<轉載請注明出處 電腦報(www.shudoo.com)2008年第44期F版>
看了本文，你會(huì )知道：
1. 現在網(wǎng)上“黑屏沖擊波”病毒正在快速傳播
2. 中毒后，你的電腦會(huì )出現倒計時(shí)關(guān)機等癥狀
3. 它的首選目標是為防范黑屏而關(guān)閉自動(dòng)更新的電腦
4. 它利用MS08-067漏洞進(jìn)行傳播
5. 黑客利用MS08-067批量溢出工具進(jìn)行瘋狂攻擊
6. 如何清除病毒解以及修補漏洞
在微軟推出黑屏計劃幾天后，網(wǎng)上出現了名為“黑屏沖擊波”的病毒(Win32.Troj.Unknown.z.397312)，從它的命名中就知道跟黑屏有關(guān)。沒(méi)錯，如果你為了避免黑屏，將系統的自動(dòng)升級功能關(guān)閉了，沒(méi)有及時(shí)修改系統的安全補丁，那你就算它的目標了。
也許你要問(wèn)：沖擊波是很老的病毒了，怎么可能還有效？雖然都可以導致出現倒計時(shí)關(guān)機，但此沖擊波病毒可不是2003年的沖擊波病毒，它利用的是最新曝出的MS08-067漏洞進(jìn)行感染的，如果你的電腦沒(méi)有打上相應補丁，該病毒就能發(fā)作。中了該病毒的電腦會(huì )有以下四個(gè)特征：第一，出現倒計時(shí)關(guān)機的提示框。第二，系統運行越來(lái)越緩慢。第三，電腦鼠標被控制。第四，各種賬號和密碼被盜。
如果你的電腦出現以上特征，那就非常不幸，你中了“黑屏沖擊波”病毒。如果你沒(méi)有中該病毒，也別先忙著(zhù)慶幸，你的電腦還沒(méi)有完全擺脫黑客的“魔手”，知道為什么嗎？因為問(wèn)題的關(guān)鍵是在MS08-067漏洞上，不用病毒，黑客還可以用攻擊程序直接入侵，一旦讓黑客成功入侵電腦，你的賬號和密碼就會(huì )被盜。
目前相關(guān)的黑客工具正各大黑客網(wǎng)站上快速地傳播，有不是黑客利用這些工具大肆進(jìn)行破壞，危險不言而喻了。圖1就是某位黑客利用相關(guān)工具批量溢出的“成果”，一次就成功入侵的數十臺沒(méi)有打上補丁的電腦，現在是不是有種不寒而栗的感覺(jué)了？那該漏洞又是怎么產(chǎn)生的？黑客又是如何利用該漏洞直接入侵的？
被黑客攻擊的電腦
遠程調用溢出是禍因
這次微軟曝出的MS08-067漏洞，威脅性相當巨大。黑客利用該漏洞，可以遠程發(fā)起攻擊，讓你的電腦時(shí)不時(shí)的就出現倒計時(shí)關(guān)機(如果你關(guān)閉了自動(dòng)更新)，令人煩不勝煩。此外，木馬也可以利用該漏洞進(jìn)行傳播，試圖盜竊用戶(hù)的各種賬號和密碼——這樣的病毒已經(jīng)出現了。
該漏洞是因為RPC協(xié)議存在溢出缺陷導致的，這與當年肆虐網(wǎng)絡(luò )的沖擊波病毒非常相似。遠程過(guò)程調用(Remote ProcedureCall，RPC)是一個(gè)計算機通信協(xié)議。該協(xié)議允許運行于一臺計算機的程序調用另一臺計算機的子程序，而程序員無(wú)需額外地為這個(gè)交互作用編程。
小知識：有關(guān)RPC的想法至少可以追溯到1976年以“信使報”(Courier)的名義使用。RPC首次在UNIX平臺上普及的執行工具程序是SUN公司的RPC(現在叫ONC RPC)。它被用作SUN的NFC的主要部件。ONC RPC今天仍在服務(wù)器上被廣泛使用。另一個(gè)早期UNIX平臺的工具是“阿波羅”計算機網(wǎng)絡(luò )計算系統(NCS)，它很快就用做OSF的分布計算環(huán)境(DCE)中的DCE/RPC的基礎，并補充了DCOM。
Windows的ConPathMacros函數中的wcscpy在拷貝含有[url=file://\..\]\..\[/url]..的長(cháng)字符串時(shí)出現溢出。ConPathMacros函數中wcscpy執行復制操作，正常的字符串復制后就向下繼續執行了，黑客制作的畸形的字wcscpy被調用時(shí)，會(huì )被執行兩次，這與就會(huì )超出程序的邊界，導致溢出，所以MS08-067漏洞出現了。
模擬入侵遠程電腦C盤(pán)
MS08-067漏洞在微軟推出補丁后沒(méi)有多久，就有國外黑客組織公布了漏洞利用工具PoC版本，可能是開(kāi)發(fā)過(guò)于匆忙，這個(gè)程序本身存在瑕疵，無(wú)法成功利用，所以該工具沒(méi)有流傳開(kāi)來(lái)。
之后，網(wǎng)上出現了可以成功網(wǎng)絡(luò )攻擊的Exp版本，這無(wú)疑將是沒(méi)有打補丁電腦的噩夢(mèng)。而這場(chǎng)噩夢(mèng)究竟有多恐怖哪？接下來(lái)我們就為大家實(shí)戰演示MS08-067漏洞入侵的全部過(guò)程。發(fā)動(dòng)進(jìn)攻主機：Windows XP SP3，被攻擊目標主機：Windows Server 2003(IP地址：192.168.3.76)
第一步：首先準備好MS08-067漏洞的Exp攻擊程序，我們本次測試所使用的就是從互聯(lián)網(wǎng)公開(kāi)渠道下載的Exp程序。程序下載后解壓縮放置到自己制定的文件夾中。
