网络恶意代码攻击和防御ppt

《网络恶意代码攻击和防御ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第七章恶意代码攻击和防御1概述什么是恶意代码？恶意代码是指独立的程序或者嵌入到其它程序中的代码，它在不被用户察觉的情况下启动，达到破坏电脑安全性和完整性的目的。恶意代码的分类木马、rootkit、病毒、蠕虫和网页恶意代码蠕虫与病毒的区别蠕虫指的是能够在网络上完全地复制自身的独立可执行代码。蠕虫技术融合了自复制技术、扫描技术以及缓冲区溢出等攻击技术。著名的蠕虫有1988年的Morris蠕虫、2001年的Code-Red蠕虫、2003年的SQLSlammer蠕虫和Blaster蠕虫、2004年的Sass

2、er蠕虫等。病毒需要宿主程序通过某种方式将其激活。目前的病毒也逐渐融入将一些网络攻击的技术，如著名的Nimda病毒通过电子邮件、共享目录以及主动攻击IIS缓冲区溢出漏洞等形式达到广泛传播的效果。远程控制技术概念危害性发展历程技术类型特洛伊木马的来历希腊人攻打特洛伊城十年，始终未获成功，后来建造了一个大木马，并假装撤退，希腊将士却暗藏于马腹中。特洛伊人以为希腊人已走，就把木马当作是献给雅典娜的礼物搬入城中。晚上，木马中隐藏的希腊将士冲出来打开城门，希腊将士里应外合毁灭了特洛伊城。后来我们把进入敌人内部

3、攻破防线的手段叫做木马计，木马计中使用的里应外合的工具叫做特洛伊木马来源于希腊神话中的特洛伊战争特洛伊木马属于客户/服务模式。客户端：主控端，向服务器发送连接请求。服务端：被控端，提供服务，一般会打开一个默认端口进行监听，当侦听到客户端的连接请求，便自动运行相应程序。远程控制技术远程控制实际上是包含有服务器端和客户端的一套程序服务器端程序驻留在目标计算机里，随着系统启动而自行启动。此外，使用传统技术的程序会在某端口进行监听，若接收到数据就对其进行识别，然后按照识别后的命令在目标计算机上执行一些操作（

4、比如窃取口令，拷贝或删除文件，或重启计算机等）攻击者一般在入侵成功后，将服务端程序拷贝到目标计算机中，并设法使其运行，从而留下后门。日后，攻击者就能够通过运行客户端程序，来对目标计算机进行操作远程控制技术的发展历程第一代功能简单、技术单一，如简单的密码窃取和发送等第二代在技术上有了很大的进步，如国外的BO2000，国内的冰河等第三代为了躲避防火墙而在数据传递技术上做了不小的改进，比如利用ICMP协议以及采用反弹端口的连接模式第四代研究操作系统底层，在进程隐藏方面有了很大的突破传统的远程控制步骤如何远

5、程植入程序直接攻击电子邮件文件下载浏览网页+合并文件经过伪装的木马被植入目标机器伪装方式：冒充图像文件首先改变文件名。如把.exe改变成.jpg.exe。其次更改文件图标。一般木马本身没有图标，系统会显示一个windows预设的图标。合并程序欺骗将木马与一个正常的文件捆绑为一个文件。例如WinRAR可实现。伪装成应用程序扩展组件此类属于最难识别的木马。如伪装成.dll，.ocx等，挂在一个知名的软件中。远程受控端程序的自启动注册表启动注册表简介HKEY_CLASSES_ROOT：包含了启动应用程序所

6、需的全部信息。HKEY_CURRENT_USER：这个根键用于管理当前登陆用户的信息，包括用户的桌面配置、网络设备资源和安全权限等信息。HKEY_LOCAL_MACHINE：这里保存了控制系统和软件的相关设置，包括硬件信息、驱动程序和应用程序等。HKEY_USER：它包含了所有用户配置文件的当前活动用户信息，包括用户的环境信息、键盘配置信息、系统中安装的软件信息等等。HKEY_CURRENT_CONFIG：这个根键存放的是当前配置文件的所有信息，其实就是HKEY_LOCAL_MACHINE中内容的影

7、射。注册表启动Run键这是最常用的注册表启动方法，在Run键下面的所有程序在用户每次登陆后都会自动执行，其键位置如下：HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun;HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun;RunOnce键RunOnce键只在用户首次登陆时才运行，其键位置如下：HKEY_LOCAL_MACHINESOFTWARE

8、MicrosoftWindowsCurrentVersionRunOnce;RunOnceEx键这个键值只有windowsXP和windows2003才有，也可以实现自启动：HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunOnceEx;RunServices键HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRu