講座-網絡入侵與攻擊(已修改)

　

【正文】 網絡入侵與攻擊 高文宇 網絡的脆弱性 ? “INTERNET 的美妙之處在于你和每個人都能互相連接 , INTERNET的可怕之處在于每個人都能和你互相連接” ? 開放性的網絡環境 ? 協議本身的缺陷 ? 操作系統的漏洞 ? 人為因素 Inter的困境 ? 一般說來，可以對于信息系統入侵和攻擊手段有下面一些： ? （ 1）惡意代碼攻擊 ? 病毒 ? 特洛伊木馬 ? 蠕蟲 ? 細菌 ? 陷門 ? 邏輯炸彈等 ? （ 2）消息收集攻擊 ? （ 3）代碼漏洞攻擊 ? （ 4）欺騙和會話劫持攻擊 ? （ 5）分布式攻擊 ? （ 6）其他攻擊 1 計算機病毒 計算機病毒的特征 ? 1. 非授權執行性 ? 2. 感染性 ? 3. 潛伏性與隱蔽性 ? 4. 寄生性 ? 6. 破壞性 ? 占用或消耗 CPU資源以及內存空間 ? 干擾系統運行 ? 攻擊 CMOS ? 攻擊系統數據區 ? 攻擊文件 ? 干擾外部設備運行 ? 破壞網絡系統的正常運行 ? 5. 可觸發性 ? 日期 /時間觸發 ? 計數器觸發 ? 鍵盤觸發 ? 啟動觸發 ? 感染觸發 ? 組合條件觸發 計算機病毒分類 ? 1. 按照所攻擊的操作系統分類 ? DOS病毒 ? UNIX/Linux病毒 ? Windows病毒 ? OS/2病毒 ? Macintosh病毒 ? 手機病毒。 ? 2. 按照寄生方式和傳染途徑分類 ? （ 1）引導型病毒 ? ① 主引導區（ master boot record， MBR）病毒 ? ② 引導區（ boot record，BR）病毒 ? （ 2）文件型病毒 ? ① 可執行文件 ? ② 文檔文件或數據文件 ? ③ Web文檔 ? 按照駐留內存的方式，文件型病毒可以分為： ? ① 駐留（ Resident）病毒 ? ② 非駐留（ Nonrresident）病毒 ? （ 3）目錄型病毒 ? （ 4）引導兼文件型病毒 ? （ 5） CMOS病毒 ? 3. 按照傳播媒介分類 ? （ 1）單機病毒 ? （ 2）網絡病毒 ? 4. 按照計算機病毒的鏈接方式分類 ? （ 1）源碼型病毒 ? （ 2）嵌入型病毒 ? （ 3）外殼（ shell）型病毒 ? （ 4）譯碼型病毒 ? （ 5）操作系統型病毒 ? 5. 按照破壞能力分類 ? （ 1）無害型 ? （ 2）無危險型 ? （ 3）危險型 ? （ 4）非常危險型 計算機病毒的基本機制 ? 1. 潛伏 ? （ 1）引導 引導過程由三步組成： ? ① 駐留內存 ? ② 竊取控制權 ? ③ 恢復系統功能 ? （ 2）隱藏 ? （ 3）捕捉（也稱搜索） ? 2. 傳染 傳染機制的作用是在特定的感染條件下，將病毒代碼復制到傳染目標上去。所以這個機制由激活傳染條件的判斷部分和傳染功能的實施部分實現。 ? 3. 表現 表現機制的作用是在被傳染系統上表現出特定現象，主要是產生破壞被傳染系統的行為。大部分病毒都是在一定條件下才會被觸發而發作表現。 典型計算機病毒分析 （ 1） DOS引導型病毒分析 ? DOS引導型病毒是隱藏在磁盤主引導扇區（ boot sector）的病毒。主引導扇區位于硬盤的 0柱面 0磁道 1扇區，其結構如圖 ，用于存放主引導記錄（ main boot record，MBR）、硬盤主分區表（ Disk Partition Table, DPT）和引導扇區標記（ boot record ID）。 