覽器要做出某些動作時，做出提示，例如：下載了某插件的安裝包，會提示是否運行，比如瀏覽器創建一個暴風影音播放器時，提示是否允許運行。在多數情況下用戶都會點擊是，網頁木馬會因此得到執行。

3.檢查父進程是否為瀏覽器。這種方法可以很容易的被躲過且會對很多插件造成誤報。

安天防線的行為分析方式：

1.檢測偽裝文件格式。通過對文件格式精確的識別，判斷頁面元素是否為偽裝的惡意代碼。

2.檢查頁面元素來源是否為長期散布網頁掛馬的站點。

3.檢測特定函數調用堆棧實現。

(a)區分用戶下載文件，瀏覽器自動下載文件。

(b)檢測已知緩沖區漏洞。

(c)檢測進程創建調用堆棧、調用參數是否和瀏覽器常規一致，以檢測未知漏洞造成的文件執行。

4.對文件執行進行監控，檢測文件執行參數等特征。

5.對部分目錄寫文件操作進行監控。

6.檢測系統時鐘修改。

7.檢測對系統DLL內存鏡像修改（導入、導出表、函數體內容）。

8.檢查PE文件和CAB包裹的數字簽名。

9.特定文件格式檢測，檢測已知的格式溢出。

通過對以上幾項的加權處理，可以實現有效對已知和未知網頁掛馬的檢測。