簡(jiǎn)單方法檢測(cè)遠(yuǎn)端用戶的反病毒軟件
我常使用的操作系統(tǒng)是 Windows7，為了確保更安全，我安裝了卡巴斯基互聯(lián)網(wǎng)安全防病毒軟件。一天我在一個(gè) Web 頁面上看到了一段非常有趣的代碼，在我看來它不該出現(xiàn)在頁面上。
為什么 Facebook 會(huì)使用卡巴斯基網(wǎng)站的 js 代碼?我立刻意識(shí)到是我的反病毒軟件做了 MITM，在網(wǎng)頁上注入代碼來跟蹤頁面的活動(dòng)。在客戶端計(jì)算機(jī)上存在任何的反病毒軟件的話，包括 KIS，為什么不創(chuàng)建一個(gè)特殊的頁面來監(jiān)視 Javascript 的代碼呢?
創(chuàng)建服務(wù)器的第一個(gè)頁面 iframe.html
- <!DOCTYPE html>
- <html lang="en">
- <head/>
- <img src=x />
- <script type="text/javascript" />
- </html>
隨后創(chuàng)建第二個(gè)頁面 index.html
- <!DOCTYPE html>
- <html>
- <head>
- <title>Remotely AV detection</title>
- </head>
- <body>
- <iframe style="width:10px; height:10px; display:block; visibility:show" id="frmin" src="/iframe.html"></iframe>
- <button onclick="myFunction()">Check AV</button>
- <script>
- function myFunction() {
- var frm = document.getElementById("frmin");
- ka = frm.contentDocument.getElementsByTagName('html')[0].outerHTML;
- if (ka.indexOf("kasperskylab_antibanner") !== -1)
- {
- alert("AV name is Kaspersky");
- }
- }
- </script>
- </body>
- </html>
當(dāng)我們打開 index.html 頁面時(shí)，它將會(huì)加載 iframe.html 并注入 js 代碼，在這個(gè)圖片中我們可以看到更改的 iframe 頁代碼
KIS 反病毒軟件需要從 iframe.html 中讀取代碼并分析字符串，如果頁面有 kasperskylab_antibanner 我們就可以說客戶端計(jì)算機(jī)已經(jīng)安裝了卡巴斯基反病毒軟件。
我想看看這種方法對(duì)于其他反病毒軟件的檢出情況，是只能檢出卡巴斯基還是其他的也可以。接下來對(duì) Avira、Norton、DrWeb 反病毒軟件進(jìn)行檢測(cè)，如果有人想繼續(xù)研究，我很高興聽到研究的結(jié)果。
Avira、Norton、DrWeb 和 Chrome 搭配進(jìn)行檢測(cè)，甚至還要安裝插件來讓反病毒軟件可以注入特定數(shù)據(jù)到頁面以完成對(duì)頁面的檢測(cè)。
Dr.Web
DrWeb Security Space 11.0
Chrome 擴(kuò)展的名字：Dr.Web Anti-Virus Link Checker Extension URL
在 index.html 中注入下列代碼：
使用以下簡(jiǎn)單代碼就可以檢測(cè)出客戶端是否安裝了 DrWeb
- <script>
- if (document.getElementsByClassName('drweb_btn').length > 0)
- {
- alert("AV name is DrWeb");
- }
- </script>
- ##Avira
當(dāng)你安裝了 Avira antivirus Pro 時(shí)，直接就給你安裝了兩個(gè)擴(kuò)展：Avira Browser Safety 和 Avira Save Search Plus
Avira 會(huì)注入下列代碼
如下簡(jiǎn)單代碼就可以檢測(cè)出 Avira
- var AV = document.getElementById("abs-top-frame")
- if (AV!==null)
- {
- if (
- AV.outerHTML.indexOf('/html/top.html')>=0 & AV.outerHTML.indexOf('chrome-extension://')>=0
- )
- {
- alert("AV name is Avira");
- }
- }
- Norton
諾頓會(huì)像 Avira 一樣安裝兩個(gè)插件
會(huì)注入如下代碼
通過下面的代碼就可以檢測(cè)出 Norton
- var NAV = document.getElementById('coFrameDiv');
- if ( NAV !== null)
- {
- var nort = NAV.outerHTML;
- if (nort.indexOf('coToolbarFrame')>=0 & nort.indexOf('/toolbar/placeholder.html')>=0 & nort.indexOf('chrome-extension://')>=0 )
- {
- alert("AV name is Norton");
- }
- }
結(jié)論
1. 這種方法并不能保證百分之百檢出反病毒軟件，因?yàn)橛脩艨梢越冒惭b的 Chrome 擴(kuò)展。
2. 這篇文章的靈感主要來自于遠(yuǎn)程檢測(cè)用戶反病毒軟件。
3. 相關(guān)代碼可以在 GitHub 上找到。
