识别和防御网页木马的四个方法

Posted 2020-08-15

网页木马主动攻击和被动攻击的发起频率差不多。如果用户不慎访问了有可能带有网页木马的网站，如何识别正在发生的网页木马攻击？用户可以根据以下的几个最常见的现象来判断： 

系统反应速度：

目前攻击者构建网页木马所使用的IE浏览器漏洞，包括最新的MS07004 VML漏洞，都是利用构造大量数据溢出浏览器或组件的缓冲区来执行攻击代码的，因此，用户遭受溢出类的网页木马的攻击时，通常系统的反应会变得十分缓慢，CPU占用率很高，浏览器窗口没有响应，也无法使用任务管理器强行关闭。另外，在一些内存小于512M的系统上，溢出类的网页木马攻击时，系统会频繁的对磁盘进行读写操作（物理内存不够用，系统自动扩大虚拟内存）。 

进程变化情况：

有少数的IE浏览器漏洞不属于缓冲区溢出的漏洞，比如去年初出现的MS06014 XML漏洞，用户在遭受使用它所构造的网页木马的攻击时，系统反应不会有明显的变化或者磁盘读写，顶多有时会短暂出现系统等待的沙漏图标，不过时间很短，用户一不留意就会错过。这种情况下，用户可以打开任务管理器或使用Process Explorer，查看是否有非用户启动的Iexplore.exe进程、名字比较奇怪的进程等来判断是否遭受了网页木马的攻击。 

浏览器显示：

攻击者在使用网页木马的被动攻击方式时，通常会在被其控制的合法网站上使用html中的iframe语句或java script方式来调用网页木马，如果用户在打开某个合法网站时，发现IE浏览器左下角的状态栏一直显示一个和当前浏览网站一点关系都没有的地址，同时系统响应变得很慢，或者是鼠标指针变成沙漏形状，便有可能正在遭受网页木马的攻击。 

安全软件报警：

安全软件报警也许是对用户来说最安全的一种网页木马攻击迹象，但目前市面上有相当多的反病毒软件检测不出用java script和vbscript 进行过加密的网页木马，因此反病毒软件不报警不一定说明网站就是安全的。

用户 系统补丁要及时更新，绝大部分的网页木马受害者都忽略了自己所使用的系统及应用软件的补丁升级。毕竟只有极少数的攻击者会使用昂贵的0day 浏览器漏洞来做网页木马，及时软件升级和安全补丁可以防御大部分的网页木马。