防护宝典:各种病毒分析及攻击防御手册(1) “最初的信任已经消失了，伴随着它们的进驻，这里已经成为了一个沼泽——有你想要的宝藏，也有随时能够吞噬掉你的陷阱。” 觉得用这么一句话某部电影中智者的忠告来形容商业化后的互联网实在很恰当。随着商业进驻互联网——这个原本脱形于军事，发展自高校/公司的网络已经成为了一个势力很大的媒体介质。在这个网络上，能搜索到论文资料，结交到朋友，学习到一些身边根本无法接触到的技术——但网络不是乌托邦，在表面的兴盛繁荣下，罪恶之影亦在游走。 新上网的朋友最为困惑的，莫过于对病毒和各种恶意攻击的恐惧和迷惑了——“我什么都没有做，为什么就中毒了？”是天缘常常听到内部网络的疑问。Ok，接下来，就跟随我一起，进入入门级的安全之旅，希望通过此篇文章，能让您对一些概念，机制有所把握。 第一站——病毒防御入门之旅 潘多拉的魔盒被打开，从此世间便多了疾病、瘟疫、灾难——自从1962年，贝尔实验室三位杰出程序员——罗泊.莫里斯、维克多.维索茨基、道格.迈克劳埃以“编制一些程序，让这些程序根据某种规则自己在内存中生存、搏斗”而理念而造就的“磁芯大战”程序开始，计算机世界的潘多拉魔盒就此打开。当时三位积极探索计算机技术的优秀程序员大概不会想到，病毒之门被打开，直至今日阴影仍挥之不去。可悲的是，以技术之钥打开的病毒之门，在半个世纪里越来越堕落，沦为一些人实施经济犯罪或标榜自我的工具，在计算机世界四处游荡着病毒幽灵。 病毒——这个源自医学界的名词，被用在计算机中，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据,影响计算机使用，并能自我复制的一组计算机指令或者程序代码，就像生物病毒一样，计算机病毒有独特的复制能力。计算机病毒可以很快地蔓延，又常常难以根除。它们能把自身附着在各种类型的文件上。当文件被复制或从一个用户传送到另一个用户时，它们就随同文件一起蔓延开来。 木马——来自“特伊诺木马”，指深入到内部进行攻击与破坏的行为。现在的木马程序一般是指，利用系统漏洞或用户操作不当进入用户的计算机系统，通过修改启动项目或捆绑进程方式自动运行，运行时有意不让用户察觉，将用户计算机中的敏感信息都暴露在网络中或接受远程控制的恶意程序。 蠕虫——蠕虫病毒是指利用网络缺陷进行繁殖的病毒程序，其原始特征之一是通过网络协议漏洞进行网络传播。 脚本病毒——利用脚本来进行破坏的病毒，其特征为本身是一个ascii码或加密的ascii码文本文件，由特定的脚本解释器执行。主要利用脚本解释器的疏忽和用户登陆身份的不当对系统设置进行恶意配置或恶意调用系统特点命令造成危害。 但目前，由于病毒，木马，蠕虫，脚本病毒这四类程序在不断杂交中衍生，已经形成了“你中有我，我中有你”的多态特性。为了行文方便，以下统称为“病毒”，但其实四类程序的感染机制和编写方式是完全不同的，请读者们在阅读的时候详加辨析。 现阶段的病毒，主要分为以下几种： 1．感染可执行文件的病毒 病毒描述：这类病毒就是上面所介绍的4种破坏性程序中的传统病毒。这类病毒的编写者的技术水平可说相当高超，此类病毒大多用汇编/c编写，利用被感染程序中的空隙，将自身拆分为数段藏身其中，在可执行文件运行的同时进驻到内存中并进行感染工作，dos下大多为此类病毒居多，在windows下由于win95时期病毒编写者对pe32的格式没吃透，那段时间比较少，之后在win98阶段这类病毒才扩散开来，其中大家广为熟悉的CIH病毒就是一例；在windows发展的中后期，互联网络开始兴盛，此类病毒开始结合网络漏洞进行传播，其中的杰出代表为funlove传播——由于windows操作系统的局网共享协议存在默认共享漏洞，以及大部分用户在设置共享的时候贪图方便不设置复杂密码甚至根本就没有密码，共享权限也开启的是“完全访问”。导致funlove病毒通过简单尝试密码利用网络疯狂传播。 病毒浅析：由于此类病毒的编写对作者要求很高，对运行环境的要求也相当严格，在编写不完善的时候，会导致系统异常（例如CIH的早期版本会导致winzip出错和无法关闭计算机等问题；funlove在nt4上会导致mssqlserver的前台工具无法调出界面等问题）。这类病毒赖以生存的制约是系统的运行时间和隐蔽性。运行时间——系统运行的时间越长，对其感染其他文件越有利，因此此类病毒中一般不含有恶意关机等代码，染毒后短期内（一般24小时内）也不会导致系统崩溃（如果你是25日感染cih除外），和其他病毒相比用户有足够的处理时间。破坏引导区的大脑病毒、择日发作的星期五病毒、直接读写主板芯片，采用驱动技术的CIH病毒都是其中的代表。
