9 恶意代码分析 2013

《9 恶意代码分析 2013》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、电子商务信息安全技术恶意代码分析曹健恶意代码分析•恶意代码的定义•恶意代码的分类–计算机病毒–蠕虫–木马–恶意移动代码–组合恶意代码•恶意代码的防御恶意代码恶意代码恶意代码（MaliciousCode）也叫叫恶意软件Malware（MaliciousSoftware），是一种程序，它把代码在不易察觉的情况下镶嵌到另一段程序中，进行具有入侵性或破坏性的操作，从而危害目标计算机的信息安全。•恶意的目的•本身是程序•通过执行发生作用恶意代码恶意代码的起源•恶作剧？•业余消遣？•艺术创作（科幻小说）？•保护版权？•特殊目的（政治、经济、军事）？

2、恶意代码计算机恶意代码的产生背景：•计算机恶意代码是计算机犯罪的一种新的衍化形式•计算机软硬件产品的脆弱性是根本的技术原因计算机技术和以计算机为核心的社会信息化进程发展到一定阶段的必然产物计算机病毒•病毒（Virus）是一类个体微小，无完整细胞结构，含单一核酸（DNA或RNA）型，必须在活细胞内寄生并复制的非细胞型微生物。•计算机病毒（ComputerVirus）编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码。计算机病毒计算机病毒的特征计算机病毒的破坏性：良性和恶性

3、计算机病毒的感染性（传染性）计算机病毒的隐藏性（隐蔽性）计算机病毒的可激活性（可触发性）计算机病毒的针对性非授权性、衍生性、不可预见性……是否具有感染性是判别一个程序是否为计算机病毒的最重要条件。计算机病毒计算机病毒（传统病毒）分类按照寄生方式引导型病毒寄生在操作系统中，感染引导区文件型病毒寄生在可执行文件中，感染常用文件混合型病毒两者结合，感染引导区和常用文件计算机病毒病毒程序的基本模型：安装模块（提供潜伏机制）机器启动时安装调用文件时安装常驻内存感染模块（提供感染机制）感染控制感染判断感染操作破坏模

4、块（提供触发机制）激发控制破坏操作计算机病毒感染计算机病毒后的现象（症状）：–计算机系统的运行速度异常减慢；–计算机系统出现异常死机或重新启动；–系统文件的属性及大小发生改变；–数据文件内容被修改或删除；–计算机系统的存储容量异常减少；–有规律地出现异常信息；–自动生成一些特殊文件；–无缘无故地出现打印故障。蠕虫蠕虫的危害名称持续时间造成损失莫里斯蠕虫1988年6000多台计算机停机，直接经济损失达9600万美元!美丽杀手1999年政府部门和一些大公司紧急关闭了网络服务器，经济损失超过12亿美元!爱虫2000年至今众多用户电脑被感染

5、，损失超过100亿美元以上红色代码2001年7月网络瘫痪，直接经济损失超过26亿美元求职信2001年12月大量病毒邮件堵塞服务器，损失达数百亿美元Sql蠕虫王2003年1月网络大面积瘫痪，银行自动提款机运做中断，直接经济损失超过26亿美元蠕虫蠕虫与计算机病毒的区别计算机病毒蠕虫存在形式寄存文件独立程序复制机制插入宿主程序自身的副本传染机制宿主程序的运行系统漏洞传染目标本地文件网络计算机触发感染计算机使用者程序自身影响重点文件系统网络性能、系统性能计算机使用者的角色病毒传播的关键无关防治措施从宿主文件中删除为系统打补丁对抗主体使用者、反病

6、毒厂商系统提供者、网络管理员蠕虫蠕虫（Worm）是一种无须计算机使用者干预即可运行的独立程序，它通过不停地获得网络中存在漏洞的计算机上的部分或全部控制权来进行传播。传统的计算机病毒必须激活和运行才能发作和传播，而蠕虫可以自行、独立、主动地发作和传播。蠕虫蠕虫的基本模型探测装置传播引擎目标选择算法扫描引擎有效载荷举例：Nimda（尼姆达）蠕虫特洛伊木马后门是一个允许攻击者绕过系统中常规安全控制机制的程序，它按照攻击者自己的意愿提供通道。特洛伊木马后门之远程控制特洛伊木马后门的不同类型•本地权限的提升•单个命令的远程执行•远程命令行访问•远

7、程控制GUI特洛伊木马后门产生的必要条件–必须以某种方式与其他终端节点相连。–目标机默认开放的可供外界访问的端口必须在一个以上。–目标机存在程序设计或人为疏忽，导致攻击者能以权限较高的身份执行程序。木马特洛伊木马木马程序（Trojanhorse）（Woodenhorse）木马木马表面上看是正常的程序，但是实际上却隐含着恶意意图。•分成三个模式:–潜伏在正常的程序应用中，附带执行独立的恶意操作。–潜伏在正常的程序应用中，但是会修改正常的应用进行恶意操作。–完全覆盖正常的程序应用，执行恶意操作。木马木马的工作原理完整的木马系统由硬件部分、软

8、件部分和具体连接部分组成木马的攻击过程木马木马的传播方式E-mail软件下载系统漏洞木马木马的伪装方法修改图标捆绑文件出错显示定制端口自我销毁木马更名木马捆绑文件把两个或者多个可执行文件打