网络通信安全管理员(中级)-05-计算机恶意代码与防护

恶意代码如何会在你的系统上运行 防御恶意代码
伪装成有用的文件
Bind Exploit Php OF Exploit 邮件欺骗

◦ Wantjob变种 ◦ “中国黑客”
“You win ……free porn……”
嵌入其他文件

二进制可执行文件嵌入
◦ 病毒式的感染
insertcode.exe

防范主体
◦ 网络运营商、服务提供商、用户； ◦ 系统厂商、防毒产品厂商； ◦ 科研技术人员、政府主管部门；
蠕虫的历史回顾

Xerox PRAC， Morris Worm， WANK Worm， ADM Worm， Millennium， Ramen Worm， Lion Worm， Adore Worm， Cheese Worm， Sadmind/IIS Worm， CodeRed Worm， Nimda Worm， Slapper， Slammer，
php.ini disable_functions =
◦ 正确设置权限
漏洞越来越多…
攻击越来越容易…
病毒数量增长越来越快…
Computer Viruses
90000 80000 70000 60000 50000 40000 30000 20000 10000 0 1989
1990
1991
IE的多个问题
IE 5.5 以下异常处理MIME头 IE 5.5 以下 com.ms.activeX.ActiveXComponent对象 嵌入 IE 5.5 以下codebase指向 IE 6.0 window.PoPup()window.Open() 如何利用来运行指定的程序

什么是恶意代码

二进制文件
◦ 病毒、木马、逻辑炸弹
脚本
◦ 各种脚本语言嵌入文档的脚本
宏
◦ 什么是宏 ◦ Bimary File Format
恶意代码如何会被运行

伪装成有用的文件 嵌入其他文件 利用系统漏洞 欺骗
Overview
什么是恶意代码 方向
◦ 服务器客户端、p2p ◦ 客户端服务器

◦ 通过网络 ◦ 通过人
恶意移动代码主要种类
Internet 蠕虫 病毒邮件 文件系统病毒 网页脚本 木马

恶意移动代码的简单比较
Internet 蠕虫 传播速度 传播方式 影响对象 防治难度 经济损失 极快 自动 网络 难 严重 病毒邮件 快 半自动 网络 难 较大 文件系统 病毒 一般 半自动 主机 易 较大 网页脚本 慢 人工 主机 易 一般 木马 慢 人工 主机 一般 一般
–
CSO Magazine Security Sensor III & IV Research July 2003
Internet面临的安全挑战
如何防范自动化攻击？ 如何防范快速突发攻击？ 如何防范大规模攻击？

恶意移动代码主要特性
破坏性(Malicious Code, Malware) 移动性(Mobile Code)
区域性网络
时
多个网络
天 周
First Gen
• Boot viruses
Third Gen
• Distributed denial of service • Blended threats
单个网络
Second Gen
• Macro viruses • Denial of service
单台计算机
1980s
1992
1993
1994
1995
1996
1997
1998
1999
2000
2001
2002
2003
Regular viruses
Macro viruses
风险越来越大…
攻击目标和 破坏程度
全球基础设施
Rapidly Escalating Threat to Businesses
分
Next Gen • Flash threats • Massive wormdriven DDoS • Damaging payload worms
1990s
Today
Future
病毒、蠕虫、DDoS组合攻击
Attack zombies:
Use valid protocols Spoof source IP Massively distributed
Infrastructure-level DDoS attacks
Bandwidth-level DDoS attacks
各种恶意移动代码的融合趋势
病毒、蠕虫、木马之间的界限已经不再 明显； 综合使用多种攻击手段：

◦ 传播：计算机系统的漏洞、电子邮件、文 件共享、Web浏览等 ◦ 社会工程（social engineering )
攻防主体

影响网络安全的三支力量
◦ Hacker ◦ VXer ◦ Cracker
其它问题

邮件中的恶意代码
◦ IE 带来的问题 ◦ 客户端本身的问
用户安全意识 反恶意代码邮件网关 检查html邮件及附件 基于主机的反病毒程序 检测网页及邮件恶意代码 反病毒网关 检测网页、ftp下载、邮件等 使用其它浏览器(opera)
客户端服务器

