恶意代码嵌入网页步骤

下载本文档

ID 267987
格式 doc
大小 176.5 KB
约9页
收藏
点赞(0)
海报
举报

/ 9

下载本文档

文本预览下载提示常见问题

实验：恶意代码嵌入网页实验目的：通过实验了解和掌握IEObjectData远程运行恶意代码漏洞利用使用方法，了解IE的安全级别并不是万能的；灵活运用类似方法对系统安全性进行有效考察和分析、并能准确地采取相应措施加以解决。实验准备：安装Windows操作系统,IE浏览器，InternetInformationServer(IIS)。配置一个Web服务器。实验原理：漏洞描述：这是微软HTMLObject标签的一个漏洞。Object标签主要用来把ActiveX插入到HTML页面里，由于加载程序没有根据描述远程Object数据位置的数检查加载文件的性质，因此和其他文件或“安全”的HTM内容一样，WEB页面里的木马会悄悄地执行，对于DATA所标记的URL,IE会根据服务器返回的头返回的是application/hta等，那么该文件就能够执行，而不管IE的安全级别多高。知道了漏洞的原理，我们应该知道危害之在了，攻击者可以利用网页、邮件、新闻组、论坛进行攻击，IE的用户数量也是勿庸置疑的，可见传播范围，途径是非常之多的，多数用户记得给服务器打补丁，利用Webdav、DCOMRPC,但是往往会忽视IE的查漏补缺，潜在威胁也很大，也许有人要说，那也只是几个用户被黑啊。这样说是彻底错误了，试想公司内部的成员被入侵不是给内部网络造成很大的威胁吗？如果一个访问量还算不错的着站点被入侵，然后利用这个漏洞，然后访问的所有用户都会遭受不同程度的损失，这个损失就不是主页被黑那么简单了。当然，解决问题的关键还是在使用IE这个软件的用户本身实验步骤：任务一：在服务上放上一个名为ms.htm的文件1．内容如下：god………此处我将该文件存放于C:/input/wwwroot中。2.为了让别人看到这个网页，应对Web服务器进行相应的设置，如下图：指定服务器的IP地址：设置默认文档设置主目录：任务二在服务器里放入一个IEbug$.dead文件1.在C:/input/wwwroot中建一个IEbug$.htm文件，内容如下：IEObjectData远程运行恶意代码漏洞Dimfso,f1Setfso=CreateObject("Scripting.FileSystemObject")'在c盘下建立一个名为haha.txt的文本文件。Setf1=fso.CreateTextFile("f:\haha.txt",True)'写一行，并且带有新行字符。f1.WriteLine("黑猫来此一游.")湖南交通职业技术学院陈瑶Tel:13319550018E-Mail:ayao2188@sohu'向文件写三个新行字符。f1.WriteBlankLines(3)'写一行。f1.Write("这是一个简单的试验，就可以看出ie的致命弱点.")f1.Close2.当我们运行IEbug$.htm文件时，系统会提示出错:ActiveX部件不能创建对象。打开C:/input/wwwroot盘，你不会发现有haha.txt这个文件。如下图：3.接下来我们把IEbug$.htm以IEbug$.dead为名保存；下面要设置一下IIS服务器，在Web服务属性里面选择“头",在里面的“mime映射”设置里面点击“文件类型”，然后选择“新类型”，在“关联扩展名”里面填入“.dead”的后缀，在“内容类型（mime）”里面填入“application/hta”，但是扩展名为dead不能直接在浏览器里运行，就用到了一开始建立的那个ms.htm文件，如下图：4.在运行前，把ie的安全级别设为最高。如下图：6.接着在IE浏览器中打开ms.htm，如下图：就这么轻松，神不知鬼不觉的在我们的硬盘上建立了一个文件，如果对方想的话，往你硬盘上传木马，或者加入格式化硬盘的命令都是可能的。总结：对于恶意网页，相信大家以前都有过用调整IE级别的方法来阻止恶意网页的危害。尽管严格的IE级别也会给我们自己上网带来很多限制，但是为了安全，也很值得。可是通过这个实验可以让大家了解到这样的防范对于阻止恶意网页的侵害根本就是无济于事。知道了漏洞的原理，我们应该知道危害之在了，攻击者可以利用网页、邮件、新闻组、论坛进行攻击，IE的用户数量也是勿庸置疑的，可见传播范围，途径是非常之多的，多数用户记得给服务器打补丁，利用Webdav、DCOMRPC,但是往往会忽视IE的查漏补缺，潜在威胁也很大，也许有人要说，那也只是几个用户被黑啊。这样说是彻底错误了，试想公司内部的成员被入侵不是给内部网络造成很大的威胁吗？如果一个访问量还算不错的着站点被入侵，然后利用这个漏洞，然后访问的所有用户都会遭受不同程度的损失，这个损失就不是主页被黑那么简单了。当然，解决问题的关键还是在使用IE这个软件的用户本身。

1、当您付费下载文档后，您只拥有了使用权限，并不意味着购买了版权，文档只能用于自身使用，不得用于其他商业用途（如 [转卖]进行直接盈利或[编辑后售卖]进行间接盈利）。
2、本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺！文档内容仅供参考，付费前请自行鉴别。
3、如文档内容存在侵犯商业秘密、侵犯著作权等，请点击“举报”。