网站被挂iframe木马的解决方案

相信大多数站长都曾经遭遇过iframe木马的侵害，有朋友的网站被注入了N回iframe，心情可想而知。而且现在ARP攻击，注入iframe也是轻而易举的事，仅局域网里都时刻面临威胁，今天把原理细细地讲一下吧。

IE Only——一般只有IE害怕iframe这样的挂马，所以就拿IE开刀。

在阅读本文之前，我们先了解一下e­xpression：

IE5及其以后版本支持在CSS中使用e­xpression，用来把CSS属性和JavaScript脚本关联起来，这里的CSS属性可以是元素固有的属性，也可以是 自定义属性。就是说CSS属性后面可以是一段JavaScript表达式，CSS属性的值等于Javascript表达式执行的结果。在表达式中可以直接引用元素自身的属性和方法，也可以使用其他浏览器对象。这个表达式就好像是在这个元素的一个成员函数中一样。

很多朋友都知道CSS可以直接描述一个可视标记的外观。例如：p{color:red} 则网页里 所有p标记里的文字颜色都会变成红色；iframe不也是一个标记吗？开始跟灵儿写代码吧，呵呵：

iframe{...这里写描述外观的CSS代码;}

仔细想想要防止iframe里的东东被下载的最好办法是什么？核心来了，那就是切断iframe里的请求，切断请求就是要迅速销毁iframe对象。如何实现呢，上面不是介绍了e­xpression吗？e­xpression是可以执行JS脚本的哈。语法格式如下二种：

标记固有的CSS属性名:e­xpression(JS表达式);
或 自定义属性名:e­xpression(JS表达式);

在这里我们选择第二种，代码应该大致是这样

iframe{v:e­xpression(JS表达式);}

接下来的问题是如何销毁网页里所有的iframe对象；使用JS实现的原理是这样的:使iframe里的请求地址变成空白页(about:blank)，再将iframe对象从DOM（文档对象模型）中移除就可以切断所有iframe里的请求了。移除DOM节点的方法比较多，我这里就用 outerHTML这个属性吧。CSS代码如下：

iframe{v:e­xpression(this.src='about:blank',this.outerHTML='');}

说明：前面的v字是灵儿自己定义的一个CSS属性，这里的this代表所有将要描述外观的iframe对象，中间的逗号代表二句代码一起执行，没有执行优先顺序，这可是强有力的保证噢。about:blank代表空白页，大家都知道的。outerHTML属性是DOM对象包含自身的HTML代码，而innerHTML则是DOM对象（不含本身）里面所包含的HTML代码。

爽快，代码写好了，就让我信来测试一下有没有效果。

首先，新建一个网页，插入以上的CSS代码(或在您现有的CSS代码里加入上面那句)：

<style type="text/css">
iframe{v:e­xpression(this.src='about:blank',this.outerHTML='');}
</style>

然后在这个页面插入几个IFRAME代码，假设它们是被挂的木马网页。代码如下：

<iframe src=""></iframe>
<iframe src="http://www.xxx.com/"></iframe>
<iframe src=" http://www.ssguo.com/"></iframe>

保存为noiframe.htm，打开浏览器测试一下（本地测试需要启用顶部禁用的脚本的提示条哦）。我这里使用抓包工具来测试，不过也没有必要使用抓包工具，一个最简单有效的方法是打开IE的缓存文件夹，先清空它，再刷新这个页面，看看缓存文件夹里有没有这三个网站里的文件。如果没有，说明没有任何请求结果被返回——测试结果是令人满意的，我的脸上有些微笑 ^^*，这时同事递给我一块饼，蛮好吃的。

提示：Windows XP SP2的缓存文件夹位置　C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files

细心的朋友发现问题来了，如果我自己的网页里要使用iframe这个东东怎么办？

答：如果要使自己的iframe显示在网页里，而别人挂的IFRAME马都不起作用，在CSS里加一个

#xxx{v:e­xpression() !important}

对应的IFRAME代码为：

<iframe id="xxx" name="xxx" src="http://www.xxx.com/"></iframe>

就OK了。

提示：IE7中优先执行标注有"!important"描述的样式，IE6不认识!important，采用就近原则，所以IE6的这个代码放在CSS的最后就可以了。

这里的xxx，有很多朋友有疑问，他们问我为什么取"xxx"，我这样回答——这个xxx是随意取的，只要下面的iframe里的ID属性和CSS里的一致就行了。同事又要递一块饼我吃，我说饱了哈..嘻嘻..

