3.木马、病毒的入侵：打开有病毒的网页后，病毒就开始入侵了。
入侵方式：
（1）由浏览器下载到IE缓存目录，再由IE执行之。
（2）由浏览器调用脚本宿主工具，wscript.exe解释脚本，病毒下载到IE缓存目录，再回到脚本，再由wscript.exe调用（解释）运行，FSO控件大家应该都知道吧。（我为什么说病毒不一定由浏览器来执行就是这个原因）
（3）由浏览器调用脚本工具，wscript.exe解释脚本，并调用系统API函数获取本地特殊路径，把病毒下载该目录，再回到脚本，再由wscript.exe运行，也可以由IE运行。
要防住（1）、（2）很简单，管制IE缓存目录就可以了。问题是（3），病毒不直接落脚在IE缓存目录，因此需要对病毒写入其它目录进行防范。
不要怪我说你, 只是你写的东西, 确实有很多让我说的位置!
非也, IE 缓存目录只是暂时性保留文件, 当然,木马下载到缓存目录后, 会通过IE 自动复制到
指定目录. 比如: TEMP 目录.
由浏览器调用脚本宿主工具，wscript.exe解释脚本，病毒下载到IE缓存目录，再回到脚本，再由wscript.exe调用（解释）运行，FSO控件大家应该都知道吧。（我为什么说病毒不一定由浏览器来执行就是这个原因）
非也!
IE 调用脚本宿主工具, 一般情况是, 由VBS ,或者VBE 文件调用EXE文件.
而, 这两个文件,往往都是同时下载到缓存目录, 再复制到指定目录.
你只不过, 是限制了缓存目录的EXE文件的操作. 但, 这个复制过程是IE 在做.
FSO 组件, 这个06014的网马的一部分代码就是调用的这个FSO 组件.
WS 组件也一样. APPLICATION 等等. 虽然如你所说, 06014是调用组件来执行可执行程序.
但, 是谁调用了这些组件?? 是网马, 网马是谁在运行?? 是IE. 所以, 这个还是IE 在运行.
（3）由浏览器调用脚本工具，wscript.exe解释脚本，并调用系统API函数获取本地特殊路径，把病毒下载该目录，再回到脚本，再由wscript.exe运行，也可以由IE运行。
这个,网马是脚本类的, 获取路径, 只是调用的它一类脚本中的函数, 而并非API 函数.
补充: 看你说了三点, 实质上这只是一种.情况!!!
还有其它的情况没考虑到. 本人建议你, 把07004的网马, 放到虚拟机中运行, 你就了解的更多点!
另外, 你说网马是调用FSO , WS 来运行.?? 是的,有的06014网马是用WS 组件来运行.
但一般情况, 现在的06014一般都是以APPLICATION 来运行.
脚本下载者, 是用WS来运行!
[ 本帖最后由 xqiafl 于 2007-12-12 12:13 编辑 ] |
楼主: 深红的雪
发表于 2007-12-12 09:20:09
楼主
又气
。
