悪意のあるスクリプトの改善

悪意のあるスクリプトの作成者は、より洗練されています。 ウイルス対策会社からの報告によると、彼らは研究し、積極的に新しいトリックを適用し始めています。 変数eval（）をalert（）に変更するだけで以前のスクリプトを簡単に無効化できる場合、スクリプトは変数callee（）を使用してそのような変更をブロックします。 さらに悪いことに、ウイルス作成者はdocument.referrer 、 document.locationおよびlocation.hrefの情報を使用して、特定のサイトに最適化されたスクリプトをデコードします。 つまり、これらのスクリプトは特定の条件下でのみ実行されるため、検出が非常に困難になります。



もちろん、このようなスクリプトは分析がより困難です。 しかし、良いニュースは、この手法が攻撃者自身の生活を大きく複雑にしているということです。 次に、スクリプトセット全体を作成する必要があります。たとえば、各スクリプトは個別のリファラー用です。



SANSの専門家は、 SpiderMonkeyプログラム用の小さな8行のパッチをインストールすることをお勧めします。これは、実行前にすべてのeval（）引数を表示します。 今日、これは間違いなく悪意のあるスクリプトを検索する最良の方法です。

$ / tmp / js / src $ diff jsobj.orig jsobj.c

1256a1257

> char * c;

1366a1368,1372

>

> c = js_GetStringBytes（cx->ランタイム、str）;

> if（file && c）{

> printf（ "File％s Line％iは次のパラメーターでevalを呼び出します：\ n％s \ n \ n"、file、line、c）;

>}