就事論事-談如今的病毒和木馬,到底有沒(méi)有技術(shù)含量?
ugmbbc發(fā)布于 2007-06-15 06:29:58|1045次閱讀 字體：大 小 打印預覽
感謝Tsubasa的投遞
新聞來(lái)源:原創(chuàng )
最近半年了,從媒體惡炒的“熊貓燒香”開(kāi)始,到最新的“AV終結者”,媒體、公眾、網(wǎng)絡(luò )上吵得風(fēng)風(fēng)火火,如此如此厲害之類(lèi)的,我只是默默的下載上來(lái),加以研究,然后歸類(lèi),最后總結出來(lái)的結果就是:此類(lèi)東西,根本毫無(wú)技術(shù)可言!
1 從感染的途徑說(shuō)起:我看除了網(wǎng)頁(yè)下載(含壓縮包或者執行程序打包)和可移動(dòng)磁盤(pán)(俗稱(chēng):U盤(pán))外,幾乎沒(méi)有第三種感染途徑了.
2 從感染的源頭說(shuō)起:除了部分可能是高手們通過(guò)隱匿的方法埋的以外,其它幾乎清一色的都是注入動(dòng)態(tài)網(wǎng)頁(yè).
3 從被感染者說(shuō)起:幾乎都不打微軟更新補丁,并且沒(méi)有良好的安全意識的群體.
以上三點(diǎn),我下面加以詳細說(shuō)明.
1 可移動(dòng)磁盤(pán)感染,幾乎無(wú)一例外都是使用了AUTORUN,這個(gè)方法.而且源代碼都非常的統一:
[AutoRun]
OPEN=setup.exe
shellexecute=setup.exe
shell打開(kāi)(&O)command=setup.exe
shellexecute=setup.exe
shell資源管理器(&O)command=setup.exe
開(kāi)個(gè)玩笑說(shuō)的話(huà),如果換做是我寫(xiě)這東西,我一定做一個(gè)特生動(dòng)的圖標,然后我會(huì )很容易的加入一行:
icon=XXXX.ico
進(jìn)去,即使做,也要做得好看,不要太沒(méi)技術(shù)水平.
可是呢?我們親愛(ài)的作者們,卻是一味的抄襲,不思進(jìn)取,連我說(shuō)的這么簡(jiǎn)單的東西也沒(méi)有實(shí)現.可見(jiàn)作者群的質(zhì)素和能力的極端低下.
2網(wǎng)頁(yè)感染,幾乎都是JS和IFRAME注入式的嵌套加載,而且用的全部都是MS-06014和MS-07017這兩個(gè)老舊的漏洞來(lái)實(shí)現的,極少使用了ANI的exploit,但是也無(wú)任何技術(shù)含量.我都在懷疑,你只需要打足我提到的這三個(gè)補丁,幾乎可以安全的防范大半的網(wǎng)頁(yè)注入式木馬了.
3網(wǎng)頁(yè)被注入,我看網(wǎng)頁(yè)能被注入的一大半都是ASP的,少數是PHP的,而最終的原因都是服務(wù)器管理員,自身根本沒(méi)有意識到自己的服務(wù)器是否存在安全漏洞,并且對權限設置方面,沒(méi)有任何的了解.UNIX下直接給予777,WIN下直接完全控制的之類(lèi),甚至連口令干脆為空或者就是123或者ADMIN之類(lèi)的弱口令,這不是等著(zhù)讓別人到你服務(wù)器上來(lái)亂搞一氣??特別是政府類(lèi)的網(wǎng)站,我看那些管理員根本就是吃干飯的.
----------分隔一下----------
以上的說(shuō)法,并不是說(shuō)我自己怎么怎么厲害了,只是我從客觀(guān)的方面談?wù)撘幌逻@個(gè)罷了,如果您不信,以下的情況你是否有考慮到?所謂病毒木馬的作者們?
1 上面的AUTORUN,如果遇到一個(gè)非簡(jiǎn)體中文的系統,會(huì )是什么情況?
2 如果一個(gè)打足了補丁的WIN系統,你們有辦法實(shí)現木馬下載么?
3 如果一臺WIN系統,禁止了ACTIVEX下載的功能,你又有辦法實(shí)現自動(dòng)下載么?
4 如果一臺服務(wù)器的網(wǎng)站使用全HTML靜態(tài)頁(yè),權限設定得當,后臺按一定時(shí)間自動(dòng)更新靜態(tài)頁(yè),你又能如何去注入?
5 退一萬(wàn)步,即使這些東西都下載到機器上,你在非中文的系統下能正常運行么?
呵呵~~如果以上的情況都沒(méi)有考慮過(guò)的話(huà),只能說(shuō)明你根本不成熟,不具備病毒的任何特性.
殺毒軟件廠(chǎng)商在商業(yè)的驅動(dòng)下,也開(kāi)始了一步一步的退化,也變得越來(lái)越脆弱.
瑞星:估計一個(gè)簡(jiǎn)單的 ICE SWORD 就能讓他徹底閉上那獅子嘴了
金山:可能 WINDOWS 的 Processs kill 就能讓他掛了
江民:可能非 WINDOWS 的進(jìn)程管理器,足以讓他死掉
卡巴:5.0還好一點(diǎn),6.0估計一個(gè)簡(jiǎn)單的 DATE 這個(gè) DOS 命令足以讓他致命
360:如果我將注冊表編輯器禁止了,或者改名了,好像它什么事也做不了了吧
其它的我也不好說(shuō)什么了.
如果丟開(kāi)那些殺軟,WINDOWS 自帶命令組合,也足夠讓上面那些中這木馬的人,心頭發(fā)麻,殺軟肯定也是不會(huì )提供任何可疑操作.
舉個(gè)例子:
cacls 這個(gè)權限操作命令,如果我將你的 %TEMP% 這個(gè)目錄變量定成了任何人無(wú)權訪(fǎng)問(wèn),結果會(huì )如何?
taskkill 這個(gè)殺進(jìn)程命令,如果我指令專(zhuān)殺你的EXPLORER.EXE進(jìn)程,這個(gè)又會(huì )怎么樣?
更狠一點(diǎn)的: del *.* /s /q 這個(gè)呢? 是不是你又準備將硬盤(pán)查個(gè)底朝天???
其實(shí)前幾天一直也和有這里發(fā)文的YKSOFT,討論這些事情,我們想像的東西,可能比目前的舉更為可怕,但是,一直卻沒(méi)有人去實(shí)現.我們自己測試,也基本上以成功而放棄.
呵呵,~~其實(shí)這些簡(jiǎn)單的組合都被它們忽略了.
綜上所述:想真正做到不被人欺騙,能自己手工處理這些事情,能好好看清所謂的“技術(shù)”,還請自己給自己好好補上一些基礎課.不要認為會(huì )用,就是會(huì )維護;不要認為理解了,就不去深入研究.
不要怕摔倒,哪里摔倒,就從怕爬起來(lái)!這才是真正你要做到的事.
謝謝各位看完我這些亂七八糟的話(huà),我不是學(xué)文的,能力有限,希望大家能理解,只是我想把這些道理說(shuō)清楚一點(diǎn),不要做某些事情而迷茫了自己的雙眼.
