第5讲 第三章 系统与网络安全(中).pptVIP

基于ICMP协议的隐藏通信 ICMP与IP位于同一层，它通常被认为是IP层的一个组成部分。它传递差错报文以及其它需要注意的控制信息。ICMP报文是在IP数据报内部被传输的。 ICMP的报文格式如图所示，所有报文的前四个字节都是一样的，但是剩下的其它字节则互不相同。下面我们简要介绍各种报文格式。 类型字段可以有15种不同的值，以描述特定类型的ICMP报文。某些ICMP报文还使用代码字段的值来进一步描述不同的条件。 校验和字段覆盖整个ICMP报文。使用的算法和IP首部校验和算法相同。ICMP的校验和是必须的。 一个真实的例子 ICMP Request 0000 08 00 df 5a 03 00 6b 01 61 62 63 64 65 66 67 68 ...Z..k.abcdefgh 0010 69 6a 6b 6c 6d 6e 6f 70 71 72 73 74 75 76 77 61 ijklmnopqrstuvwa 0020 62 63 64 65 66 67 68 69 bcdefghi ICMP Reply 0000 00 00 e7 5a 03 00 6b 01 61 62 63 64 65 66 67 68 ...Z..k.abcdefgh 0010 69 6a 6b 6c 6d 6e 6f 70 71 72 73 74 75 76 77 61 ijklmnopqrstuvwa 0020 62 63 64 65 66 67 68 69 bcdefghi ICMP隐蔽通信思路 由于ICMP报文是由系统内核或进程直接处理而不是通过端口，这就给木马一个摆脱端口的绝好机会，木马将自己伪装成一个Ping的进程，系统就会将ICMP_ECHOREPLY（Ping的回包）的监听、处理权交给木马进程，一旦事先约定好的ICMP_ECHOREPLY包出现（可以判断包大小、ICMP_SEQ等特征），木马就会接受、分析并从报文中解码出命令和数据。?? ICMP Reply Hi, attack xxx 防御方式 禁止ICMP_ECHOREPLY 报文 问题：导致ping命令失效 该病毒是给全球的企业和个人造成了26.2亿美元经济损失的“红色代码”病毒的改进版本！它攻击安装了IIS服务程序的win2000系统的计算机，本身无文件形式，只存在于内存中，同时分成数百份线程，在局域网内疯狂传播，瞬间导致被感染的网络瘫痪。网络用户只能选用有内存监控的反病毒产品，将全网的内存监控同时打开并进行全网统一杀毒才能清除该病毒。 CodeRed Ⅲ 发作时间：随机 病毒类型：内存病毒 传播方式：内存 感染对象：内存 病毒 恶意代码 蠕虫 木马 有害程序 灰鸽子 灰鸽子是国内一款著名后门。比起前辈冰河、黑洞来，灰鸽子可以说是国内后门的集大成者。其丰富而强大的功能、灵活多变的操作、良好的隐藏性使其他后门都相形见绌。客户端简易便捷的操作使刚入门的初学者都能充当黑客。当使用在合法情况下时，灰鸽子是一款优秀的远程控制软件。但如果拿它做一些非法的事，灰鸽子就成了很强大的黑客工具。 灰鸽子 灰鸽子工作室 灰鸽子工作室于2003年 初成立,定位于远程控制,远程管理,远程监控软件开发,主要产品为灰鸽子远程控制系列。2005年6月,??灰鸽子工作室正式推出使用驱动技术捕获屏幕的远程控制软件,捕获屏幕速度开始超越国外远程控制软件,灰鸽子开始被喻为远程控制的代名词。 灰鸽子工作室成员介绍 　　葛军:2003年初，与好友黄土平创建了灰鸽子工作室。2001年挺进版率先在远程控制软件上开发和使用了反弹连接技术。 　　黄土平:2003年初，与好友葛军创建了灰鸽子工作室。 客服端主界面 特征 1 隐藏进程 2 隐藏服务 3 隐藏病毒文件 将G_Server.dll，G_Server_Hook.dll注入到Explorer.exe、IExplorer.exe或者所有进程中执行，而不单独生成进程 将自身隐藏和注册为系统服务，计算机启动后，服务自动开启 将Game.exe、Game.dll、Game_Hook.dll以及Gamekey.dll几个木马文件隐藏为系统文件。 灰鸽子传播途径 网页传播 邮件传播 IM聊天工具传播 病毒制作者将灰鸽子病毒植入网页中，用户浏览即感染。 灰鸽子被捆绑在邮件附件中进行传播。 通过即时聊天工具传播携带灰鸽子的网页链接或文件。 灰鸽子不具备传播性，一般通过捆绑的方式进行传播。其有四大传播途径