移花接木 藏于“文本文件”的阴谋

　　如今的网络，几乎已经成了木马的网络。游戏、软件里面有木马，网页中有病毒，视频里面也夹着些危险的东西，几乎没有任何安全感可言。在某些用户的眼中，也许只有文本文件才是比较安全的，当看到一个“文本”图标的文件，都会毫不犹豫的双击打开它。但是，所谓的“文本文件”真的就这么安全吗？也许在这些“文本文件”中隐藏着更大的陷井，让你的电脑陷入万劫不复之地！

　　一、别被“文本”图标欺骗了你

　　几乎所有的木马病毒都懂得更改文件图标，欺骗用户运行中招，所以在面对一个文本图标的文件时，别被文件的图标所欺骗。

　　假设黑客制作了一个木马程序“Server.exe”，他会将程序图标更改为文本图标，用以欺骗一些粗心大意的用户。

　　修改木马图标非常简单，一般可使用专门的图标修改工具，如"Executable File Icon Changer"、"Program Icon Changer"等。以Executable File Icon Changer为例，这个工具支持替换Exe、Dll、Ocx、Scr等文件的图标，被改文件即使移动到其它电脑上，也能显示更改后的文件图标。

　　运行Executable File Icon Changer程序后，点击界面中的“图标源”按钮，浏览选择本地硬盘中“C:\windows\system32\shell32.dll”文件 ，即可看到所有Winodws系统中常见的图标了（如图1）。拖动滚动条选择其中第509号[48，48，True]大小的文本文件图标。然后点击"欲更改文件"按钮，浏览选择"Server.exe"文件。此时在界面下方会显示"新图标"和"原图标"，点击两个图标中间的"Replace"按钮，就可以更换后门程序的图标了。

图1 更改木马文件的图标

　　可以看到，新生成的程序图标与真正的文本文件混在一起，是很不容易被发现的（如图2）。尤其是在资源管理器的“文件夹选项”中将默认文件后缀名隐藏的用户，很可能无意中就会将这个文件成文本文件打开运行了。

图2 难以辨别的真假文本文件

　　二、双后缀文件，真假难辨

　　在显示文件后缀的主机上，上面的“文本木马”还是比较容易被看出破绽的。黑客们可能还会对文件名动一番手脚，让它更具迷惑性。

　　首先可为文件名加上双后缀，将上面的木马文件名改为“******.txt.exe"，在一些隐藏了文件后缀名的电脑上，这个文件会显示文件为“******.txt”，这样就迷惑了很多用户，以后文件名缀就是.txt的文本文件。

　　黑客还可能使用更绝的一个招数，在两个后缀名间加上一些空格，例如将文件改名为“******.txt 　　.exe”。由于文件现在是双后缀，并且文件名足够的长，我们在文件名中添加了足够的空格，以至于在文件名中只显示“.txt”后缀，而表示真正文件类型的“.exe”后缀却隐藏起来了（如图3）！

图3 利用空格隐藏真正的文件类型

　　这样的文件是不是很具迷惑性？不是细心看，根本看不出来文件后缀中那几个小小的省略号，电脑用户十有八九会被其欺骗！即使用户在资源管理器中开启了显示文件后缀名的选项，也依然会在很大程度上被蒙骗过去！

　　三、深度隐藏，不会显示的文件名

　　大家知道，木马攻击早已从简单的程序木马，演变成了网页木马、图片木马等多种分类。有没想这，也许你打开的一个貌似文本的文件，实际上却运行了一个网页木马呢？

　　黑客首先会制作一个后缀为“.html”的网页木马，这类木马制作很简单，例如利用IE的Iframe漏洞就可以方便的制作一个溢出HTML网页，只要有人打开些网页，就会造成IE溢出，系统打开端口供黑客远程连接控制。制作的具体方法在这里就不多说了，假设网页文件文件名为“test.html”，黑客可能将它改成“test.txt.{3050f4d8-98B5-11CF-BB82-00AA00BDCE0B}”。这样该文件在资源管理器中即使采用了显示后缀名的方式，也只显示为后缀名为.txt的文本文件，一般人根本看不出任何的异样。但是因为{3050f4d8-98B5-11CF-BB82-00AA00BDCE0B}实际上就是html的注册表文件关联，双击时却会调用IE打开文件以HTML格式运行，造成IE溢出系统打开远程控制端口。

　　四、系统崩溃，毁于“碎片”

　　很多朋友听说过Windows中的碎片对象文件（.shs文件），但是对于这种文件所带来的威胁，却不是很重视。不过当你运行了一个貌似文本文件的文件碎片时，也许才知道不起眼的碎片，原来有如此大的破坏力！

　　小贴士：什么是文件碎片

　　碎片对象文件（.shs）的缺省图标与文本文件图标相同，很容易会被误认为是一些文本文档，因此用户对这种文件也不会太注意防范。“.shs”是一个无条件隐藏扩展名的文件，即使将资源管理器的“文件夹选项”设置为显示所有文件后缀名，“.shs”文件也仍然是隐藏的！并且用任何杀毒软件检查此文件，都绝对找不到任何病毒，用碎片文件来伪装文本文件进行攻击是最合适不过的了。

　　黑客会创建一个碎片对象文件，点击“开始→运行”，输入“packager.exe”后回车，运行“对象包装”程序。然后点击菜单“文件→导入”，弹出一个文件对话框，任意选择一个文件。

　　点击菜单“编辑→命令行”，在弹出的命令行输入对话框中输入命令“cmd.exe /c del c:\*.*”（如图4），确定后此命令将显示在程序右边窗口中。

图4 输入恶意命令

　　点击菜单“编辑→复制数据包”命令，回到Windows桌面上，点击鼠标右键，在弹出菜单中选择“粘贴”，可以看到，桌面创建了一个名为“片段”的碎片对象文件。接下来，再将文件改名为“片段.txt”。

　　一旦有人双击运行了这个“文本”文件，桌面上闪过一个命令窗口之后，C盘根目录下的所有文件都被删除了，重启后无法正常进入系统。黑客基至可以在命令行窗口中输入破坏性更强的命令，例如格式化硬盘“cmd.exe /c format c:\”等。

　　五、精心构造的“文本陷阱”

　　如果说将木马伪装成文本的方法有些复杂，那么“文本陷阱”这个文本利用工具就是一个现成的文件木马，足以让大家体会到在“文本”伪装下的木马攻击威力！

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有