网页木马深度剖析以及手工清除

【 tulaoshi.com - Web开发 】

　　前 言

　　杀毒软件风靡全球的今天，各式各样的病毒仍然在网络上横行，其形式的多样化，自身之隐蔽性都大大的提高。其中，网页病毒、网页木马就是这个新型病毒大军中危害面最广泛，传播效果最佳的。之所以会出此篇，也是在考虑到太多的人都在网页病毒中“应声倒下”，却不知自己是如何中毒，以及中毒后如何去处理。就此问题，我们开始以下，对网页病毒、网页木马这一“新概念”做个详细的剖析。

　　注:为什么会用这么大的篇幅去介绍网页病毒、网页木马的常识和运行机理，而非机械地去介绍如何如何做，大家在通读全文后便有个新的了解。

　　第一章 恶意网页的基本常识

　　第一节 什么是网页病毒

　　网页病毒是利用网页来进行破坏的病毒，它存在于网页之中，其实是使用一些script语言编写的一些恶意代码利用IE的漏洞来实现病毒植入。当用户登录某些含有网页病毒的网站时，网页病毒便被悄悄激活，这些病毒一旦激活，可以利用系统的一些资源进行破坏。轻则修改用户的注册表，使用户的首页、浏览器标题改变，重则可以关闭系统的很多功能，装上木马，染上病毒，使用户无法正常使用计算机系统，严重者则可以将用户的系统进行格式化。而这种网页病毒容易编写和修改，使用户防不胜防。

　　目前的网页病毒都是利用JS.ActiveX、WSH共同合作来实现对客户端计算机，进行本地的写操作，如改写你的注册表，在你的本地计算机硬盘上添加、删除、更改文件夹或文件等操作。而这一功能却恰恰使网页病毒、网页木马有了可乘之机。

　　而在我们分析网页病毒前，先叫我们知道促使病毒形成的罪魁祸首:Windows 脚本宿主 和Microsoft Internet Explorer漏洞利用

　　第二节 Windows 脚本宿主，Internet Explorer漏洞以及相关

　　WSH，是“Windows scripting Host”的缩略形式，其通用的中文译名为“Windows 脚本宿主”。对于这个较为抽象的名词，我们可以先作这样一个笼统的理解:它是内嵌于 Windows 操作系统中的脚本语言工作环境。

　　Windows scripting Host 这个概念最早出现于 Windows 98 操作系统。大家一定还记得 MS-Dos 下的批处理命令，它曾有效地简化了我们的工作、带给我们方便，这一点就有点类似于如今大行其道的脚本语言。但就算我们把批处理命令看成是一种脚本语言，那它也是 98 版之前的 Windows 操作系统所唯一支持的“脚本语言”。而此后随着各种真正的脚本语言不断出现，批处理命令显然就很是力不从心了。面临这一危机，微软在研发 Windows 98 时，为了实现多类脚本文件在 Windows 界面或 Dos 命令提示符下的直接运行，就在系统内植入了一个基于 32 位 Windows 平台、并独立于语言的脚本运行环境，并将其命名为“Windows scripting Host”。WSH 架构于 ActiveX 之上，通过充当 ActiveX 的脚本引擎控制器，WSH 为 Windows 用户充分利用威力强大的脚本指令语言扫清了障碍。

　　WSH也有它的不足之处，任何事物都有两面性，WSH 也不例外。应该说，WSH 的优点在于它使我们可以充分利用脚本来实现计算机工作的自动化;但不可否认，也正是它的这一特点，使我们的系统又有了新的安全隐患。许多计算机病毒制造者正在热衷于用脚本语言来编制病毒，并利用 WSH 的支持功能，让这些隐藏着病毒的脚本在网络中广为传播。借助WSH的这一缺陷，通过JAVAscript，VBscript，ACTIVEX等网页脚本语言，就形成了现在的“网页危机”。