当然挂马者可以构造这样的代码：

<iframe style="v:e­xpression() !important" src="URL"></iframe>

使我的防御方式失效，不过它得特意去看我的CSS代码里iframe里的前缀v,如果我的v是变化的呢，哈哈，是不是也不管用呢！

小结：以上的方法只是停止了iframe的请求并销毁了它本身，但以后的挂马方式改变了，例如改成

<script></script>
方式挂，就不能用这种方法来解决了；此这个方法不是最终的解决案，最终的解决方案是找出真正被挂IFRAME的原因，堵住源头。这可不是我的事哈!

 

Be aware of these common pitfalls when designing your site:

 

网站设计中，避免出现以下错误：

* The home page does not quickly tell you what the Web site is all about. You should be able to visit the home page of any Web site and figure out what the site is about, what type of products it sells, or what it is advertising within five seconds.

 

访问者不能通过网站主页立即了解网站内容。用户应该在5秒钟之内登录网站，了解网站内容、产品类型或者宣传内容。

* The poor use of popup windows, splashy advertising, splash pages (pages with neat animations and sound but which you have to watch for five to ten seconds before you are taken to the real Web site), and other Web design features that draw interest away from your Web site, products, and/ or services.

网站出现弹出框、令人眼花缭乱的广告、以及眩目的进入页面（运用动画、声音设计，需要5-10分钟的下载时间）。或者出现其它特征，转移用户对网站、产品或者服务的注意力。

* Poor Web site navigation. This includes broken hyperlinks, hidden navigation, poor wording of navigational links, links that take you to pages with no links, links that take you to the same Web page, and pages with no links back to the home page (always include a link back to the home page so that regardless of where site visitors are, they can find their way back home!).
设计不合理的导航系统。其中包括无效超链接、隐藏的导航系统、糟糕的字链接以及导航链接、不能链接的页面、错误链接、不能与主页链接的页面。请记住：不管访问者处于什么位置，网站都要保证他们随时可以返回主页。

 

* Believing that because you have a Web site, you have a marketing campaign or overall marketing and advertising strategy. You need to understand that your Web site is not your marketing strategy. Your Web site is just a part of your overall marketing strategy, depending on your business goals; for example, if you have a successful restaurant but want to advertise and promote your business on the Web. Creating a Web site is great, but if it is not promoted and advertised, no one will ever find it. By passing out business cards with your Web site URL embossed on them, you are using a traditional marketing campaign to promote your Web site. If you offer a downloadable/ printable coupon from your Web site, you are successfully using your Web site as part of your marketing strategy to meet your goal of increased restaurant sales.

网站是一种营销措施、营销策略。你要了解，网站不是一种营销策略，只是营销策略的一部分，并且要根据公司目标来制定。比如说，你希望在网站中宣传餐馆，如果网站构建后，没有宣传效果，网站也就没有价值。在名片中打印网址，是一种传统的宣传方法。但如果网站提供可下载、可打印的优惠券，就是一种成功宣传的方法。

 

* Failure to attain Web site relevance and content updating. There is nothing more dissatisfying to a Web customer than visiting a Web site that is grossly out of date. Incorrect pricing, products no longer available, dated content, and ancient advertising all signify to the Web site visitor that your devotion to your Web site is suffering greatly. Cramming your pages with non-relevant material will detract the visitor from getting the point of your Web site (the five-second rule mentioned earlier).

