一种远程检测用户杀软的简单方法-阿里云开发者社区

一种远程检测用户杀软的简单方法

2017-09-25 1765

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

简介： 本文讲的是一种远程检测用户杀软的简单方法，Windows7是我经常工作使用的操作系统，为了进一步保证安全性，我安装了卡巴斯基网络安全反病毒软件——KIS。有一天，我在一个网页中发现一段有趣的代码，然而这段代码本身并不应该出现在这样的网页中。

本文讲的是 一种远程检测用户杀软的简单方法， Windows7是我经常工作使用的操作系统，为了进一步保证安全性，我安装了卡巴斯基网络安全反病毒软件——KIS 。有一天，我在一个网页中发现一段有趣的代码，然而这段代码本身并不应该出现在这样的网页中。

一种远程检测用户杀软的简单方法

为什么 FaceBook 的网站嵌入了卡巴斯基站点的js文件？我马上意识到，我所安装的杀软（卡巴斯基）针对https进行了类似中间人攻击（MITM）的行为，并在当前活动的页面中注入了它自己的代码以便跟踪分析网页。
嗯……，为什么不创建一个特定的网页来监视那段JavaScript代码呢？并且利用这点可以分析出客户端安装了哪种杀软？包括KIS。

创建第一个网页——iframe.html：

<!DOCTYPE html> <html> <head/>         <img src=x />     <script type="text/javascript" /> </html>

再创建第二个网页——index.html:

<!DOCTYPE html> <html> <head> <title>Remotely  AV detection</title> </head> <body> <iframe style="width:10px; height:10px; display:block; visibility:show" id="frmin" src="/iframe.html"></iframe> <button onclick="myFunction()">Check  AV</button> <script> function myFunction() { var frm = document.getElementById("frmin"); ka = frm.contentDocument.getElementsByTagName('html')[0].outerHTML; if (ka.indexOf("kasperskylab_antibanner") !== -1) {         alert("AV name is Kaspersky"); } } </script> </body> </html>

当我们打开 index.html 时，它会加载 iframe.html 并且注入js代码，通过img标签，我们可以看到它改变了iframe.html的代码。

一种远程检测用户杀软的简单方法

很好，KIS反病毒软件需要从iframe.html获取代码并且解析字符串，如果网页中包含kasperskylab_antibanner则代表客户端的计算机中安装了KIS反病毒软件。

接下来，我将会尝试其他杀毒软件的检测方法，例如： Avira, Norton, DrWeb。这三种杀毒软件会安装Chrome扩展，同样会对网页内容进行注入，如此一来，我们就可以用同样的方法检测杀软类型了。

Dr.Web（大蜘蛛）

Dr.Web（大蜘蛛）的版本为11.0

一种远程检测用户杀软的简单方法

Chrome扩展名称为：Dr.Web Anti-Virus Link Checker 扩展地址：https://chrome.google.com/webstore/detail/drweb-anti-virus-link-che/aleggpabliehgbeagmfhnodcijcmbonb?hl=en-US

在index.html中它会注入如下代码：

一种远程检测用户杀软的简单方法

可以使用简单的JS代码来检测用户是否安装了该杀毒软件：

<script> if (document.getElementsByClassName('drweb_btn').length > 0) {         alert("AV name is DrWeb"); } </script>

Avira（小红伞）

安装 Avira Pro 版本时，它会安装两个Chrome扩展， Avira Browser Safety 和 Avira Save Search Plus。

一种远程检测用户杀软的简单方法

小红伞会在index.html页面中注入一个 iframe，如下：

一种远程检测用户杀软的简单方法

检测小红伞扩展程序的代码如下：

var AV = document.getElementById("abs-top-frame") if (AV!==null) { if (  AV.outerHTML.indexOf('/html/top.html')>=0 & AV.outerHTML.indexOf('chrome-extension://')>=0  ) {     alert("AV name is Avira"); } }

Norton（诺顿）

Norton 同样会安装两个Chrome扩展：

一种远程检测用户杀软的简单方法

Norton注入的代码如下图所示：

一种远程检测用户杀软的简单方法

同样可以用很简单的JS代码来检测是否安装了Norton：

var NAV = document.getElementById('coFrameDiv'); if ( NAV !== null) {     var nort = NAV.outerHTML;     if (nort.indexOf('coToolbarFrame')>=0 & nort.indexOf('/toolbar/placeholder.html')>=0 & nort.indexOf('chrome-extension://')>=0 )     {         alert("AV name is Norton");     } }

结论

这种检测AV的方法并不是100%的有效，毕竟用户可以禁用掉杀毒软件安装的Chrome扩展。检测代码地址：https://github.com/vah13/AVDetection

原文发布时间为：2017年2月3日

本文作者：丝绸之路

本文来自云栖社区合作伙伴嘶吼，了解相关信息可以关注嘶吼网站。

原文链接

一种远程检测用户杀软的简单方法

Norton（诺顿）

热门文章

最新文章

相关课程

相关电子书

相关实验场景

热门

活动广场

任务中心

开发者评测

高校计划

乘风者计划

训练营

阿里云MVP

话题

直播

下载

镜像站

技术资料

插件

一种远程检测用户杀软的简单方法

Norton（诺顿）

热门文章

最新文章

相关课程

相关电子书

相关实验场景