虚拟主机的问题和提供CGI的WEB空间 服务
◦ EXEbind

脚本嵌入
◦ Word系列文件、lotus系列文件 ◦ HTML！！！
利用系统漏洞
lotus Notes 邮件对象嵌入（略） Word 2000带有模板文件链接的RTF文 件（略） 利用flash本身的漏洞


IE的多个问题
◦ =<6.0.29 畸形文件头缓冲区溢出 ◦ <6.0.29 "movie"参数缓冲区溢出 ◦ OE、outlook、foxmail……
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CL SID\{0D43FE01-F093-11CF-894000A0C9054228}
针对利用IE问题的对策
2. 3禁用Shell.Application对象，阻止运行程序删 除注册表项：
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CL SID\{13709620-C279-11CE-A49E444553540000}
针对利用IE问题的对策
1、在IE的“internet选项”中的“安全” 项中把“安全级别”设为“高”，或在 “自定义级别”中把“对标记为可安全 执行的ActiveX控件执行脚本”标记为 “禁用”。
此措施仅对WEB上的代码有效，对于本地文 件无效。
针对利用IE问题的对策
2. 1禁用WSHShell对象，阻止运行程序 删除或更名系统文件夹中的wshom.ocx 或删除注册表项：
com.ms.activeX.ActiveXComponent对象嵌入
<APPLET HEIGHT=0 WIDTH=0 code=com.ms.activeX.ActiveXC omponent></APPLET> <SCRIPT> ………… <SCRIPT>
IE 5.5 以下codebase指向
1980年 1988年11月2日 1989年10月16日 1998年5月 1999年9月 2001年1月 2001年3月23日 2001年4月3日 2001年5月 2001年5月 2001年7月19日 2001年9月18日 2002年9月14日 2003年1月25日
2004年蠕虫
MyDoom.C 2004年2月9日 Witty Worm 2004年3月20日 Sasser Worm 2004年4月30日 Santy Worm 2004年12月21日
◦ ASP、PERL、PHP、JSP ◦ 查看系统文件、执行系统命令、查看其他 用户的CGI源码
客户端服务器

system()、passthru()、exec()、WSH Runtime.getRuntime().exec()

调用系统命令
读写文件
FSO fopen()
客户端服务器

对策
◦ 删除危险对象 ◦ 配置文件，限制函数

蠕虫的爆发周期越来越短…

漏洞公布和蠕虫爆发的间隔越来越短
最佳时机
及时
太晚了
漏洞发现
攻击代码
蠕虫爆发
控制
清除
恶意移动代码主要研究内容

恶意代码的工作机制 传播模型 仿真 检测
◦ 其他工作的基础 ◦ 现有模型忽略太多因素而缺乏指导意义 ◦ 仿真Internet难度较大 ◦ 检测结果出来为时已晚
针对利用IE问题的对策
4、在IE中设置禁止下载： 选择：“工具”->“Internet 选项...”>“安全”->“Internet”（或者其他区域， 例如“本地Intranet”、“受信任的站 点”）点击“自定义级别”,在“安全 设置”中选择“下载”->“文件下载”， 将其属性改为“禁用”，按“确定”保 存设置。
什么是恶意代码 方向
◦ 服务器客户端、p2p ◦ 客户端服务器
恶意代码如何会在你的系统上运行 防御恶意代码
针对利用IE问题的对策
禁用某些脚本功能 禁用下载 Windows update IE 6 问题目前没有补丁 注册表被修改之后

◦ /download/othertools/Duba_Reg Solve.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Clas ses\CLSID\{F935DC22-1CF0-11D0ADB9-00C04FD58A0B}