２０１０年第５期 福建 电脑 ８１ 典型计算机病毒及木马程序剖析 余保明 （平顶山市卫生学校河南平顶山４６７０００） 【摘要１：深入剖析了”红色代码”病毒，广告木马，冲击波病毒等几种典型计算机病毒及木马程序的运行机理，并对其 获取系统运行权的过程进行了详细说明。 【关键词】：病毒木马程序剖析 目前，由于病毒，木马，蠕虫，脚本病毒这四类程序在不断杂 交中衍生。已经形成了”你中有我，我中有你”的多态特性。它们 将网络蠕虫、计算机病毒、木马程序合为一体，开创了网络病毒 传播的新路。为了行文方便，以下将病毒、木马、蠕虫、脚本病毒 统称为”病毒”．但其实这四类程序的感染机制和编写方式是完 全不同的。 病毒入侵计算机后．会想方设法获取系统的运行权，不然的 话。病毒将失去活力，变成硬盘上的一个垃圾文件。下面，我们对 几个典型病毒进行分析，看它们是如何获取系统的运行权。 ｌ ”红色代码”病毒 ”红色代码”病毒采用了一种叫做”缓存区溢出”的黑客技 术．利用网络上使用微软ＩＩＳ系统的服务器来进行病毒的传播。 这个蠕虫病毒使用服务器的８Ｏ端口．而这个端Ｅｌ正是Ｗｅｂ服 务器与浏览器进行信息交流的渠道。”红色代码”病毒能够破坏 ＷｉｎｄｏＷｓ ２０００服务器安全体系．更改系统设置，修改Ｗｉｎｄｏｗｓ 文件并放置特洛伊木马程序．最终导致被感染的计算机系统后 门大开。 ”红色代码”病毒入侵系统后．将Ｃｍｄ．ｅｘｅ复制到Ｃ：盘及Ｄ： 盘的目录中。其文件名为ｒｏｏｔ．ｅｘｅ：ｋｉｎｅｔｐｕｂ￣ｓｃｒｉｐｔｓ＼ｐｒｏｇｒａｍ ｉｆｌｅｓ＼ｃｏｍｍｏｎ ｆｄ＇ｅｓｋｓｙｓｔｅｍｈｎｓａｄｃ。然后．病毒开始扫描网络。寻找 其它可被攻击的系统．这一过程在英文Ｗｉｎｄｏｗｓ ２０００系统中将 持续２４小时．而在运行中文ＷｉｎｄＯＷＳ ２０００系统中将持续４８小 时。接着．病毒程序在Ｃ：盘和Ｄ：盘的根目录下生成一个大小为 ８１９２字节的Ｅｘｐｉｏｒｅｒ．ｅｘｅ木马程序，然后重启系统．执行木马程 序。这个木马程序首先运行ＷｉｎｄｏＷｓ的Ｅｘｐｌｏｒｅｒ．ｅｘｅ程序。然后 通过修改系统注册表的以下键值．使Ｗｉｎｄｏｗｓ丧失对系统文件 的保护能力： ＨＫＥＹ—ＬＯＣＡＬＭＡＣＨＩＮＥ￣Ｓ０ＦＩＷＡＲＥ＼Ｍｉｃｒｏｓｏｆｔ＼ＷｉｎｄｏｗｓＮ ＴｔＣｕｒｒｅｎｔＶｅｒｓｉｏｎ＼Ｗｉｎｌｏｇｏｎ￣ＳＦＣＤｉｓａｂｌｅ－－ＯｘＦＦＦＦＦＦ９Ｄ．该键值的 默认值为０。 修改之后，木马程序通过修改系统注册表以下键值，创建两 个虚拟ＩＩＳ目录Ｃ和Ｄ，分别映射到系统的Ｃ：盘和Ｄ：盘。 ＨＫＥＹ＿ＬＯＣＡＬ＿ＭＡＣＨＩＮＥ＼ＳＹ Ｍ＼ｃｕｒｒｅｎｔＣｏｎｔｒｏｌＳｅｔ￣Ｓｅｒ－ ｖｉｃｅｓ＼Ｗ３ＳＶＣＷａｒａｍｅｔｅｒｓ＼Ｖｉｒｔｕａｌ Ｒｏｏｔｓ这些虚拟目录被赋予读写 及执行的权限．