反黑风暴-第16章
按键盘上方向键 ← 或 → 可快速上下翻页，按键盘上的 Enter 键可回到本书目录页，按键盘上方向键 ↑ 可回到本页顶部！
————未阅读完？加入书签已便下次继续阅读！
RPC漏洞带来的危害很严重，比如基于RPC漏洞的著名病毒“冲击波”，可导致系统反复重启系统，不能正常复制文件和浏览网站，DNS、IIS、路由器等受到非法拒绝服务攻击，整个网络系统处于瘫痪状态。
漏洞利用工具有两个：Rpcd和OpenRpcss。先使用Rpcd对远程主机发送畸形数据包，使用OpenRpcss攻击远程主机，最终会在远程主机内部建立一个管理员账号。
Rpcd命令格式：RpcdServer。OpenRpcss命令格式：OpenRpcssServer。
入侵的具体步骤如下：
步骤01先使用命令给远程主机发送畸形数据，使用“Rpcd存在漏洞远程主机的IP地址”命令。
步骤02利用OpenRpcss工具建立管理员账号，使用“OpenRpcss。exe存在漏洞远程主机的IP地址”命令。
步骤03在远程主机内部成功建立一个管理员账号，可通过IPC，使用“use存在漏洞远程主机的IP地址IPC〃密码〃/user：〃用户名〃”命令。
（3）漏洞的防范
黑客可以利用RPC漏洞，给远程服务器监听的特定RPC端口发送畸形请求，如135、139、445等任何配置了RPC端口的计算机，在受到攻击时，Windows系统也出现蓝屏、重启以及自动关机的现象。下面有两种方法可以很好的预防RPC漏洞攻击。
●更改RPC服务设置
选择【开始】→【设置】→【控制面板】→【管理工具】→【服务】菜单项，即可打开【服务】窗口。在其中选择“RemoteProceduceCall（RPC）”服务并右击，在快捷菜单中选择“属性”选项，即可打开【RemoteProceduceCall（RPC）的属性（本地计算机）】对话框，切换到“恢复”选项卡，将其中的第一、二次失败以及后续失败都设置为“不操作”选项。
●安装微软提供的RPC补丁。
4．即插即用功能远程控制缓冲区溢出漏洞
UPnP（UniversalPlugandPlay，通用即插即用）软件是基于互联网协议的，它允许不同的设备（如电脑、扫描仪、打印机等）联成网络，可以在彼此之间自动识别并进行通信，这样，用户就不需要再挨个为每个外设来配置计算机了。
WindowsXP操作系统在发售时就已经激活了UPnP功能，给用户带来极大的方便。然而，UPnP也存在安全漏洞。黑客可以利用这一漏洞控制同一网络上的电脑或发动DoS攻击。更为严重的是，同一网络的其他用户甚至不需要知道该计算机的IP地址，就可以对其发对攻击。
UPnP协议存在安全漏洞问题，最早是由eEye数字安全公司发现并通知微软的。其中的UPnP存在缓冲区溢出问题，也是Windows中有史以来最严重的缓冲溢出漏洞，当处理NOTIFY命令中的Location字段时，如果IP地址、端口和文件名部分超长，就会发生缓冲区溢出，由此会造成服务器程序的一些进程，其内存空间的内容被覆盖。
由于UPnP服务运行在系统的上下文，因此，攻击者如果利用漏洞成功，即可完全控制主机。更为严重的是，SSDP服务器程序同样也监听广播和多播接口，所以攻击者可同时攻击多个机器而不需要知道单个主机的IP地址。
（1）漏洞检测
推荐使用MS05…039Scan工具检测这类漏洞，它是用于MicrosoftWindows即插即用功能远程缓冲区溢出漏洞的专用扫描工具。
只查找出远程主机存在的漏洞还远远不够，最好能知道远程主机上使用的Windows操作系统类型，这时可以使用X…Scan来对远程主机进行扫描，以获取操作系统类型。
（2）漏洞利用
使用工具：ms05039。exe，命令格式：ms05039。exe＇target＇。
●host：指远程主机IP地址或远程主机名。
●conIP：本地回连IP。
●ConPort：溢出成功后远程主机回连的端口号。
●Target：选择操作系统类型。
具体的操作步骤如下：
步骤01漏洞扫描。在MS05…039Scan主窗口中输入远程主机IP的起始和结束地址之后，单击按钮，即可把输入的IP地址添加到扫描范围中。
步骤02单击按钮，即可开始对远程主机进行扫描，在其中查找存在Windows即插即用远程缓冲区溢出漏洞的远程主机。