準備好攻擊測試程序后，點(diǎn)擊開(kāi)始菜單中的“控制面板”，然后雙擊打開(kāi)“管理工具”中的“服務(wù)”選項。在打開(kāi)的“服務(wù)”窗口列表中，將Server服務(wù)、Computer Browser服務(wù)、Workstation服務(wù)全部啟動(dòng)。如果不將這三項服務(wù)啟動(dòng)，攻擊程序將無(wú)法正常發(fā)動(dòng)攻擊。
第二步：服務(wù)開(kāi)啟完成后，依次點(diǎn)擊“開(kāi)始菜單”中的“所有程序”，在彈出的菜單列表中單擊“附件”中的“命令提示符”程序，點(diǎn)開(kāi)之后進(jìn)入到Exp程序所在目錄。然后輸入攻擊指令。攻擊指令相當簡(jiǎn)單，只需要輸入Exp程序名稱(chēng)，然后輸入打算攻擊的目標主機IP地址即可。以我們的測試環(huán)境中的例子為：“MS08067exp.exe 192.168.3.76”輸入后回車(chē)，此時(shí)屏幕如果顯示：“SMB Connect OK!MaybePatched!”則表示Exp程序溢出成功。
第三步：在進(jìn)攻主機中打開(kāi)系統安全管理工具“Atools”，然后點(diǎn)擊左方菜單“基本工具”中的“端口管理”，檢查本機系統中是否開(kāi)啟了一個(gè)端口好為“840”的端口。如果系統顯示已經(jīng)開(kāi)啟，則表示已經(jīng)成功的監聽(tīng)并連接到了被攻擊的目標計算機。
第四步：在確定成功溢出目標主機并開(kāi)啟監聽(tīng)端口之后，我們在進(jìn)攻主機的CMD命令提示符窗口中輸入“Telnet 192.168.3.764444”回車(chē)之后，就成功連接進(jìn)入到了被攻擊的目標主機。連接進(jìn)入目標主機后，在CMD命令提示符窗口繼續輸入“net user antiytest /add”命令，此命令將會(huì )在目標主機的系統中添加一個(gè)用戶(hù)名為antiy，密碼為test的用戶(hù)。命令成功完成后，再次輸入“netlocalgroup administrators antiy /add”命令，此命令會(huì )將用戶(hù)名為antiy的用戶(hù)提升為系統管理員。
第五步：在成功提升為管理員之后，繼續在CMD命令提示符窗口輸入“net share c$=C:/user:2”將目標計算機的C盤(pán)共享。然后輸入“net use[url=file://\192.168.3.76\ipc$]\192.168.3.76\ipc$[/url] /user:antiytest”和“net use x:[url=file://\192.168.3.76\c$]\192.168.3.76\c$[/url]”命令，將對方C盤(pán)映射共享，此時(shí)你已經(jīng)成功的入侵并可以隨意獲取對方系統盤(pán)中的文件了。
打補丁堵漏洞
根據MS08-067的嚴重性和危害性，建議廣大用戶(hù)特別是局域網(wǎng)用戶(hù)，即時(shí)更新Windows操作系統的補丁。國內部分盜版用戶(hù)由于受到Windows黑屏事件影響，可能已經(jīng)關(guān)閉了自動(dòng)升級補丁的功能，可以通過(guò)《360安全衛士》等軟件更新補丁。此外，還需要用殺毒軟件配合木馬查殺軟件(例如AVG、《安天木馬防線(xiàn)》等)對自己的電腦進(jìn)行一次徹底的清查。
局域網(wǎng)管理員可以通過(guò)防火墻和路由設備阻斷TCP 139和445端口，禁用Server和Computer Browser服務(wù)，也可以通過(guò)Windows中的Internet連接防火墻，并取消“例外”選項卡中“文件和打印機共享”上的復選框。
清除黑屏沖擊波病毒
如果你的電腦已經(jīng)中了利用MS08-067漏洞的“黑屏沖擊波”病毒，請用以下方法清除病毒。
第一步：首先運行安全工具WSysCheck(下載地址：http://down1.tech.sina.com.cn/download/down_contents/1186848000/36345.shtml)，點(diǎn)擊“進(jìn)程管理”標簽，在進(jìn)程列表找到顯示為紫紅色的svchost.exe進(jìn)程。選中進(jìn)程后，在窗口下方會(huì )看到一個(gè)名為sysmgr.dll的DLL文件，選中它點(diǎn)擊右鍵選擇“卸載模塊”命令即可(圖5)。
圖5
第二步：接著(zhù)點(diǎn)擊程序的“服務(wù)管理”標簽，從服務(wù)列表中找到紅色的sysmgr服務(wù)。點(diǎn)擊右鍵選擇“刪除選中的服務(wù)”命令，清除該木馬的啟動(dòng)服務(wù)，這樣該木馬就不能隨機啟動(dòng)了(圖6)。
圖6
第三步：再點(diǎn)擊程序的“文件管理”標簽后，在磁盤(pán)目錄中進(jìn)入System32目錄中的Wbem文件夾，找到該木馬的服務(wù)端文件sysmgr.dll后，點(diǎn)擊右鍵選擇“直接刪除文件”命令，將木馬從系統徹底清除(圖7)。
圖7
最后重新安裝殺毒軟件(例如《金山毒霸》，下載地址：www.duba.net/download/index.shtml)并升級病毒庫到最新版本，再進(jìn)行全盤(pán)查殺，將病毒殘留物徹底清除干凈。
聯(lián)系客服
