恶意代码防护 on ClearSec Wikihttps://www.clearsec.org/wikis/ise/ises/14_%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E9%98%B2%E6%8A%A4/Recent content in 恶意代码防护 on ClearSec WikiHugozh-cnFri, 15 Nov 2024 09:44:26 +0800§14.1_恶意代码概述https://www.clearsec.org/wikis/ise/ises/14_%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E9%98%B2%E6%8A%A4/14.1_%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E6%A6%82%E8%BF%B0/Fri, 15 Nov 2024 09:44:26 +0800https://www.clearsec.org/wikis/ise/ises/14_%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E9%98%B2%E6%8A%A4/14.1_%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E6%A6%82%E8%BF%B0/<p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.1_%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E6%A6%82%E8%BF%B0/8acb58be8c1c25f31519758599df0b7d_MD5.png" alt=""></p> <h3 id="恶意代码分类">恶意代码分类</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.1_%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E6%A6%82%E8%BF%B0/a4848a5a96e37589d7c80d9882e0a81d_MD5.png" alt=""></p> <h3 id="恶意代码攻击模型">恶意代码攻击模型</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.1_%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E6%A6%82%E8%BF%B0/63aec0dbb7c0fd01343d93bedb14dff7_MD5.png" alt=""></p> <h3 id="恶意代码生存技术">恶意代码生存技术</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.1_%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E6%A6%82%E8%BF%B0/08f2e03bfd3e8e8176adb9b123aa07d3_MD5.png" alt=""></p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.1_%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E6%A6%82%E8%BF%B0/9dcf33510351edb8fe6c0b315e0e201a_MD5.png" alt=""></p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.1_%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E6%A6%82%E8%BF%B0/cf44d484fcbb7f3660c1be86413bb8f2_MD5.png" alt=""></p> <p>LKM可以不重新编译内核就加载文件到内存。</p> <p>内存到文件的修改一般是被允许的。</p> <h3 id="恶意代码攻击技术">恶意代码攻击技术</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.1_%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E6%A6%82%E8%BF%B0/99b57f163d306a875ad4248aa9ff83b6_MD5.png" alt=""></p> <h3 id="恶意代码分析技术-静态分析">恶意代码分析技术-静态分析</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.1_%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E6%A6%82%E8%BF%B0/0280c8aee3a56ce534c691d73ea14854_MD5.png" alt=""></p> <p>exe这种都加壳编译了，需要反编译试图得到源码。</p> <p>线性遍历-从入口开始，</p> <h3 id="恶意代码分析技术-动态分析">恶意代码分析技术-动态分析</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.1_%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E6%A6%82%E8%BF%B0/7871bebba723fdc88d6bfe9859d1ded3_MD5.png" alt=""></p> <h3 id="恶意代码防范策略-管理技术">恶意代码防范策略-管理&amp;技术</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.1_%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E6%A6%82%E8%BF%B0/3c206b9b17fbeac52991e132ed4b11d1_MD5.png" alt=""></p>§14.2_病毒分析与防护https://www.clearsec.org/wikis/ise/ises/14_%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E9%98%B2%E6%8A%A4/14.2_%E7%97%85%E6%AF%92%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/Fri, 15 Nov 2024 09:44:26 +0800https://www.clearsec.org/wikis/ise/ises/14_%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E9%98%B2%E6%8A%A4/14.2_%E7%97%85%E6%AF%92%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/<p>病毒：自我复制并具有传播能力。</p> <p>基本特点：隐蔽性、传染性、潜伏性、破坏性。</p> <p>目的：？