计算机病毒与防范技术 第4章

《计算机病毒与防范技术 第4章》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、计算机病毒与防范技术第4章网络蠕虫网络蠕虫的定义蠕虫的起源发展蠕虫的行为特征蠕虫的工作原理蠕虫的防范典型蠕虫代码的分析蠕虫的原始定义蠕虫病毒通常由两部分组成：一个主程序和一个引导程序主程序的主要功能是搜索和扫描，这个程序能够读取系统的公共配置文件，获得与本机联网的客户端信息，检测到网络中的哪台机器没有被占用，从而通过系统的漏洞，将引导程序建立到远程计算机上引导程序实际上是蠕虫病毒主程序（或一个程序段）自身的一个副本蠕虫的原始定义主程序和引导程序都有自动重新定位（autorelocation）的能力这些程序或程序段都能够把自身的副本重新定位在另一台机器上蠕虫与病毒之间的区别及联系病毒蠕虫存在形式

2、寄生独立个体复制机制插入到宿主程序(文件)中自身的拷贝传染机制宿主程序运行系统存在漏洞(Vulnerability)搜索机制(传染目标)主要是针对本地文件主要针对网络上的其它计算机触发传染计算机使用者程序自身影响重点文件系统网络性能、系统性能计算机使用者角色病毒传播中的关键环节无关防治措施从宿主程序中摘除为系统打补丁(Patch)蠕虫的行为特征主动攻击行踪隐蔽利用系统、网络应用服务器漏洞造成网络拥塞消耗系统资源，降低系统性能产生安全隐患反复性破坏性蠕虫定义的进一步说明蠕虫的定义中强调了自身副本的完整性和独立性，这也是区分蠕虫和病毒的重要因素。可以通过简单的观察攻击程序是否存在载体来区分蠕虫与病

3、毒蠕虫的起源和发展1980年，XeroxPARC的研究人员JohnShoch和JonHupp在研究分布式计算、监测网络上的其他计算机是否活跃时，编写了一种特殊程序，Xerox蠕虫蠕虫的起源和发展1988年11月2日，世界上第一个破坏性计算机蠕虫正式诞生Morris蠕虫利用sendmail的漏洞、fingerD的缓冲区溢出及REXE的漏洞进行传播Morris在证明其结论的同时，也开启了蠕虫新纪元蠕虫的起源和发展2001年7月19日，CodeRed蠕虫爆发，在爆发后的9小时内就攻击了25万台安装有Microsoft的IIS网页服务器。蠕虫的起源和发展2001年9月18日，Nimda蠕虫被发现，不同

4、于以前的蠕虫，Nimda开始结合病毒技术。它通过电子邮件、网络邻近共享文件、IE浏览器的内嵌MIME类型自动执行漏洞、IIS服务器文件目录遍历的漏洞、CodeRedⅡ和sadmind/IIS蠕虫留下的后门共五种方式进行传播。蠕虫的起源和发展在2003年1月25日，蠕虫W32/Slammer通过Microsoft的SQL服务器和MSDE2000（MicrosoftSQLServerDesktopEngine）的漏洞进行传播。2003年7月21日，微软公司公布Windows系统的一个RPC漏洞，2003年8月11日，“冲击波”(worm.Blaster)开始在互联网上传播。蠕虫的起源和发展2004

5、年4月13日，微软公布了一个严重等级的安全公告“MS04-011”。5月1日，一个新的蠕虫—“震荡波”(Worm.sasser)开始在互联网肆虐该病毒利用windows平台的LSASS(LocalSecurityAuthoritysubsystemServices)漏洞进行传播成为2004年当之无愧的“毒王”蠕虫的起源和发展2005年8月14日狙击波蠕虫(Zotob)爆发，它利用了8月9日微软发布的即插即用(PnP)中的漏洞(Ms05-039)，用户电脑感染了该蠕虫之后，在某些情况下会出现系统频繁重启的现象。2006年威金、熊猫烧香结合了病毒技术，具有很强的破坏性，中毒后计算机上面的EXE文件

6、都会被破坏蠕虫程序的实体结构蠕虫的基本结构蠕虫实体结构未编译的源代码已编译的源代码可运行代码脚本信息数据受感染系统上的可执行程序蠕虫的基本结构蠕虫程序的功能结构蠕虫程序功能结构基本功能模块扫描搜索模块攻击模块传输模块信息收集模块繁殖模块扩展功能模块通信模块隐藏模块破坏模块控制模块蠕虫的工作方式蠕虫的工作方式一般是“目标定位→攻击→复制”蠕虫的工作方式蠕虫的扫描策略现在流行的蠕虫采用的传播技术目标，一般是尽快地传播到尽量多的计算机中扫描模块采用的扫描策略是：随机选取某一段IP地址，然后对这一地址段上的主机进行扫描没有优化的扫描程序可能会不断重复上面这一过程，大量蠕虫程序的扫描引起严重的网络拥塞蠕

7、虫的工作方式对扫描策略的改进在IP地址段的选择上，可以主要针对当前主机所在的网段进行扫描，对外网段则随机选择几个小的IP地址段进行扫描对扫描次数进行限制，只进行几次扫描把扫描分散在不同的时间段进行蠕虫的工作方式扫描策略设计的原则尽量减少重复的扫描，使扫描发送的数据包总量减少到最小保证扫描覆盖到尽量大的范围处理好扫描的时间分布，使得扫描不要集中在某一时间内发生怎样找到一个合适的策略需要在考虑以上原则