第5章惡意代碼攻擊機理分析第5章惡意代碼攻擊機理分析

      5.1惡意代碼概述5.1.1惡意代碼的定義計算機病毒是早期主要形式的惡意代碼。在20世紀80年代，計算機病毒誕生，它是早期惡意代碼的主要內(nèi)容，由Adleman命名、Cohen設計出的一種在運行過程中具有復制自身功能的破壞性程序。在這之后，病毒被Adleman定義為一個具有相同性質(zhì)的程序集合，只要程序具有破壞、傳染或模仿的特點，就可認為是計算機病毒。這種定義使得病毒內(nèi)涵被賦予了擴大化的傾向，將任意帶有破壞性的程序都認為是病毒，掩蓋了病毒潛伏、傳染等其他重要特征。20世紀90年代末，隨著計算機網(wǎng)絡技術的發(fā)展進步，惡意代碼(Malicious Code)的定義也被逐漸擴充并豐富起來，惡意代碼被Grimes定義為從一臺計算機系統(tǒng)到另外一臺計算機系統(tǒng)未經(jīng)授權認證，經(jīng)過存儲介質(zhì)和網(wǎng)絡進行傳播的破壞計算機系統(tǒng)完整性的程序或代碼。計算機病毒(Computer Virus)、蠕蟲(Worms)、特洛伊木馬(Trojan Horse)、邏輯炸彈(Logic Bombs)、病菌(Bacteria)、用戶級RootKit、核心級RootKit、腳本惡意代碼(Malicious Scripts)和惡意Active X控件等都屬于惡意代碼。

      因此可以總結(jié)出惡意代碼兩個顯著的特點： 非授權性和破壞性。表5��1列舉了惡意代碼的幾個主要類型及關于其自身的定義說明和特點。

      5.1.2惡意代碼的危害

      惡意代碼問題不但造成了企業(yè)和眾多用戶巨大的經(jīng)濟損失，還對國家的安全產(chǎn)生了嚴重的威脅。目前國際上一些發(fā)達國家都投入大量資金和人力對惡意代碼領域的問題進行了長期深度的研究，同時在某種程度上取得了顯著的技術成果。1991年的海灣戰(zhàn)爭，據(jù)報道，伊拉克從國外購買的打印機被美國植入了可遠程控制的惡意代碼，這使得戰(zhàn)爭還沒打響之前就造成了伊拉克整個計算機網(wǎng)絡管理的雷達預警系統(tǒng)全部癱瘓。這是美國第一次公開在表5��1主要惡意代碼的相關定義惡意代碼類型相關定義說明特點計算機病毒指編制或在計算機程序中插入的破壞計算機功能或毀壞數(shù)據(jù)、影響計算機使用，并能自我復制的一組計算機指令或程序代碼潛伏、傳染和破壞計算機蠕蟲指通過網(wǎng)絡自我復制、消耗系統(tǒng)和網(wǎng)絡資源的程序掃描、攻擊和擴散特洛伊木馬指一種與連接遠程計算機通過網(wǎng)絡控制本地計算機的程序欺騙、隱蔽和信息竊取邏輯炸彈指一段嵌入計算機系統(tǒng)程序的、通過特殊的數(shù)據(jù)或時間作為條件完成破壞功能的程序潛伏和破壞病菌指不依賴于系統(tǒng)軟件自我復制和傳播，以消耗系統(tǒng)資源為目的的程序傳染和拒絕服務用戶級RootKit指通過替代或修改被執(zhí)行的程序進入系統(tǒng)，從而實現(xiàn)隱藏和創(chuàng)建后門的程序隱蔽、潛伏核心級RootKit指嵌入操作系統(tǒng)內(nèi)核進行隱藏和創(chuàng)建后門的程序隱蔽、潛伏

      實戰(zhàn)中利用惡意代碼攻擊技術獲得的重大軍事利益。在Internet安全事件中，由惡意代碼造成的經(jīng)濟損失居第一位。

      5.1.3惡意代碼存在原因

      計算機技術飛速發(fā)展的同時并未使系統(tǒng)的安全性得到增強。計算機技術的進步帶來的安全增強能力最多只能對由應用環(huán)境的復雜性帶來的安全威脅的增長程度進行一定的彌補。除此之外，計算機新技術的出現(xiàn)或許會讓計算機系統(tǒng)的安全性降低。AT&T實驗室的S. Bellovin曾經(jīng)對美國CERT提供的安全報告進行過分析，分析結(jié)果表明，大約50%的計算機網(wǎng)絡安全問題是由軟件工程中產(chǎn)生的安全缺陷引起的，其中，很多問題的根源都來自操作系統(tǒng)的安全脆弱性。

