發(fā)信人: zanwilson (flyingeagle), 信區(qū): Windows 
標(biāo)  題: 預(yù)防網(wǎng)頁(yè)中的隱形殺 
發(fā)信站: 哈工大紫丁香 (2001年11月09日19:43:30 星期五), 轉(zhuǎn)信 
  
隨著計(jì)算機(jī)及網(wǎng)絡(luò)應(yīng)用的擴(kuò)展，電腦信息安全所面臨的危險(xiǎn)和已造成的損失也在成倍地 
增長(zhǎng)，特別是各種黑客的增多，一些個(gè)人用戶也時(shí)常遭到不同手段的攻擊，這不得不引 
起我們的重視。 
對(duì)于個(gè)人用戶來(lái)說(shuō)，除了病毒和木馬，網(wǎng)頁(yè)中的隱形代碼也開(kāi)始嚴(yán)重地威脅著我們的安 
全，但大多數(shù)人卻缺乏自我保護(hù)意識(shí)，對(duì)隱形代碼的危害認(rèn)識(shí)不夠，甚至在自己不知情 
的情況下被別人竊取了重要資料。因?yàn)殡[形代碼具有比較大的隱蔽性，到目前為止，還 
沒(méi)有什么病毒防火墻能很好地阻止隱形代碼的攻擊，大多數(shù)甚至根本就不能發(fā)現(xiàn)。所以 
我們更應(yīng)該高度警惕網(wǎng)頁(yè)代碼中的隱形殺手。一般來(lái)說(shuō)網(wǎng)頁(yè)代碼中的“隱形殺手”大致 
分為以下幾類： 
隱形殺手1 占用CPU 
通過(guò)不斷地消耗本機(jī)的系統(tǒng)資源，最終導(dǎo)致CPU占用率高達(dá)100%，使計(jì)算機(jī)不能再處理其 
他用戶的進(jìn)程。 
“隱形殺手1”代碼的典型惡作劇是通過(guò)JavaScript產(chǎn)生一個(gè)死循環(huán)。這類代碼可以是在 
有惡意的網(wǎng)站中出現(xiàn)，也可以以郵件附件的形式發(fā)給你。現(xiàn)在大多數(shù)的郵件客戶端程序 
都可以自動(dòng)調(diào)用瀏覽器來(lái)打開(kāi)HTM/HTML類型的文件。這樣只要你一打開(kāi)附件，屏幕上就 
會(huì)出現(xiàn)無(wú)數(shù)個(gè)新開(kāi)的瀏覽器窗口。最后讓你不得不重新啟動(dòng)計(jì)算機(jī)。 
避惡方法 對(duì)于這類問(wèn)題，只能是不要隨便打開(kāi)陌生人寄來(lái)的郵件的附件，特別是擴(kuò)展名 
是.vbs、.htm、.doc、.exe的附件。 
隱形殺手2 非法讀取本地文件 
這類代碼典型的作法是在網(wǎng)頁(yè)中通過(guò)對(duì)Activex、JavaScript和WebBrowser control的調(diào) 
用來(lái)讀本地文件。 
“隱形殺手2”的代碼較之“隱形殺手1”的特點(diǎn)就是表現(xiàn)方式較隱蔽，一般的人不容易 
發(fā)現(xiàn)隱形代碼正在讀取自己硬盤上的文件。“隱形殺手2”還能利用瀏覽器自身漏洞來(lái)實(shí) 
現(xiàn)其殺招，如IE5.0的IFrame漏洞。很簡(jiǎn)單的幾行代碼就可以讀取你本地硬盤上的任何I 
E可以打開(kāi)的文件。 
避惡方法 可以通過(guò)關(guān)閉JavaScript并隨時(shí)注意微軟的安全補(bǔ)丁來(lái)解決。 
隱形殺手3 Web欺騙 
攻擊者通過(guò)先攻入負(fù)責(zé)目標(biāo)機(jī)域名解析的DNS服務(wù)器，然后把DNS-IP地址復(fù)位到一臺(tái)他已 
經(jīng)拿下超級(jí)用戶權(quán)限的主機(jī)。 
這類攻擊目前在國(guó)內(nèi)很少出現(xiàn)，但如果成功的話危害卻非常大。而且可能會(huì)損失慘重。 
其攻擊方法是：在他已經(jīng)拿下超級(jí)用戶權(quán)限的那臺(tái)主機(jī)上偽造一個(gè)和目標(biāo)機(jī)完全一樣的 
環(huán)境，來(lái)誘騙你交出你的用戶名和密碼。比如說(shuō)我們的郵件甚至網(wǎng)上的銀行賬號(hào)和密碼 