网站内容陈旧或者与主题无关。用户最不希望浏览过期内容，错误价格、不再提供的产品、陈旧的内容、过期的广告都会让用户感到厌烦。与网站主题无关的内容，只会分散用户注意力，导致他们5秒钟之内找不到需要的信息。

 

* Avoid too many text effects. Forget flashing text, reversing text, gymnastics text, or other eye-popping and dizzying effects, which do nothing more than annoy your site visitor. Don't create a "loud" Web site that contain so many blinking, flashing, twirling, and spinning icons, text, or graphics that visitors are overwhelmed by the effects and under-whelmed by the site content.

避免出现多种效果的文本。Flash文本、浮动文本、跳动文本或者其它令人眼花缭乱的文本只会让用户感到厌烦。闪动、眩目、旋转的图像、文本、图片会吸引用户注意力，导致用户忽视其它内容。

* Limit the number of graphics on your Web site so that you don't overwhelm your site visitors with "graphics overload." Don't use animated GIF images on your Web site. These were cool ten years ago, but in today's professional environment, they are just another "loud," annoying distraction that site visitors don't want to see.

限制图片数量，避免分散网站访问者的注意力，缩减下载时间。避免使用GIF图片。运用图片在十年前很流行，但在现在这种专业环境中，只是一种影响因素。

 

* Don't use Microsoft's themes (built-in design templates) when creating a Web site with Microsoft FrontPage. While FrontPage is bashed on a regular basis, we stand by the fact that it can be used to design great Web sites.

利用Microsoft FrontPage制作网站时，不要使用内置在设计模板中的主题。FrontPage不适合创建普通网站，但可以用来创建高质量的网站。

 

* Don't incorporate frames into Web site design. The use of frames within a Web site will drive customers away faster than anything!

避免在网站中嵌入框架，否则会流失许多用户。

* DO incorporate the proper Web site design elements to ensure that your Web site is ready to be found by search engines.

网站需要出现恰当的内容，便于搜索引擎搜索。

 

本文由本人网络收集整理所得，其中加入了自己对网站改版的一些意见和方法，如果您有什么其它好的想法欢迎和我讨论！进行人身攻击的请远离我站，网页教学网不欢迎那些只说不做的人！

一：网站为什么要改版?

 

1、网站虽专业、美观，却无访问量。

造就众多“花瓶”式企业网站的症结何在? 网页教学网认为,一方面是因为企业对网站的价值缺乏理性、全面的认识;不知道企业网站要起到其作用是建立在流量的基础之上。另方面大多数企业管理人员对网络营销专业知识水平有限，使得网站的专业水平难以得到明显提高，严重限制了企业网站的价值。

2、网站访问量大，但客户转化率太低。

对于一个企业/公司网站而言，网站本身设计不专业、不美观，用户体验不佳，即便投入重金做了网站推广往往也是收效甚微，所以科学的方式除了进行必须的网站营销推广之外，把网站做专业，提供用户体验将更为重要，这也是为什么越来越多的企业愿意花重金进行网站的更新改版，提高用户体验，提高客户转化率的原因。

二：网站改版主要改哪些内容?

　　经过了第一代网站建设以网站美观的主要设计思维和第二代网站建设以用户体验主要设计思维。都已经不能适应新的网站大爆炸的时代！怎样在众多网站凸显出来成为了企业打电子战的关键，网站设计从过去的面向用户转化为面向搜索引擎。我们将这种设计思维称为：第三代设计思维。网站的改版一第三代设计思维为指导主要修改一下内容：

 

　　功能升级

　　搜索引擎很少光顾的网站，大都是些功能简单、信息量贫乏的网站。为了使浏览用户和网管操作便捷，以及让搜索引擎更好地收录，在网站上添加一些相对亟需的功能极为重要。

　　结构重组

　　很多网站其实只是网站建设 公司为了蒙混企业而建出来的一张欺骗肉眼的图纸，根本谈不上什么结构化。所以，要想您的网站有一个较好的搜索和排名，网站结构不容忽视。

 

