通常的網(wǎng)上木馬幾個(gè)固定的代碼，沒(méi)有太多的變化，包括腳本代碼的加密，幾乎所有的解釋類(lèi)型的加密，黑客掛馬中止的進(jìn)程，該木馬自動(dòng)分析頁(yè)面上的外國(guó)人也有大幅結(jié)果。國(guó)內(nèi)自動(dòng)化網(wǎng)絡(luò)，我已經(jīng)看到了馬分析系統(tǒng)知道創(chuàng)宇，360安全衛(wèi)士和安全標(biāo)識(shí)，其他主要的反病毒安全公司，包括國(guó)內(nèi)的，也應(yīng)該有其自己的一套網(wǎng)馬。

　　木馬自動(dòng)分析需要一個(gè)良好的網(wǎng)頁(yè)分析系統(tǒng)，分別在頁(yè)面和腳本的內(nèi)容，同時(shí)要求模擬的腳本解釋引擎和沙箱環(huán)境中的各種靜態(tài)元素資源。我只說(shuō)下我的兩個(gè)想法：

　　純粹的靜態(tài)分析

　　只需取得頁(yè)面的靜態(tài)內(nèi)容，只需要使用正規(guī)比賽的HTML內(nèi)容和腳本內(nèi)容，直接分析HTML內(nèi)容，其余的將腳本的內(nèi)容分開(kāi)，把腳本解釋引擎，當(dāng)然，這里一些瓶頸，但我們可以改變的腳本解釋引擎，暫停出售一些網(wǎng)馬使用的主要功能是不困難的，分別對(duì)象，重點(diǎn)內(nèi)容的shellcode。的javascript解釋引擎蜘蛛猴，當(dāng)然，這件事有一個(gè)致命的缺陷，如果黑客使用VBScript或包代碼到FLASH和其他靜態(tài)代碼文件的內(nèi)容來(lái)執(zhí)行腳本的話，就很難重新暫停自動(dòng)分析。

　　2沙盒

　　由于第一種方法的缺點(diǎn)，我們?nèi)匀豢梢允褂蒙诚渚W(wǎng)馬成真正的讀者拋出運(yùn)行，但我們要求使用的老記第一運(yùn)輸使用的理由的幾個(gè)關(guān)鍵功能的腳本之前，類(lèi)似的以下腳本斷點(diǎn)，輸出的重點(diǎn)內(nèi)容，或腳本中止分析行為。 IE瀏覽器，我們可以使用COM鉤，法郎，這樣并不需要完整的氣體，我們可以直接使用Greaseamonkey的插件。

　　這些都只是一個(gè)幌子，兩個(gè)小想法，并沒(méi)有觸及的理論內(nèi)容。我也慢慢摸索的“黑客”掛馬肯定會(huì)更先進(jìn)的，我喜歡的沙盤(pán)分析。