这样木马程序通过ＩＩＳ向所有黑客提供了对被感 染服务器Ｃ：盘和Ｄ：盘的完全控制能力 ２、Ｗｉｎ３２．Ｔｒｏｊ．ＡＤＮａｖｉｈｅｌｐｅｒ（广告木马１ 该病毒属于广告木马，一般会捆绑在正常软件中。当用户运 行捆绑有该病毒的文件时。会释放出该文件。病毒通过浏览器帮 助对象￣ｒｏｗｓｅｒ Ｈｅｌｐ Ｏｂｊｅｃｔ，简称ＢＨＯ），注入到ＩＥ浏览器中， 然后通过ＳＱＬ查询，强行打开指定网页。这样，浏览器不时地打 开广告窗口。如：”女生宿舍”或”青涩宝贝”等，给用户使用浏览器 带来不便 ”广告木马”入侵系统后 １）、将自身存放在如下路径中： ％ｓｙｓｔｅｍ％ＬＮａｖｉｈｅｌｐｅｒ．ｄｌｌ ２）、添加如下注册表键值 ＨＫＥＹ＿－ｃＵＲＲＥＮＴ ＵＳＥＲｋＡｐｐｌＤ＼ｆ１３ＦＡＣＡ６２—５ＦＣ４－４８１７— ９１７５—９Ｃ８ＤＯ０９７５９１６ｌ ＨＫＥＹＣＵＲＲＥＮＴ＿ＵＳＥＲｋＡｐｐｌＤｋＮａｖｉＨｅｌｐｅｒ．ＤＬＬ —ＨＫＥＹ ＣＵＲＲＥＮＴ ＿ＵＳＥＲＬＮａｖｉＨｅｌｐｅｒ ． ＮａｖｉＨｅｌｐｅｒＯｂｊ ．１ＨＫＥＹ ＣＵＲＲＥＮＴ ＵＳＥＲｋＮａｖｉＨｅｌｐｅｒ．ＮａｖｉＨｅｌｐｅｒＯｂｊ ＨＫＥＹ ＣＵＲＲＥＮＴ ＵＳＥＲ＼ＣＩＪＳＩＤ＼ｆ３Ｅ４２２Ｆ４９—１５６６—４０Ｄ３一 Ｂ４３Ｄ—Ｏ７７ＥＦ７３９ＡＣ３２｝ 这些键值用于注册ＢＨＯ．使得每次开启ｌＥ浏览器时都会 加载该广告程序。 ３）、从网上下载ｈｔｔｐ：／／ｂａｒ．ｘｘｘｘｘ８．ｃｏｒｎ／ｈｏｓｔ．ｄａｔ到本地的％ ｓｙｓｔｅｍ％￣ｈｏｓｔ．ｄａｔ ４）、ｈｏｓｔ．ｄａｔ文件为ＳＱＬ数据库，包含了全部要显示的网页 地址．包括以下网址： ｈｔｔｐ：／／ｗｗｗ．ｑｕ１２３．ｃｏｍ／ａｏｙｕ１．ｈｔｍｌ ｈｔｔｐ：／／ｂａｂｙ．ａｏｅ８８．ｃｏｍ／ａｄ． ｈｔｍｌ ３、冲击波病毒 计算机被”冲击波”病毒感染后，会产生下列现象：系统资源 被大量占用．有时会弹出ＲＰＣ服务终止的对话框，并且系统反 复重启，不能收发邮件，不能正常复制文件，无法正常浏览网页， ＤＮＳ和ＩＩＳ服务遭到非法拒绝等。下面是弹出ＲＰＣ服务终止的 对话框的现象： ”冲击波”人侵系统后： １）、将自身复制到ｗｉｎｄｏｗ目录下，并命名为ｍｓｂｌａｓｔ．ｅｘｅ。 ２）、病毒运行时会在系统中建立一个名为”ＢＩＬＬＹ”的互斥 量，目的是保证在内存中只有一份病毒体，避免被用户发现。 ３）、病毒运行时会在内存中创建一个名为ｍｓｂｌａｓｔ．ｅｘｅ的进 程。该进程就是活的病毒体。 ４）、病毒会修改注册表。在ＨＫＥＹ ＬＯＣＡＬ ＭＡ． ＣＨＩＮＥ＼ｓＯＦｒＷＡＲＥ＼Ｍｉｃｔｕｓ０】ｔ．、Ｗｉｎｄｏｗｓ＼ＣｕｒｒｅｎｔＶｅｒｓｉｏｎＬＲＵＳ下添 加以下键值：”ｗｉｎｄｏｗｓ ａｕｔｏ ｕｐｄａｔｅ”＝”ｍｓｂｌａｓｔ．ｅｘｅ”．以便每次系 统启动时，病毒都会运行。 ５）、病毒每２０秒检测一次网络状态，当网络可用时，病毒会 在本地的ＵＤＰ／６９端口上建立一个ｆｆｔｐ服务器．并启动一个攻击 传播线程。不断地随机生成攻击地址进行攻击，另外该病毒攻击 时，会首先搜索子网的ＩＩ）地址，以便就近攻击。 ６）、当病毒扫描到计算机后，就会向目标计算机的ＴＣＰ／１３５ 端口发送攻击数据。 ７）、当病毒攻击成功后，便打开目标计算机的ＴＣＰ／４４４４．端 口作为后门，并绑定ｃｍｄ．ｅｘｅ，然后蠕虫会连接到这个端１２１。发送 ｔｆｔｐ命令。回连到发起进攻的主机，将ｍｓｂｌａｓｔ．ｅｘｅ传到目标计算 机上并运行 ４、Ｈｅ４Ｈｏｏｋ Ｗｉｎｄｏｗｓ ｒｏ０ｔｋｉｔ就是Ｗｉｎｄｏｗｓ系统中的ｒ０ｏｔｋｉｔ．是一种程序 或程序集。其用途是秘密控制被入侵的计算机的行为。它经常用 来隐藏一个后门程序以及其它类似工具程序．使这些工具程序 能在指定计算机中非法存在。当用户查询计算机的当前状况时． 它通过隐藏和这些工具相关的所有信息来欺骗用户．使用户相 信计算机未受到侵害。按照运行时的环境不同．Ｗｉｎｄｏｗｓ ｒｏｏｔｋｉｔ 分为两类：内核模式ｒｏｏｔｋｉｔ和用户模式ｒｏｏｔｋｉｔ。（下转第ｌｌ６页） １１６ 例： ＃ｉｎｃｌｕｄｅ”ｓｎｍｐｐｐ／ｓｎｍｐ＿ｐｐ．ｈ” ＿福建电脑 ２０１０年第５期 ）！＝ＳＮＭＰ＿ＣＬＡＳＳ＿ＳＵＣＣＥＳＳ） ｆ，，如果Ｇｅｔ操作失败 ＃ｉｎｃｌｕｄｅ ｓｎｍｐｐｐ／ｏｉｄ．ｈ” ＿辆ｎｃｌｕｄｅ １２１３．ｈ” ＡｆｘＭｅｓｓａｇｅＢｏｘ（ｓｎｍｐ．ｅｒｒｏｒ＿ｍｓｇ（ｓｔａｔｕｓ））； Ｊ ｅｌｓｅ ｖｏｉｄ ＣＳＮ 一Ｅｘａｍｐｌｅ：：ｇｅｔ＿ｓｙｓｔｅｍ＿ｄｅｓｃｒｉｐｔｏｒ０ ｌ Ｓｎｍｐ：：ｓｏｃｋｅｔ＿ｓｔａｒｔｕｐ０； ｉｎｔ ｒｅｘｒｉｅｓ＝３； 叮始化ｓｏｃｋｅｔ子系统 Ｓｎｍｐ＿ｖｅｒｓｉｏｎ ｖｅｒｓｉｏｎ＝ｖｅｒｓｉｏｎ１；，，默认版本为ｖ１ ／／默认重试次数为３ ｉｎｔ ｔｉｍｅｏｕｔ＝２００；，，Ｉ吠认超时时间为２秒 ｕ＿ｓｈｏｒｔ ｐｏｎｆ１８ｆｆ，棚 认ＳＮＭＰ端口为１８０ ＯｃｔｅｔＳｔｒ ｃｏｍｍｕｎｉｔｙ（ ｐｕｂｌｉｃ”）；／／共同体 ｉｎｔ ｓｔａｔｕｓ： ，／返回状态 ｛ Ｐｄｕ．ｇｅＬｖｂ（ｖｂ，０）；／／９，ＰＤＵ中提取变量绑定 ＡｆｘＭｅｓｓａｇｅＢｏｘ（ｖｂ．ｇｅｔ＿ｐｒｉｎｔａｂｌｅ＿ｖａｌｕｅ０）； ，／用消息框显示该值 ｌ Ｓｎｍｐ：：ｓｏｃｋｅｔｅｌｅａｎｕｐ０； ，，关闭ｓｏｃｋｅｔ子系统 ＿｝ ６．结束语 ＵｄｐＡｄｄｒｅｓｓ ａｄｄｒｅｓｓ（＂１９２．１６８．０．２５３”）； 系统实现中遵循标准的ＳＮＭＰ协议．使用ＳＮＭＰ＋＋软件包 进行系统的开发设计，在数据的采集、显示中充分考虑用户需求 Ａｄｄｒｅｓｓ．８ｅＬｐ０ｒｔ（ｐｏｒｔ）； 设定端口 ＣＴａｒｇｅｔ ｃｔａｒｇｅｔ（ａｄｄｒｅｓｓ）； 变化．