解决Frame挂马的方法

来自&＃xff1a;http://www.sai52.com/archives/378/

IE Only——一般只有IE害怕iframe这样的挂马

在阅读本文之前&＃xff0c;我们先了解一下expression&＃xff1b;

IE5及其以后版本支持在CSS中使用expression&＃xff0c;用来把CSS属性和Javascript脚本关联起来&＃xff0c;这里的CSS属性可以是元素固有的属性&＃xff0c;也可以是 自定义属性。就是说CSS属性后面可以是一段Javascript表达式&＃xff0c;CSS属性的值等于Javascript表达式执行的结果。在表达式中可以直接引用元素自身的属性和方法&＃xff0c;也可以使用其他浏览器对象。这个表达式就好像是在这个元素的一个成员函数中一样。

很多朋友都知道CSS可以直接描述一个可视标记的外观。例如&＃xff1a;p{color:red} 则网页里 所有p标记里的文字颜色都会变成红色;iframe不也是一个标记吗&＃xff1f;

iframe{…这里写描述外观的CSS代码;};

仔细想想要防止iframe里的东东被下载的最好办法是什么&＃xff1f;核心来了&＃xff0c;那就是切断iframe里的请求&＃xff0c;切断请求就是要迅速销毁iframe对象。如何实现呢&＃xff0c;上面不是介绍了expression吗&＃xff1f;expression是可以执行JS脚本的哈。语法格式如下二种&＃xff1a;

标记固有的CSS属性名:expression(JS表达式);
或 自定义属性名:expression(JS表达式);

在这里我们选择第二种&＃xff0c;代码应该大致是这样

iframe{v:expression(JS表达式);}

接下来的问题是如何销毁网页里所有的iframe对象&＃xff1b;使用JS实现的原理是这样的:使iframe里的请求地址变成空白页(about:blank)&＃xff0c;再将iframe对象从DOM&＃xff08;文档对象模型&＃xff09;中移除就可以切断所有iframe里的请求了。移除DOM节点的方法比较多&＃xff0c;我这里就用 outerHTML这个属性吧。CSS代码如下&＃xff1a;

iframe{v:expression(this.src&＃61;&＃39;about:blank&＃39;,this.outerHTML&＃61;&＃39;&＃39;);}

说明&＃xff1a;前面的v字是自己定义的一个CSS属性&＃xff0c;这里的this代表所有将要描述外观的iframe对象&＃xff0c;中间的逗号代表二句代码一起执行&＃xff0c;没有执行优先顺序&＃xff0c;这可是强有力的保证噢。about:blank代表空白页&＃xff0c;大家都知道的。outerHTML属性是DOM对象包含自身的HTML代码&＃xff0c;而innerHTML则是DOM对象&＃xff08;不含本身&＃xff09;里面所包含的HTML代码。

来测试一下有没有效果。

首先&＃xff0c;新建一个网页&＃xff0c;插入以上的CSS代码(或在您现有的CSS代码里加入上面那句)&＃xff1a;

然后在这个页面插入几个IFRAME代码&＃xff0c;假设它们是被挂的木马网页。代码如下&＃xff1a;

　百度
　126邮箱
　网易

保存为noiframe.htm&＃xff0c;打开浏览器测试一下&＃xff08;本地测试需要启用顶部禁用的脚本的提示条哦&＃xff09;。使用抓包工具来测试&＃xff0c;不过也没有必要使用抓包工具&＃xff0c;一个最简单有效的方法是打开IE的缓存文件夹&＃xff0c;先清空它&＃xff0c;再刷新这个页面&＃xff0c;看看缓存文件夹里有没有这三个网站里的文件。如果没有&＃xff0c;说明没有任何请求结果被返回。

提示&＃xff1a;Windows XP SP2的缓存文件夹位置　C:/Documents and Settings/Administrator/Local Settings/Temporary Internet Files

细心的朋友发现问题来了&＃xff0c;如果我自己的网页里要使用iframe这个东东怎么办&＃xff1f;

答&＃xff1a;如果要使自己的iframe显示在网页里&＃xff0c;而别人挂的IFRAME马都不起作用&＃xff0c;在CSS里加一个

#f126{v:expression() !important}

对应的IFRAME代码为&＃xff1a;

就OK了。

提示&＃xff1a;IE7中优先执行标注有"!important"描述的样式&＃xff0c;IE6不认识!important&＃xff0c;采用就近原则&＃xff0c;所以IE6的这个代码放在CSS的最后就可以了。

这个f126是随意取的&＃xff0c;只要下面的iframe里的ID属性和CSS里的一致就行了。

当然挂马者可以构造这样的代码

使我防御方式失效&＃xff0c;不过它得特意去看CSS代码里iframe里的前缀v,如果v是变化的呢&＃xff0c;是不是也不管用呢&＃xff01;

小结&＃xff1a;以上的方法只是停止了iframe的请求并销毁了它本身&＃xff0c;但以后的挂马方式改变了&＃xff0c;例如改成

方式挂&＃xff0c;就不能用这种方法来解决了&＃xff1b;此这个方法不是最终的解决案&＃xff0c;最终的解决方案是找出真正被挂IFRAME的原因&＃xff0c;堵住源头。

应用实例:http://www.cncert.net 以此代码配合MD5(hash)校验&＃xff0c;非常完美的防挂马解决方案&＃xff1b;