　　促使这一问题发生的还有问题多多Internet Explorer 的自身漏洞。比如:“错误的MIMEMultipurpose Internet Mail Extentions，多用途的网际邮件扩充协议头”，“Microsoft Internet Explorer浏览器弹出窗口Object类型验证漏洞”。而以下介绍的几个组件存在的问题或漏洞或是在安全问题上的过滤不严密问题，却又造成了“网页危机”的另外一个重要因素。

　　l Java语言可以编写两种类型的程序:应用程序(Application)和小应用程序(Applet)。应用程序是可以独立运行的程序，而Applet不能独立运行，需要嵌入HTML文件,遵循一套约定，在支持Java的浏览器(如:Netscape Navigator 2.02版本以上，HotJava,Microsoft Internet Explorer 3.0版本以上)运行，是Java一个重要的应用分支，也是当时Java最令人感兴趣的地方(它一改网页呆板的界面)，就是在WWW网页(Home Page / Pages)设计中加入动画、影像、音乐等，而要达到这些效果使用最多的是Java Applet和Java script (这是一种Java的命令语言)。

　　l Javascript是一种基于对象(Object)和事件驱动(Event Driven)并具有安全性能的脚本语言。使用它的目的是与HTML超文本标记语言、与Web客户交互作用。从而可以开发客户端的应用程序等。它是通过嵌入或文件引用在标准的HTML语言中实现的。它的出现弥补了HTML语言的缺陷，它是Java与HTML折衷的选择，具有基于对象、简单、安全、动态、跨平台性等特性。

　　l ActiveX是Microsoft提出的一组使用COM(Component Object Model，部件对象模型)使得软件部件在网络环境中进行交互的技术。它与具体的编程语言无关。作为针对Internet应用开发的技术，ActiveX被广泛应用于WEB服务器以及客户端的各个方面。同时，ActiveX技术也被用于方便地创建普通的桌面应用程序。在Applet中可以使用ActiveX技术，如直接嵌入ActiveX控制，或者以ActiveX技术为桥梁，将其它开发商提供的多种语言的程序对象集成到Java中。与Java的字节码技术相比，ActiveX提供了“代码签名”(Code Signing)技术保证其安全性。

　　第三节 网页病毒的攻击方式

　　既然是网页病毒，那么很简单的说，它就是一个网页，甚至于制作者会使这个特殊网页与其他一般的网页别无他样，但在这个网页运行与本地时，它所执行的操作就不仅仅是下载后再读出，伴随着前者的操作背后，还有这病毒原体软件的下载，或是木马的下载，然后执行，悄悄地修改你的注册表，等等…那么，这类网页都有什么特征呢？

　　§ 1.美丽的网页名称，以及利用浏览者的无知.

　　不得不承认，很多恶意网页或是站点的制作者，他们对浏览者的心理分析是下功夫的，对域名的选择和利用绝对是很到位的。很多上网的男性网民大都对MM照片感兴趣，这就是

　　[HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/RunOnce]

　　[HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/Run]

　　[HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/RunOnce]

　　[HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/RunServices]

　　确认主键下没有加载任何分键值.另外，在启动配置器里的autoexec.bat ,win.ini,system.ini以及在WIN 9X下的winstart.ini文件，其中的存在LOAD=键的，它的值是空，不是空格，只有=号。Autoexec.bat没有加载任何程序，在「开始」菜单/程序/启动 文件夹下不存在任何程序，那样才能有效的去掉一个病毒的再生功能。不叫它开机运行，或者不在运行，那我们就可以把它从计算机上请出去。

　　第三节 网页病毒、网页木马的运行效果分析

　　第一、电脑中的默认主页会被无故更改，并且IE工具栏内的修改功能被屏蔽掉;

　　第二、在电脑桌面上无故出现陌生网站的链接，无论怎么删除，每次开机都依旧会出现，如果单击鼠标右键，出现的工具栏中有也会有大量陌生网站的链接;

　　第三、开机后，无法进入DOS实模式; 仅对WIN 9X 系统

　　第四、电脑桌面及桌面上的图标被隐藏;

　　第五、注册表编辑器被告知“已锁定”，从而无法修改注册表;

　　第六、上网之前，系统一切正常，下网之后系统就会出现异常情况，如系统盘丢失、硬盘遭到格式化等，查杀病毒后仍无济于事;

　　第七、上陌生网站后，出现提示框“您已经被XX病毒攻击”，之后系统出现异常;

