第七章_惡意代碼分析與防治(計算機(jī)網(wǎng)絡(luò)安全教程)-wenkub.com
2025-02-28 16:07 本頁面
【正文】 9. 簡述目前惡意代碼的防范方法。 5. 簡述惡意代碼的生存技術(shù)是如何實(shí)現(xiàn)的。 5. 網(wǎng)絡(luò)蠕蟲的功能模塊可以分為___________和___________。 2. 惡意代碼80 年代發(fā)展至今體現(xiàn)出來的3個主要特征：___________、___________和從病毒到電子郵件蠕蟲，再到利用系統(tǒng)漏洞主動攻擊的惡意代碼。 A. 60% B. 70% C. 80% D. 90％ 3. 造成廣泛影響的1988年Morris蠕蟲事件，就是___________作為其入侵的最初突破點(diǎn)的。介紹了惡意代碼的實(shí)現(xiàn)機(jī)理，重點(diǎn)介紹了實(shí)現(xiàn)的關(guān)鍵技術(shù)：惡意代碼的生存技術(shù)、惡意代碼攻擊技術(shù)以及惡意代碼的隱藏技術(shù)。防范惡意代碼的CCDC體系實(shí)現(xiàn)以下功能：①鑒別惡意代碼的爆發(fā)期；②惡意代碼樣本特征分析；③惡意代碼傳染對抗；④惡意代碼新的傳染途徑預(yù)測；⑤前攝性惡意代碼對抗工具研究；⑥對抗未來惡意代碼的威脅。ReVirt是能夠檢測網(wǎng)絡(luò)攻擊或網(wǎng)絡(luò)異常行為的HoneyPot系統(tǒng)。該系統(tǒng)由三個相互內(nèi)聯(lián)部件DED（Data Enabling Device）、CMS（Content Matching Server）和RTP（Regional Transaction Processor）組成。 其中常見的惡意代碼檢測防御包括：基于GrIDS的惡意代碼檢測、基于PLD硬件的檢測防御、基于HoneyPot的檢測防御和基于CCDC的檢測防御。無論哪種惡意代碼，無論要達(dá)到何種惡意目的，都必須具有相應(yīng)的權(quán)限。每個應(yīng)用程序都運(yùn)行在自己的且受保護(hù)的“沙箱”之中，不能影響其它程序的運(yùn)行。,校驗(yàn)和兩個缺點(diǎn),校驗(yàn)和可以檢測未知惡意代碼對文件的修改，但也有兩個缺點(diǎn)：首先，校驗(yàn)和法實(shí)際上不能檢測文件是否被惡意代碼感染，它只是查找變化。 （2）在應(yīng)用程序中嵌入校驗(yàn)和法。只要文件內(nèi)部有一個比特發(fā)生了變化，校驗(yàn)和值就會改變。掃描程序工作之前，必須先建立惡意代碼的特征文件，根據(jù)特征文件中的特征串，在掃描文件中進(jìn)行匹配查找。該模塊可以使蠕蟲編寫者隨時更新其它模塊的功能，從而實(shí)現(xiàn)不同的攻擊目的。包括對蠕蟲各個實(shí)體組成部分的隱藏、變形、加密以及進(jìn)程的隱藏，主要提高蠕蟲的生存能力；②宿主破壞模塊。該模塊利用②獲得的安全漏洞，建立傳播途徑，該模塊在攻擊方法上是開放的、可擴(kuò)充的；④自我推進(jìn)模塊。,7.4.2 蠕蟲的結(jié)構(gòu),網(wǎng)絡(luò)蠕蟲的功能模塊可以分為主體功能模塊和輔助功能模塊。,7.4 網(wǎng)絡(luò)蠕蟲,隨著網(wǎng)絡(luò)系統(tǒng)應(yīng)用及復(fù)雜性的增加，網(wǎng)絡(luò)蠕蟲成為網(wǎng)絡(luò)系統(tǒng)安全的重要威脅。美國國防部可信操作系統(tǒng)評測標(biāo)準(zhǔn)對隱蔽通道進(jìn)行了如下定義： 隱蔽通道是允許進(jìn)程違反系統(tǒng)安全策略傳輸信息的通道。那種使用傳統(tǒng)通信模式的惡意代碼客戶端與服務(wù)端之間的會話已不能逃避上述安全措施的檢測，惡意代碼需要使用更加隱蔽的通信方式。 （4）編譯器隱蔽。