　　建立导航

 

　　导航其实不单单是给浏览用户看的，更是给搜索机器人看的，一定要让搜索引擎知道我们想让它频繁更新哪类页面，想让他推荐哪类信息。但是，中国的网站，几乎95%都没有导航。

　　数据优化

　　我们肉眼看到的网站其实都是源代码解析出来的。源代码过于冗长不仅会影响网站的打开速度，更会影响排名收录。尤其为了图省事而用JS代码生成出的视觉效果，极被搜索引擎所厌恶。
 
三：网站改版的流程是什么？

网页教学网认为对于网站改版的工作流程如下：
 
1、用户需求的了解

与客户沟通，切实了解客户建设网站的目的。并对客户所在行业进行深度分析，包括行业特征、客户特征、客户需求、用户体验。

2、对原有网站的评估

对原有网站整体诊断、分析，并总结存在问题，简要制定《诊断分析报告》,制定实施网站改版方案。

3、制订行之有效的网站改版计划

 

根据用户网站项目的时间进度要求，我们将制订行之有效的网站改版计划。

4、网站改版的实施

网站改版实施过程中，我们要做好原网站的数据备份、迁移和恢复工作，保证网站运行的连续性。

四：网站改版的优势？

   在实施众多的网站改版项目中，我们体会到：目前很多客户在建设网站之前对网站的价值没有深切的认识，所以造成相当一部分的企业网站形同虚设，不能真真给企业带来实际可见的效益。而对于企业来说究竟需要什么样的网站？其实这个问题答案很简单，需要一个能产生最大利益的网站？而这里利益体现有哪些呢？比如企业希望建立电子商务网站销售自己的产品，企业建立宣传站为了提升企业形象，扩大品牌影响。而达到这些目的都是建立引入访客、吸引访客为前提。网页教学网通过对部分企业进行了解发现，众多企业网站无论从系统架构上、还是内容信息方面，都远远达不到网站营销的目的。

 

   网页教学网认为网站建设理念是以用户体验和网站营销为目的，为企业建立形象和营销并重的网站，与客户共同协商重新定位网站视觉风格外，我们还给您提供有价值的网站内容组织、网站优化等建议，帮助您充分利用网站，争取更大的效益。若您已有的网站达不到想要的营销效果怎么办？找一家专门提供服务的公司为您重新策划和设计网站，让您的网站活起来.

 

很久以来，网站开发过程中，最大的问题是沟通：

 

前台与后台，项目经理与项目实施人员， 项目经理和客户，都苦于良好的沟通方式。我觉得问题的根源就在于传统的网站开发方法，说白了，就是非标准的开发方式导致的沟通的困难。

 

具体地说，一个网站开发小组，通常要配备一下人员：

网站总体策划师，网页设计师（美工），网站制作，程序员。看似分工明确，却往往效率低下，原因在于网站开发本身就没有实现内容、结构、表现、行为的分离，却把人员分工分的如此的明确，这本身就是人力资源运用的败笔：根本没有可能实现“各司其职”，又怎么会有良好的效率保证？

web标准究竟有何意义？

 

由此看来标准带来的不仅仅是技术上的统一规范，它处处体现出人文关怀的意味（508条便是明证），更重要的是，它极力要改变的是网站从业人员的思路，是适应现代社会发展分工需要的规范。

现在，我们尝试着用web标准来指导我们的网站开发流程，会是什么样子？

我不得不在此提出一个新的网站开发职位：网站内容结构设计师。web标准强调内容的结构化，认为网站是建立在内容的基础上，没有内容谈不上表现。由此看来，内容结构的设计的重要性不言而喻。遗憾的是目前的网站开发团队并没有这样一个职位，或是说这样的职位总被其他的职位兼顾着（一般都是网站策划师），但我这里所言的网站结构设计师并不仅限于现在策划师所作的。

