網絡病毒分析

網絡與信息安全技術計算機病毒分析2/1/202311計算機病毒的狀態計算機病毒在傳播過程中存在兩種狀態，即靜態和動態靜態病毒，是指存在于輔助存儲介質中的計算機病毒，一般不能執行病毒的破壞或表現功能，其傳播只能通過文件下載(拷貝)實現因為靜態病毒尚未被加載、尚未進入內存，不可能獲取系統的執行權限病毒之所以處于靜態，有兩種可能沒有用戶啟動該病毒或運行感染了該病毒的文件該病毒存在于不可執行它的系統中當病毒完成初始引導，進入內存后，便處于動態。動態病毒本身處于運行狀態，通過截流盜用系統中斷等方式監視系統運行狀態或竊取系統控制權。病毒的主動傳染和破壞作用，都是動態病毒的“杰作”2/1/202321計算機病毒的狀態計算機病毒的基本流程與狀態轉換病毒由靜態轉變為動態的過程，稱為病毒的啟動。實際上，病毒的啟動過程就是病毒的首次激活過程內存中的動態病毒又有兩種狀態：可激活態和激活態。當內存中的病毒代碼能夠被系統的正常運行機制所執行時，動態病毒就處于可激活態一般而言，動態病毒都是可激活的系統正在執行病毒代碼時，動態病毒就處于激活態病毒處于激活態時，不一定進行傳染和破壞；但進行傳染和破壞時，必然處于激活態對于處于不同狀態的病毒，應采用不同的分析、清除手段2/1/202331計算機病毒的狀態計算機病毒的基本流程與狀態轉換2/1/202342計算機病毒的基本環節計算機病毒要完成一次完整的傳播破壞過程，必須經過以下幾個環節：分發拷貝階段潛伏繁殖階段破壞表現階段在任何一個環節(階段)都可以抑制病毒的傳播、蔓延，或者清除病毒我們應當盡可能地在病毒進行破壞性攻擊之前切斷病毒傳染源、抑制病毒的傳播蔓延2/1/20235病毒的目的快速傳染隱藏自己變形2/1/20236病毒感染的一般過程

