《網(wǎng)絡蠕蟲》ppt課件-預覽頁
【正文】 ”(計算機蠕蟲可以獨立運行，并能把自身的一個包含所有功能的版本傳播到另外的計算機上 ) 蠕蟲的起源及其定義 計算機病毒的原始定義 ? 計算機病毒從技術(shù)角度的定義是由 Fred Cohen在 1984年給出的： “ A program that can ?infect? other programs by modifying them to include a possibly evolved copy of itself.”(計算機病毒是一種可以感染其它程序的程序，感染的方式為在被感染程序中加入計算機病毒的一個副本，這個副本可能是在原病毒基礎上演變過來的 ) ? 1988年 Morris蠕蟲爆發(fā)后， Eugene H. Spafford為了區(qū)分蠕蟲和病毒，將病毒的含義作了進一步的解釋： “ Virus is a piece of code that adds itself to other programs, including operating systems. It cannot run independently and it requires that its 39。而蠕蟲主要是利用計算機系統(tǒng)漏洞(Vulnerability)進行傳染，搜索到網(wǎng)絡中存在漏洞的計算機后主動進行攻擊，在傳染的過程中，與計算機操作者是否進行操作無關(guān)，從而與使用者的計算機知識水平無關(guān) ? 蠕蟲的定義中強調(diào)了自身副本的完整性和獨立性，這也是區(qū)分蠕蟲和病毒的重要因素。如何精確地描述蠕蟲傳播行為，揭示它的特性，找出對該行為進行有效控制的方法，一直是學者們共同關(guān)注的焦點 ? 最經(jīng)典網(wǎng)絡傳播模型的 SIS模型和 SIR模型 – 在 SIS模型中，每一個網(wǎng)絡節(jié)點只能處于兩種狀態(tài)中的一種，一是易感的，二是已被感染從而具有傳染能力的 – 在 SIR模型中，節(jié)點還可以處于一種叫做免疫的狀態(tài)，在這種狀態(tài)下，節(jié)點既不會被感染，也不會感染其它節(jié)點 蠕蟲的基本原理 蠕蟲的傳播模型 ? KermackMckendrick模型是 SIR模型中的經(jīng)典 – 在 KermackMckendrick模型中考慮了感染主機的恢復，它假定在蠕蟲傳播期間，一些受感染的主機可以恢復為正常狀態(tài)或死亡，且對此蠕蟲具有免疫功能，因此每個主機具有三種狀態(tài)：易感、感染或恢復，其狀態(tài)轉(zhuǎn)移可表示為易感→ 感染 → 恢復，或永遠保持易感狀態(tài) 蠕蟲的基本原理 S u s c e p t i b l e( 主 機 存 在 漏 洞 )I n f e c t i v e( 主 機 被 感 染 )R e c o v e r e d( 漏 洞 被 修 復 ， 蠕 蟲 被 清 除 ) 蠕蟲的傳播模型 – 感染的主機數(shù)與感染強度示意圖 蠕蟲的基本原理 感 染 強 度感染的主機數(shù)慢 啟 動階 段緩 消 失 階 段快 速 傳 染階 段 蠕蟲的傳播模型 – KermackMckendrick模型用數(shù)學公式可以表示為 ? r(t)表示在時刻 t被感染的主機數(shù) ? R(t)表示在時刻 t被恢復的主機數(shù) ? S(t)表示在 t時刻尚未感染的主機數(shù) ? N表示主機總數(shù) – 從 KermackMckendrick模型可以得出一個重要的理論 ——蠕蟲爆發(fā)定理：一個大規(guī)模蠕蟲爆發(fā)的充分必要條件是初始易感主機的數(shù)目 S(0)ρ – 由于存在蠕蟲爆發(fā)的閾值，因此，采取各種防治手段，如安裝殺毒軟件、打補丁、斷開網(wǎng)絡連接等降低蠕蟲感染率，通過先進的治療手段提高恢復率，使 S(0)≤ ρ ，從而有效地遏制蠕蟲的傳播。由于該蠕蟲在 LSASS中溢出，可以獲取管理員的權(quán)限，執(zhí)行任意指令 ? ⑤溢出代碼主動從原主機下載蠕蟲程序并執(zhí)行，開始新的攻擊。隨后，蠕蟲會把 %System%\Wins目錄下面取名為 ，建立一個服務，服務名稱為 “ RpcTftpd”，顯示名稱為 “ Network Connections Sharing”，可執(zhí)行文件的路徑為 %System%\wins\ ，服務啟動屬性為自動運行 (注意：系統(tǒng)目錄里也有一個 ，但它是正常文件，大小為 7952字節(jié) ) “沖擊波 ” 清除者分析 “沖擊波清除者 ” 概述 – 當系統(tǒng)重新啟動的時候，以上兩個服務啟動觸發(fā)蠕蟲運行 – 蠕蟲會綁定一個由隨機數(shù)除以 100并把余數(shù)加上 666的最終值作為提供感染源連接發(fā)送病毒體文件操作命令的端口，建立獨立線程 (分析中發(fā)現(xiàn)多次出現(xiàn) TCP 707端口 )
教學課件相關(guān)推薦
鄂ICP備17016276號-1