MSHTA漏洞为黑客大开远程控制之门(图)

这是一个可以让黑客欣喜若狂的新漏洞,一旦该漏洞被激活,就会有大量计算机成为黑客手中的肉鸡,被人远程控制不可避免……

  微软的Windows操作系统在进行了短暂的“喘息”后,近日又在攻击爱好者不懈努力下,被成功找出几个高危的系统安全漏洞,而Microsoft Windows MSHTA脚本执行漏洞就是其中的重要一员。

  安全公告牌

  MSHTA即HTA,此处的MS主要用于强调这是微软的漏洞,HTA全名为HTML Application,就是HTML应用程序,其实只要简单地用“hta”为扩展名保存HTML页面就算创建了一个HTA文件。以前就有很多恶意代码利用它,但是随着用户安全意识的提高,以及安全厂商将它列入黑名单,这些含有HTA代码的文件发挥的破坏作用已大不如前了。然而,Windows MSHTA脚本执行漏洞的出现,使得潘多拉的魔盒再次开启,噩梦开始……

  攻击者可利用此漏洞控制受影响的系统,进行恶意程序的安装、系统文件的管理等,或创建一个拥有完全控制权限的管理员账号。

  原理

  Microsoft HTML Application Host(MSHTA)是Microsoft Windows操作系统的一部分,必须使用它才能执行HTA文件。而Windows Shell中存在远程代码执行漏洞,起因就是系统不能正确识别文件的关联程序。

  其实说简单一点就是Windows系统在处理文件关联程序的时候出现了问题。例如,用户本来想用Winamp打开一个文件后缀为“mp3”的文件,但却没能正确调用Winamp程序而调用了另一个程序打开了这个“mp3”文件。这个漏洞就是这样,用户运行恶意文件后,系统会调用MSHTA打开这个文件,如果这个文件中包含有HTA代码,那么系统就会立刻执行这段代码,从而引发各种安全问题。

  配置木马服务端

  攻击者想要成功利用该漏洞进行远程控制的话,首先就得配置一个木马的服务端程序。通过木马程序,就可在图形化的状态下进行远程控制,这样操作起来更加简单方便。

  当我们成功激活被攻击计算机上的Windows MSHTA脚本执行漏洞后,该计算机就会自动下载我们设置的服务端程序,我们即可对它进行远程控制操作。

  今天,我们可以采用的木马是最新的国产木马“流萤”,在它的帮助下,我们可以非常方便地通过客户端中的各个按钮进行远程控制。

  运行流萤木马的客户端程序,在弹出的操作界面中点击工具栏上的“配置服务端”按钮。在弹出的“配置服务端”窗口中,就可开始配置我们的服务端程序(见图)。

javascript:if(this.width>screen.width-600)this.style.width=screen.width-600;" border=0>

  由于木马“流萤”采用了流行的反弹连接技术,所以要在“DNS域名”中设置用于服务端程序反弹连接的IP地址,也就是本地计算机当前的IP地址。当然,攻击者也可采用其他木马进行反弹连接的操作。

  在“连接端口”中设置用于服务端程序和客户端(即被攻击的计算机和进行攻击的计算机)进行数据传输的监听端口。“辨识密码”就是服务端程序在上线时的确认密码,如果辨识密码不正确,攻击者将不能对被攻击计算机进行控制。

  “流萤”在服务端的隐藏方式上采用了现在流行的线程插入的方法,选中“是否生成dll进程插入类型”选项后,用户可根据自己的需要,选择将生成的服务端程序进程插入到资源管理器程序explorer.exe的进程中或IE浏览器的IEXPLORE.EXE进程中实施服务端隐藏。这样不但可以轻松穿透大多数个人防火墙,而且在进程管理器中也无法查到该进程。

  现在,所有的设置已经完成,最后点击“生成”按钮就可生成我们需要的服务端程序。生成的服务端程序只有13KB,极其有利于被攻击的计算机进行下载。

  漏洞的利用

  木马服务端的配置完成,只是完成了整个攻击过程中的很小一部分。下面,我们就要一鼓作气,完成所有的操作,目的就是为了拥有更多的肉鸡。

  现在我们来看看这个漏洞是如何被攻击者利用的。首先从网上下载Windows MSHTA脚本执行漏洞的利用工具,之后打开命令提示符窗口,进入漏洞利用工具所在的文件夹,然后查看工具的使用方法。

