第2章 节 典型恶意代码 恶意代码防范课件.pptVIP

流氓软件是中国大陆对网络上散播的符合如下条件的软件的一种称呼： 1、采用多种社会和技术手段，强行或者秘密安装，并抵制卸载； 2、强行修改用户软件设置，如浏览器主页，软件自动启动选项，安全选项； 3、强行弹出广告，或者其他干扰用户占用系统资源行为； 4、有侵害用户信息和财产安全的潜在因素或者隐患； 5、未经用户许可，或者利用用户疏忽,或者利用用户缺乏相关知识，秘密收集用户个人信息、秘密和隐私。 应对政策 国外监管制度：2004年美国犹他州通过了第一个针对流氓软件的立法《Spyware Control Act》，此后又有18个州完成了立法。 中国：积极开展治理流氓软件活动，2006 年9 月4 日，一个非盈利性的专门打击流氓软件的民间组织——中国反流氓软件联盟成立。中国互联网协会于同年12 月27 日举行了“治理恶意软件、保护网民权益”的动员大会暨《抵制恶意软件自律公约》签约仪式。 主要特征 1. 强迫性安装： 不经用户许可自动安装； 不给出明显提示，欺骗用户安装； 反复提示用户安装，使用户不胜其烦而不得不安装等。 2. 无法卸载： 正常手段无法卸载； 无法完全卸载； 不提供卸载程序，或者提供的卸载程序不能用等。 3. 干扰正常使用： 频繁弹出广告窗口； 引导用户使用某功能等。 4. 具有病毒和黑客特征： 窃取用户信息； 耗费机器资源等 发展过程 1. 恶意网页代码时代（2001年～2002年） 2. 插件时代（2003年～2005年） 3. 软件捆绑时代（2005年至今） 4. 流氓软件病毒化时代（2006年下半年至今） 流氓软件分类 1、广告软件（Adware） 2、间谍软件(Spyware) 3、浏览器劫持 4、行为记录软件（Track Ware） 5、恶意共享软件(malicious shareware) 反流氓软件工具 1. 恶意软件清理助手 2. 瑞星卡卡上网安全助手 3. 金山毒霸系统清理专家 4. 奇虎360安全卫士 5. 微软反间谍软件（Microsoft Antispyware） 6. 完美卸载 7. 超级兔子网络卫士 8. Wopti流氓软件清除大师 6 逻辑炸弹 逻辑炸弹（Logic Bomb）是合法的应用程序的一个恶意部分，只是在编程时被故意写入的某种“恶意功能”。 写作意图： 作为某种版权保护方案，某个应用程序有可能会在运行几次后就在硬盘中将其自身删除 某个程序员有可能希望他的程序包含某些多余的代码，以使程序运行时对某些系统产生恶意操作。 逻辑炸弹和复活节彩蛋不同 逻辑炸弹案例一 逻辑炸弹案例二 诺基亚S60系列手机上流行的“蚊子（Mosquitos）”游戏的最初版本 危害：含有逻辑炸弹，会不断地发送SMS短信，浪费用户的资费 7 后门 后门又称为Back Door，是指绕过安全性控制而获取对程序或系统访问权的方法。 产生原因： 在软件的开发阶段，程序员常会在软件内创建后门以便可以修改程序中的缺陷。 如果后门被其他人知道，或是在发布软件之前没有被删除，那么它就成了安全风险。 基本特征：通道 后门是一个允许攻击者绕过系统中常规安全控制机制的程序，它按照攻击者自己的意愿提供通道。后门的基本特征仅仅是一个通道，而不具有其他恶意代码的直接攻击行为。 典型的通道型后门 IRC后门，具有恶意代码的功能。 Netcat,瑞士军刀： VNC(Virtual Network Computing )：具有远程控制功能。 产生的条件 必须以某种方式与其他终端节点相连 目标机默认开放的可供外界访问的端口必须在一个以上。 目标机存在程序设计或人为疏忽，导致攻击者能以权限较高的身份执行程序。 常见的后门工具 Rhosts++后门 校验和及时间戳后门 Login后门 Telnetd后门 服务后门 Cronjob后门 库后门 内核后门 文件系统后门 Boot块后门 隐匿进程后门 Rootkit 网络通行后门 TCP Shell后门 UDP Shell后门 ICMP Shell后门 8 僵尸网络 僵尸网络（Botnet）是指采用一种或多种传播手段，将大量主机感染bot程序（僵尸程序），从而在控制者和被感染主机之间所形成的一个可一对多控制的网络。 攻击者通过各种途径传播僵尸程序感染互联网上的大量主机，而被感染的主机将通过一个控制信道接收攻击者的指令，组成一个僵尸网络。 特点 分布的、可控制的、逻辑网络 这个网络采用了一定的恶意传播手段形成 （最主要的特点）可以一对多地执行相同的恶意行为 发展过程 1993 年，IRC 聊天网络中出现了一款Bot工具（Eggdrop）。Eggdrop能够帮助用户方便地使用IRC 聊天网络。（良性的） 20世纪90年代末， 利用拒绝服务工具形成网络（雏形） 1