保留 分區信息 1（ 16字節） 分區信息 2（ 16字節） 分區信息 3（ 16字節） 分區信息 4（ 16字節） 55(1字節 ) AA（ 1字節） 008A 01BD 01BE 01CD 01CE 01DD 01DE 01ED 01EE 01FD 01FE 主分區表 DPT 引導扇區標記 主引導記錄 MBR（ 446字節） 啟動字符串 主引導記錄啟動程序 0000 008B 00D9 00DAD 01FF （ 2） DOS的自舉過程 系統加電或復位 系統自檢 磁盤驅動器中有磁盤 讀主引導程序 到 0000:7C00H， 并執行 讀 70:00處 成功？ 系統初始化 讀 到內存 自舉完成 顯示“非系統盤” 提示“插入磁盤” ? ① 將本來要讀入到 0000:7C00H處的硬盤主引導程序轉移到0000:0600H處。 ? ② 順序讀入 4個分區表的自舉標志，以找出自舉分區：若找不到，就轉向執行 INT 18H的 BOOT異常，執行異常中斷程序。 ? ③ 找到自舉分區后，檢測該分區標志：如果是 32位 /16位FAT并支持 13號中斷的擴展功能，就轉向執行 13中斷的41功能調用，進行安裝檢測。檢測成功，就執行 42號擴展功能調用，把 BOOT程序讀入內存 0000:7c00H處。讀入成功，就執行 0000:7c00H處的程序；讀入失敗，就調用 13號中斷的讀扇區功能，把 BOOT程序讀入內存 0000:7c00H處。 （ 3）引導型病毒的傳染過程 系統加電或復位 進入 ROMBIOS 讀引導至 0000:7C00H并執行 自舉完成 系統復位 讀 到內存 系統加電或復位 bb 引導至 0000:7C00H， 并執行 自舉完成 系統復位 讀 到內存 引導區病毒 并執行病毒程序 修改中斷向量 復制病毒 /感染磁盤 引導型病毒的感染過程：裝入內存 +攻擊 裝入過程 ? 1 系統開機后，進入系統檢測，檢測正常后，從 0面 0道 1扇區，即邏輯 0扇區讀取信息到內存的 0000~7C00處： ? 2 系統開始運行病毒引導部分，將病毒的其他部分讀入到內存的某一安全區 ? 3 病毒修改 INT 13H中斷服務處理程序的入口地址，使之指向病毒控制模塊并執行。 ? 4 病毒程序全部讀入后，接著讀入正常 boot內容到內存 0000:7C00H處，進行正常的啟動過程。 ? 5 病毒程序伺機等待隨時感染新的系統盤或非系統盤。 攻擊過程 ? 1 將目標盤的引導扇區讀入內存，判斷它是否感染了病毒。 ? 2 滿足感染條件時，將病毒的全部或一部分寫入 boot區，把正常的磁盤引導區程序寫入磁盤特定位置。 ? 3 返回正常的 INT 13H中斷服務處理程序，完成對目標盤的傳染過程。 2. COM文件型病毒分析 ? COM型文件是如何執行的； ? COM型病毒是如何寄生在 COM型文件之中的； ? COM型文件病毒是如何執行的。 （ 1） COM文件的加載與內存結構 ? COM文件是一種單段執行結構，它被分配在一個64k字節的空間中。 ? 這個空間中存放 ? COM文件 ? 程序段前綴（ program segment prefix， PSP） ? 一個起始堆棧。 ? 為了運行 COM文件，要還要為它設置多個內部寄存器的初值 ——使 4個段寄存器 CS、 ES、 PS、 SS均指向 PSP+0h；使指令寄存器 IP指向 PSP+100h——COM文件的第 1條指令處。 CS=DS=ES=BS 中斷向量表 DOS常駐區 程序段前綴 PSP COM文件映像 堆棧區 程序剩余空間 DOS暫駐區 0000H 40:0H IP:0100H SP:FFFEH RAM最高端 最 大 64k 字 節 生 長 方 向 通信區 70:0H 未初始化數據 （ 2） COM型文件病毒機制 ? ① 病毒取得控制權的時機 一般說來，當由 DOS用 Jump指令跳到 COM程序的起點時，是一個比較合適的時機。因為這時 COM程序還沒有執行，病毒的運行也不會干擾宿主程序的運行，便于病毒自己的隱蔽和安全。同時，系統為 COM程序分配的內存空間還空閑著，病毒可以自由地使用這些空間。