博客被黑实录

      昨天晚上在写完《何去何从》那篇东西的时候突然发现我的博客页面出现异常，症状就是页面内容靠左了，正常的话就是在中间的。问了问朋友也觉得不正常了，习惯性地打开博客主页的源文件。不看还行，一看差点没吓晕过去！源码中第一句便是一个插iframe框架的代码！！！晕了，博客居然被人挂马了。这套程序虽然写得不怎么好，不过后台已经做了些改动，就算进了我的后台也是没那么容易得到webshell的。文件编辑功能去掉的了，自定义上传文件类型也去掉了，其他基本上还有些文本编辑的功能了。被黑了虽然是十分的不爽，没开张几天就中标了，那还得了？！不过因为我没有FTP权限，不能上去看看到底发表了什么事，所以服务器上面只能等朋友解决了。我想我也不能干等嘛，就想去分析下那个马。这个马挺有意思的，不是普通的htm或者html后缀，居然是一个asp后缀的文件！这种马我倒还真是第一次见呢，直接打开页面显示空白。叫朋友帮忙看了看，居然说打开我的博客不报毒，直接打开那个马所在的文件就报毒了。郁闷，还有这种事的。后来又和朋友讨论了一下才知道最近兴起了这类asp的网页木马。虽然直接打开是看不到任何代码，不过却是可以用迅雷这类下载工具下载回本地再看的。不过下回本地后发现更有意思，里面的代码是倒着写的，比如EXE文件的下载地址就是这样的：exe.namnwod/segami/8050/swen/moc.iebug.www//:ptth。要不是认真看还真看不出来呢，看来马的作者果然有一手！

 

    找到了EXE文件的下载地址当然就是去下载回来分析下了。下载目标地址的EXE文件后，大小13K。用PEID查了一下，加的是UPX的壳，直接用PEID自带的UPX脱壳机就脱掉了壳，脱壳后程序大小为48K。图标是MSN的图标，再用PEID看了一下，居然是什么也没有发现，看来还有别的保护。不管了，c32asm载入，查找关键字，没有发现下载地址信息，也没有上线信息等，确定应该不是下载者类。不过看到有不少@字符，初步估计是盗号类木马了。而且还发现很多和MSN相关的字符。由于自己的反汇编能力确实很有限，所以请出ASM大侠帮忙分析。没多久结果就出来了，是个盗MSN账号密码的，运行后会在c:\windows\system32\目录下释放msnmsgr.exe文件。跳到系统目录下，不好意思，我中标了！果然发现有msnmsgr.exe这个文件，赶紧删除掉。不过这个文件没有一点难度就删掉了，还真是不太爽。问了问ASM，他说这个程序根本没执行到盗号那一步就执行自删除了，换句话说就是中了也等于没中，难怪这么轻易就T出硬盘了！这马白写了，唉，可怜的作者。自删除方式还是创建bat文件实现的呢，呵呵。还有插入线程等一些木马所具备的功能，不过目的都没实现就自行了断了就的确可惜了！至于放马的那个站，简单的看了看发现不容易拿下就没去理它了。这个网马还是MS07004、MS06090、QQEXP三个在一块来的呢，够厉害了！至此，关于这个马的分析就告一段落了。

 

     不得不要提的就是，这个挂得很奇怪：我访问的所有页面都会被在同一位置插入那行iframe框架代码，包括后台管理页面。虽然说如果得到了webshell的话，要做到这一点并不难，来个批量挂马就OK了。不过我的博客才开没几天，又没有什么流量。那家伙为什么要黑我的呢？貌似没有什么动机。知道我开博客的人也不多，有能力黑了的更是屈指可数了。由此初步断定入侵者应该不是针对我而来的，要么是旁注的，发现有站就顺手挂上了；要么就是传说中ARP欺骗挂马大法了！说到ARP挂马这招我以前倒是没听说过的，虽然玩过ARP欺骗攻击，也曾经和朋友ARP弄过一个黑客站。但是ARP用来挂马还是头一回听说。信息来源是紫侠客提供的，他说最近在流行一种ARP欺骗挂马，说我博客的症状极有可能是ARP干的了！手上根本没有任何关于ARP挂马的资料，google了一会终于有结果了，原来是某个病毒的一种传播方式。毒是够毒的了，只要拿到同一网段下的其中一个服务器权限，就可以对目标进行挂马操作了，根本无需得到目标网站的任何权限，就可以把你的马挂到上面，够狠了吧！由于事发当晚朋友FTP连接不上去，具体原因无法查明，初步断定用的就是ARP挂马了。入侵者并不是有意针对我的，只是我的博客空间刚好在那个网段，人家一动手就中标了。还有就是我的windows居然不能更新了，手动更新的时候提示我的系统不理正版（本来就不是的啦）了，难怪N长时间没有自动更新了，原来MS认出我的系统是盗版的了，唉。看来得想个办法更新才行了。要不天天中马就不爽了，万一哪天一不小心中了个远程控制木马，那滋味可不爽啊！

 

      这次博客被黑事件虽然不爽，但是也因此而同时接触到了不少新事物。后来就转移了空间，弄到安全的地方上去了，还叫朋友帮忙分析这套程序的代码，主要是想看看到底哪些地方不够安全，把危险指数降到最低才是最重要的嘛。期间还得麻烦我的朋友们了，博客访问不了，真的不好意思了哦。还有就是帮我分析木马、关心我的所有人和帮我转移了空间的朋友，我在这里向你们说一句：同志们，辛苦了！等我有几个亿身家的时候送你们几车钞票，哈哈……