昨天晚上在写完《何去何从》那篇东西的时候突然发现我的博客页面出现异常， 症状就是页面内容靠左了， 正常的话就是在中间的。 问了问朋友也觉得不正常了， 习惯性地打开博客主页的源文件。 不看还行， 一看差点没吓晕过去!源码中第一句便是一个插iframe框架的代码!!!晕了， 博客居然被人挂马了。 这套程序虽然写得不怎么好， 不过后台已经做了些改动， 就算进了我的后台也是没那么容易得到webshell的。 文件编辑功能去掉的了， 自定义上传文件类型也去掉了， 其他基本上还有些文本编辑的功能了。 被黑了虽然是十分的不爽， 没开张几天就中标了， 那还得了?!不过因为我没有FTP权限， 不能上去看看到底发表了什么事， 所以服务器上面只能等朋友解决了。 我想我也不能干等嘛， 就想去分析下那个马。 这个马挺有意思的， 不是普通的htm或者html后缀， 居然是一个asp后缀的文件!这种马我倒还真是第一次见呢， 直接打开页面显示空白。 叫朋友帮忙看了看， 居然说打开我的博客不报毒， 直接打开那个马所在的文件就报毒了。 郁闷， 还有这种事的。 后来又和朋友讨论了一下才知道最近兴起了这类asp的网页木马。 虽然直接打开是看不到任何代码， 不过却是可以用迅雷这类下载工具下载回本地再看的。 不过下回本地后发现更有意思， 里面的代码是倒着写的， 比如EXE文件的下载地址就是这样的：exe.namnwod/segami/8050/swen/moc.iebug.www//:ptth。 要不是认真看还真看不出来呢， 看来马的作者果然有一手!
找到了EXE文件的下载地址当然就是去下载回来分析下了。 下载目标地址的EXE文件后， 大小13K。 用PEID查了一下， 加的是UPX的壳， 直接用PEID自带的UPX脱壳机就脱掉了壳， 脱壳后程序大小为48K。 图标是MSN的图标， 再用PEID看了一下， 居然是什么也没有发现， 看来还有别的保护。 不管了， c32asm载入， 查找关键字， 没有发现下载地址信息， 也没有上线信息等， 确定应该不是下载者类。 不过看到有不少@字符， 初步估计是盗号类木马了。 而且还发现很多和MSN相关的字符。 由于自己的反汇编能力确实很有限， 所以请出ASM大侠帮忙分析。 没多久结果就出来了， 是个盗MSN账号密码的， 运行后会在c:\windows\system32\目录下释放msnmsgr.exe文件。 跳到系统目录下， 不好意思， 我中标了!果然发现有msnmsgr.exe这个文件， 赶紧删除掉。 不过这个文件没有一点难度就删掉了， 还真是不太爽。 问了问ASM， 他说这个程序根本没执行到盗号那一步就执行自删除了， 换句话说就是中了也等于没中， 难怪这么轻易就T出硬盘了!这马白写了， 唉， 可怜的作者。 自删除方式还是创建bat文件实现的呢， 呵呵。 还有插入线程等一些木马所具备的功能， 不过目的都没实现就自行了断了就的确可惜了!至于放马的那个站， 简单的看了看发现不容易拿下就没去理它了。 这个网马还是MS07004、MS06090、QQEXP三个在一块来的呢， 够厉害了!至此， 关于这个马的分析就告一段落了。
不得不要提的就是， 这个挂得很奇怪：我访问的所有页面都会被在同一位置插入那行iframe框架代码， 包括后台管理页面。 虽然说如果得到了webshell的话， 要做到这一点并不难， 来个批量挂马就OK了。 不过我的博客才开没几天， 又没有什么流量。 那家伙为什么要黑我的呢?貌似没有什么动机。 知道我开博客的人也不多， 有能力黑了的更是屈指可数了。 由此初步断定入侵者应该不是针对我而来的， 要么是旁注的， 发现有站就顺手挂上了;要么就是传说中ARP欺骗挂马大法了!说到ARP挂马这招我以前倒是没听说过的， 虽然玩过ARP欺骗攻击， 也曾经和朋友ARP弄过一个黑客站。 但是ARP用来挂马还是头一回听说。 信息来源是紫侠客提供的， 他说最近在流行一种ARP欺骗挂马， 说我博客的症状极有可能是ARP干的了!手上根本没有任何关于ARP挂马的资料， google了一会终于有结果了， 原来是某个病毒的一种传播方式。 毒是够毒的了， 只要拿到同一网段下的其中一个服务器权限， 就可以对目标进行挂马操作了， 根本无需得到目标网站的任何权限， 就可以把你的马挂到上面， 够狠了吧!由于事发当晚朋友FTP连接不上去， 具体原因无法查明， 初步断定用的就是ARP挂马了。 入侵者并不是有意针对我的， 只是我的博客空间刚好在那个网段， 人家一动手就中标了。 还有就是我的windows居然不能更新了， 手动更新的时候提示我的系统不理正版(本来就不是的啦)了， 难怪N长时间没有自动更新了， 原来MS认出我的系统是盗版的了， 唉。 看来得想个办法更新才行了。 要不天天中马就不爽了， 万一哪天一不小心中了个远程控制木马， 那滋味可不爽啊!
这次博客被黑事件虽然不爽， 但是也因此而同时接触到了不少新事物。 后来就转移了空间， 弄到安全的地方上去了， 还叫朋友帮忙分析这套程序的代码， 主要是想看看到底哪些地方不够安全， 把危险指数降到最低才是最重要的嘛。 期间还得麻烦我的朋友们了， 博客访问不了， 真的不好意思了哦。 还有就是帮我分析木马、关心我的所有人和帮我转移了空间的朋友， 我在这里向你们说一句：同志们， 辛苦了!等我有几个亿身家的时候送你们几车钞票， 哈哈……
……