瑞星卡卡安全论坛

首页 » 技术交流区 » 入侵防御(HIPS) » URL触发可执行文件
天云一剑 - 2008-7-16 15:15:00
大家电脑中几乎都装有QQ,我们在IE地址栏输入:tencent://Message/?menu=yes&exe=&uin=6405047”然后
[回车],立即可以与我的QQ建立临时会话,Skype也有类似的功能

到底是如何实现的呢?我们可以注册一种目前不存在的协议(类似HTTP),当浏览器遇到新的协议时会自动调用
Translate方法来翻译我们的协议,设置激活我们自己的程序。

这里我们实验一个例子:

执行附件里的auto_urlprotocol.exe

提示注册hppt协议成功

打开浏览器

输入hppt:

看看弹出来了什么

^_^,对了,是CMD,这里仅是试验,

我的IE没有任何提示
这就很危险了,有心人可以替换腾讯,SKYPE的协议,运行自己的程序甚至是多重跳转启动更多的东西
我实验了,如果协议启动的程序还是"hppt:",就会一直跳出新窗口。。。直到崩溃,或者你手够快马上
把下面的那个注册表项删了


实验完成后请删除注册表项:
HKEY_CLASSES_ROOT\hppt
可以看看这项的结构,再看看HKEY_CLASSES_ROOT\TENCENT协议的结构
所以注册表的防御也不能漏过这里,添加新协议时,拦截询问比较好

***附件中还有一个urlprotocol程序,支持自定义协议名和程序,用来测试杀软,注意-d参数不可用,实验完还是
    请手动删除注册表中自己添加的协议
    当然我们可以自己做协议,用浏览器快速打开工具,^_^

***测试程序是我重写的CMD下的,不用GUI了,如果缺少什么DLL,网上都可以找到,应该都能运行
                                               
                                             
                                                                                                                                                参考文章 胡尚滨-URL触发目标程序

用户系统信息:Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727; .NET CLR 3.0.04506.648; .NET CLR 3.5.21022; TheWorld)

附件: 测试程序.rar
Prade - 2008-7-17 9:06:00
感谢楼主分享,无限弹窗口的现象应该就是这个导致的了。
子艳 - 2008-7-17 16:21:00
这个好像N年前《电脑迷》里有说过,就是通过注修改注册表,提出IE安全里的本地设置,好像是说IE里对本机的文件调用好像都是允许的。通过修改注册表能够把那个设置找出来,然后再进行有关的安全设置。不过我忘了怎么操作。不知道是不是这样
天云一剑 - 2008-7-17 18:52:00
无限弹窗口也有很多种方式啊~,这个可以实现


这个不是IE注册表相关的
是协议
你看这些URL:
ftp:
http:
tencent:
ed2k:
这些都是协议,不过有的是自定义协议

而且
hppt:后面的是参数,应该可以实现不仅是跳转到程序
Dai_C232 - 2008-7-17 20:59:00
看得不是很明白,消化中!
lovert - 2008-7-17 22:52:00
谢谢LL分享
fantasy614 - 2008-7-20 18:49:00
好东东呵
1
查看完整版本: URL触发可执行文件