步骤03利用X…Scan扫描存在漏洞的远程主机，查看它的主机类型。在本地命令行窗口中找到nc。exe工具所在的目录之后，在其中输入“nc…1–p7755”命令进行监听状态（7755代表在本地中打开用于监听的端口号）。
步骤04在MS…DOS命令行窗口中找到ms05039。exe所在的目录之后，在其中输入“ms050
39。exe存在漏洞的远程主机IP本地机IP77551”命令对远程主机添加账号，如果账号添加成功，则说明获得了管理员权限。
（3）预防措施
由于WindowsXP打开了UpnP功能，因此，所有WindowsXP用户都应立即安装该补丁；而WindowsMe用户只有在运行UpnP时才需要该补丁，因为WindowsMe的UPnP功能在安装时是关闭的。WindowsXP用户可以在“//。microsoft。/Downloads/Release。asp？ReleaseID=34951”地址中下载该补丁。
第四章 恶意代码攻击
恶意代码包括特洛伊木马、邮件病毒、网页病毒等，它是一种程序，通过把代码在不被察觉的情况下镶嵌到另一段程序中，从而达到破坏被感染电脑数据、运行具有入侵性或破坏性的程序、破坏被感染电脑数据的安全性和完整性的目的。
6。4。1攻击原理
用恶意代码进行攻击可以强行修改用户操作系统的注册表设置及系统实用配置程序，或非法控制系统资源来盗取用户文件，或恶意删除硬盘文件、格式化硬盘等。恶意代码主要是通过插在网页中的代码来修改浏览该网页的计算机用户的注册表，利用浏览器或其他已知系统弱点/漏洞，对访问者的电脑进行非法设置和恶意攻击，实现修改IE首页地址、修改标题栏、禁止修改注册表、修改IE默认搜索引擎等攻击。恶意代码的攻击类型主要有以下几种：
1．修改注册表
大多数隐藏在网页中的恶意代码会利用IE的文件漏洞通过编辑的脚本程序修改注册表，比如，修改IE的起始主页、标题栏、工具栏、IE默认搜索引擎、定时弹出IE新窗口等。
2．无聊恶意网页
这类网页是利用编写JavaScript代码，如弹出很多关不完的窗口，让CPU资源耗尽而重新启动。若要避免被这类恶意代码攻击，需要将JavaScript禁用，并将IE升级到更高的版本。
3．利用IE漏洞
如果用户系统中安装的IE版本过低，没有及时打补丁，恶意代码就会利用IE漏洞对用户进行攻击。这种攻击的几种表现形式如下：
●格式化硬盘
●执行。exe文件
●自动运行木马程序
●泄露用户的信息
要防范这种恶意代码攻击，需要用户对IE进行升级，并进行一些相关的安全设置。这些设置将在下面的“恶意代码攻击防范”一节中讲述。
在浏览网页时，这些恶意代码是如何瞒天过海，修改我们的注册表呢？这就要提到微软的ActiveX技术了，ActiveX是Microsoft提供的一组使用使软件部件在网络环境中进行交互的技术集。它是被用做针对Inter应用开发的重要技术之一，广泛应用于Web服务器，以及客户端的各个方面。因此，ActiveX可被用于网页编制中，使用JavaScript语言就可以很容易地将ActiveX嵌入到Web页面中。
目前，在Inter上有很多ActiveX控件供用户下载使用，这些被下载的ActiveX控件都保存在C：SYSTEM目录下。为了在服务器能够与客户端之间建立良好的信任关系，也考虑到Web的安全性，就规定每个在Web上使用的ActiveX控件都需要设置一个“代码签名”，如果要正式发布，就必须向相关机构申请。但“代码签名”技术存在缺陷，因此，黑客们就利用这个漏洞破解“代码签名”，进而修改注册表。
6。4。2网页恶意代码的攻击表现
恶意代码包括特洛伊木马、邮件病毒、网页病毒等，当计算机被恶意代码攻击后，会出现很多棘手的问题，影响用户的正常操作。本节以网页恶意代码的攻击为例，介绍计算机遭受网页恶意代码攻击后的表现及解决方法。
1。篡改IE主页
当网站受到恶意代码的攻击后，可能会经常篡改IE主页。例如，当用户将IE主页设置为“//。baidu。”后，当下次再打开IE浏览器时，打开的并不是设置的主页，而是被。篡改后的主页。这种情况是因为恶意代码修改了注册表中的“HKEY_LOCAL_MACHINESOFTWAREMicrosoftInterExplorerMainStartPage”项和“HKEY_CURRENT_USERSOFTWAREMicrosoftInterExplorerMainStartPage”项的键值，从而修改IE浏览器主页。