为该系统的广泛适应性提供了基础ＳＮＭＰ＋＋的使用即降 ｅｔａｒｇｅｔ．ｓｅｔ＿ｖｅｒｓｉｏｎ（ｖｅｒｓｉｏｎ）； ／／设置ＳＮＭＰ版本 低ＳＮＭＰ网络管理系统开发的复杂性又缩短了开发周期．同时 ｃｔａｒｇｅｔ．ｓｅｕｒｅｔＩｙ ｔｒｉｅｓ）； ／／设置自动重试次数 还可与第三方软件协作进行其他与网络管理相关的应用． ｃｔａｒｇｅｔ．ｓｅｔ＿ｔｉｍｅｏｕｔ（ｔｉｍｅｏｕｔ）；腋置超时 ｃｔａｒｇｅｔ．ｓｅｔ ｒｅａｄｃｏｍｍｕｎｉｔｙ（ｃｏｍｍｕｎｉｔｙ）； 设置读共同体 参考文献： ０ｉｄ ｏｉｄ（ｏｉｄＳｙｓＤｅｓｅｒ）； ／／ｏｉｄＳｙｓＤｅｓｃｒ在头文件ｒｆｅｌ２１３．ｈ中定义 Ｖｂ ｖｂ（ｏｉｄ）； ［１】谢希仁．计算机网ｇ（ｇ四版）【Ｍ】电子工业出版社，２００３ Ｐｄｕ ｐｄｕ； ［２］ＳｔａＵｉｎｇｓ Ｗ．ＳＮＭＰ网络管理【Ｍ】胡成松，汪凯译．北京：中回电力出版 Ｓｎｍｐ ｓｎｍｐ（ｓｔａｔｕｓ）；，，创建一个会话 社．２００１ ｉｆ（ｓｔａｔｕｓ！＝ＳＮＭＰ＿ＣＬＡＳＳ＿ＳＵＣＣＥＳＳ） ［３］Ｈａｍｅｄｙ Ｓ．简单网络管理协议教程【Ｍ】．胡谷雨，张巍，倪桂强，赖蓉， ｛，，检查刨建状态。如果创建失败则弹出错误信息 等译．北京：电子工业出版社，１９９９ ＡｆｘＭｅｓｓａｇｅＢｏｘ（ｓｎｍｐ．ｅｒｒｏｒ＿ｍｓｇ（ｓｔａｔｕｓ），ＭＢ—ＯＫＩＭＢ—ＩＣＯＮＩＮＦＯＲＭＡＴＩＯＮ）； 王平．赵宏．陈海涛．一个基于ＳＮＭＰ的简单网络管理系统的设计与实 Ｒｅｔｕｒｎ； 现【Ｊ】．小型微型计算机系统，２００１．２２【９）：１４－１７． ｝ 【５】王建民，李霞．基于ＳＮＭＰ的网络性能管理系统的设计与实现【Ｊ】．现 ｐｄｕ＋＝ｖｂ； 『／将变量绑定加入ＰＤＵ中 代电子技术．２００６．８：９１－９２ 调用Ｇｅｔ操作 。—＋一－— 一－。－ 一一＋－＋一＋“＋ —＋ｒ一—＋一“’—卜－—●一一＋一＋ ・－卜一—＋一－—・＋一一 ・●一一—－一一＋一。■一・・＋一‘■一一—■一￣－４－－＋ （上接第８ｌ页） 内核模式ｒｏｏｔｋｉｔ驻留在内核态中．以内核驱动程序的方式存在 路径、操作系统版本、当前显示分辨率、物理及逻辑磁盘信息等 于操作系统中：用户模式ｒｏｏｔｋｉｔ则运行在权限较低的用户态中。 多项系统数据 Ｈｅ４Ｈｏｏｋ是一个内核模式Ｗｉｎｄｏｗｓ ｍｏｔｋｉｔ．可运行于Ｗｉｎ． ４）系统功能，包括远程关机、远程重启计算机、锁定鼠 ｄｏｗｓ Ｎ＇ｒ４．０、Ｗｉｎｄｏｗｓ２０００中。在Ｗ３Ｓ＇Ｗ．ｒｏｏｔｋｉｔ．ｃｏｍ网站中，有它的 标、锁定系统热键及锁定注册表等多项功能。 完整源代码。Ｈｅ４Ｈｏｏｋ在技术上很先进，而且也比较稳定。它的 ５）远程文件操作，包括创建、上传、下载、复制、删除文件或 执行文件主要包括两个．Ｈｅ４Ｈｏｏｋｌｎｖ．