計算機病毒的感染過程與生物學病毒的感染過程非常相似，它寄生在宿主程序中，進入計算機，并借助操作系統和宿主程序的運行，復制自身，大量繁殖。計算機病毒感染的一般過程為：①當計算機運行染毒的宿主程序時，病毒奪取控制權。②尋找感染的突破口。③將病毒程序嵌入感染目標中。2/1/20237文件型病毒傳染原理和特征2/1/20238核心態與用戶態操作系統代碼、設備驅動程序代碼使用特權級0(Ring0)，工作于系統核心態普通的用戶程序使用特權極3(Ring3)，工作在用戶態Windows2000/XP下普通應用程序對核心態功能的調用示意2/1/20239獲取API函數地址Win32程序一般運行在Ring3級，處于保護模式Win32下的系統功能調用，不是通過中斷實現，而是通過調用動態連接庫中的API函數實現Win32PE病毒和普通Win32PE程序一樣需要調用API函數實現某些功能，但是對于Win32PE病毒來說，它只有代碼節，并不存在引入函數節病毒就無法象普通PE程序那樣直接調用相關API函數，而應該先找出這些API函數在相應DLL中的地址2/1/202310搜索感染目標文件搜索文件是病毒尋找目標文件的非常重要的功能在Win32匯編中，通常采用如下幾個API函數進行文件搜索FindFirstFile根據文件名查找文件FindNextFile根據調用FindFirstFile函數時指定的一個文件名查找下一個文件FindClose用來關閉由FindFirstFile函數創建的一個搜索句柄2/1/202311病毒感染技術感染是一個病毒賴以長期存活的根本，所以要大規模的搜索，感染感染再感染！FindFirstFile，FindNextFile，FindClose，除非你hook了某些系統API（參考Win32.Kriz)，否則這三個API是Win32病毒必備的、搜索再搜索，感染再感染。目前Win32病毒分為兩個主流，一類最常見，覆蓋host程序最后一個section的relocation，或者干脆直接綴在最后一個section后面，把它擴大一些。這種技術很簡單，例子可參見Funlove，有著復雜的polymorphism引擎，體積比較大的病毒一般也都用這種技術。第二類就是像Elkern那樣把自己盡可能地插進host體內，盡可能地插，對于VC編譯出來的PE文件，它的filealignment是4K，所以section之間的空隙加起來很可能有4，5K，足可以容下一個Win32病毒。這種技術比較麻煩一些，調試也復雜，主要流行的有Elkern。2/1/202312蠕蟲傳染原理2/1/202313蠕蟲與漏洞網絡蠕蟲最大特點是利用各種漏洞進行自動傳播根據網絡蠕蟲所利用漏洞的不同，又可以將其細分郵件蠕蟲主要是利用MIME(MultipurposeInternetMailExtensionProtocol，多用途的網際郵件擴充協議)漏洞MIME描述漏洞2/1/202314蠕蟲與漏洞網頁蠕蟲（木馬）主要是利用IFrame漏洞和MIME漏洞網頁蠕蟲可以分為兩種用一個IFrame插入一個Mail框架，同樣利用MIME漏洞執行蠕蟲，這是直接沿用郵件蠕蟲的方法用IFrame漏洞和瀏覽器下載文件的漏洞來運作的，首先由一個包含特殊代碼的頁面去下載放在另一個網站的病毒文件，然后運行它，完成蠕蟲傳播系統漏洞蠕蟲利用RPC溢出漏洞的沖擊波、沖擊波殺手利用LSASS溢出漏洞的震蕩波、震蕩波殺手系統漏洞蠕蟲一般具備一個小型的溢出系統，它隨機產生IP并嘗試溢出，然后將自身復制過去它們往往造成被感染系統性能速度迅速降低，甚至系統崩潰，屬于最不受歡迎的一類蠕蟲2/1/202315蠕蟲的工作方式與掃描策略蠕蟲的工作方式一般是“掃描→攻擊→復制”2/1/202316蠕蟲的工作方式與掃描策略蠕蟲的掃描策略現在流行的蠕蟲采用的傳播技術目標，一般是盡快地傳播到盡量多的計算機中掃描模塊采用的掃描策略是：隨機選取某一段IP地址，然后對這一地址段上的主機進行掃描沒有優化的掃描程序可能會不斷重復上面這一過程，大量蠕蟲程序的掃描引起嚴重的網絡擁塞對掃描策略的改進在IP地址段的選擇上，可以主要針對當前主機所在的網段進行掃描，對外網段則隨機選擇幾個小的IP地址段進行掃描對掃描次數進行限制，只進行幾次掃描把掃描分散在不同的時間段進行2/1/202317蠕蟲的工作方式與掃描策略蠕蟲常用的掃描策略選擇性隨機掃描(包括本地優先掃描)可路由地址掃描(RoutableScan)地址分組掃描(Divide-ConquerScan)組合掃描(HybridScan)極端掃描(ExtremeScan)2/1/202318感染的主機數與感染強度示意圖2/1/202319木馬