CISP0207安全漏洞与恶意代码v30.pptVIP

恶意代码传播方式-邮件 社会工程学 欺骗性标题 吸引人的标题 I love you病毒 库娃等 …… 利用系统及邮件客户端漏洞 尼姆达（畸形邮件MIME头漏洞） …… 第三十页，共八十页。 恶意代码传播方式-通讯与数据传播 即时通讯 伪装即时通讯中的用户向其联系人发送消息。使用欺骗性或诱惑性的字眼 P2P下载 伪造有效资源进行传播 第三十一页，共八十页。 恶意代码传播方式-共享 共享 管理共享 C盘、D盘…… Windows安装目录 用户共享 用户设置的共享 典型病毒 Lovegate Spybot Sdbot …… 第三十二页，共八十页。 恶意代码传播方式-主动放置 利用系统提供的上传渠道(FTP、论坛等) 攻击者已经获得系统控制权 攻击者是系统开发者 …… 攻击者 被攻击系统 第三十三页，共八十页。 恶意代码传播方式-软件漏洞 利用各种系统漏洞 缓冲区溢出：冲击波、振荡波 利用服务漏洞 IIS的unicode解码漏洞：红色代码 …… 第三十四页，共八十页。 知识域：安全漏洞与恶意代码 知识子域：恶意代码的实现技术 理解恶意代码修改配置文件、修改注册表、设置系统服务等加载方式 理解恶意代码进程、网络及系统隐藏技术 理解恶意代码进程保护和检测对抗自我保护技术 第三十五页，共八十页。 恶意代码加载方式 随系统启动而加载 开始菜单中的启动项 启动配置文件 注册表启动项 系统服务 组策略 …… 随文件执行加载 感染/文件捆绑 浏览器插件 修改文件关联 其他 第三十六页，共八十页。 随系统启动加载方式-启动配置 开始菜单启动项 启动配置文件 Autorun.bat Win.ini System.ini 已经很少有病毒采用 过于明显 用户登录后才能启动 第三十七页，共八十页。 随系统启动加载方式-注册表 注册表启动项： HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows\load HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce …… * 优势 隐蔽性强 方式多样 加载位置 Load键值 Userinit键值 Run RunServicesOnce RunServices RunOnce …… 第三十八页，共八十页。 随系统启动加载方式-服务 优势 隐蔽性强 无需用户登录 权限较高 加载方式 单独服务 替换系统服务程序 第三十九页，共八十页。 随系统启动加载方式-组策略 优势 类似启动项，但隐蔽性更高 不足 需要用户登录 第四十页，共八十页。 随文件执行加载方式-感染/文件合并 传统病毒 宏病毒 程序合并 第四十一页，共八十页。 随文件执行加载方式-浏览器插件 优势 隐蔽性强 清理困难 第四十二页，共八十页。 随文件执行加载方式-修改文件关联 原理 正常情况下 文本文件（.txt）关联到记事本notepad.exe打开 病毒修改 文本文件（.txt）关联到病毒文件打开 优势 隐蔽性强，可关联任意类型文件，甚至可以关联目录操作 第四十三页，共八十页。 恶意代码隐藏技术 进程隐藏 进程迷惑 DLL注入 网络隐藏 端口复用 无端口 反向端口 系统隐藏 隐藏、系统文件 流文件隐藏 Hook技术 * * 第四十四页，共八十页。 恶意代码进程隐藏技术-进程迷惑 随机进程名 每次启动生成不一样的进程名，退出后无法查找 系统进程类命名 Windows.exe System1.exe Kernel.exe 相似进程名 同名不同路径的进程 c:\windows\system32\iexplore.exe(trojan) c:\Program Files\Internet Explorer\iexplore.exe(right) 名称相近的程序 svchost.exe(right) svch0st.exe(trojan) 第四十五页，共八十页。 恶意代码进程隐藏技术-DLL注入 动态链接库文件 （DLL）概念 什么是DLL注入 DLL注入技术是恶意代码将DLL文件放进某个进程的地址空间里，让它成为那个进程的一部分 DLL注入的优势 无进程 隐蔽性强 清除难度大 第四十六页