基于Referer字段递归分析的网页挂马检验方法研究.pdfVIP

刑事技术 2016 年 第41 卷 第6 期 ·论  著· DOI ：10.16467/j.1008-3650.2016.06.001 基于Referer字段递归分析的网页挂马检验方法研究 徐国天 （中国刑事警察学院，沈阳 110854） 摘　要： 目的 研究网页挂马案件的检验方法，为有效打击此类犯罪，维护信息网络安全提供技术支持。方法 在染毒主机端重新浏览可疑网页，使用 wireshark 捕获通信数据，借助 wireshark 提供的文件还原功能从通信数 据中还原出所有文件，再利用主流杀毒引擎对这些文件进行病毒扫描，记录下木马程序的名称和下载路径。之 后利用本文的 Referer 字段递归分析方法还原木马完整的种植过程，找出被挂马网站和相应的页面，提取出网 页中被植入的恶意代码。结果 获得了被挂马网站的相关信息，准确地定位出恶意代码的存储位置，提示网站管 理员除去恶意代码并增强保护措施，从源头阻断木马的传播途径。根据黑客种植恶意代码过程中在被挂马网站 遗留的入侵痕迹，对挂马网站进行检验分析，获得黑客的相关线索。结论 应用本文提出的 Referer 字段递归分 析方法可以有效检验网页挂马类案件，获取相关线索。 关键词：Referer ；递归分析；网页挂马；检验；GZIP 中图分类号 ： DF793.2 文献标识码 ：A 文章编号 ：1008-3650(2016)06-0431-06 Forensic Detection of Webpage Trojan Based on Recursive Analysis of Referer Field XU Guotian (Department of Network Criminal Investigation, National Police University of China, Shenyang 110854, China) ABSTRACT: Objective To explore the method for detection of Webpage Trojan. Methods The suspicious webpages are reviewed and checked with Wireshark to capture the relevant data from which all of the involving files are restored. The mainstream anti-virus tools are used to scan the obtained files so that the Trojan viruses are kept with their names and downloaded paths. Through recursive analysis of referer fields, the Trojans can be completely exposed of their transmission route, the infected websites will be located, the corresponding pages defined, and the malicious codes extracted as well. Results The relevant information of the infected sites has been obtained together with their accurate storage locations and malicious codes. Thus, the website administrators can take the information to remove the Trojans and enhance the protection meas