恶意代码分析防治概要
恶意代码分析与防治
姓名：学号：
班级：学院
摘要：在Internet安全事件中，恶意代码造成的经济损失占有最大的比例。恶意代码主要包括计算机病毒（Virus）、蠕虫（Worm）、木马程序（Trojan Horse）、后门程序（Backdoor）、逻辑炸弹（Logic Bomb）等等。与此同时，恶意代码成为信息战、网络战的重要手段。日益严重的恶意代码问题，不仅使企业及用户蒙受了巨大经济损失，而且使国家的安全面临着严重威胁。
关键词：恶意代码分析防治
Abstract: Economic losses caused by malicious code accounted for a large proportion in Internet security incidents. Malicious code mainly includes Computer Virus, Worm, Trojan Horse, Backdoor, Logic Bomb ect.Meanwhile, malicious code become important means of information warfare and cyber warfare. Malicious code is a growing problem, which not only causes companies and users great economic damage, but also threatening gravely national security.
Key words: Malicious code Analysis Prevention
一.恶意代码概述
恶意代码（Unwanted Code）是指没有作用却会带来危险的代码，
一个最安全的定义是把所有不必要的代码都看作是恶意的，不必要代码比恶意代码具有更宽泛的含义，包括所有可能与某个组织安全策略相冲突的软件。
定义一：恶意代码又称恶意软件。这些软件也可称为广告软件、间谍软件、恶意共享软件。是指在未明确提示用户或未经用户许可的情况下，在用户计算机或其他终端上安装运行，侵犯用户合法权益的软件。与病毒或蠕虫不同，这些软件很多不是小团体或者个人秘密地编写和散播，反而有很多知名企业和团体涉嫌此类软件。有时也称作流氓软件。
定义二：恶意代码是指故意编制或设置的、对网络或系统会产生威胁或潜在威胁的计算机代码。最常见的恶意代码有计算机病毒（简称病毒）、特洛伊木马（简称木马）、计算机蠕虫（简称蠕虫）、后门、逻辑炸弹等。
恶意代码编写者一般利用三类手段来传播恶意代码：软件漏洞、用户本身或者两者的混合。有些恶意代码是自启动的蠕虫和嵌入脚本，本身就是软件，这类恶意代码对人的活动没有要求。一些像特洛伊木马、电子邮件蠕虫等恶意代码，利用受害者的心理操纵他们执行不安全的代码；还有一些是哄骗用户关闭保护措施来安装恶意代码。
利用商品软件缺陷的恶意代码有Code Red 、KaK 和BubbleBoy。它们完全依赖商业软件产品的缺陷和弱点，比如溢出漏洞和可以在不适当的环境中执行任意代码。像没有打补丁的IIS软件就有输入缓冲区溢出方面的缺陷。利用Web 服务缺陷的攻击代码有Code Red、
Nimda，Linux 和Solaris上的蠕虫也利用了远程计算机的缺陷。
恶意代码编写者的一种典型手法是把恶意代码邮件伪装成其他恶意代码受害者的感染报警邮件，恶意代码受害者往往是Outlook地址簿中的用户或者是缓冲区中WEB页的用户，这样做可以最大可能的吸引受害者的注意力。一些恶意代码的作者还表现了高度的心理操纵能力，LoveLetter就是一个突出的例子。一般用户对来自陌生人的邮件附件越来越警惕，而恶意代码的作者也设计一些诱饵吸引受害者的兴趣。附件的使用正在和必将受到网关过滤程序的限制和阻断，恶意代码的编写者也会设法绕过网关过滤程序的检查。使用的手法可能包括采用模糊的文件类型，将公共的执行文件类型压缩成zip文件等等。
恶意代码的相关定义
二.恶意代码实现关键技术
2.1.恶意代码生存技术