</p> <h3 id="计算机病毒概念与特性">计算机病毒概念与特性</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.2_%E7%97%85%E6%AF%92%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/78996bdc5b7e93f162b9426251cf3ddc_MD5.png" alt=""></p> <p><strong>计算机病毒 被动传播</strong>，但也主动搜索新的主机进行感染。一般认为蠕虫是主动的。</p> <h3 id="计算机病毒组成与运行机制">计算机病毒组成与运行机制</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.2_%E7%97%85%E6%AF%92%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/a2abd46b8f30e8ecc63b47bd9422069e_MD5.png" alt=""></p> <p>病毒有潜伏期，激活阶段才开始破坏系统。</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.2_%E7%97%85%E6%AF%92%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/be0c385100cbf3204fc1653801bb2ed0_MD5.png" alt=""></p> <h3 id="常见病毒特征码">常见病毒特征码</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.2_%E7%97%85%E6%AF%92%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/9913f62f447eefd993b36a043e4bec77_MD5.png" alt=""></p> <h3 id="病毒防范策略">病毒防范策略</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.2_%E7%97%85%E6%AF%92%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/1fce8f32be9ab131f3733e1cf49dfed3_MD5.png" alt=""></p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.2_%E7%97%85%E6%AF%92%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/ff010df0d90bee3fc28c28275c183bfc_MD5.png" alt=""></p> <p><strong>备份是最有效的修复方法。</strong></p> <p>防火墙FW</p> <p>防病毒AV</p> <h3 id="计算机病毒防护方案">计算机病毒防护方案</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.2_%E7%97%85%E6%AF%92%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/be3df416ed23efef3ba6954af6bc2c6d_MD5.png" alt=""></p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.2_%E7%97%85%E6%AF%92%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/a30583ec2b92b7a10f91eecb343ecc15_MD5.png" alt=""></p> <p>基于网络病毒防御的安装部署模式</p> <p>终端杀毒、管理平台（可与广域网总部联络更新分发到终端）、防火墙</p>§14.3_特洛伊木马分析与防护https://www.clearsec.org/wikis/ise/ises/14_%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E9%98%B2%E6%8A%A4/14.3_%E7%89%B9%E6%B4%9B%E4%BC%8A%E6%9C%A8%E9%A9%AC%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/Fri, 15 Nov 2024 09:44:26 +0800https://www.clearsec.org/wikis/ise/ises/14_%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E9%98%B2%E6%8A%A4/14.3_%E7%89%B9%E6%B4%9B%E4%BC%8A%E6%9C%A8%E9%A9%AC%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/<h3 id="木马不具备自我传播能力病毒和蠕虫具有自我传播能力蠕虫可以独立运行病毒有宿主程序">木马不具备自我传播能力，【病毒】和蠕虫具有自我传播能力（蠕虫可以独立运行，病毒有宿主程序）。</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.3_%E7%89%B9%E6%B4%9B%E4%BC%8A%E6%9C%A8%E9%A9%AC%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/2a4de328c5e2bd98c5dcd3bee71ff186_MD5.png" alt=""></p> <p>目标信息包括操作系统类型、网络结构、应用软件、用户习惯等。</p> <p><strong>木马和病毒一样，也有激活的步骤</strong>。</p> <h3 id="特洛伊木马运行机制">特洛伊木马运行机制</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.3_%E7%89%B9%E6%B4%9B%E4%BC%8A%E6%9C%A8%E9%A9%AC%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/636a4b4240c1f1a0c5d207fa44455c4c_MD5.png" alt=""></p> <h3 id="特洛伊木马植入">特洛伊木马植入</h3> <p>木马植入是最攻击的最关键的一步。</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.3_%E7%89%B9%E6%B4%9B%E4%BC%8A%E6%9C%A8%E9%A9%AC%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/c153eedf2981dc8a20b7aa9dee9f024b_MD5.png" alt=""></p> <p>被动植入，人工操作，对木马是被动安装</p> <p>主动植入，木马自己安装</p> <h3 id="特洛伊木马隐藏">特洛伊木马隐藏</h3> <p>行为隐藏：文件隐藏、进程隐藏、通信连接隐藏</p> <p>通信过程隐藏：通信加密、端口复用、隐蔽通道</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.3_%E7%89%B9%E6%B4%9B%E4%BC%8A%E6%9C%A8%E9%A9%AC%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/6f3d26e775da3c43f201f3901ac18b71_MD5.png" alt=""></p> <h3 