。因?yàn)槟忝鎸?duì)的是一個(gè)和昨天一樣的環(huán)境，在你熟練的敲入用戶名和密碼的時(shí)候。根本 
沒(méi)有想到不是真正的主機(jī)。 
避惡方法 上網(wǎng)時(shí)，最好關(guān)掉瀏覽器的JavaScript，使攻擊者不能隱藏攻擊的跡象，只有 
當(dāng)訪問(wèn)熟悉的網(wǎng)站時(shí)才打開(kāi)它，雖然這會(huì)減少瀏覽器的功能，但我想這樣做還是值得的 
。還有就是不要從自己不熟悉的網(wǎng)站上鏈接到其他網(wǎng)站，特別是鏈接那些需要輸入個(gè)人 
賬戶名和密碼的網(wǎng)站。 
隱形殺手4 控制用戶機(jī) 
目前這類問(wèn)題主要集中在IE對(duì)Actives的使用上。 
我們現(xiàn)在可以看一看自己IE的安全設(shè)置，對(duì)于“下載已簽名的ActiveX控件”，現(xiàn)在的選 
項(xiàng)是“提示”。但你可能不知道，IE仍然有特權(quán)在無(wú)需提示的情況下下載和執(zhí)行程序。 
這是一個(gè)嚴(yán)重的安全問(wèn)題，我們可能在不知情的情況下被別人完全控制。 
避惡方法 在注冊(cè)表HKEY-LOCAL-MACHINE\SOFTWARE\Microsoft\Internet Explorer\Act 
iveX Compatiblity”下為“Active Setup controls”創(chuàng)建一個(gè)基于CLSID的新建{6E44 
9683-C509-11CF-AAFA-00AA00 B6015C}在新建下創(chuàng)建REGDWORD類型的值：Compatibilit 
y Flags 0x00000400。 
隱形殺手5 非法格式化本地硬盤 
這類代碼的危害較大。只要你瀏覽了它的網(wǎng)頁(yè)，你的硬盤就會(huì)被格式化。 
這并不是聳人聽(tīng)聞，其實(shí)IE可以通過(guò)執(zhí)行ActiveX而使硬盤被格式化并不是什么新漏洞， 
早在去年就有國(guó)外黑客發(fā)現(xiàn)這一問(wèn)題，并公布了源代碼，只是當(dāng)時(shí)公布的漏洞源代碼是 
對(duì)西班牙版的Windows，如果直接Copy下來(lái)的話對(duì)于中文版的Windows并沒(méi)有什么用。但 
最近已經(jīng)在國(guó)內(nèi)的個(gè)別個(gè)人主頁(yè)里發(fā)現(xiàn)了對(duì)中文版Windows的格式化本地硬盤的代碼。你 
如果瀏覽含有這類代碼的網(wǎng)頁(yè)，瀏覽器只會(huì)出一個(gè)警告說(shuō)：“當(dāng)前的頁(yè)面含有不完全的 
ActiveX，可能會(huì)對(duì)你造成危害”，問(wèn)你是否執(zhí)行。如果你選擇“是”的話，你的本機(jī)硬 
盤就會(huì)被快速格式化，而且因?yàn)楦袷交瘯r(shí)窗口是最小化的，你可能根本就沒(méi)注意，等發(fā) 
現(xiàn)已悔之晚矣。 
避惡方法 對(duì)于在瀏覽網(wǎng)頁(yè)時(shí)出現(xiàn)的類似提示，除非你知道自己是在做什么，否則不要隨 
便回答“是”。而且上述提示信息還可以被修改，如改成“Windows正在刪除本機(jī)的臨時(shí) 
文件，問(wèn)你是否繼續(xù)”，所以千萬(wàn)要注意！另：把本機(jī)的format.com、deltree.exe等危 
險(xiǎn)命令改名也是一個(gè)辦法。因?yàn)槲覀冊(cè)赪indows中要真正用到這些DOS命令的情況并不是 
很多，而很多宏病毒或危險(xiǎn)代碼就是直接調(diào)用這些DOS命令，如有名的國(guó)產(chǎn)宏病毒“七月 

殺手”，就是在Autoexec.bat中加入了deltree c:\ /y。 
-- 
路漫漫其修遠(yuǎn)兮，吾將上下而求索。