,隱蔽手段,隱蔽手段主要有三類：一類方法是將惡意代碼隱蔽（附著、捆綁或替換）在合法程序中，可以避過簡單管理命令的檢查；另一類方法是如果惡意代碼能夠修改或替換相應(yīng)的管理命令，也就是把相應(yīng)管理命令惡意代碼化，使相應(yīng)的輸出信息經(jīng)過處理以后再顯示給用戶，就可以很容易地達(dá)到蒙騙管理人員，隱蔽惡意代碼自身的目的；還有一類方法是分析管理命令的檢查執(zhí)行機(jī)制，利用管理命令本身的弱點(diǎn)巧妙地避過管理命令，可以達(dá)到既不修改管理命令，又達(dá)到隱蔽的目的。,7.3.3 惡意代碼的隱蔽技術(shù),隱藏通常包括本地隱藏和通信隱藏，其中本地隱藏主要有文件隱藏、進(jìn)程隱藏、網(wǎng)絡(luò)連接隱藏、內(nèi)核模塊隱藏、編譯器隱藏等。惡意代碼利用系統(tǒng)和網(wǎng)絡(luò)服務(wù)的安全漏洞植入并且執(zhí)行攻擊代碼，攻擊代碼以一定的權(quán)限運(yùn)行有緩沖區(qū)溢出漏洞的程序，從而獲得被攻擊主機(jī)的控制權(quán)。 國外的“Boinet”是最先實(shí)現(xiàn)這項技術(shù)的木馬程序，它可以通過ICO、IRC、HTTP 和反向主動連接這4 種方式聯(lián)系客戶端。為了對抗反惡意代碼軟件，惡意代碼采用超級管理技術(shù)對反惡意代碼軟件系統(tǒng)進(jìn)行拒絕服務(wù)攻擊，使反惡意代碼軟件無法正常運(yùn)行。,3. 端口復(fù)用技術(shù),端口復(fù)用技術(shù)，系指重復(fù)利用系統(tǒng)網(wǎng)絡(luò)打開的端口（如280、135和139等常用端口）傳送數(shù)據(jù)，這樣既可以欺騙防火墻，又可以少開新端口。三線程技術(shù)就是指一個惡意代碼進(jìn)程同時開啟了三個線程，其中一個為主線程，負(fù)責(zé)遠(yuǎn)程控制的工作。 這種形式的惡意代碼只須安裝一次，以后就會被自動加載到可執(zhí)行文件的進(jìn)程中，并且會被多個服務(wù)加載。保加利亞的“Dark Avenger”是較為著名的一個例子，這個變換引擎每產(chǎn)生一個惡意代碼，其程序體都會發(fā)生變化，反惡意代碼軟件如果采用基于特征的掃描技術(shù)，根本無法檢測和清除這種惡意代碼。,4. 自動生產(chǎn)技術(shù),惡意代碼自動生產(chǎn)技術(shù)是針對人工分析技術(shù)的。 （2）指令壓縮技術(shù)。例如，“Cascade”是第一例采用加密技術(shù)的DOS環(huán)境下的惡意代碼，它有穩(wěn)定的解密器，可以解密內(nèi)存中加密的程序體。此外，偽指令技術(shù)還廣泛應(yīng)用于宏病毒與腳本惡意代碼之中。,反靜態(tài)分析技術(shù)主要包括兩方面內(nèi)容,（1）對程序代碼分塊加密執(zhí)行。檢測跟蹤調(diào)試時和正常執(zhí)行時的運(yùn)行環(huán)境、中斷入口和時間的差異，根據(jù)這些差異采取一定的措施，實(shí)現(xiàn)其反跟蹤目的。,1. 反跟蹤技術(shù),（1）禁止跟蹤中斷。,惡意代碼的攻擊模型,7.3 惡意代碼實(shí)現(xiàn)關(guān)鍵技術(shù),一段好的惡意代碼，首先必須具有良好隱蔽性，生存性，不能輕松被軟件或者用戶察覺。惡意代碼侵入系統(tǒng)后，等待一定的條件，并具有足夠的權(quán)限時，就發(fā)作并進(jìn)行破壞活動。惡意代碼的傳播與破壞必須盜用用戶或者進(jìn)程的合法權(quán)限才能完成。,惡意代碼的相關(guān)定義,7.2.2 惡意代碼攻擊機(jī)制,惡意代碼的行為表現(xiàn)各異，破壞程度千差萬別，但基本作用機(jī)制大體相同，其整個作用過程分為6個部分： ①侵入系統(tǒng)。這種定義有將病毒內(nèi)涵擴(kuò)大化的傾向，
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1