|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
网页木马是一个含有恶意功能的网页文件，其目的是使得网页访问者自动下载设置好的木马程序并执行。网页木马将导致用户账户密码私密信息泄露、终端设备被黑客连接控制。如下图所示，攻击者通过网站挂马，然后将用户引向攻击者所控制的网站。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
针对智能手机的恶意代码行为呈上升趋势，常见的恶意行为有流氓行为、资费消耗、恶意扣费、隐私窃取、远程控制、诱骗欺诈、系统破坏、恶意传播等。例如，DroidDream恶意软件采取了把自己隐藏到其他应用程序中的方式，DroidDream一旦入侵成功，随后就会从被攻击的手机中收集和传输用户的敏感信息，利用系统漏洞获取root权限，然后从网上下载一些其他安装包，最终完全入侵手机并控制手机；BaseBridge是一款恶意扣费类软件，其把自己嵌入合法应用程序中，还能够强制关闭某些安全防护软件。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
（1）反恶意代码软件的检测和分析。反恶意代码软件检测恶意代码的方法有特征代码法、校验和法、行为监测法、软件模拟法等。根据恶意代码的信息去搜寻更多的资料，若该恶意代码的分析数据已被反恶意代码软件收录，那就可以直接利用它们的分析结果。
|
|
|
|
（2）字符串分析。字符串分析的目的是寻找文件中使用的ASCII或其他方法编码的连续字符串。一些有用的信息可以通过在恶意代码样本中搜寻字符串得到，比如：①恶意代码的名字；②帮助和命令行选项；③用户对话框，可以通过它分析恶意代码的目的；④后门密码；⑤恶意代码相关的网址；⑥恶意代码作者或者攻击者的E-mail地址；⑦恶意代码用到的库，函数调用，以及其他的可执行文件；⑧其他的有用的信息。
|
|
|
|
（3）脚本分析。恶意代码如果是用JS、Perl或者shell脚本等脚本语言编写的，那么恶意代码本身就可能带有源代码。通过文本编辑器将脚本打开查看源代码。脚本分析能帮助分析者用较短时间识别出大量流行的脚本类型，下表列出了常用脚本语言。
|
|
|
|
|
|
|
|
（4）静态反编译分析。对于携带解释器的恶意代码可以采用反编译工具查看源代码。源代码在编译时，代码会被编译器优化，组成部分被重写，使得程序更适合解释和执行，上述面向计算机优化的特性，使得编译的代码不适合逆向编译。因此，逆向编译是将对机器优化的代码重新转化成源代码，这使得程序结构和流程分离开来，同时变量的名字由机器自动生成，这使得逆向编译的代码有着较差的可读性。下表列出了一些反编译工具，它们能够生成被编译程序的C或者Java语言的源代码。
|
|
|
|
|
|
|
|
（5）静态反汇编分析。有线性遍历和递归遍历两种方法。GNU程序objdump和一些链接优化工具使用线性遍历算法从输入程序的入口点开始反汇编，简单地遍历程序的整个代码区，反汇编它所遇到的每一条指令。虽然方法简单，但存在不能够处理嵌入指令流中的数据的问题，如跳转表。递归遍历算法试图用反汇编出来的控制流指令来指导反汇编过程，以此解决上面线性遍历所存在的问题。直观地说，无论何时反汇编器遇到一个分支或者CALL指令，反汇编都从那条指令的可能的后续指令继续执行。很多的二进制传输和优化系统采用这种方法。其缺点是很难正确判定间接控制转移的可能目标。恶意代码被反汇编后，就可用控制流分析来构造它的流程图，该图又可以被许多的数据流分析工具所使用。由于控制流程图是大多数静态分析的基础，所以不正确的流程图反过来会使整个静态分析过程得到错误的结果。
|
|
|
|
|
|
|
|
|
|
|
|
|
