前些日子我有一朋友的筆記本無(wú)法正常登陸Windows，一進(jìn)Windows就馬上出現一個(gè)類(lèi)似震蕩波病毒的對話(huà)框：
┌──────────────────────┬─┐
│系統關(guān)機 │Х │
│ └─┤
├────────────────────────┤
│ 系統即將關(guān)機。請保存所有正在運行的工 │
│ 作，然后注銷(xiāo)。未保存的改動(dòng)將會(huì )丟失。 │
│ 關(guān)機是由 NT AUTHORITY\SYSTEM 初始的 │
│ │
│ │
│ │
│ 離關(guān)機還有 ：00:00:59 │
│ │
│ ┌消息────────────────┐ │
│ │系統處理程序 │ │
│ │C:\WINDOWS\System32\services.exe意│ │
│ │外終止，狀態(tài)碼為 －1073741819。系│ │
│ │統現在將關(guān)機，并重新啟動(dòng)。 │ │
│ │ │ │
│ │ │
│ └──────────────────┘ │
└────────────────────────┘
為什么要說(shuō)是類(lèi)似呢？因為這個(gè)對話(huà)框里的消息是“系統處理程序C:\WINDOWS\System32\services.exe意外終止”，而震蕩波是“系統處理程序C:\WINDOWS\System32\lsass.exe意外終止”。
一開(kāi)始我誤認為是中了震蕩波病毒。往常遇到這樣的情況，只要按下Win＋R鍵調出運行對話(huà)框（IBM的本本都沒(méi)有Windows徽標鍵，無(wú)法進(jìn)行快捷操作，這一點(diǎn)很不方便，只有用鼠標點(diǎn)擊任務(wù)欄左端的“開(kāi)始”，然后點(diǎn)擊“運行”），輸入“shutdown /a”，即可終止自動(dòng)關(guān)機。
可是這次屏幕上除了這個(gè)對話(huà)框沒(méi)有任何東西，沒(méi)有桌面進(jìn)程，我無(wú)法找到任務(wù)欄，所以沒(méi)法終止自動(dòng)關(guān)機。
于是只有重啟，F8，進(jìn)入安全模式，用機器上裝的卡巴斯基全面查毒，又用諾頓，瑞星的震蕩波專(zhuān)殺工具查找是否中了震蕩波，然后打補丁，結果發(fā)現機器上的Windows本身已經(jīng)是SP2了，也就是說(shuō)已經(jīng)對震蕩波病毒免疫了?。?！
重啟，正常模式登陸Windows，結果還是一樣，唯獨有一樣變了：“系統處理程序C:\WINDOWS\System32\services.exe意外終止”變成了“系統處理程序C:\WINDOWS\System32\lsass.exe意外終止”。難道真是震蕩波？不可能??？已經(jīng)是SP2了。
郁悶！百思不得其解，又重復了數遍上述操作，結果絲毫沒(méi)有任何改變。
最后在安全模式里轉悠，發(fā)現系統里除了裝有卡巴斯基，還安裝了Mcaffe。抱著(zhù)試一試的態(tài)度我把Mcaffe卸載了。然后重啟，正常模式，登陸Windows，居然沒(méi)有出現可惡的對話(huà)框了，系統運行一切正常?。?！
總結：殺毒軟件還是不要裝兩個(gè)以上，會(huì )沖突的。我原來(lái)勸別人的時(shí)候別人都不信，這下有依據了。而且很多軟件在安裝的時(shí)候還會(huì )自動(dòng)警告你系統中有其它殺毒軟件存在，不允許繼續安裝，比如EZAntivirus。不同的殺毒軟件之間是會(huì )沖突的。并不是安裝多個(gè)殺毒軟件就萬(wàn)無(wú)一失了，還是選擇一款好的，適合自己的殺毒軟件更舒服一些?？ò退够?amp;Mcaffe的沖突就會(huì )出現類(lèi)似震蕩波病毒的自動(dòng)關(guān)機對話(huà)框，使用戶(hù)無(wú)法正常登陸系統。