针对这种情况，可以重新修改“StratPage”项的键值，恢复IE浏览器的主页。
步骤01在【注册表编辑器】窗口的左侧树形目录中依次展开“HKEY_LOCAL_MACHINESOFTWAREMicrosoftInterExplorerMain”项，在右侧窗口找到“StartPage”键值项。
步骤02双击“StratPage”键值项，即可弹出【编辑字符串】对话框，在“数值数据”文本框中输入要修改的IE主页名称，如“about：blank”。
步骤03单击“确定”按钮，即可返回【注册表编辑器】窗口中。依次展开左侧窗口中的“HKEY_CURRENT_USERSoftwareMicrosoftInterExplorerMain”项，在右侧窗口中找到“StratPage”键值项，按照同样的方法将其值修改为“about：blouk”。
步骤04单击“确定”按钮，重新启动计算机系统，即可完成对IE浏览器主页的恢复。
2．篡改IE默认页
IE默认页被篡改，也是网站遭受恶意代码攻击后的典型问题。打开IE浏览器，其默认网页被修改为其他不知名的站点，即便设置为“使用默认页”也没有用。
这种情况是因为恶意代码修改了注册表“HKEY_LOCAL_MACHINESoftwareMicrosoft
InterExplorerMainDefault_Page_URL”项的键值，从而篡改IE默认页。要想恢复IE默认页的使用，需要用户重新修改“Default_Page_URL”项的键值。具体的操作步骤如下：
步骤01在【注册表编辑器】窗口左侧窗口的树形目录中依次展开“HKEY_LOCAL_MACHINESoftwareMicrosoftInterExplorerMain”项，在右侧窗口中找到“Default_page_URL”键值项。
步骤02双击右侧窗口中的“Default_Page_URL”键值项，即可弹出【编辑字符串】对话框，在“数值数据”文本框中输入“about：blank”。
步骤03单击【确定】按钮，重新启动计算机系统，即可恢复被修改的IE默认网页。
3。【Inter属性】对话框中的“Inter临时文件”区域被禁用
打开IE浏览器，选择【工具】→【IE选项】菜单项，即可打开【Inter属性】对话框。此时，发现“Inter临时文件”区域中的部分功能被禁止，无法进行删除Cookies和其他文件的操作。
造成这种情况的罪魁祸首也是网页恶意代码，它通过修改注册表项“HKEY_CURRENT_USERSoftwarePoliciesMicrosoftInterExplorerControlPanel”中的某些键值来达到禁止IE部分设置的目的。
解决这种情况的方法，同样还是要重新修改注册表中的相应键值。其具体操作步骤如下：
步骤01打开【注册表编辑器】窗口，在左侧窗口中依次展开“HKEY_CURRENT_USERSoftwarePoliciesMicrosoftInterExplorerControlPanel”项，并在右侧窗口中找到“Settings”、“Links”、“SecAddSites”等键值项。
步骤02依次双击“Settings”、“Links”、“SecAddSites”键值项，在弹出的【编辑DWORD】对话框中将它们的键值都修改为“0”。单击【确定】按钮，再次打开【Inter属性】对话框，即可看到已恢复禁止的IE设置。
4．【Inter属性】对话框中的“主页”区域被禁用
打开【Inter属性】对话框，发现“主页”区域下的所有功能都被禁用。这是因为恶意代码修改了注册表项“HKEY_CURRENT_USERSoftwarePoliciesMicrosoft
InterExplorerControlPanel”中的“homepage”键值项的值。
要恢复这些设置，可按照如下步骤进行操作：
步骤01打开【注册表编辑器】窗口，在左侧窗口中依次展开“HKEY_CURRENT_USERSoftwarePoliciesMicrosoftInterExplorerControlPanel”项，在右侧窗口中找到“homepage”键值项。
步骤02双击“homepage”键值项，即可弹出【编辑DWORD值】对话框，在其中修改其键值为“0”。单击【确定】按钮，重新启动计算机系统，即�
