网页挂马是指恶意攻击者攻击WEB网站后，在网页中嵌入一段代码或脚本，用于自动运行带有特定目的木马程序，而恶意攻击者实施恶意代码或脚本植入的行为通常称为“挂马”。


网页挂马的原理 

网页挂马的基本原理是利用了操作系统漏洞、浏览器漏洞(各种以IE为核心的浏览器被攻击的可能性最高，由市场占有率决定)、浏览器相关插件的漏洞(比如Flash、adobe acrobat等，非常多见)。这些漏洞往往可以造成缓冲区溢出和权限提升，漏洞被利用，就可以执行攻击者设定的任意代码。 
 
常见的挂马类型 

框架挂马、js文件挂马、js变形加密、body挂马、隐蔽挂马、css中挂马、JAVA挂马、图片伪装、伪装调用、高级欺骗等。


网页挂马的常见方式
 
（1）将木马伪装为页面元素。木马则会被浏览器自动下载到本地。

（2）利用脚本运行的漏洞下载木马
 
（3）利用脚本运行的漏洞释放隐含在网页脚本中的木马
 
（4）将木马伪装为缺失的组件，或和缺失的组件捆绑在一起（例如：flash播放插件）。这样既达到了下载的目的，下载的组件又会被浏览器自动执行。
 
（5）通过脚本运行调用某些com组件，利用其漏洞下载木马。
 
（6）在渲染页面内容的过程中利用格式溢出释放木马（例如：ani格式溢出漏洞）
 
（7）在渲染页面内容的过程中利用格式溢出下载木马（例如：flash9.0.115的播放漏洞）


 
网页木马的执行方式

（1）利用页面元素渲染过程中的格式溢出执行shellcode进一步执行下载的木马

（2）利用脚本运行的漏洞执行木马

（3）伪装成缺失组件的安装包被浏览器自动执行

（4）通过脚本调用com组件利用其漏洞执行木马。

（5）利用页面元素渲染过程中的格式溢出直接执行木马。

（6）利用com组件与外部其他程序通讯，通过其他程序启动木马（例如：realplayer10.5存在的播放列表溢出漏洞）

在与网页木马斗争的过程中发现，为了躲避杀毒软件的检测，一些网页木马还具有了以下行为：

　　--6.1 修改系统时间，使杀毒软件失效

　　--6.2 摘除杀毒软件的HOOK挂钩，使杀毒软件检测失效

　　--6.3 修改杀毒软件病毒库，使之检测不到恶意代码。

　　--6.4 通过溢出漏洞不直接执行恶意代码，而是执行一段调用脚本，以躲避杀毒软件对父进程的检测。



如何清除网页木马

一旦中了网页木马，就看那些文件是最近修改过的，主要查看这些新文件，（从FTP中可以查看文件最近修改时间。）然后进入源文件把相关的网页挂马种类的可疑代码删除。

如果你对你所使用的网站程序不熟悉，建议删除所有文件（数据库、图片、文档、程序模板主题等文件夹可以保留）或者利用当初的备份网站文件进行全覆盖。

或是找易点科技的技术工程师提供支持（www.eidea.net.cn）



如何防止网页被挂马

如果你的网站还没有被挂马，请从预防开始吧。

(1)：对网友开放上传附件功能的网站一定要进行身份认证，并只允许信任的人使用上传程序。

(2)：保证你所使用的程序及时的更新。

(3)：不要在前台网页上加注后台管理程序登陆页面的链接。

(4)：要时常备份数据库等重要文件，但不要把备份数据库放在程序默认的备份目录下。

(5)：管理员的用户名和密码要有一定复杂性，不能过于简单。