网络安全攻防实践 课程9-恶意代码基础知识与分析方法.ppt

HoneyBot僵尸网络跟踪系统?僵尸网络跟踪框架?????多线程并行持续跟踪（多线程调度及管理）隐蔽性:支持SOCKS代理界面友好性:基于Qt的图形界面跟踪数据深入分析处理:数据库输入/输出跟踪数据全面性:规模、服务器信息、僵尸程序列 表、控制指令、迁移轨迹?僵尸网络跟踪组件 ?针对不同的僵尸网络控制协议 ?IRC僵尸网络跟踪组件多个僵尸网络的并行持续跟踪HoneyBot僵尸网络跟踪实现效果 控制服务器、规 模信息 僵尸网络 活动信息受控僵尸主机信息僵尸网络跟踪－僵尸网络列表僵尸主机地域分布2011年3月6日 网络攻防技术与实践课程Copyright(c)2008－2009诸葛建伟36Rootkit?Rootkit的定义 ?一类隐藏性恶意代码形态，通过修改现有的操作系统软件，使 攻击者获得访问权并隐藏在计算机中。?Rootkit与特洛伊木马、后门 ?Rootkit也可被视为特洛伊木马 ?获取目标操作系统上的程序或内核代码，用恶意版本替换 它们 ?Rootkit往往也和后门联系在一起 ?植入Rootkit目的是为攻击者提供一个隐蔽性的后门访问 ?定义特性：隐藏性?Rootkit分类:用户模式、内核模式?应用程序级木马后门:操作系统之上由攻击者添加至受害计算机的 恶意应用程序?用户模式Rootkit：木马化操作系统用户模式应用程序?内核模式Rootkit：对内核组件的恶意修改和木马化2011年3月6日 网络攻防技术与实践课程Copyright(c)2008－2009诸葛建伟37两类Rootkit和普通的应用程序级木马后门之间的位置对比 恶意的木马后门 程序善意的函数库善意的 程序木马化的sshd程序木马化的 ls程序善意的库文件善意的操作 系统程序 内核应用程序级木马后门 内核用户模式Rootkit木马化的内核组件 内核模式Rootkit木马化的 库文件善意的 程序善意的应 用程序用户模式Rootkit?用户模式Rootkit ?恶意修改操作系统在用户模式下的程序/代码，达到隐藏目的?Linux ?LRK(LinuxRootKit) ?URK(UniversalRootKit)：适用于多种Unix平台 ?Linux用户模式Rootkit的防御:文件完整性检测Tripwire, 专用检测工具chkrootkit?Win32 ?FakeGINA,AFXRootkit(DLL注入、APIHooking)2011年3月6日 网络攻防技术与实践课程Copyright(c)2008－2009诸葛建伟38网络攻防技术与实践课程内核模式Rootkit?内核模式Rootkit?恶意修改操作系统内核，从而达到更深的隐藏和更强的隐蔽性?Linux内核模式Rootkit??Adore,Adore-ng,KIS(KernelIntrusionSystem)防御:SELinux,LIDS,…检测:chkrootkit,KSTAT,...?Win32内核模式Rootkit ?NTRootkit,FuRootkit?虚拟机模式Rootkit???黑客帝国《Matrix》Linux:UML,KMLWin32:VMRootkit2011年3月6日39用户模式硬件 内核模式Copyright(c)2008－2009诸葛建伟 系统调用表 恶意内核模块执行SYS_execve 用户进程 函数调用库系统函数库 系统调用 攻击者进程利用insmod修改系统调用表，并加 载模块修改系统调用表指向 恶意的SYS_execve 合法的SYS_execve。 没有修改，但是也不 能用了，所以其他的 系统调用保持不变 合法的内核代码 SYS_execve火眼Rootkit检测软件隐藏进程检测隐藏驱动检测隐藏服务检测隐藏文件检测隐藏注册表检测隐藏端口检测恶意代码相关推荐书籍?基础 ?Ed.Skoudis,LennyZelter,Malware: FightingMaliciousCode(决战恶意代码) 电子工业出版社.?进阶 ?Peter