編者按：上期我們介紹的是“萬花谷”病毒攻防戰(zhàn)，其實互聯(lián)網(wǎng)上類似的網(wǎng)站還很多（計算機(jī)愛好者，學(xué)習(xí)計算機(jī)基礎(chǔ)，電腦入門，請到本站，我站同時提供計算機(jī)基礎(chǔ)知識教程，計算機(jī)基礎(chǔ)知識試題供大家學(xué)習(xí)和使用），，只要有帶新的病毒的網(wǎng)站出現(xiàn)，我們就有義務(wù)告知大家。如果大家有網(wǎng)絡(luò)安全方面的稿件，請發(fā)xiongjie@cpcw．Com信箱，我們將以最快速度把實用性強(qiáng)的文章刊登出來。
一、切身體驗
在進(jìn)入木馬網(wǎng)頁的過程中，鼠標(biāo)奇怪地變成沙漏形狀，看來的確是有程序在運行。打開計算機(jī)的任務(wù)管理器，可以看到多了一個wincfg．Exe的進(jìn)程。進(jìn)程對應(yīng)的文件在Win2000下是c＼winnt＼wincfg．Exe，在Win98下是c＼windows＼wincfg．Exe。
運行注冊表編輯器regedit，在“HKEY＿LOCAL＿M(jìn)ACHINE＼SOFTWARE＼Microsoft＼Windows＼CurrentVerion＼Run”下發(fā)現(xiàn)wincfg．Exe，原來它將自己登記在注冊表開機(jī)啟動項中，這樣每次開機(jī)都會自動運行wincfg．Exe。(如圖)
注：給你下套的人可以自己設(shè)定這個木馬的啟動鍵名和注冊文件名，注冊文件名也就是運行時進(jìn)程里的名稱，因此大家看到的結(jié)果可能不相同。
運行金山毒霸，報告發(fā)現(xiàn)“backdoor bnlite”，哦，原來是木馬bnlite服務(wù)端改名為wincfg．Exe。別看這個木馬服務(wù)端程序不大(僅有6．5K)，但它的功能可不少：具有ICQ通報功能、遠(yuǎn)程刪除服務(wù)端功能、設(shè)定端口和運行名稱、上傳下載……如果你中了該木馬，那么木馬控制端完全可以通過這個木馬在你的電腦上建立一個隱藏的FTP服務(wù)器，別人就有最大權(quán)限進(jìn)入你的電腦了！這樣控制你的電腦將非常容易！
木馬是如何下載到瀏覽了該主頁的計算機(jī)中、并運行起來的呢？在IE中點擊“工具”→“Internet選項”→“安全”→“自定義安全級別”，將ActiveX相關(guān)選項全部都禁用，再瀏覽該網(wǎng)頁，wincfg．Exe還是下載并運行了！看來這和ActiveX無關(guān)。在“自定義安全級別”中有關(guān)文件下載的選項都禁止，再瀏覽該網(wǎng)頁，這回wincfg．Exe不再下載了。
二、問題揭示
我們來看看wincfg．Exe是如何下載到瀏覽者計算機(jī)上的，在該網(wǎng)頁上點擊鼠標(biāo)右鍵，選擇其中的“查看源代碼”，在網(wǎng)頁代碼最后面發(fā)現(xiàn)了可疑的語句：
＜iframe src=wincfg．Eml width=1 height=1＞
注意到其中的“wincfg．Eml”了嗎？大家都知道eml為郵件格式，網(wǎng)頁中要eml文件干什么呢？非常可疑！在IE瀏覽器中輸入：http//shirf．51．Net/wincfg．Eml，再看看任務(wù)管理器，wincfg．Exe進(jìn)程又回來了，原來問題就在這個文件上！既然問題在這文件上，當(dāng)然得想辦法得到這個文件看看了。用螞蟻把文件下載下來，鼠標(biāo)剛點上去，wincfg．Exe又被執(zhí)行了，真是陰魂不散啊！
打開wincfg．Eml，發(fā)現(xiàn)其關(guān)鍵內(nèi)容如下：
Content-Type audio/x-wav name=“wincfg．Exe” ★這一句定義了文件名稱，在此為wincfg．Exe