　　第八、登陆站点后，发现一个窗口迅速打开后又消失，自己的计算机系统文件夹内多了几个未知的好象是系统文件的新文件。

　　第九、发现系统的进程中多了几个未知进程，而且杀不掉，重起后又会出现。

　　第十、自己的计算机CPU利用率一直是高居100%，好象是在运行什么占用内存的东西。

　　第十一、登陆某站点后，杀毒监控软件报警，并删除病毒文件，位置在IE的缓冲区。重新启动计算机后发现自己的IE被改掉了。而且发现第八，第九，第十中的现象。

　　第十二、发现中毒后，反复杀毒，病毒反复复发，根本没办法清理干净。尤其是IE的默认页。杀毒后修复完毕，但重新启动后又出现问题。

　　第十三、会不定时的弹出广告。

　　第十四、自己的私有帐号无故丢失。

　　l 要避免被网页恶意代码感染，首先关键是不要轻易去一些自己并不十分知晓的站点，尤其是一些看上去非常美丽诱人的网址更不要轻易进入，否则往往不经易间就会误入网页代码的圈套。

　　l 由于该类网页是含有有害代码的ActiveX网页文件，因此在IE设置中将ActiveX插件和控件、Java脚本等全部禁止就可以避免中招。

　　具体方法是:在IE窗口中点击"工具→Internet选项，在弹出的对话框中选择"安全"标签，再点击"自定义级别"按钮，就会弹出"安全设置"对话框，把其中所有ActiveX插件和控件以及Java相关全部选择"禁用"即可。不过，这样做在以后的网页浏览过程中可能会造成一些正常使用ActiveX的网站无法浏览。

　　l 对于Windows98用户，请打开 C:/WINDOWS/JAVA/Packages/CVLV1NBB.ZIP， 把其中的“ActiveXComponent.class”删掉;对于WindowsMe用户，请打开C:/WINDOWS/JAVA/Packages/5NZVFPF1.ZIP， 把其中的"ActiveXComponent.class"删掉。请放心，删除这个组件不会影响到你正常浏览网页的.

　　l 对Win2000用户，还可以通过在Win2000下把服务里面的远程注册表操作服务"Remote Registry Service"禁用，来对付该类网页。具体方法是:点击"管理工具→服务→Remote Registry Service(允许远程注册表操作)"，将这一项禁用即可。

　　l 升级你的IE为6.0版本并装上所有的SP以及追加的几个小补丁，可以有效防范上面这些症状。

　　l 下载微软最新的Microsoft Windows script 5.6

　　l 安装病毒防火墙，一般的杀毒软件都自带.打开网页监控和脚本监控.

　　l 虽然经过上述的工作修改回了标题和默认连接首页，但如果以后某一天又一不小心进入这类网站就又得要麻烦了。这时你可以在IE浏览器中做一些设置以使之永远不能进入这类站点:

　　打开IE属性，点击“工具”→ “Internet选项 ”→“安全”→“受限站点”，一定要将“安全级别”定为“高”，再点击“站点”，在“将Web站点添加到区域中”添加自己不想去的网站网址，再点击“添加”，然后点击“应用”和“确定”即可正常浏览网页了。

　　l 在注册表

　　[HKEY-LOCAL-MACHINE/SOFTWARE/Microsoft/Internet Explorer/ActiveX Compatiblity]下为

　　[Active Setup controls]创建一个基于CLSID的新建{6E449683-C509-11CF-AAFA-00AA00 B6015C}在新建下创建REGDWORD类型的值:[Compatibility Flags 0x00000400]

　　可以间接的防止网页木马问题。

　　l 请经常升级你的杀毒软件病毒库，让他们能及时的查出藏在你计算机内的病毒残体。经常性的做全机的扫描检查。

　　l 推荐安装:IE6.0.2800.1106 + SP1 + 4个IE专项补丁

　　第四章 网页病毒、网页木马的清理和手工清理

　　第一节 网页病毒、网页木马的一般清理

　　在病毒防治和查杀的第一选择，我们首当其冲的就是杀

　　窗体底端

　　要特别注意的是:如果你用这个方法制作解除注册表锁定的工具，一定要严格按照上面的书写格式进行，不能遗漏更不能修改(其实你只需将上述内容“复制”、“粘贴”到你机器记事本中即可);完成上述工作后，点击记事本的文件菜单中的“另存为”项，文件名可以随意，但文件扩展名必须为.reg(切记),然后点击“保存”。这样一个注册表解锁工具就制作完成了，之后你只须双击生成的工具图标，其会提示你是否将这个信息添加进注册表，你要点击“是”，随后系统提示信息已成功输入注册表，再点击“确定”即可将注册表解锁了。