  “Usage:C:\2005016.exe htafilename savefilename”,该语句的含义是可通过利用工具将一个HTA文件转化为一个可以成功利用Windows MSHTA脚本执行漏洞的文件(文件格式不确定,用户可以任意取,但文件的后缀名一定不能和系统中已有的文件后缀名相同),看来我们首先需要编写一个HTA文件。

  能够编写HTA文件的语言有很多,包括VBscript、Perl等,用户完全可以根据自己的爱好以及每种语言的特点来选择编写语言。下面就以VBscript为范例来编写一个HTA文件。

  打开记事本程序,输入一段VBscript代码(下载地址:http://www.mh.fy.cn/2005/2.rar)。

  这段代码的含义是从网上下载代码中设置的链接文件,下载完成后运行该文件。其实这个文件就是我们配置完成后上传到网络空间的木马服务端程序。代码输入完成后,将该文件命名为mm.hta即可。

  现在重新运行漏洞利用工具,然后输入命令“2005016.exe mm.hta mm.mm”,这样就可生成一个名为“mm.mm”的恶意文件。如果你怕文件的后缀名被对方识破,可以采用类似于“d0c”这样的后缀名。

  利用漏洞的恶意文件生成之后,你就可通过各种各样的方法将它传播出去,例如藏在电子邮件的附件中、通过即时通讯软件发给别人、在论坛上发帖等。

  只要被攻击的用户双击运行了该文件,被攻击的计算机的系统就会下载并运行已经设置的链接文件,进而受远程计算机的控制。

  攻击者可通过客户端程序中的各个命令对被攻击的计算机进行远程控制,包括文件管理、屏幕管理、注册表管理等。

  防范措施:用户想要成功地对Windows MSHTA脚本执行漏洞进行防范,最简单的方法就是尽快安装微软推出的安全补丁,这样就可彻底根除该漏洞对系统的危害。当然还可通过安装杀毒软件对利用该漏洞下载的恶意程序进行查杀,从而进行防范。

(0)

相关推荐

  • MSHTA漏洞为黑客大开远程控制之门(图)

    这是一个可以让黑客欣喜若狂的新漏洞,一旦该漏洞被激活,就会有大量计算机成为黑客手中的肉鸡,被人远程控制不可避免-- 微软的Windows操作系统在进行了短暂的"喘息"后,近日又在攻击爱好者不懈努力下,被成功找出几个高危的系统安全漏洞,而Microsoft Windows MSHTA脚本执行漏洞就是其中的重要一员. 安全公告牌 MSHTA即HTA,此处的MS主要用于强调这是微软的漏洞,HTA全名为HTML Application,就是HTML应用程序,其实只要简单地用"hta&

  • 2005年黑客聚焦:追踪垃圾邮件(图)

    相信大家和我一样,在日常生活中收垃圾邮件也算是一份固定的工作了吧?收到垃圾信件后,如何追踪垃圾邮件发送者呢?很多朋友会毫不犹豫的说,当然是查出寄信人的IP了.其实,在对付垃圾邮件方面,主要有两种形式:防御与追踪.防御主要是强调对垃圾邮件的过滤或者是阻止垃圾邮件的产生,而追踪则强调主动地追查垃圾邮件来源,并对其进行警告或者采取其它措施.本文将主要介绍对邮件的追踪方面的技术,通过针对邮件头进行分析,并查询到最接近源头的地址,以揭开垃圾邮件发送者的"庐山真面目".邮件头及传输过程 首先,我们

  • 驱除威胁—无线网络防黑完全攻略

    由于无线局域网以无线电波作为数据传输媒介,因此在安全问题上总会带给家庭用户或多或少的威胁,接下来我们选用支持WPA协议的中怡数宽IP806LM无线路由器,作为例子,手把手地教你进行无线局域网的安全设置. 更改预设的无线网络名称 每个无线网络都有一个识别名称,称为无线网络名称(Network Name)或服务集标志符(Service Set IDentifier, SSID).所有无线路由器或无线AP,都有自身的无线网络名称,而且所有无线网络的客户端,都必须提供与之对应的无线网络名称,方能成功建立

  • Windows家族内部各个安全漏洞集体大搜捕(图)