的傳染方式2/1/202320特洛伊木馬的定義特洛伊木馬(TrojanHorse)，簡稱木馬，是一種惡意程序，是一種基于遠程控制的黑客工具，一旦侵入用戶的計算機，就悄悄地在宿主計算機上運行，在用戶毫無察覺的情況下，讓攻擊者獲得遠程訪問和控制系統的權限，進而在用戶的計算機中修改文件、修改注冊表、控制鼠標、監視/控制鍵盤，或竊取用戶信息古希臘特洛伊之戰中利用木馬攻陷特洛伊城；現代網絡攻擊者利用木馬，采用偽裝、欺騙(哄騙，Spoofing)等手段進入被攻擊的計算機系統中，竊取信息，實施遠程監控2/1/202321特洛伊木馬的定義木馬與病毒一般情況下，病毒是依據其能夠進行自我復制即傳染性的特點而定義的特洛伊木馬主要是根據它的有效載體，或者是其功能來定義的，更多情況下是根據其意圖來定義的木馬一般不進行自我復制，但具有寄生性，如捆綁在合法程序中得到安裝、啟動木馬的權限，DLL木馬甚至采用動態嵌入技術寄生在合法程序的進程中木馬一般不具有普通病毒所具有的自我繁殖、主動感染傳播等特性，但我們習慣上將其納入廣義病毒，也就是說，木馬也是廣義病毒的一個子類木馬的最終意圖是竊取信息、實施遠程監控木馬與合法遠程控制軟件(如pcAnyWhere)的主要區別在于是否具有隱蔽性、是否具有非授權性2/1/202322特洛伊木馬的結構木馬系統軟件一般由木馬配置程序、控制程序和木馬程序(服務器程序)三部分組成2/1/202323特洛伊木馬的基本原理運用木馬實施網絡入侵的基本過程2/1/202324特洛伊木馬的基本原理用netstat查看木馬打開的端口2/1/202325特洛伊木馬的基本原理木馬控制端與服務端連接的建立控制端要與服務端建立連接必須知道服務端的木馬端口和IP地址由于木馬端口是事先設定的，為已知項，所以最重要的是如何獲得服務端的IP地址獲得服務端的IP地址的方法主要有兩種：信息反饋和IP掃描2/1/202326特洛伊木馬的基本原理木馬控制端與服務端連接的建立2/1/202327特洛伊木馬的基本原理木馬通道與遠程控制木馬連接建立后，控制端端口和服務端木馬端口之間將會出現一條通道控制端上的控制端程序可藉這條通道與服務端上的木馬程序取得聯系，并通過木馬程序對服務端進行遠程控制，實現的遠程控制就如同本地操作2/1/202328特洛伊木馬的基本原理木馬的基本原理特洛伊木馬包括客戶端和服務器端兩個部分，也就是說，木馬其實是一個服務器-客戶端程序攻擊者通常利用一種稱為綁定程序(exe-binder)的工具將木馬服務器綁定到某個合法軟件上，誘使用戶運行合法軟件。只要用戶運行該軟件，特洛伊木馬的服務器就在用戶毫無察覺的情況下完成了安裝過程攻擊者要利用客戶端遠程監視、控制服務器，必需先建立木馬連接；而建立木馬連接，必需先知道網絡中哪一臺計算機中了木馬獲取到木馬服務器的信息之后，即可建立木馬服務器和客戶端程序之間的聯系通道，攻擊者就可以利用客戶端程序向服務器程序發送命令，達到操控用戶計算機的目的2/1/202329特洛伊木馬的傳播方式木馬常用的傳播方式，有以下幾種：以郵件附件的形式傳播控制端將木馬偽裝之后添加到附件中，發送給收件人通過OICQ、QQ等聊天工具軟件傳播在進行聊天時，利用文件傳送功能發送偽裝過的木馬程序給對方通過提供軟件下載的網站(Web/FTP/BBS)傳播木馬程序一般非常小，只有是幾K到幾十K，如果把木馬捆綁到其它正常文件上，用戶是很難發現的，所以，有一些網站被人利用，提供的下載軟件往往捆綁了木馬文件，在用戶執行這些下載的文件的同時，也運行了木馬通過一般的病毒和蠕蟲傳播通過帶木馬的磁盤和光盤進行傳播2/1/202330特洛伊木馬技術的發展木馬的發展及成熟，大致也經歷了兩個階段Unix階段Windows階段木馬技術發展至今，已經經歷了4代第一代木馬只是進行簡單的密碼竊取、發送等，沒有什么特別之處第二代木馬在密碼竊取、發送等技術上有了很大的進步，冰河可以說是國內木馬的典型代表之一第三代木馬在數據傳輸技術上，又做了不小的改進，出現了ICMP等類型的木馬，利用畸形報文傳遞數據，增加了查殺的難度第四代木馬在進程隱藏方面，做了很大的改動，采用了內核插入式的嵌入方式，利用遠程插入線程技術，嵌入DLL線程；或者掛接PSAPI(ProcessStatusAPI)，實現木馬程序的隱藏2/1/202331U盤病毒的特點隨著U盤等移動存儲介質使用的越來越廣泛，它已經成為木馬、病毒等傳播的主要途徑之一。U盤病毒，并不是單指某一種病毒，也不是說只是通過U盤傳播的病毒，而是泛指所有通過移動存儲介質進行傳播的病毒事實上它可以通過系統上所有的分區進行傳播,只是因為很多時候它們都表現在U盤上，所以我們才統稱這些病毒為U盤病毒

