計(jì)算機(jī)病毒、蠕蟲和特洛伊木馬介紹(網(wǎng)絡(luò)安全基礎(chǔ)課講義(編輯修改稿)
2025-02-03 12:52 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 不偽裝成其他程序，靠自主傳播 – 利用系統(tǒng)漏洞； – 利用電子郵件（無(wú)需用戶參與） 莫里斯蠕蟲事件 ? 發(fā)生于 1988年，當(dāng)時(shí)導(dǎo)致大約 6000臺(tái)機(jī)器癱瘓 ? 主要的攻擊方法 – Rsh， rexec：用戶的缺省認(rèn)證 – Sendmail 的 debug模式 – Fingerd的緩沖區(qū)溢出 – 口令猜測(cè) CR I ? 主要影響 Windows NT系統(tǒng)和 Windows 2023 – 主要影響國(guó)外網(wǎng)絡(luò) – 據(jù) CERT統(tǒng)計(jì) ， 至 8月初已經(jīng)感染超過(guò) 25萬(wàn)臺(tái) ? 主要行為 – 利用 IIS 的 Index服務(wù)的緩沖區(qū)溢出缺陷進(jìn)入系統(tǒng) – 檢查 c:\notworm文件是否存在以判斷是否感染 – 中 文 保 護(hù) （ 是 中 文windows就不修改主頁(yè) ） – 攻擊白宮 ！ CR II ? Inspired by RC I – 影響波及全球 – 國(guó)內(nèi)影響尤其廣泛 ? 主要行為 – 所利用缺陷相同 – 只感染 windows2023系統(tǒng)，由于一些參數(shù)的問(wèn)題，只會(huì)導(dǎo)致 NT死機(jī) – 休眠與掃描：中文 windows， 600個(gè)線程 Nimda 簡(jiǎn)介 ? 影響系統(tǒng)： MS win9x, wind2k, win XP ? 傳播途徑： – Email、文件共享、頁(yè)面瀏覽、 – MS IIS目錄遍歷、 Code Red 后門 ? 影響 – 群發(fā)電子郵件，付病毒 – 掃描共享文件夾， – 掃描有漏洞的 IIS, – 掃描有 Code Red后門的 IIS Server 紅色代碼病毒 ? 紅色代碼病毒是一種結(jié)合了病毒、木馬、DDOS機(jī)制的蠕蟲。 – 2023年 7月中旬，在美國(guó)等地大規(guī)模蔓延。 – 2023年 8月初，出現(xiàn)變種 coderedII，針對(duì)中文版 windows系統(tǒng)，國(guó)內(nèi)大規(guī)模蔓延。 – 通過(guò) 80端口傳播。 – 只存在與網(wǎng)絡(luò)服務(wù)器的內(nèi)存，不通過(guò)文件載體。 – 利用 IIS緩沖區(qū)溢出漏洞（ 2023年 6月 18日發(fā)布） CodeRed I CodeRed II 增加了特洛依木馬的功能，并針對(duì)中國(guó)網(wǎng)站做了改進(jìn) 1. 計(jì)算 IP的方法進(jìn)行了修改，使病毒傳染的更快； 2. 檢查是否存在 CodeRedII原子，若存在則進(jìn)入睡眠狀態(tài)防止反復(fù)感染，若不存在則創(chuàng)建 CodeRedII原子； 3. 創(chuàng)建 300個(gè)線程進(jìn)行傳染，若系統(tǒng)默認(rèn)語(yǔ)言為簡(jiǎn)體中文或繁體中文，則創(chuàng)建 600個(gè)線程； 4. 檢查時(shí)間。病毒作者的意圖是傳播過(guò)程在 2023年 10月 1日完成，之后，蠕蟲會(huì)爆發(fā)而使系統(tǒng)不斷重新啟動(dòng)。 5. 在系統(tǒng)中安裝一個(gè)特洛依木馬： ① 拷貝系統(tǒng)目錄 IIS的腳本執(zhí)行目錄下，改名為 ； ② 將病毒體內(nèi)的木馬解壓縮寫到 C盤和 D盤的 ③ 木馬每次系統(tǒng)和啟動(dòng)都會(huì)運(yùn)行，禁止系統(tǒng)的文件保護(hù)功能，并將 C盤和 D盤通過(guò) web服務(wù)器共享 CodeRed II ? 攻擊形式 其中 IP地址， dir可以是任意命令，比如刪除系統(tǒng)中的文件，向外發(fā)送機(jī)密數(shù)據(jù)等，這個(gè)后門后來(lái)也成為了 nimda病毒的一個(gè)傳播模式。 下面是 cert/cc上提供的被攻擊服務(wù)器日志 (CA202311) 20230506 12:20:19 80 GET /scripts/../../winnt/system32/ /c+dir 200 – 20230506 12:20:19 80 GET /scripts/../../winnt/system32/ /c+dir+..\ 200 – 紅色代碼病毒的檢測(cè)和防范 ? 針對(duì)安裝 IIS的 windows系統(tǒng)； ? 是否出現(xiàn)負(fù)載顯著增加（ CPU/網(wǎng)絡(luò)）的現(xiàn)象； ? 用 stat –an檢查是否有許多對(duì)外的 80端口連接 ? 在 web日志中檢查是否有 /?xxx..%u0078%u0000 ％ u00=a HTTP/； ? 查找系統(tǒng)中是否存在文件 c:\ d:\ 以及 ； ? 檢查注冊(cè)表文件中是否增加了 C和 D
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1