外行扯淡--恶意注入

柯林

俺是小白，外行，不懂软件，不懂编程，不搞测试，纯属路过，兴之所至，口水几句，有兴趣的凑个话儿：
安防最爱被说事话题之一，无过于“恶意注入”，细分大概两种，一种进程注入，一种代码注入……具体，科学一点的解释，让技术流来科普，俺这种外行白白，只能从逻辑角度，给点YY——进程注入，什么驱动、钩子、线程之类，这个不说它，HIPS软件一般能够防御，对于白菜用户模糊一点神秘一点的是代码注入——仙仙的说辞是“浏览个病毒网页，然后，跪了”，有没有这回事呢？
逻辑上分析，产生这种情况，一般是浏览器的锅，其次大概是系统。网页是个啥子东东？看源码，无非是一行行的代码，这些代码，需要专门的工具来读取和“翻译”，这个东东就是浏览器。所以浏览器如果有问题，读取了“不怀好意”的代码后“崩了”，自然也就跪了，逻辑上讲得通；第二是系统模块，浏览器在解释执行网页代码的过程中，要加载很多系统模块来应用，其中如果某个模块有问题，遇到专门针对其问题的恶意代码，自然也会“受内伤”而影响到浏览器出错崩溃。这问题后果有多大？偶不知道。实际影响来看，IE这种浏览器一旦退役，Adobe flash 播放器一旦退役，基本上都“昨日黄花”了，系统模块出问题的几率太小，大致上可以忽略。
跳过以上，真正成为“主流威胁”的，逻辑上看，应该是恶意链接指向的病毒程序---网页源代码一行行里面，必然有某一行指向一个病毒文件所在的链接，让浏览器去下载病毒来到本地加载进内存执行。所以一般来看，网马也好，带毒网页也好，主流应该是诱导用户下载病毒执行，至于直接让浏览器读取网页源代码后就“中毒”崩溃玩完的应该是火星事件。既然要把毒下载来执行后才发威，那也就没啥稀奇，只要系统没有致命大漏洞，随便个HIPS或沙盘之类的主防工具正常下，防御并不是什么难事。
以上，纯粹菜鸟外行的纯逻辑分析，没有什么过硬的依据，就当闲扯好了，说错了你哈哈一笑，批正一下，有兴趣也扯上几句，人生有时难免无聊

羽扇纶巾

进程注入，代码注入，要兴风作浪，必须由内存而本地。在HIPS防护下，恐怕它是出不了内存的。
这就好比，有毒的东西，只看在眼里，吃不到嘴里，害不到人的。

柯林

wg5999 发表于 2017-5-17 22:30
哥,想问问,毛豆,,,,如何放行本地本地程序访问监听的端口,
我感觉我装了毛豆之后,vm虚拟机不能访问监听的44 ...

一般是设置问题吧，按逻辑顺序捋：
出站：本机（相关程序）===》应用程序规则===》全局规则===》互联网
入站：互联网===》全局规则===》应用程序规则===》本机（相关程序）
根据流程，自己检查，究竟是全局规则里，还是应用程序规则里，有严厉规则拦截了（其规则路径包含了本程序的路径在内，譬如通配符路径（所有应用程序*之类，或其它引用通配符路径的阻止规则）

如果规则太多、太乱，一时找不出，不怕麻烦的话，先把全局规则全部删除，隐身模式设置警告传入，看看结果，通了，就是全局规则的鬼，亦然不通，就是应用程序规则的问题，把除系统程序、系统更新程序、system、毛豆组的程序保留下，其他全删了，自己写一条：所有应用程序*的TCP/UDP协议进出询问，看弹窗怎么说？如果没窗口弹出，估计系统环境不正常，检查毛豆与虚拟机的兼容性问题，及与其它安软冲突的可能性问题之类

柯林

羽扇纶巾 发表于 2017-5-17 20:19
进程注入，代码注入，要兴风作浪，必须由内存而本地。在HIPS防护下，恐怕它是出不了内存的。
这就好比，有 ...

大多数常见情况是这样，极少数利用系统高危漏洞提权注入的，还是得靠系统补丁，毕竟所有程序功能建立在系统上，基地或母体都废了，寄生虫也一块玩完，很明显的逻辑问题。