国内首款网页杀软 让"木马挂了也白挂"

甲骨文SCM技术应用

　　近日一款叫做“畅游巡警”的国内首款网页杀毒软件引起了业内外人士的广泛关注，它是专门针对网页嵌入式病毒和网页挂马进行智能识别并可以实时展开大规模拦截的新型杀毒软件。

　　这让笔者联想到前不久在搜索信息时，看到趋势科技中国区病毒监测中心（CRTL）的报告，报告称他们监测到了一个被植入104个木马、43个病毒的恶意网页，尽管这种情况有一点极端，但是足以能够说明网页挂马的猖獗和利用网页为载体进行病毒木马传播行为的肆无忌惮。

　　那么，传说中比较神奇的这款“畅游巡警”真的就可以进行挂马网页、带毒网页，甚至是网络钓鱼网站的有效拦截吗？笔者在第一时间对其进行了试用。

　　通过简单的HTML语言编译，任意一个略懂一点脚本语言的人几乎都可以编制出一个挂马网页或带毒网页(以下粗略统称“挂马网页”)。

　　通常，挂马网页中会包含有大量的木马下载链接，或者是在指定的服务器中嵌入有大量现成的小型木马可执行程序，当普通用户浏览到这些挂马网页时，挂马网页中的大量木马下载链接或部分木马可执行程序就会在后台被自动执行，从而在用户机器中偷偷下载不计其数的恶意木马，这些木马有的是可以盗取用户的游戏帐号及对应游戏帐号中的虚拟财产；有的则是进行用户个人敏感信息窃取或网络监听；而更有甚者，则是通过远程监控完全控制用户电脑。

　　那么，挂马网页又是如何在网络中“散布”，进而进行较大范围的网络破坏的呢？挂马网页一般会通过以下两种方式到达客户机器：一种是利用客户网络中的ARP病毒，将该挂马网页链接插入到流经http代理服务器的所有http网页中；另一种是直接感染互联网上web服务器上的网页文件，并插入一定数量的木马下载链接。

　　该类挂马网页的传播方式和途径一般十分具有侵略性，如果是被用户网络中的ARP病毒将该链接插入到流经http代理服务器的所有http网页中，在这种情况下，会导致全网浏览网页的用户中毒，传播面非常大。

　　举例来说，如果内部局域网中一台计算机感染ARP病毒并发出ARP欺骗数据包，网内其它计算机就都可能受其影响，将恶意代码插入HTTP数据包并返回给被欺骗计算机，这样被欺骗计算机浏览到的任何网页都被插入了恶意代码，就如同被浏览网页挂木马了一样。 

　　二、畅游巡警介绍

　　“畅游巡警”是由著名的安全产品开发团队“数据安全实验室”最新开发的国内第一款网页杀毒软件，它可以在用户浏览网页前，自动运用其独创的高速网页扫描引擎抢先对网页的安全状况进行检测，一旦发现网页“不纯净”，即网页中包含有病毒、恶意木马、钓鱼/诈骗类型脚本、恶意下载链接、恶意广告链接等有害代码，软件会立即标记检测结果、进行安全报警，并且软件会在第一时间抢先拦截所有上述有害网页。

　　在这款软件中，不光是用户在IE浏览器的地址栏中输入的网址，对于用户通过邮件、论坛热帖、QQ/MSN中点击直接打开的网页链接等，软件都可以自动进行安全过滤和危险网页的实时监控与拦截。

　　“畅游巡警”拥有业内顶尖的url扫描引擎技术，速度比国外同类技术引擎要快40%，所以这款软件在对网页进行检测和扫描的整个过程通常不到1秒钟，所以不仅不会影响用户正常的网页浏览，而且由于软件会自动智能标记大量恶意网站和网页，在有的时候反而会提高用户的实际网页浏览效率。

图1

　　“畅游巡警”对主流浏览器的广泛兼容是软件的另一个特色，目前这款软件可以支持包括IE、maxthon、theworld、avant和腾讯TT等在内的多款主流网页浏览器（如图1）。