關(guān)于沖擊波&震蕩波
沖擊波(Worm.Blaster)
沖擊波（Worm.Blaster）病毒2003年8月12日全球爆發(fā)，病毒運行時(shí)會(huì )不停地利用IP掃描技術(shù)尋找網(wǎng)絡(luò )上系統為Win2K或XP的計算機，找到后就利用DCOM RPC緩沖區漏洞攻擊該系統，一旦攻擊成功，病毒體將會(huì )被傳送到對方計算機中進(jìn)行感染，使系統操作異常、不停重啟、甚至導致系統崩潰。另外，該病毒還會(huì )對微軟的一個(gè)升級網(wǎng)站進(jìn)行拒絕服務(wù)攻擊，導致該網(wǎng)站堵塞，使用戶(hù)無(wú)法通過(guò)該網(wǎng)站升級系統。在2003年8月16日以后，該病毒還會(huì )使被攻擊的系統喪失更新該漏洞補丁的能力。
震蕩波(Worm.Sasser)
2004年5月1日，"震蕩波(Worm.Sasser)"病毒在網(wǎng)絡(luò )出現，病毒在本地開(kāi)辟后門(mén)，監聽(tīng)TCP 5554端口，做為FTP服務(wù)器等待遠程控制命令。病毒以FTP的形式提供文件傳送。黑客可以通過(guò)這個(gè)端口偷竊用戶(hù)機器的文件和其他信息。 病毒開(kāi)辟128個(gè)掃描線(xiàn)程。以本地IP地址為基礎，取隨機IP地址，瘋狂的試探連接445端口，試圖利用windows的LSASS 中存在一個(gè)緩沖區溢出漏洞進(jìn)行攻擊，一旦攻擊成功會(huì )導致對方機器感染此病毒并進(jìn)行下一輪的傳播，攻擊失敗也會(huì )造成對方機器的緩沖區溢出,導致對方機器程序非法操作,以及系統異常等。
兩大惡性病毒的四大區別：
一、 利用的漏洞不同：沖擊波利用的是系統的RPC漏洞，病毒攻擊系統時(shí)會(huì )使RPC服務(wù)（Remote Procedure Call (RPC)調用是WINDOWS使用的一個(gè)協(xié)議，提供進(jìn)程間交互通信，允許程序在遠程機器上運行任意程序）崩潰。震蕩波利用的是系統的LSASS服務(wù)（Windows使用的本地安全認證子系統服務(wù)，提供了一個(gè)用于管理本地安全、域身份驗證和 Active Directory 服務(wù)進(jìn)程的接口，它處理客戶(hù)端和服務(wù)器的身份驗證，另外還包含一些用于支持 Active Directory 實(shí)用工具的功能。）。
二、 產(chǎn)生的文件不同：沖擊波運行時(shí)會(huì )在內存中產(chǎn)生名為msblast.exe的進(jìn)程，在系統目錄中產(chǎn)生名為msblast.exe的病毒文件，震蕩波運行時(shí)會(huì )在內存中產(chǎn)生名為avserve.exe的進(jìn)程，在系統目錄中產(chǎn)生名為avserve.exe的病毒文件。
三、 利用的端口不同：沖擊波會(huì )監聽(tīng)端口69,模擬出一個(gè)TFTP服務(wù)器，并啟動(dòng)一個(gè)攻擊傳播線(xiàn)程,不斷地隨機生成攻擊地址，嘗試用有RPC漏洞的135端口進(jìn)行傳播。震蕩波會(huì )本地開(kāi)辟后門(mén)，聽(tīng)TCP的5554端口，然后做為FTP服務(wù)器等待遠程控制命令，并瘋狂地試探連接445端口。
四、 攻擊的目標不同：沖擊波攻擊所有存在有RPC漏洞的電腦和微軟升級網(wǎng)站，而震蕩波攻擊的是所有存在有LSASS漏洞的電腦。
本站僅提供存儲服務(wù)，所有內容均由用戶(hù)發(fā)布，如發(fā)現有害或侵權內容，請
點(diǎn)擊舉報。
