“Url关于”被恶意劫持?求分析

显示全部楼层 · 发表于 2012-7-13 11:45:27

本帖最后由 hongmao21 于 2012-7-14 21:53 编辑

使用金山卫士，发现这个东东，看图：

简要描述：
“Url关于”about:blank等被流氓软件恶意劫持，导致不能正常访问原始页面。

竟然没有文件目录和注册表信息，
奇怪，Google也没搜索到，
果断先不点击修复，不能你说有，却又说不清楚，我就稀里糊涂“修复”了？
等待大神们的协助，
谢谢，

补充：

1.XP系统
2.IE8 ，chrome，firefox，Opera……等浏览器
3.安全防护，只有金山卫士，彩影ARP防火墙
4.……

唉，等不来山山的官人了，这种行为主动防御竟然不能拦截……

---------------结束---------------------------------

感谢15楼 yloko 的解答

AboutURL项指定是有的，

完整目录在：当前系统配置下面
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\AboutURLs

右边的键值，基础值应该是：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\AboutURLs]
"DesktopItemNavigationFailure"="res://ieframe.dll/navcancl.htm"
"NavigationFailure"="res://ieframe.dll/navcancl.htm"
"NavigationCanceled"="res://ieframe.dll/navcancl.htm"
"OfflineInformation"="res://ieframe.dll/offcancl.htm"
"Home"=dword:0000010e
"blank"="res://mshtml.dll/blank.htm"
"PostNotCached"="res://ieframe.dll/repost.htm"
"NoAdd-ons"="res://ieframe.dll/noaddon.htm"
"NoAdd-onsInfo"="res://ieframe.dll/noaddoninfo.htm"
"SecurityRisk"="res://ieframe.dll/securityatrisk.htm"
"Tabs"="res://ieframe.dll/tabswelcome.htm"

显示全部楼层 · 发表于 2012-7-13 11:56:47

sreng日志，必须的···

显示全部楼层 · 发表于 2012-7-13 12:00:10

本帖最后由 zhq445078388 于 2012-7-13 12:02 编辑

about:blank 是空白页
使用的是一个专门的html 如果该页被挟持那么打开IE 如果首页是空白页的话那么就会访问到被恶意构建的html 这个html可能用于启动一个木马
正常情况下这个页面应该只有代码 : <HTML></HTML> 所以他的md5也是固定的一旦变化就可以很肯定的确定这个页面被修改了..当然可能只是多个空格无危害的但是确实是被改变了

另外部分浏览器在打开新标签页时使用的专门的新标签页about:Tabs 这个页面被挟持也会造成相同威胁

所以这里应该是该被检查的

显示全部楼层 · 发表于 2012-7-13 12:17:32

zhq445078388 发表于 2012-7-13 12:00
about:blank 是空白页
使用的是一个专门的html 如果该页被挟持那么打开IE 如果首页是空白页的话那么就 ...

学习了·····

显示全部楼层 · 发表于 2012-7-13 12:26:02

这个*\Software\Microsoft\Internet explorer\AboutURLs

显示全部楼层 · 发表于 2012-7-13 12:50:10

感谢楼上朋友，但是我的确没发现异常

5楼：

这个*\Software\Microsoft\Internet explorer\AboutURLs 没找到，我的搜索不知怎么突然挂掉了……

显示全部楼层 · 发表于 2012-7-13 12:51:32

hongmao21 发表于 2012-7-13 12:50
感谢楼上朋友，但是我的确没发现异常

5楼：

注册表···

显示全部楼层 · 发表于 2012-7-13 12:56:05

大金鱼先生发表于 2012-7-13 12:51
注册表···

不会吧，这链接不像是注册表……

好吧，我，我弱爆了……呜呜呜

显示全部楼层 · 发表于 2012-7-13 12:58:02

hongmao21 发表于 2012-7-13 12:56
不会吧，这链接不像是注册表……

好吧，我，我弱爆了……呜呜呜

Software····看看也是注册表啊····

显示全部楼层 · 发表于 2012-7-13 13:01:11

大金鱼先生发表于 2012-7-13 12:58
Software····看看也是注册表啊····

我的软件安装目录就是这个名字，所以我……

可惜啊，注册表里面没有这个键值

[金山] “Url关于”被恶意劫持?求分析

本帖子中包含更多资源

评分

本帖子中包含更多资源