目前U盤病毒傳播的方式主要有以下幾種：1、通過autorun.inf文件進行傳播的(目前U盤病毒最普遍的傳播方式）2、偽裝成其他文件，病毒把U盤下所有文件夾隱藏，并把自己復制成與原文件夾名稱相同的具有文件夾圖標的文件，當你點擊時病毒會執行自身并且打開隱藏的該名稱的文件夾。

3、通過可執行文件感染傳播，很古老的一種傳播手段，但是依然有效。2/1/2023321.關鍵文件Autorun.infAutorun.inf文件本身并不是病毒，它是自動運行的一個配置文件。這個文件通常在驅動器的根目錄下(是一個隱藏的系統文件)，文件的內容包含著一些簡單的命令，告訴系統這個新插入的光盤或硬件應該自動啟動什么程序，也可以告訴系統讓系統將它的盤符圖標改成某個路徑下的圖標，它的格式通常是下面這樣：[AutoRun]open=auto.exe//自動運行auto.exe程序shellexecute=auto.exe//啟動指定的auto.exeshell\Auto\command=auto.exe//定義設備右鍵菜單執行命令行，右鍵U盤的時候會出現auto菜單2/1/2023331.關鍵文件Autorun.inf由于windows系統中的自動播放功能默認情況下是處于未配置的狀態。這就使得只要在機器上接入移動的存儲介質，就會自動的播放。這個原因也是導致U盤病毒傳播的一個最主要的因素。我們只要在U盤的根目錄下建立autorun.inf文件和某些特定的執行程序，并把執行程序的路徑和名字寫到autorun.inf文件中，就可以在U盤插入系統后自動運行該執行文件，而這些執行程序可以是任何我們想要它運行程序（病毒、木馬、灰色軟件等等）。2/1/202334解決辦法

---11、關閉“ShellHardwareDetection”服務，關閉這個服務后再放入光盤或U盤時系統將不再掃描這些移動介質的內容，也就不會運行Autorun.inf中所配置的文件了。關閉服務的方法如下：單擊開始菜單的運行，輸入“services.msc”（也可以通過點擊開始->設置->控制面板->管理工具->服務）來打開服務窗口，在窗口右側顯示的內容中找到“名稱”列，在“名稱”列里找到“ShellHardwareDetection”（可以隨便單擊一下“名稱”列里的內容，再按鍵盤上的S鍵，快速地定位），單擊右鍵，再單擊屬性彈出屬性對話框，先選擇停止，然后在常規選項卡里的“啟動類型(E)”右邊的下拉菜單中選擇“已禁用”，最后確定退出，重啟計算機即可。2/1/202335解決辦法

---22、關閉windows的自動播放功能，方法如下：在開始、運行中輸入gpedit.msc后回車。會出現組策略的控制窗口，在該窗口中選擇計算機設置->管理模板->系統->關閉自動播放，雙擊關閉自動播放，然后選擇已啟用，選擇關閉所有驅動器。2/1/202336解決辦法

---33、修改注冊表來禁止自動播放，方法如下：在開始運行中輸入regedit.exe后回車，調出注冊表編輯器，定位到[HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/Policies/Expolrer]進行修改。"NoDriveTypeAutoRun"指定按設備類型禁止自動播放。1：未知類型，4：可移動磁盤，8：硬盤，10：網絡驅動器，20：光驅，40：RAM驅動器，80：未知類型，FF：所有類型。若要禁止某一類型自動播放，直接使用對應的值，若要禁止幾種類型，則使用它們數值相加的值，如95=1+4+10+80，91=1+10+80，b5=1+4+10+20+80。"NoDriveAutoRun"指定按盤符禁止自動播放。相關設置可以參考NoDrives值，最大值為hex:ff,ff,ff,03，禁止所有盤自動播放。2/1/2023372.披著各種偽裝的U盤病毒

