【精品】计算机病毒及其防范技术(第2版)课件-新型病毒(3)

2004/07/20 返回目录 【戴尔新建安全网站教育用户如何加强pc安全】 戴尔7月20日推出一项计划,要教育其用户如何保护自己防止计算机受到软件、广告软件和病毒的攻击.软件在用户的互联网活动中保持一个标签并且在用户不知情的情况下收集用户的信息.戴尔表示,该公司客户服务台接到的求助电话20%与软件和病毒有关.随着更多的用户使用一直保持状态的宽带网和无线接入方式,恶意软件事件的数量不断增长.戴尔建立了一个新的pc安全网站,帮助用户识别安全威胁和处理这些威胁的方法.这个网站还有杀毒和反软件产品,并且提供了合作伙伴网站的链接.戴尔还表示,它将与一个消费者教育组织"互联网教育基金会"合作帮助其用户.对于自己很难解决问题的用户来说,每次排除故障的收费标准是39美元.戴尔提供质量保证的选择一般只包括硬件和预装的软件.戴尔的目的是让用户了解软件和病毒能够引起的问题,这样用户可以避免发生这些问题.戴尔计划使用几个渠道教育人们有关恶意软件和如何防止恶意软件攻击的问题.在周二宣布这个消息之后,戴尔计划进一步教育其用户有关安全的问题,以后再使用软件进一步增强其pc与垃圾邮件、软件和弹出式广告作斗争的能力.据悉,戴尔将在今年晚些时候开始在其电脑产品中安装杀毒软件、反软件和封锁弹出式广告的软件.。通过控制面板来卸载软件是一个很好的方法，不过现在安全软件流行，很多用户都习惯使用安全软件来卸载软件，所以很多用户会遗忘通过控制面板删除软件的方法。【ht观点】随着科技的发展，智能手机成了生活中不可缺少的一部分，其强大的定位和联网给了使用者前所未有的便捷，但其中的隐患也是危机重重，大量的流氓软件恶意发送用户隐私，获取地理位置，发送垃圾短信等等不断的窃取用户的隐私，开放的安卓尤其需要保护，所以手机安全越来越受到机友们的重视，本着对手机安全负责的原则，ht实验室对目前最热门的两款安全软件进行横测，让用户选择一款适合自己的手机“防火墙”。

信息安全工程学院应对政策国外监管制度： 2004年美国犹他州通过了第一个针对流氓软件的立法《Spyware Control Act》 ， 此后又有1 8个州完成了立法。中国： 积极开展治理流氓软件活动， 2006 年9 月 4 日，一个非盈利性的专门打击流氓软件的民间组织——中国反流氓软件联盟成立。 中国互联网协会于同年1 2 月 27 日举行了“治理恶意软件、 保护网民权益” 的动员大会暨《抵制恶意软件自律公约》 签约仪式。信息安全工程学院主要特征1 . 强迫性安装：• 不经用户许可自动安装；• 不给出明显提示， 欺骗用户安装；• 反复提示用户安装， 使用户不胜其烦而不得不安装等。2. 无法卸载：• 正常手段无法卸载；信息安全工程学院• 无法完全卸载；• 不提供卸载程序， 或者提供的卸载程序不能用等。3. 干扰正常使用：• 频繁弹出广告窗口；• 引导用户使用某功能等。4. 具有病毒和黑客特征：• 窃取用户信息；窃户信息信息安全工程学院• 耗费机器资源等发展过程1 . 恶意网页代码时代（2001 年～2002年）2. 插件时代（2003年～2005年）3. 软件捆绑时代（2005年至今）4. 流氓软件病毒化时代（2006年下半年至今）信息安全工程学院流氓软件分类1 、 广告软件（Adware）2、 软件(Spyware)3、 浏览器劫持4、 行为记录软件（Track Ware）信息安全工程学院5、 恶意共享软件(malicious shareware)反流氓软件工具1 . 恶意软件清理助手2. 瑞星卡卡上网安全助手3. 金山毒霸系统清理专家4. 奇虎360安全卫士5 微软反软件（Microsoft Antispyware）5. 微软反软件（Microsoft Antispyware）6. 完美卸载7. 超级兔子网络卫士8. Wopti流氓软件清除大师信息安全工程学院5 僵尸 网 络僵尸网络（Botnet） 是指采用一种或多种传播手段， 将大量主机感染bot程序（僵尸程序） ， 从而在控制者和被感染主机之间所形成的一个可对多控制的网络可一对多控制的网络。

信息安全工程学院攻击者通过各种途径传播僵尸程序感染互联网上的大量主机， 而被感染的主机将通过一个控制信道接收攻击者的指令， 组成一个僵尸网络。特点分布的、 可控制的、 逻辑网络这个网络采用了一定的恶意传播手段形成（最主要的特点） 可以一对多地执行相同的恶意行为信息安全工程学院发展过程1 993 年， IRC 聊天网络中出现了一款Bot工具（Eggdrop） 。 Eggdrop能够帮助用户方便地使用IRC 聊天网络。 （良性的）20世纪90年代末， 利用拒绝服务工具形成网络（雏形）（雏形）信息安全工程学院1 999年， 发布的SubSeven 2.1 成为第一个真正意义上的bot程序。2003 年之后， 随着蠕虫技术的不断成熟， bot的传播开始使用蠕虫的主动传播技术， 从而能够快速构建的Botnet。工作过程传播• 采用各种方式（IM、 Email、 木马、 蠕虫、 主动攻击等） 把bot程序传播出去，感染其它机器。加入• 每一个被感染主机都会随着隐藏在自身上的bot程序的发作而加入到Botnet中去每个被感染主机都会随着隐藏在自身上的bot程序的信息安全工程学院控制• 攻击者通过中心服务器发送预先定义好的控制指令计算机病毒与防范技术，让被感染主机执行恶意行为分类按bot程序的种类分类• Agobot/Phatbot/Forbot/XtremBot • SDBot/RBot/UrBot/SpyBot • GT-Bots 按B t按Botnet的控制方式分类• IRC Botnet t的控制方式分类信息安全工程学院• AOL Botnet • P2P Botnet 主要危害DDOS攻击发送垃圾邮件窃取私人秘密滥用资源信息安全工程学院6 RootKit工具Rootkit是攻击者用来隐藏自己的踪迹和保留root访问权限的工具。

