第十五章保护和安全.pptVIP

15.4 来自系统内部的攻击 1.逻辑炸弹 ★逻辑炸弹实例 逻辑炸弹是较早出现的一种恶意软件，它最初出自于某公司的程序员，是为了应对他可能被突然解顾，而预先秘密放入OS中一个破坏程序（逻辑炸弹），以进行报复。只要程序员每天输入口令，该程序就不会发作。但如果程序员在事前未被警告，就突然被解雇时，在第二天（或第二周）由于得不到口令，逻辑炸弹就会引爆——执行一段带破坏性的程序，它通常会使正常运行的程序中断，随机删除文件，或破坏硬盘上的所有文件，甚至于引发系统崩溃。 ★逻辑炸弹爆炸的条件 每当所寄生的应用程序运行时，就会运行逻辑炸弹程序，它会检查所设置的爆炸条件是否满足，如满足就引发爆炸；否则继续等待，应用程序继续运行。 ★触发逻辑炸弹爆炸的条件 ①时间触发 ②事件触发 ③计数器触发 15.4 来自系统内部的攻击 2.陷阱门 ★基本概念 陷阱门，是一段代码，是进入一个程序的隐蔽入口点。有此陷阱门，程序员可以不经过安全检查，即可对程序进行访问，也就是说，程序员通过陷阱门，可跳过正常的验证过程。 ★陷阱门实例 15.4 来自系统内部的攻击 3.特洛伊木马 ★特洛伊木马 是一个嵌入到有用程序中的、隐蔽的、危害安全的程序，其本身是一个代理程序，其宿主完全可以不在被攻击的系统中。当该程序执行时，对所寄生程序的正常运行不会产生明显的影响，用户很难发现它的存在，但其会引发隐蔽代码执行，产生难于预期的后果。 特洛伊木马程序可以继承它所依附的应用程序标识符、存取权限以及某些特权。 ★特洛伊木马实例 编写特洛伊木马程序的人，将其隐藏在一个新游戏程序中，并将该游戏程序送给某计算机系统的系统操作员。 操作员在玩新游戏程序时，前台确实是在玩游戏，但隐藏在后台运行的特洛伊木马程序，却将系统中的口令文件复制到该骇客的文件中。 虽然口令文件是系统中非常保密的文件，但操作员在游戏时是在高特权模式下运行的，特洛伊木马就继承了系统操作员的高特权，因此它就能够访问口令文件。 15.4 来自系统内部的攻击 4.登录欺骗 我们以UNIX系统为例来说明登录欺骗： 攻击者为了进行登录欺骗，写了一个欺骗登录程序，该程序同样会在屏幕显示Login:，用于欺骗其他用户进行登录。 当有一用户输入登录名后，欺骗登录程序也要求它输入口令。 然后却把刚输入的登录名和口令，写入一份事先准备好的文件中，并发出信号以请求结束shell程序，于是欺骗登录程序退出登录，同时也去触发真正的登录程序。 在屏幕上又显示出“Login：”，此时真正的登录程序开始工作。对用户而言，他自然以为是自己输入发生了错误，系统要求重新输入。 在用户重新输入后系统开始正常工作，因此用户认为一切正常。但用户的登录名和口令已被人窃取。 15.4 来自系统内部的攻击 5.缓冲区溢出 由于C语言编译器存在着某些漏洞，如对数组不进行边界检查。例如下面的代码是不合法的，数组范围是1024，而所包含的数字却有12000个。然而在编译时却未对此检查，攻击者利用此漏洞来进行攻击。 int i; char C[1024]; i=12000; c[i]=0; 上述错误会造成有10976个字节超出了数组C所定义的范围，由此可能导致难于预测的后果。 15.4 来自系统内部的攻击 5.缓冲区溢出（2） 由图可以看到，主程序运行时，其局部变量是存放在堆栈中的。当系统调用过程A，将返回地址放入堆栈后，便将控制权交于A。假定A的任务是请求获得文件的路径名，为能存放文件路径名，系统为A分配一个固定大小的缓冲区B，如图b所示。缓冲区的大小为1024个字符，假如用户提供的文件名长度超过1024个时，就会发生缓冲区溢出，所溢出的部分将会覆盖图c所示的灰色区域，并有可能进一步将返回地址覆盖掉，由此产生一个随机地址。一旦发生这样的情况，程序返回时将跳到随机地址继续执行，通常会在几条指令内引起崩溃。攻击者经过精心计算，将它所设计的恶意软件的起始地址，覆盖在原来在栈中存放的返回地址上，把恶意软件本身也推入栈中。这样当从A返回时，便会去执行恶意软件。 返回 15.5 来自系统外部的攻击 第十五章保护和安全 ⑴病毒 计算机病毒是一段程序，它能把自己附加在其它程序之中，并不断地自我复制，然后去感染其它程序，它能由被感染的程序和系统传播出去。 ⑵蠕虫 蠕虫与病毒相似，也能进行自我复制