    WinXP系统前所未有地稳定和安全,但还是存在着各种各样的安全漏洞,如果我们对此无动于衷,网上黑客就会有机可乘,他们可以轻易盗窃你的商业机密.破坏你的重要资料--,造成的损失可是巨大的吆!怎样保证您的Windows安全呢?比较好的办法就是经常下载Windows安全补丁,进行系统更新,以便堵住各种安全漏洞,这种工作要象给杀毒软件升级那样经常做.下面就让我们来看看Windows家族有那些安全漏洞,如何堵住这些漏洞? 一.WinXP的安全漏洞 1.快速用户切换漏洞 Windows XP快速用户切换功能

  • 拒绝黑客之网络安全三部曲

    基本设置篇 一.在线安全的四个误解 Internet实际上是个有来有往的世界,你可以很轻松地连接到你喜爱的站点,而其他人,例如黑客也很方便地连接到你的机器.实际上,很多机器都因为自己很糟糕的在线安全设置无意间在机器和系统中留下了"后门",也就相当于给黑客打开了大门. 你上网的时间越多,被别人通过网络侵入机器的可能性也就越大.如果黑客们在你的设置中发现了安全方面的漏洞,就会对你发起攻击,可能是一般的骚扰,如降低你的速度或者让你的机器崩溃:也可能更严重,例如打开你的机密文件.偷窃口令和信用

  • PHP默认安装产生系统漏洞

    这一个漏洞在 packetstorm 被发表,我把它翻成中文,加上自己的一些注解,希望对在 NT 上执行PHP 的朋友有一些帮助. 当你下载 PHP 後,在它内含的安装文件中帮助了 PHP 在 NT + Apache Web Server 的安装方式,其中的安装帮助会要你将底下这几行设置加到 apache 的 httpd.conf 设置文件中,而这个安装文件将导引你将你的系统门户大开. 这几行命令为: ScriptAlias /php/ "c:/php/"AddType applica

  • Struts2 漏洞分析及如何提前预防

    2016年4月26日,Apache Struts2官方又发布了一份安全公告:Apache Struts2 服务在开启动态方法调用的情况下可以远程执行任意命令,官方编号 S2-032,CVE编号 CVE-2016-3081.这是自2012年Struts2命令执行漏洞大规模爆发之后,该服务时隔四年再次爆发大规模漏洞.该漏洞也是今年目前爆出的最严重安全漏洞.黑客利用该漏洞,可对企业服务器实施远程操作,从而导致数据泄露.远程主机被控.内网渗透等重大安全威胁. 漏洞发生后,又是一次安全和相关公司的一次集体

  • 思科漏洞主角林恩访谈路由器是定时炸弹

    安全研究员迈克尔·林恩(Michael Lynn)从ISS(互联网安全系统)公司辞职后,不顾思科及ISS公司的阻挠,上周三在黑帽安全会议上演示了如何利用漏洞攻击和控制思科的路由器,在业内激起轩然大波,思科和ISS的公众形象也一落千丈. 会议结束第二天,林恩与思科及ISS达成和解协议,他同意删除有关这一漏洞的研究资料,不泄露实现这一攻击的具体方法,不再散布他的演示稿.(事实上,林恩演示时用的长达35页的 的幻灯片<The Holy Grail:Cisco IOS Shellcode And Exp

  • 网上保障隐私十大秘技

    互联网是一把两刃利剑,一方面为日常生活带来便利,另一方面又为黑客入侵电脑系统开放更多渠道.一般网友应如何防范?请看下面能保障你隐私的十大秘技:  1. 采用匿名方式浏览,因为许多网站利用cookies跟踪网友的互联网活动,从而确定网友喜好.你可以在使用浏览器时关闭电脑接收cookie的选项,避免受到 cookies的追踪.  2. 进行任何网上交易或发送电邮前,切记阅读网站的隐私保护政策,因为有些网站会将你的个人资料卖给第三方.  3. 安装个人防火墙,以防止个人资料和财务数据被窃取.及时升级是

  • Win2008 蓝屏漏洞揭秘

    9月初,在各大安全网站上登载了一个Windows操作系统的蓝屏漏洞的消息,这个漏洞的出现如同一颗石子,打破了近半年来Windows没有爆出重大漏洞的沉寂. 蓝屏漏洞威胁的是服务器操作系统Windows Server 2008,这意味着如果Windows Server 2008蓝屏,将导致服务器停止服务--目前,漏洞的利用代码还限制在小范围内,不过漏洞攻击工具却已经研制出来了,现在为大家揭秘蓝屏漏洞的利用过程. 问题: Windows Server 2008蓝屏漏洞 危害: 服务器出现蓝屏停止服务

随机推荐