      互聯(lián)網(wǎng)的飛速發(fā)展成為惡意代碼廣泛傳播成長的溫室�；ヂ�(lián)網(wǎng)自身的開放性，缺乏中心控制性和全局視圖能力的特點，使得網(wǎng)絡主機處在一個受不到統(tǒng)一保護的環(huán)境中。Bellovin等認為計算機和網(wǎng)絡系統(tǒng)自身存在的設計缺陷，會導致安全隱患的發(fā)生。

      針對性是惡意代碼的主要特征之一，即特定的脆弱點的針對性，這充分說明了惡意代碼實現(xiàn)其惡意目的正是建立在軟件的脆弱性基礎上的。歷史上產(chǎn)生廣泛影響的1988年Morris蠕蟲事件，入侵的最初突破點就是利用的郵件系統(tǒng)的脆弱性。

      雖然人們做了諸多努力來保證系統(tǒng)和網(wǎng)絡基礎設施的安全，但令人遺憾的是，系統(tǒng)的脆弱性仍然無法避免。各種安全措施只能減少，但不能杜絕系統(tǒng)的脆弱性； 而測試手段也只能證明系統(tǒng)存在脆弱性，卻無法證明系統(tǒng)不存在脆弱性。更何況，為了實際需求的滿足，信息系統(tǒng)規(guī)模的逐漸擴大，會使安全脆弱性的問題越來越明顯。隨著逐步發(fā)現(xiàn)這些脆弱性，針對這些脆弱性的新的惡意代碼將會層出不窮。

     總體來講，許多不可避免的安全問題和安全脆弱性存在于信息系統(tǒng)的各個層次結(jié)構中，包括從底層的操作系統(tǒng)到上層的網(wǎng)絡應用在內(nèi)的各個層次。這些安全脆弱性的不可避免，也是惡意代碼必然存在的原因。

     5.1.4惡意代碼傳播與發(fā)作

     如今的信息社會，信息共享是大勢所趨，而惡意代碼入侵最常見的途徑則是信息共享引起的信息流動。惡意代碼的入侵途徑各種各樣，如從Internet上下載的程序自身也許就帶有惡意代碼、接收已經(jīng)感染惡意代碼的電子郵件、從光盤或軟盤向系統(tǒng)上安裝攜帶惡意代碼的軟件、黑客或攻擊者故意將惡意代碼植入系統(tǒng)等。

     通過用戶執(zhí)行該惡意代碼或已被惡意感染的可執(zhí)行代碼，從而使得惡意代碼得以執(zhí)行，進而將自身或自身的變體植入其他可執(zhí)行程序中，就造成了惡意代碼感染。被執(zhí)行的惡意代碼在完成自身傳播、具有足夠的權限并滿足某些條件時，就會發(fā)作同時進行破壞活動，造成信息丟失或泄密等。

     惡意代碼的入侵和發(fā)作需要在盜用系統(tǒng)或應用進程的合法權限基礎上才可以實現(xiàn)。隨著Internet開放程度越來越高，信息共享和交流也越來越強，惡意代碼編寫水平也越來越高，可被惡意代碼利用的系統(tǒng)和網(wǎng)絡的脆弱性也越來越多，從而使惡意代碼越來越具有欺騙性和隱蔽性。重要的是，新的惡意代碼總是在惡意代碼的檢測技術前出現(xiàn)，這也就是由Cohen和Adelman提出的“惡意代碼通用檢測方法的不可判定性”的結(jié)論。首先人們很難將正常代碼和惡意代碼區(qū)別開，其次對許多信息系統(tǒng)沒有必要的保護措施。所以，人們經(jīng)常被惡意代碼所蒙蔽，從而在無意中執(zhí)行了惡意代碼。在CERT統(tǒng)計數(shù)據(jù)中，其中因被欺騙或誤用從而發(fā)生的惡意代碼事件達到所有惡意代碼事件的90％。只要某些條件被滿足，惡意代碼就會發(fā)作，甚至大規(guī)模傳播。

