黑客一直在試圖找到延長植入代碼在站點上的存活期的方法。存活期是指從攻擊者植入惡意代碼到網站管理員發現并將其清除的這段時間。通常，管理員越早發現惡意代碼，則存活期越短，反之則越長。

顯然，最簡單的攻擊方法就是先攻占掛載頁面的Web服務器，然后在Web服務器上面安裝流氓軟件。這些流氓軟件十分狡猾，可以很好的將自己隱藏在服務器系統中，避開站點管理員、安全研究人員或其他黑客的巡查。

網絡上有許多博客、文章及論壇都出現了售賣各類用于"滲透測試"黑客工具的相關信息。Websense的安全專家監視了其中一些論壇，他們發現最近有一批Rootkits工具正在論壇上販賣，這類Rootkits工具可在Web服務器架設的站點上植入和隱藏惡意代碼。雖然不法組織只將這些工具出售給了極少數人，但研究人員、網站管理員和Web服務器管理員已經發現了它們，并開始在安全博客及論壇上展開相關討論。其中，有幾個論壇的帖子都提到了這樣的現象：同一臺服務器上所掛載的不同站點上時不時的會出現一些被植入的惡意iframes代碼段，代碼段中的URL字段會不斷變化，而網站和Web服務器的管理員都查不到問題所在。（見圖1）

（圖1，管理員們發帖表示發現問題卻找不到癥結所在）

據悉，不法分子只需花一千美元就可以購買名為"Apache 2"的流氓模塊。不法分子在廣告中展示了該模塊的部分特性：可將代碼植入php、htm或是js頁面；只允許特定的IP地址訪問；可周期性的更新URL鏈接（可配合漏洞攻擊包使用）等。

先將生成的iframes代碼段放一邊，真正值得我們注意的是上面提到的這種流氓模塊。因為這種流氓模塊可以自動轉為隱藏模式而難以被管理員發現，所以它有很長的存活期，它能搜集和記錄系統管理員賬號登錄服務器所用的IP地址，一旦發現管理員登錄，它就馬上潛伏起來，不對管理員顯示惡意iframes代碼段。另外，像tcpdump這樣的檢測進程也會激活流氓模塊的隱藏模式。而一旦管理員下線或檢測進程終止，惡意代碼又會開始活躍起來，繼續為害。

流氓Apache模塊軟件的作者甚至在網上發布了該流氓軟件配合各種漏洞攻擊包的成功率。（見圖2）

（圖2，Web服務器上，流氓Apache模塊提升各種漏洞攻擊包的成功率）

Websense將如何保護客戶免受這種流氓軟件生成的植入式惡意代碼的威脅呢？

當客戶瀏覽被植入惡意代碼的Web站點時，Websense的ACE（高級分類引擎）專利技術可實時分析Web站點，防御任何加載過程中出現的惡意iframes代碼段。這類流氓Apache模塊根據不同的參數來決定是否顯示植入的惡意內容，如根據IP地址判斷訪問者是否是第一次來訪，或是通過特定的反向鏈接而來等。這對沒有實時監控功能的安全解決方案來說是巨大的挑戰，而Websense提供的解決方案具有實時解析和動態分析的優勢，可在發現植入的惡意代碼后馬上對頁面進行攔截，以保障客戶擁有安全的網絡環境。（見圖3）

（圖3，Websense ACE技術攔截惡意站點）