目前的策划师往往仅仅是策划出网站风格、栏目、功能，但我这里谈及的网站结构设计师所作的工作并不仅限于此，他所要做的是将客户提供的信息归类，将信息内容结构化，使客户提供的整个文档具备高度的可读化（就像组织一本书，要分好章节、项目、段落等等）。这样的职位要求从业人员有较高的逻辑思维能力和语文基础，并熟知xhtml中的结构化标签，可利用这些标签 最终形成内容高度结构化的网页。这个工作是整个网站构建的基础。

有了这样一个网站内容设计师，我们整个的工作就简单而明了了。我们需要以下人员：

网站项目经理：负责与客户沟通，采集客户的需求，确定网站的风格、栏目 、功能，制定网站策划书、指派监督任务，与项目实施人员沟通协调，测试网站，最终促使项目顺利完成。

 

网站内容结构设计师：根据项目经理提供的项目材料，生成高度结构化的文档，并形成初始网页（不含任何样式）。

网页设计师（美工）：根据项目经理提供的策划书和内容结构师制作的初始网页， 进行网页效果图的设计，包括首页、栏目页、内容页、功能页等。

网站样式设计师（网站制作）：参照网页设计师的效果图以及内容设计师的初始网页，编写网页样式，须保证样式的高效简洁。最终实现符合效果图的网页。

网站程序员：根据项目经理的网站功能设计策划，编制实现功能的后台程序。需要在页面输出的，就将页面的静态内容换成动态输出的。要求了解web标准。

这样的人员分配，保证了每个项目人员都能专心的发挥本身的长处，内容设计师只要具备良好的逻辑思维和语文基础，不需要去考虑网页的表现；网页设计师只要是个平面设计高手，具有良好的形象思维，良好的美学观念，良好的艺术创造力，不需要繁琐的网页设计知识，毕竟网页设计也要有一定的逻辑思维，这对专业的艺术设计人员来说是可怕而费时的；网站样式设计师（网站制作），只要照着效果图实现效果就可以了，工作性质类似于工匠，要求有细心仔细的工作作风，只需要了解样式的编写，不需要再去考虑创作上的问题，某种意义上说也是一种解脱。

由此看来，在应用标准进行设计的过程中，能够顺利地实现项目的明确分工，的确是有利于开发效率的。

 

本文认真总结了网站建设中我们难免犯的一些错误，希望大家做网站的时候要提高警惕。

　　1. “欢迎访问本站”?免了吧!

 

　　像这样没有意义的玩艺儿，包括商号的重复、文字游戏，或者其他自我标榜的东西，是一种让读者厌烦的骚扰。你的主页甚至每一个页面，开始都应该是一个醒目、引人的标题，它传达给读者的信息是：如果你阅读本站(页)，你会有如何如何的受益。

　　2. “建设中”的臭牌子别挂

　　相信有一定网龄的读者都有过这样的经历：有的站点介绍说得像朵花儿似的，逗得你忍不住想进去看看，主页也很漂亮，有的甚至次级页面也很像回事儿，等你一层层跟到底层页面，对方却告诉你：“对不起，本页/栏目/站点正在建设中，请稍后再来”。碰到这种不负责任的站点，你说，谁能不顿生一股无名火?

　　人家的上网时间、金钱贵得很，你敢随随便便拿人家开涮?还想赚人家的钱?真是做清秋大梦!

 

　　3. 框架结构完美无比吗?错。

　　在准备使用框架结构之前，请你注意这样的事实：很多老一点的浏览器不支持框架结构，很多搜索引擎也不能正常检索框架结构的网页。框架结构固定地挤占珍贵的网页空间，如果做得不合适，读者还得使用滚动条，才能看到框架结构里的文本和链接。所以，考虑框架结构时要慎重。

　　4. 主页不要又臭又长

 

　　有的网站主页拉得老长老长，让读者握着鼠标翻半天。还是那句话：别跟读者为难，凡事从人家的角度多想想。一般来说，主页长度应限定在三个整屏以内。容不下?多分几个页面就是了，注意提供链接之外，还得好好组织一下语言，吸引人家继续点击那些页面。

　　5. 不要有外引链接，特别在首页

　　道理不言自明，因为你希望别人在自己的站点逗留，而不是从你的首页上一走而过。如果有些外链接必不可少，那也该考虑尽量放得深一些的页里，让人家在浏览了你站的重要页面后，再送人家走也不迟呀!