     雖然越來越多的惡意代碼安全事件通過Internet發(fā)生，但是惡意代碼卻早就已經(jīng)出現(xiàn)。多年來，攻擊者致力于對具有更強攻擊能力和生存能力的惡意代碼的研究。

     5.1.5惡意代碼攻擊模型

     惡意代碼行為各不相同，破壞程度也不盡相同，但它們的作用機制基本大致相同，作用過程可大概分為6個部分。

     ① 侵入系統(tǒng)。惡意代碼實現(xiàn)其惡意目的的第一步必然是入侵系統(tǒng)。惡意代碼侵入系統(tǒng)有許多途徑，如從互聯(lián)網(wǎng)下載的程序其自身也許就帶有惡意代碼、接收了已被惡意感染的電子郵件、通過光盤或軟盤在系統(tǒng)上安裝的軟件、攻擊者故意植入系統(tǒng)的惡意代碼等。

     ② 維持或提升已有的特權。惡意代碼的傳播與破壞需要建立在盜用用戶或進程的權限合法的基礎之上。

     ③ 隱蔽策略。為了隱蔽已經(jīng)入侵的惡意代碼，可能會對惡意代碼進行改名、刪除源文件或修改系統(tǒng)的安全策略。

     ④ 潛伏。惡意代碼侵入系統(tǒng)后，在具有足夠的權限并滿足某些條件時，就會發(fā)作同時進行破壞活動。

     ⑤ 破壞。惡意代碼具有破壞性的本質(zhì)，為的是造成信息丟失、泄密，系統(tǒng)完整性被破壞等。

     ⑥ 重復①~⑤對新的目標實施攻擊過程。惡意代碼的攻擊模型如圖5��1所示。

     圖5��1惡意代碼的攻擊模型惡意代碼的攻擊過程可以存在于惡意代碼攻擊模型中的部分或全部。例如，①④⑤⑥存在于計算機病毒行為，①②⑤⑥存在于網(wǎng)絡蠕蟲，①②③⑤存在于特洛伊木馬，①④⑤存在于邏輯炸彈，①⑤⑥存在于病菌，①②③⑤存在于用戶級RootKit，①③⑤存在于核心級RootKit，其他的惡意代碼行為也可以映射到模型中的相應部分，其中①和⑤是必不可少的。

     5.2惡意代碼生存技術

     1. 反跟蹤技術

     惡意代碼靠采用反跟蹤技術來提高自身的偽裝能力和防破譯能力，使檢測與清除惡意代碼的難度大大增加。反跟蹤技術大致可以分為兩大類： 反動態(tài)跟蹤技術和反靜態(tài)分析技術。

     1） 反動態(tài)跟蹤技術

    （1） 禁止跟蹤中斷。惡意代碼通過修改程序的入口地址對調(diào)試分析工具運行系統(tǒng)的單步中斷與斷點中斷服務程序來實現(xiàn)其反跟蹤的目的。

    （2） 封鎖鍵盤輸入和屏幕顯示，使跟蹤調(diào)試工具運行的必需環(huán)境被破壞。

    （3） 檢測跟蹤法。根據(jù)檢測跟蹤調(diào)試和正常執(zhí)行二者的運行環(huán)境、中斷入口和時間不同，各自采取相應的措施實現(xiàn)其反跟蹤目的。

    （4） 其他技術，如指令流隊列法和逆指令流法等。

       2） 反靜態(tài)分析技術

    （1） 對程序代碼分塊加密執(zhí)行。為了不讓程序代碼通過反匯編進行靜態(tài)分析，將以分塊的程序代碼以密文形式裝入內(nèi)存，由解密程序在執(zhí)行時進行譯碼，立即清除執(zhí)行完畢后的代碼，力求分析者在任何時候都無法從內(nèi)存中獲得執(zhí)行代碼完整形式。

    （2） 偽指令法。偽指令法是指將“廢指令”插入指令流中，讓靜態(tài)反匯編得不到全部正常的指令，進而不能進行有效的靜態(tài)分析。例如，Apparition是一種基于編譯器變形的Win32平臺的病毒，每次新的病毒體可執(zhí)行代碼被編譯器編譯出時要被插入一定數(shù)量的偽指令，不僅使其變形，而且實現(xiàn)了反跟蹤的目的。不僅如此，該技術還在宏病毒與腳本惡意代碼中應用廣泛。

      ……