1 994年2月 ， 在安全咨询报告CERT-CC中的CA-1 994-01 ， 题目是Ongoing Network Monitoring Attk 中Rtkit这个名词首先被使用Attacks中， Rootkit这个名词首先被使用。信息安全工程学院组成网络嗅探程序木马程序隐藏攻击者的目录和进程的程序日志清理工具信息安全工程学院FIX程序其他工具， 例如telnet、 shell和finger等服务使用过程攻击者使用rootkit中的相关程序替代系统原来的ps、 ls、 netstat、 df等程序接着， 攻击者使用日志清理工具清理系统日志，消除自己的踪迹。攻会常安门统信息安全工程学院然后， 攻击者会经常地通过安装的后门进入系统查看嗅探器的日 志， 以发起对周围其它的攻击。实例： Linux Rootkit IVLinux Rootkit IV是一个开放源码的rootkit。 该rootkit是由Lord Somer编写的， 并于1 998年1 1 月发布（Linux Rootkit IV只能用于Linux 2.x的内核） 。LiLinux rootkit IV包括常用的rootkit组件， 例如嗅探器、 日志编辑/删除工具、 和后门程序的。

tkit IV包括常用的tkit组件例如嗅探信息安全工程学院易于安装和使用， 只要执行make install就可以成功安装。RootKit IV的组成隐藏入侵者行踪的程序•①ls、 find、 du•② ps、 top、 pidof： 这几个程序用来隐藏所有和入侵者相关的进程。•③ Netstat： 隐藏出/入指定IP地址或者端口的网络数据流量。④ Killall④ Killall： 不会杀死被入侵者隐藏的进程。不会杀死被入侵者隐藏的进程信息安全工程学院••⑤Ifconfig： 如果入侵者启动了嗅探器， 这个程序就阻止PROMISC标记的显示， 使系统管理员难以发现网络接口已经处于混杂模式下。•⑥Crontab： 隐藏有关攻击者的crontab条目。•⑦Tcpd： 阻止向日志中记录某些连接。•⑧Syslogd： 过滤掉日志中的某些连接信息权限提升程序•①Chfn： 提升本地普通用户权限的程序。 运行chfn， 在它提示输入新的用户名时， 如果用户输入Rookit密码， 他的权限就被提升为root。

默认的Rootkit密码是satori。•②Chsh： 也是一个提升本地用户权限的程序。 运行chsh， 在它提示输入新的shell时， 如果用户输入Rootkit密码， 他的权限它提示输入新的shell时， 如果用户输入Rootkit密码， 他的权限就被提升为root。信息安全工程学院•③Passwd： 和上面两个程序的作用相同。 在提示用户输入新密码时， 如果输入Rootkit密码， 权限就可以变成root。•④Login： 允许使用任何账户通过Rootkit密码登录。 如果使用root账户登录被拒绝， 可以尝试一下rewt。 当使用后门时， 这个程序还能够禁止记录命令的历史记录。木马程序•①Inetd： inetd程序， 为攻击者提供远程访问服务。•②Rshd： 为攻击者提供远程shell服务。 攻击者使用rsh -l rootkitpassword host command命令就可以启rsh l rootkitpassword host command命令就可以启动一个远程root shell。信息安全工程学院•③Sshd： 为攻击者提供ssh服务的后门程序。

工具程序•①Fix： 文件属性伪造程序•②Linsniffer： 报文嗅探器程序。•③Sniffchk： 一个简单的bash shell脚本， 检查系统中是否正有一个嗅探器在运行。④Wted④Wted： wtmp/utmp日志编辑程序。 你可以使用这个工具编辑所有wtmp或者utmp类型的文件。wtmp/utmp日志编辑程序你可以使用这个工具编辑信息安全工程学院••⑤z2： utmp/wtmp/lastlog日志清理工具。 可以删除utmp/wtmp/lastlog日志文件中有关某个用户名的所有条目。 不过， 如果用于Linux系统需要手工修改其源代码， 设置日志文件的位置。•⑥Bindshell： 在某个端口上绑定shell服务， 默认端口是1 2497，为远程攻击者提供shell服务。防范RootKit首先， 不要在网络上使用明文传输口令， 或者使用一次性口令。 这样， 即使你的系统已经被装入了Rootkit， 攻击者也无法通过网络来获得更多用户账号和口令， 从而避免入侵的蔓延。其次其次， 使用tripwire和aide等完整性检测工具能够及时地帮助用户发现攻击者的入侵（Linux系统） 。使用t ii和 id 等完整性检测工具能够信息安全工程学院信息安全工程学院

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-103867-3.html