被遗忘的淘宝挂马隐患
安全阵线
淘宝网——中国最大的购物网站（以下简称淘宝），根据Alexa统计该网站居于全世界网站访问量排名的第22位，每天有无数人访问该网站。围绕在这个不打烊的购物网站周围的全是那些使用网银的用户，在黑客眼中他们就是猎物。
最近就有黑客发现了淘宝的挂马隐患——淘宝允许用户将第三方网站的图片引用到淘宝店铺中。这个隐患存在很多年了，为什么现在才被黑客利用呢？在2007年之前，还没有图片挂马这种方式，该隐患就等于不是隐患。
自从图片挂马在2008年盛行后，就有黑客研究了这个存在多年的隐患，但还是没有造成大的影响，为什么呢？是要利用该隐患就必须要取得网店的控制权吗？这不是关键原因！要对图片进行加密处理，成功通过淘宝的过滤，这才是关键的，而且这种方法已经被黑客成功掌握了。
目前，淘宝已经有店铺被挂马了（在截稿之前，我们已经通知了淘宝，得到了及时的处理）。这意味着什么？如果挂马隐患被广泛利用，所有访问淘宝的用户都可能中毒，一旦病毒进入电脑成功运行，就可能会盗走网银中的“真金白银”。|
淘宝店铺被挂马
3月19日，我想帮女朋友在淘宝上挑选一款手机，然而正在浏览店铺时，电脑中的防挂马软件突然连续报警，提示一个名为http://shop3387***.taobao.com的淘宝店铺中挂有木马（图1）。
这个警报让我大吃一惊，因为根据我的经验，淘宝这样知名的电子商务网站安全防范措施一般比较多，遭到黑客攻击的可能性相对小网站而言小得多。我发现该网站是一个“皇冠”级别的店铺，更加大了我追查挂马来源的兴趣。
于是赶紧在浏览器中点击右键选择“查看源文件”，查看该店铺页面的源代码（图2）。根据经验，我发现该店铺使用了一张GIF图片作为自己的店面图片，正是这张图片调用的木马导致了防挂马软件连续报警。
而根据这家店铺的统计数字显示（图3），这家店铺从开张到现在的流量几乎接近200万，平均每天访问人数高达1万人，而一个个穿行在这间危险店铺中的顾客并不知道，病毒或许已经悄悄地进入了他们不设防的电脑之中，开始窃取他们的数据、隐私、银行账号……
问题出在哪？
近年来淘宝在网络安全方面投入颇多，特别是支付系统的安全性提升较高。在淘宝店铺方面，淘宝也不允许店主轻易将站内链接地址跳转到第三方网站，在防欺诈方面起到了安全防护作用。可采取了如此多的措施，为什么浏览淘宝店铺还可能被挂马呢？黑客又是通过什么样的手段将图片木马挂到淘宝上的？
从建立之初，大概是出于节约服务器资源的考虑，淘宝一直没有为店铺提供可供上传展示商品图片的选项，用户能够上传的只有缩略图图片。因此淘宝允许用户将第三方网站的图片引用到淘宝店铺中。
允许用于商品展示和部分店铺装饰的图片来自第三方网站，就给黑客留下了无限发挥的空间。特别是2008年，图片挂马已经成为一种主流挂马方式，在互联网中也可以找到很多图片木马制作工具，而且操作过程简单。图片木马隐蔽性极高，容易被用户忽视，如果用户的电脑没有及时打补丁和安装防病毒软件，浏览图片后则会在不知不觉中被木马入侵。
黑客是这样做到的
经过我分析，发现黑客在淘宝中使用的图片挂马方式，与《电脑报》“反击网页木马”系列中介绍的挂马手段有很多技术相似点，只不过进行了组合使用，这才绕过了淘宝的防护措施。
第一步：这名黑客将免杀处理的木马下载器上传到自己的网站，然后利用Adobe Flash Player SWF文件漏洞制作了一个溢出下载木马下载器的网页木马，并通过Encode进行了网页代码加密（代码解密后如图4所示），并上传到自己指定的网站中。
第二步：黑客使用了一种GIF图片挂马生成器，该生成器提供两种挂马方式，一种方式是直接允许输出的图片能运行黑客指定的EXE木马，另外一种方式则是利用跳转功能将网页跳转到黑客指定的挂马网页。
黑客选择了查杀难度更大的网页跳转式挂马，他首先运行GIF图片挂马生成器，在“网页跳转式图片木马”一项下方输入自己上传的溢出网页木马地址，然后点击地址下方的“生成”按钮（图5），快速地生成GIF图片木马。当这张图片上传到网上被用户浏览后，用户的浏览器会自动跳转到恶意挂马页面，运行挂马页面的病毒程序。
第三步：黑客通过技术手段窃取了淘宝某店铺的账号（由于我们看到的是一个皇冠信誉级别的淘宝商铺，因此怀疑这个店铺的店主可能也是受害者），在窃取到店铺账号和密码后，黑客进入淘宝店铺的后台，通过淘宝的店铺设置功能，在该店铺中插入了自己指定的GIF网页木马地址，然后悄悄退出网店，就完成了全部的挂马操作。
此时任何浏览该页面的用户都会进入一个连环陷阱，先执行网页木马，随后运行木马下载器，下载更多的木马到自己电脑中执行，形成一个恶性的循环，最终导致自己的网银账号等信息被盗取。
防范方案
面对未知的挂马隐患，普通用户只要做好自己的安全防范，就可以以不变应万变（具体方法参见第11期F7《“鸡尾酒”法 预防盗号》一文）。病毒进不了电脑，或者进入电脑又存活不了，我们就达到了防范目的。
对淘宝店主而言，可以选择一些Web反挂马程序来监视自己的店铺，此外也需要经常查杀病毒。目前，淘宝非常重视图片引用的问题，正在建立自己的图片服务器，确保引用图片的安全性。