網絡蠕蟲ppt課件-資料下載頁
2025-05-03 02:08本頁面
【正文】 Windows NT以上操作系統(tǒng)中廣泛存在此漏洞，該蠕蟲會在網絡上迅速傳播，造成網絡癱瘓 蠕蟲的防治 蠕蟲的檢測與清除 – 感染機理及感染過程 ? ①使用 AbortSystemShutdown API來防止系統(tǒng)重啟或關機，然后拷貝自身到系統(tǒng)目錄，名為 %WINDOWS%\，然后登記到自啟動項 ? ②開辟線程，在本地建立 FTP服務器 ? ③開辟 128個掃描線程，以本地 IP地址為基礎，取隨機 IP地址，瘋狂地試探連接 TCP端口 445，如果試探成功，則把該目標的 IP地址保存到 “ c:\”，并向被連接主機發(fā)動溢出攻擊 ? ④利用 LSASS中存在一個緩沖區(qū)溢出漏洞進行攻擊，一旦攻擊成功會導致對方主機感染此蠕蟲并進行下一輪的傳播，攻擊失敗也會造成對方主機緩沖區(qū)溢出，導致對方主機程序非法操作，以及系統(tǒng)異常等。由于該蠕蟲在 LSASS中溢出，可以獲取管理員的權限，執(zhí)行任意指令 ? ⑤溢出代碼主動從原主機下載蠕蟲程序并執(zhí)行，開始新的攻擊。被攻擊的計算機將自動連接蠕蟲主機的 5554端口并通過 FTP下載蠕蟲的副本，名稱一般為 4到 5個數(shù)字加上 “ _up”的組合，如“ ” 蠕蟲的防治 蠕蟲的檢測與清除 – 手動清除 ? ①給計算機打上最新的補丁 ? ②打開任務管理器，查看是否存在名為，存在則終止之 ? ③打開注冊表編輯器，刪除啟動鍵值 (如果存在的話 ) ? ④ 刪除 %WINDOWS%\ 蠕蟲的防治 “沖擊波清除者 ” 概述 ? 2022年 8月 18日，互聯(lián)網中出現(xiàn)一種清除 “ 沖擊波 ” () 的蠕蟲 () ? 該蠕蟲利用 Windows RPC DCOM漏洞 (MS03026)及 Windows IIS WEBDAV(MS0307)作為感染攻擊手段，并通過TFTP(UDP69簡單文件傳輸協(xié)議 )下載病毒體到被感染機器中 ? 該蠕蟲不在被感染系統(tǒng)留后門，也不會進行有目的的拒絕服務攻擊。其感染目的是清除 分別為 Win202 Win XP的韓文系統(tǒng)、繁體中文系統(tǒng)、簡體中文系統(tǒng)、英文系統(tǒng)下載和安裝 Windows RPC DCOM(MS0326)安全補丁，而且該蠕蟲還具有定時自毀功能 ? 該蠕蟲也稱作 “ Chian”蠕蟲，因其體內有 “ ~~~ Wele Chian~~~”字樣。據(jù)蠕蟲作者在某安全網站發(fā)表的聲明，“ Chian”是 “ China”的筆誤 “沖擊波 ” 清除者分析 “沖擊波清除者 ” 概述 ? 感染途徑 – 病毒體初始化前為了避免蠕蟲多次感染運行，會檢查或者建立一個互斥量并將其命名為 “ RpcPatch_Mutex” – 蠕蟲體被運行后，蠕蟲會在 %System%\wins文件夾中復制一個蠕蟲體拷貝 ()，然后蠕蟲會新建一個服務，服務名為 “ RpcPatch”， 顯示名稱為 “ WINS Client”，可執(zhí)行文件的路徑為 %System%\wins\ ，大小為10KB，服務啟動屬性為自動運行 (注意：系統(tǒng)目錄里也有一個 ，但它是正常文件，大小只有 6KB)。隨后，蠕蟲會把 %System%\Wins目錄下面取名為 ，建立一個服務，服務名稱為 “ RpcTftpd”，顯示名稱為 “ Network Connections Sharing”，可執(zhí)行文件的路徑為 %System%\wins\ ，服務啟動屬性為自動運行 (注意：系統(tǒng)目錄里也有一個 ，但它是正常文件，大小為 7952字節(jié) ) “沖擊波 ” 清除者分析 “沖擊波清除者 ” 概述 – 當系統(tǒng)重新啟動的時候，以上兩個服務啟動觸發(fā)蠕蟲運行 – 蠕蟲會綁定一個由隨機數(shù)除以 100并把余數(shù)加上 666的最終值作為提供感染源連接發(fā)送病毒體文件操作命令的端口，建立獨立線程 (分析中發(fā)現(xiàn)多次出現(xiàn) TCP 707端口 )。當檢測到、 關閉 “沖擊波 ” 清除者分析 “沖擊波清除者 ” 概述 ? 蠕蟲特點 – 殺除其它 MSBlast蠕蟲 – 下載補丁 – 會刪除自身 ? 蠕蟲會在刪除完 MSBlast后開始檢查系統(tǒng)時間。當系統(tǒng)設置的年份為 2022年時，把自己從系統(tǒng)中刪除掉，也對應了這個作者在代碼中的一句留言 “ Notice: 2022 will remove myself:) ” ? 清除方法 – 由于該蠕蟲的自清除屬性，因此可以修改系統(tǒng)時間年份至 2022年，并重新啟動系統(tǒng)。安裝漏洞補丁后再矯正系統(tǒng)時間 “沖擊波 ” 清除者分析
教學課件相關推薦
鄂ICP備17016276號-1