U盤原來存在的文件夾全部被隱藏，取而代之的是一個偽裝成文件夾圖標的EXE文件。因為操作系統缺省情況下，并不顯示已知文件類型的文件擴展名，也就是說類似于“我的工作報告.exe”的程序，缺省情況下我們只看到“我的工作報告”，并且這個文件看上去就是個文件夾，很多人就會去直接雙擊訪問。又是Windows缺省設置在幫助病毒傳播者欺騙用戶，缺省情況下windows不顯示文件擴展名。U盤病毒偽裝者利用社會工程學成功的入侵了超過50萬臺PC。2/1/202338解決辦法如果你修改了文件夾選項，配置了顯示文件的擴展名，這個文件夾偽裝者就會露出真面目2/1/202339病毒高級技術2/1/202340駐留在內存為了生存，病毒要盡可能長時間地駐留在內存中，而不是host程序一結束就完蛋了。有三種種方法，一是象Funlove那樣在系統目錄里釋放一個文件，并修改注冊表或者建立一個系統服務。這種方式很普通，也很普遍，大多數病毒包括蠕蟲都這么干。另一種方式則是感染所有的已運行進程。在Win2K下很容易實現,CreateRemoteThread，但要想在所有Win32平臺下實現，則要比較高的技巧。工作在ring0病毒，內核模式病毒。2/1/202341內核模式病毒WindowsNT/2K環境下第一個以內核模式驅動程序運行，并駐留內存的寄生型病毒是Infis.Infis作為內核模式驅動程序駐留內存，并且掛鉤文件操作，它能夠在文件打開時立即感染該文件。安裝程序把病毒拷貝到系統內存中，并在系統注冊表中添加該病毒的注冊項。該病毒把自己的可執行代碼連同自己的PE文件頭一起追加到目標文件的末尾，然后從自己代碼中提取出一個名為INF.SYS的獨立驅動程序，把這個程序保存在%SystemRoot%\system32\drivers目錄下，修改注冊表，保證下一次系統啟動時病毒也能夠進入運行狀態。2/1/202342檢測方法檢查系統驅動程序列表中已經裝入的驅動程序的名稱，如果在驅動程序列表中發現了病毒驅動程序，說明基本上感染了病毒病毒可能使用隱藏技術避免在驅動程序列表中出現，需要通過計算機管理器中的驅動程序列表。2/1/202343病毒的隱藏技術隱藏是病毒的天性，在業界對病毒的定義里，“隱蔽性”就是病毒的一個最基本特征，任何病毒都希望在被感染的計算機中隱藏起來不被發現，因為病毒都只有在不被發現的情況下，才能實施其破壞行為。為了達到這個目的，許多病毒使用了各種不同的技術來躲避反病毒軟件的檢驗，這樣就產生了各種各樣令普通用戶頭痛的病毒隱藏形式。隱藏窗口&隱藏進程&隱藏文件桌面看不到任務管理器中不可見文件中看不到2/1/202344進程隱藏Windows9x中的任務管理器是不會顯示服務類進程，結果就被病毒鉆了空子，病毒將自身注冊為“服務進程”，可以躲避用戶的監視。Windows2000/xp/2003等操作系統上已經無效了，直接使用系統自帶的任務管理器便能發現和迅速終止進程運行。2/1/202345通過DLL實現進程隱藏Windows系統的另一種“可執行文件”----DLL，DLL文件沒有程序邏輯，是由多個功能函數構成，它并不能獨立運行，一般都是由進程加載并調用的。運行DLL文件最簡單的方法是利用Rundll32.exe，Rundll/Rundll32是Windows自帶的動態鏈接庫工具，可以用來在命令行下執行動態鏈接庫中的某個函數，Rundll32的使用方法如下：