ｓｖｓ和Ｈｅ４ＨｏｏｋＣｏｎｔｒｏ１． 目录、文件压缩、快速浏览文本文件、远程打开文件等多项文件 ｅｘｅ。其中，Ｈｅ４Ｈｏｏｋｌｎｖ．ｓｙｓ是内核模式驱动程序，Ｈｅ４ＨｏｏｋＣｏｎ． 操作功能。 ｔｒｏｌ。ｅｘｅ是用于和Ｈｅ４ＨｏｏｋＩｎｖ．ｓｙｓ进行通信的控制台程序。它的 ６）注册表操作，包括对主键的浏览、增删、复制、重命名和对 主要特点是使用ＳｙｓｔｅｍＩ￣ａｄＡｎｄＣａｌＬＩｍａｇｅ技术而不是使用服务 键值的读写等所有注册表操作功能。 控制管理器（ＳＣＭ）来装载驱动Ｈｅ４ＨｏｏｋＩｎｖ．ｓｖｓ．并提供了两种文 ７）发送信息，以四种常用图标向被控端发送简短信息。 件系统挂钩方法。一种使用常规的挂钩系统服务地址表技术，另 ８）点对点通讯，以聊天室形式同被控端进行在线交谈。 一种则使用很少见的挂钩文件系统驱动程序的技术．它可以隐 ９）邮件功能，自动往设定的电子邮箱发送系统信息。 藏或保护某些目录．受保护的目录在应用程序中无法访问。 ５、冰河木马 参考文献： 冰河＿由两个程序组成：Ｇ ｓｅＨｅｒ．ｅｘｅｆ服务端程序，即木马）和 【１】天缘，安全ｑ－典一一病毒及攻击防御手册．ｈｔｔｐ：／／ｗｗｗ．ｙｅｓｋｙ．ｃｏｍ／ Ｇ ｃｌｉｅｎｔ．ｅｘｅ（控制端程序）。它的特性有： Ｓｏｆ ’ｈａＩｌｌ１ｄ／７２３５６６８２６７５５１９４８８／２０ｏ４０７２９／１８３６６５９．ｓｈｔｍ１．２００４－７ １）自动跟踪目标机屏幕变化，同时可以完全模拟键盘及鼠 【２１ Ｍｉｃｒｏｓｏｆｔ Ｓｅｃｕｒｉｔｙ Ｂｕｌｌｅｄｎ（ＭＳ００—０５２）． 标输入。 ｈｔｔｐ：／／ｗｗｗ．ｍｉｃｒｏｓｏｆｔ．ｃｏｍ／ｔｅｃｈｎｅｔ／ｓｅｃｕｒｉｔｙ／ｂｕｌｌｅｔｉｎ／ＭＳ００—０５２．ａｓｐ，２０００ －２）记录各种口令信息，包括开机口令、屏保口令、各种共享 ７－２８． 资源口令及绝大多数在对话框中出现过的口令信息．记录击键 【３】ＴＯｏ２ｙ，一个修改ＮＴ内棱的真实Ｐ．ｏｏｔＫｉｔ， 输入。 ｈｔｔｐ：／／ｗｗｗ．ｘｆｏｃｕｓ．ｎｅｔ／ａｒｔｉｌｃｅｓ／２００３０６／５５８．ｈｔｍｌ，２００３－６． ３）获取系统信息。包括计算机名、注册公司、当前用户、系统 （上接第１１２页） ｈ Ｓｔｅｐ３：ｌｍａｇｅＮＯ４－－ｎ ＩｍａｇｅＮＯ 像的结构距离，可以计算２ Ⅳｏｌ中的每个图像与｛Ａ … ．） ｉ＝ｌ 的结构距离，按结构距离从小到大输出一定数量的图像。 ｓｔｅｐ４：输出ｌｎｌａｇｅＮ０中的每个图象。 基于形状的图像检索算法由于其在空间相关性上的优势。 这一检索算法中。Ｓｔｅｐ２一ｌ是基于特征的初级检索；Ｓｔｅｐ２—４ 可以弥补颜色和纹理作为检索特征的一些不足．给人们的工作 是基于尺度函数的匹配。 和学习带来更大的便利，必定能得到更广泛的应用。 在图像检索中还应考虑有相同相对空问关系的图像．和图