　　主要是修改了注册表中IE设置的下面这些键值(DWORD值为1时为不可选):

　　HKEY_CURRENT_USER/Software/Policies/Microsoft/Internet Explorer/Control Panel

　　"Settings"=dword:1

　　HKEY_CURRENT_USER/Software/Policies/Microsoft/Internet Explorer/Control Panel

　　"Links"=dword:1

　　HKEY_CURRENT_USER/Software/Policies/Microsoft/Internet Explorer/Control Panel

　　"SecAddSites"=dword:1

　　解决办法:上面这些DWORD值改为“0”即可恢复功能。

　　7. IE的默认首页灰色按扭不可选

　　这是由于注册表HKEY_USERS/.DEFAULT/Software/Policies/Microsoft/Internet Explorer/Control Panel

　　下的DWORD值“homepage”的键值被修改的缘故。原来的键值为“0”，被修改后为“1”(即为灰色不可选状态)。

　　解决办法:将“homepage”的键值改为“0”即可。

　　8. IE右键菜单被修改

　　受到修改的注册表项目为:

　　HKEY_CURRENT_USER/Software/Microsoft/Internet Explorer/MenuExt

　　下被新建了网页的广告信息，并由此在IE右键菜单中出现!

　　解决办法:

　　打开注册标编辑器，找到

　　HKEY_CURRENT_USER/Software/Microsoft/Internet Explorer/MenuExt

　　删除相关的广告条文即可，注意不要把下载软件FlashGet和Netants也删除掉，这两个可是“正常”的，除非你不想在IE的右键菜单中见到它们。

　　9. IE默认搜索引擎被修改

　　出现这种现象的原因是以下注册表被修改:

　　HKEY_LOCAL_MACHINE/Software/Microsoft/Internet Explorer/Search/CustomizeSearch

　　HKEY_LOCAL_MACHINE/Software/Microsoft/Internet Explorer/Search/SearchAssistant

　　解决办法:

　　运行注册表编辑器，依次展开上述子键，将“CustomizeSearch”和“SearchAssistant”的键值改为某个搜索引擎的网址即可

　　10. 查看“源文件”菜单被禁用

　　恶意网页修改了注册表，具体的位置为:

　　HKEY_CURRENT_USER/Software/Policies/Microsoft/Internet Explorer

　　下建立子键“Restrictions”，然后在“Restrictions”下面建立两个DWORD值:

　　“NoViewSource”和“NoBrowserContextMenu”，并为这两个DWORD值赋值为“1”。

　　在注册表

　　HKEY_USERS/.DEFAULT/Software/Policies/Microsoft/Internet Explorer/Restrictions下，将两个DWORD值:“NoViewSource”和“NoBrowserContextMenu”的键值都改为了“1”。　通过上面这些键值的修改就达到了在IE中使鼠标右键失效，使“查看”菜单中的“源文件”被禁用的目的。

　　解决办法:

　　将以下内容另存为后缀名为.reg的注册表文件，比如说unlock.reg，双击unlock.reg导入注册表，不用重启电脑，重新运行IE就会发现IE的功能恢复正常了。

　　REGEDIT4

　　HKEY_CURRENT_USER/Software/Policies/Microsoft/Internet Explorer/Restrictions

　　“NoViewSource”=dword:00000000

　　"NoBrowserContextMenu"=dword:00000000

　　HKEY_USERS/.DEFAULT/Software/Policies/Microsoft/Internet Explorer/Restrictions

　　“NoViewSource”=dword:00000000

　　“NoBrowserContextMenu”=dword:00000000

　　11. 系统启动时弹出对话框

　　受到更改的注册表项目为:

　　HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/WinLogon

　　在其下被建立了字符串“LegalNoticeCaption”和“LegalNoticeText”，其中“LegalNoticeCaption”是提示框的标题，“LegalNoticeText”是提示框的文本内容。由于它们的存在，就使得我们每次登陆到Windwos桌面前都出现一个提示窗口，显示那些网页的广告信息!

　　解决办法:

　　打开注册表编辑器，找到