　　链接不要散布在整页文本中，最好列单。

　　6. 不要老是“我”、“我们”的

　　“我”“我们”或你商号的反复堆砌，会把读者憋跑的。相反，你该多用“你”“你们”。因为人家最感兴趣的，还是能从你的站点上得到些什么有价值的东西，而不是你本身。

　　7. 不要出现错别字、病句

　　这条禁忌似乎人人知道，但就是有很多很多站点有这些毛病。原因主要是做这些站点的人，大多是技术出身，以为网站就是展示技术能力的场所，实际上，网站迄今为止的基本功用应该是信息传播，应该比照媒体、出版的专业规范来，应该由专业编辑来处理。任何事情总有利弊两面，互联网技术的普及可以让每个人可以自由地创办自己的“媒体”，同时也给互联网世界增添了无数水准低下、制作粗劣的东西。

　　8. 靠“国家一级企业”压人?别!

　　很多网站主页一开头就唠叨：“xxx公司是位于北京的国家一级企业，注册资金1.5亿......”你以为读者会关心这些枯燥的东西吗?你以为炫耀“国家一级企业”人家就会乖乖地买你的帐?你要想想，这些信息和你要营销的产品或服务有关系吗?如果你觉得这些信息很必要，建议放在“关于我们”之类的页面里，着眼点也应该是这些信息是否和读者有关。

　　同样的禁忌还有：“本站获什么什么奖”。

 

　　就像现实世界里的“大奖”满天飞一样，网上各种授奖的噱头也层出不穷。绝大多数情况下，这些个阿猫阿狗奖项一文不值。别把这些自我标榜的东西放上去，占地方，还不如换上读者真正有兴趣了解的内容。

　　9. 不要躲在幕后

　　堆砌一些读者根本不感兴趣的自我信息，会让人逃之夭夭，相反，有的网站高深莫测，不知何方神圣，让读者狐疑不定，自然不敢贸然掏钱。这个毛病在邮件营销部分已经涉及过了，这里再强调几句。

　　要最大限度地增加在虚拟世界的可信度，你就必须让人家知道你的详细情况，这和自娱性个人站点截然不同。你最好能在每个页面都放上你的详细联系办法，包括实际邮址(最好不要用多少多少号信箱)、所在地、电话号码(别用语音信箱)、传真号码，当然，还得有你的“热线”电子邮箱地址(别用 webmaster!)

　　10. 不要有错误链接、出不来的图像

 

　　其原因显而易见，就不赘述了，遗憾的是这种毛病遍网都是，您多注意吧。

　　11. “免费”招牌不要食言

　　前面提到过，免费提供一些与你的经营业务相关的东西，是一种很有效的营销手段。但你要认真规划，玩真的才行，要不会砸你的牌子。很多站点号称提供什么什么免费的咨询、免费的信息，结果根本不兑现，或者拿“建设中”挡着。

 

　　12. 忌用插件、Java脚本、跳出式窗口

 

　　你认为很“酷”的东西，大多数读者不一定这么看，他们不会花时间来下载插件(plug-ins)，只会走人。Java脚本、跳出式窗口也都是这样让人烦。这些毛病的根源都是一个：以自我为中心，不管别人。

　　类似的忌讳还包括：一般不要嵌入音频文件;不要使用闪烁字体、画面效果，很碍眼;不要使用闹腾的背景，不要使用与文本颜色不协调的背景;不要放无用的大图，不要有旋转的地球之类的俗套东西，商号徽标不要过大。