Rundll32DllFileName

FuncName

例如我們編寫了一個MyDll.dll，這個動態鏈接庫中定義了一個MyFunc的函數，那么，我們通過Rundll32.exeMyDll.dll

MyFunc就可以執行MyFunc函數的功能。

假設我們在MyFunc函數中實現了病毒的功能，那么我們不就可以通過Rundll32來運行這個病毒了么？在系統管理員看來，進程列表中增加的是Rundll32.exe而并不是病毒文件，這樣也算是病毒的一種簡易欺騙和自我保護方法2/1/202346特洛伊DLL特洛伊DLL的工作原理是使用木馬DLL替換常用的DLL文件，通過函數轉發器將正常的調用轉發給原DLL，截獲并處理特定的消息。例如，我們知道WINDOWS的Socket1.x的函數都是存放在wsock32.dll中的，那么我們自己寫一個wsock32.dll文件，替換掉原先的wsock32.dll（將原先的DLL文件重命名為wsockold.dll）我們的wsock32.dll只做兩件事，一是如果遇到不認識的調用，就直接轉發給wsockold.dll（使用函數轉發器forward）；二是遇到特殊的請求（事先約定的）就解碼并處理。這樣理論上只要木馬編寫者通過SOCKET遠程輸入一定的暗號，就可以控制wsock32.dll（木馬DLL）做任何操作2/1/202347動態嵌入技術DLL木馬的最高境界是動態嵌入技術，動態嵌入技術指的是將自己的代碼嵌入正在運行的進程中的技術。理論上來說，在Windows中的每個進程都有自己的私有內存空間，別的進程是不允許對這個私有空間進行操作的，但是實際上，我們仍然可以利用種種方法進入并操作進程的私有內存存在多種動態嵌入技術中：窗口Hook、掛接API、遠程線程2/1/202348遠程線程技術遠程線程技術指的是通過在另一個進程中創建遠程線程的方法進入那個進程的內存地址空間。在進程中，可以通過CreateThread函數創建線程，被創建的新線程與主線程（就是進程啟動時被同時自動建立的那個線程）共享地址空間以及其他的資源通過CreateRemoteThread也同樣可以在另一個進程內創建新線程，被創建的遠程線程同樣可以共享遠程進程的地址空間，所以，實際上，我們通過一個遠程線程，進入了遠程進程的內存地址空間，也就擁有了那個遠程進程相當的權限。這種病毒難以處理。2/1/202349文件隱藏早期，把病毒文件屬性設為隱藏，修改文件不顯示隱藏文件。高級階段通過HOOK文件讀取函數，自動隱藏病毒文件。公開的主流檢測隱藏文件主要有兩種方法：第一種是文件系統層的檢測，屬于這一類的有Icesword，darkspy，gmer等。第二種便是磁盤級別的低級檢測（DiskLow-LevelScanning），屬于這一類的ark也很多，典型代表為rootkit

unhooker，filereg（is的插件），rootkitrevealer，blacklight等。2/1/202350加殼木馬再狡猾，可是一旦被殺毒軟件定義了特征碼，在運行前就被攔截了。要躲過殺毒軟件的追殺，很多木馬就被加了殼，相當于給木馬穿了件衣服，這樣殺毒軟件就認不出來了，但有部分殺毒軟件會嘗試對常用殼進行脫殼，然后再查殺。除了被動的隱藏外，最近還發現了能夠主動和殺毒軟件對著干的殼，木馬在加了這種殼之后，一旦運行，則外殼先得到程序控制權，由其通過各種手段對系統中安裝的殺毒軟件進行破壞，最后在確認安全(殺毒軟件的保護已被瓦解)后由殼釋放包裹在自己"體內"的木馬體并執行之。2/1/202351AV終結者Autorun.inf

一個暗藏殺機的文本格式，以至于有些殺軟都加入病毒庫，傳播U盤病毒的罪魁禍首，很多情況下我們把它視為敵人，如果配合系統默認的"自動播放"功能,那激活病毒的機率將會是100%。線程插入全名叫“遠程創建