Content-Transfer-Encoding base64 ★定義了代碼格式為base64
Content-ID ＜THE-CID＞ ★從這里開始才是代碼的起步
TVqQAAMAAAAEAAAA//8AAL……以下刪掉一大節(jié) ★這些是wincfg．Exe經(jīng)過base64編碼的內(nèi)容
上面加了“★”的部分為注釋內(nèi)容。這個以base64方式編碼的文件，會在你瀏覽網(wǎng)頁時編譯成wincfg．Exe文件并運行，這就是瀏覽該網(wǎng)頁會中木馬的原因！至此我就明白了，其實，所謂的瀏覽網(wǎng)頁會中木馬，只是網(wǎng)頁制作者利用了微軟IE瀏覽器中存在的漏洞進(jìn)行攻擊的一個案例而已，說白了就是利用了錯誤的MIMEMultipurpose Internet Mail Extentions，多用途的網(wǎng)際郵件擴(kuò)充協(xié)議頭進(jìn)行攻擊。
三、真相大白
現(xiàn)在，再回過頭來看看我所中的木馬是怎么回事。其實，wincfg．Exe這個文件在這里相當(dāng)于郵件的附件，從我們所列的代碼中可以看到，攻擊者把wincfg．Exe的類型定義為audio/x-wav，由于郵件的類型為audio/x-wav時，IE存在的這個錯誤的MIME頭漏洞會將附件認(rèn)為是音頻文件，并自動嘗試打開，結(jié)果導(dǎo)致郵件文件wincfg．Eml中的附件wincfg．Exe(木馬)被執(zhí)行。在Win2000下，即使是用鼠標(biāo)點擊下載下來的wincfg．Eml，或是拷貝粘貼該文件，都會導(dǎo)致wincfg．Eml中的附件被運行，微軟的這個漏洞可真是害人不淺啊。現(xiàn)在看來，原先那些攻擊者想方設(shè)法欺騙被攻擊目標(biāo)執(zhí)行修改過的木馬等后門程序，是多么落后的手段啊！如今，利用微軟“創(chuàng)造”的這個大漏洞來進(jìn)行攻擊，是多么簡單、多么容易啊！唯一的條件就是被攻擊目標(biāo)使用IE5．0及以上版本中的一種，使用IE瀏覽器的用戶到底有多少呢？看看你身邊的朋友就知道答案了！
四、解決辦法
1點擊“開始”→“運行”，在彈出的對話框中輸入“regedit”，回車。然后展開注冊表到“HKEY＿LOCAL＿M(jìn)ACHINE＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼Run”下刪除wincfg．Exe；
2到你的計算機(jī)的系統(tǒng)目錄下，刪除其中的wincfg．Exe文件；
3重新啟動機(jī)器，就一切OK了！
五、預(yù)防方法
1．IE和Outlook的用戶。
1在IE的“工具→Internet選項→安全→Internet區(qū)域的安全級別”，把安全極別由“中”改為“高”。
2點擊“自定義級別”按鈕，在彈出的窗口中，禁用“對標(biāo)記為可安全執(zhí)行腳本的ActiveX控件執(zhí)行腳本”、“活動腳本”和“文件下載”功能。
3禁用所有的ActiveX控制和插件。
4將資源管理器設(shè)置成“始終顯示擴(kuò)展名”。
5禁止以WEB方式使用資源管理器。
6取消“下載后確認(rèn)打開”這種擴(kuò)展名屬性設(shè)置。
2．不要受陌生人的誘惑打開別人給你的URL，如果確實想看，可以通過一些下載工具把頁面下載下來，然后用記事本等一些文本編輯工具打開查看代碼。
3．微軟公司為該漏洞提供了一個補(bǔ)丁，趕快到下面所列出的URL去看看吧：
http://www．Microsoft．Com/windows/IE/download/critical/Q290108/default．Asp
上海廣樂網(wǎng)絡(luò)科技有限公司 
滬ICP備14038021號-2 版權(quán)所有. 上海市市轄區(qū)浦東新區(qū)盛夏路666號盛銀大廈E棟 13151091625
