![](https://csdnimg.cn/release/download_crawler_static/49112639/bg5.jpg)
会被强制从另外一个站点下载一段恶意 JavaScript 代码。Stewart 说,这些代码会把用户
指引到第三个网站上,这里有更多的恶意软件,可能是 Asprox 或 Danmec 的副本。
“Asprox 代码和被中国域名感染,而安装游戏密码窃取特洛伊的代码很相似。”
Stewart 说,“我不知道它们是不是从中国取得的副本还是只是一个复制机,但是它们在
一定程度上成功了。看起来好像是有人拿了代码,并把它放进了一个大型的程序中,尽可
能广泛的传播。”
“暂时驱使黑客的是复制机和扫描和感染工具的全面的实用性,它们和上千个合适的
过时 Web 应用程序结合起来,结果就是现在的状况---超过 150 万的网页受到感染。”
Dancho Danchev 说。他是一位独立的安全咨询专家和研究人员,他一直在跟踪 SQl 注入攻
击。他说:“单独的复制机几乎就是带有 Asprox 的僵尸网络大师,以及它不断努力地参
与攻击。此外,被注入的恶意域名被放在 fast-flux,也就是说,它们对被感染恶意软件
的主机上的 10 个不同的 IP 作出回应,而这些主机是网络的一部分,那些 IP 也再不断的
变化。目前的攻击可以被简单的描述为抵达 Web 最深处的 SQL 注入攻击的长尾巴。它们简
单地做些侦察,然后攻击脆弱的目标。”
研究人员说,实际上它不可能以这种方式知道有多少站点受到攻击,虽然 Stewart 估
计 Asprox 恶意软件到目前已经感染了 35000 个站点,这是基于 Google 搜索的结果。但是
有一点很明显,黑客进行内容攻击的地方知识为了强行进入数据库,而获得有趣的‘天然
金块’现在它们正关注于获取尽可能多的 PC,兵士用这些 PC 作为它们活动的平台。
“我们看到的是展开的 Web 威胁,好像桌面威胁,” Hoffman 说,“这些人习惯于只
对他们可以从这些站点得到的东西感兴趣。现在,这些站点是他们窃取数据和实行攻击的
平台。他们认识到他们可以利用这些机器作为资源。为什么只是在我可以用它安装恶意软
件和跳到其它机器上的时候拥有这台机器呢?”
最近的大量 SQl 注入行为看来是来自中国,全世界的研究人员一直都在跟踪这些攻
击。Shadowserver Foundation 公布了一份包含了所有把恶意代码注入到其他站点的域名
列表,他们中的大部分是中国域名,其他的多是.com 或 .info 的地址。
TT 安全技术专题之 SQL 注入攻击 Page 5 of 23