生存技术主要包括4方面：第一反跟踪技术：提高自身的伪装能力和防破译能力，增加检测和清除的难度,第二加密技术：自身保护,第三模糊变换技术：多态，难以进行基于特征的识别,第四自动生产技术：简单实现恶意代码的组合和变化
2.2. 恶意代码攻击技术
2.2.1. 进程注入技术
当前操作系统中都有系统服务和网络服务，它们都在系统启动时自动加载。进程注入技术就是将这些与服务相关的可执行代码作为载体，恶意代码程序将自身嵌入到这些可执行代码之中，实现自身隐藏和启动的目的。这种形式的恶意代码只须安装一次，以后就会被自动加载到可执行文件的进程中，并且会被多个服务加载。只有系统关闭时，服务才会结束，所以恶意代码程序在系统运行时始终保持激活状态。比如恶意代码“WinEggDropShell”可以注入Windows 下的大部分服务程序。
2.2.2. 三线程技术
在Windows 操作系统中引入了线程的概念，一个进程可以同时拥有多个并发线程。三线程技术就是指一个恶意代码进程同时开启了三个线程，其中一个为主线程，负责远程控制的工作。另外两个辅助线程是监视线程和守护线程，监视线程负责检查恶意代码程序是否被删除或被停止自启动。守护线程注入其它可执行文件内，与恶意代码进程同步，一旦进程被停止，它就会重新启动该进程，并向主线程提供必要的数据，这样就能保证恶意代码运行的可持续性。例如，“中
国黑客”等就是采用这种技术的恶意代码。
2.2.
3. 端口复用技术
端口复用技术，系指重复利用系统网络打开的端口（如25、80、135和139等常用端口）传送数据，这样既可以欺骗防火墙，又可以少开新端口。端口复用是在保证端口默认服务正常工作的条件下复用，具有很强的欺骗性。例如，特洛伊木马“Executor”利用80 端口传递控制信息和数据，实现其远程控制的目的。
2.2.4 超级管理技术
一些恶意代码还具有攻击反恶意代码软件的能力。为了对抗反恶意代码软件，恶意代码采用超级管理技术对反恶意代码软件系统进行拒绝服务攻击，使反恶意代码软件无法正常运行。例如，“广外女生”是一个国产的特洛伊木马，它采用超级管理技术对“金山毒霸”和“天网防火墙”进行拒绝服务攻击。
2.2.5 端口反向连接技术
防火墙对于外部网络进入内部网络的数据流有严格的访问控制策略，但对于从内网到外网的数据却疏于防范。端口反向连接技术，系指令恶意代码攻击的服务端（被控制端）主动连接客户端（控制端）。国外的“Boinet”是最先实现这项技术的木马程序，它可以通过ICO、IRC、HTTP 和反向主动连接这 4 种方式联系客户端。国内最早实现端口反向连接技术的恶意代码是“网络神偷”。“灰鸽子”则是这项技术的集大成者，它内置FTP、域名、服务端主动连接这3 种服务端在线通知功能。
2.2.6. 缓冲区溢出攻击技术
缓冲区溢出漏洞攻击占远程网络攻击的80％。缓冲区溢出攻击成为恶意代码从被动式传播转为主动式传播的主要途径。例如，“红色代码”利用IIS Server 上Indexing Service 的缓冲区溢出漏洞完成攻击、传播和破坏等恶意目的。“尼姆达蠕虫”利用IIS 4.0/5.0 DirectoryTraversal 的弱点，以及红色代码II 所留下的后门，完成其传播过程。
恶意代码攻击模型
三. IE炸弹攻击
IE炸弹是一种潜伏在网页中的，可以通过在目标电脑上不断弹出窗口，达到耗尽目标点电脑统资源的代码病毒。
常见的IE炸弹在攻击时，主要具有死循环、自动打开窗口、耗尽CPU等特点，下面分别介绍。
3.1．死循环
死循环是只在设计网页时，在网页中插入一段可使电脑持续运行的代码。插入这段代码后，网页会一直运行并消耗系统资源，直至死机。
function windowsbomb()
{
var icounter = 0 // dummy counter
while (ture)
{
window .open {"http:https://www.sodocs.net/doc/7013052213.html,","crashing"
icounter,"width=1,height=1,resizable=no"}
}
}