id="特洛伊木马存活">特洛伊木马存活</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.3_%E7%89%B9%E6%B4%9B%E4%BC%8A%E6%9C%A8%E9%A9%AC%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/964361a81382628e3b3aabfc69681c77_MD5.png" alt=""></p> <h3 id="rootkit-提权工具">Rootkit-提权工具</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.3_%E7%89%B9%E6%B4%9B%E4%BC%8A%E6%9C%A8%E9%A9%AC%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/99e8e62f6dddddaf9ff605eb8a4ec927_MD5.png" alt=""></p> <h3 id="特洛伊木马防范技术">特洛伊木马防范技术</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.3_%E7%89%B9%E6%B4%9B%E4%BC%8A%E6%9C%A8%E9%A9%AC%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/19d97e83460a3f24493a7dae47714750_MD5.png" alt=""></p> <p>步进模式：即指令按序一条一条执行，判断指令数量也可以初步判断是否被篡改。</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.3_%E7%89%B9%E6%B4%9B%E4%BC%8A%E6%9C%A8%E9%A9%AC%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/b98f6300c30375b2c1c13945e1e3b1c2_MD5.png" alt=""></p>§14.4_网络蠕虫分析与防护https://www.clearsec.org/wikis/ise/ises/14_%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E9%98%B2%E6%8A%A4/14.4_%E7%BD%91%E7%BB%9C%E8%A0%95%E8%99%AB%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/Fri, 15 Nov 2024 09:44:26 +0800https://www.clearsec.org/wikis/ise/ises/14_%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E9%98%B2%E6%8A%A4/14.4_%E7%BD%91%E7%BB%9C%E8%A0%95%E8%99%AB%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/<p>脆弱性检测、其实就是漏洞扫描嘛。</p> <h3 id="蠕虫概念与特性">蠕虫概念与特性</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.4_%E7%BD%91%E7%BB%9C%E8%A0%95%E8%99%AB%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/ecce7bfec694d3de63a9aec8dac41875_MD5.png" alt=""></p> <p>三个阶段：<strong>搜索、传送、感染</strong>。</p> <p>易感主机，如RPC135端口、SMB445端口。</p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.4_%E7%BD%91%E7%BB%9C%E8%A0%95%E8%99%AB%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/9530fe1f464ee236b65b35a2a7a284ac_MD5.png" alt=""></p> <h3 id="运行机制">运行机制</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.4_%E7%BD%91%E7%BB%9C%E8%A0%95%E8%99%AB%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/71a886f971041893a9cab6360d3b634f_MD5.png" alt=""></p> <h3 id="常用技术-漏洞扫描和利用">常用技术-漏洞扫描和利用</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.4_%E7%BD%91%E7%BB%9C%E8%A0%95%E8%99%AB%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/8d49410576016b760be25957ad1417a1_MD5.png" alt=""></p> <p>255广播地址 254一般是网关地址</p> <p><strong>基于路由扫描效率最高</strong></p> <h3 id="防范技术">防范技术</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.4_%E7%BD%91%E7%BB%9C%E8%A0%95%E8%99%AB%E5%88%86%E6%9E%90%E4%B8%8E%E9%98%B2%E6%8A%A4/f67d69bf4c509795adc47de03ea6803b_MD5.png" alt=""></p>§14.5_僵尸网络 恶意代码防护产品https://www.clearsec.org/wikis/ise/ises/14_%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E9%98%B2%E6%8A%A4/14.5_%E5%83%B5%E5%B0%B8%E7%BD%91%E7%BB%9C-%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E9%98%B2%E6%8A%A4%E4%BA%A7%E5%93%81/Fri, 15 Nov 2024 09:44:26 +0800https://www.clearsec.org/wikis/ise/ises/14_%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E9%98%B2%E6%8A%A4/14.5_%E5%83%B5%E5%B0%B8%E7%BD%91%E7%BB%9C-%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E9%98%B2%E6%8A%A4%E4%BA%A7%E5%93%81/<p>僵尸程序与木马程序的区别？</p> <p>总结：</p> <p>僵尸网络程序是一种通过控制大量受感染计算机（僵尸）形成的分布式网络，黑客可以利用这个网络来进行大规模的恶意活动，如DDoS攻击、垃圾邮件发送等。</p> <p>木马程序则是一种隐蔽的恶意软件，它通过伪装成合法文件或程序，偷偷感染计算机，窃取数据或远程控制目标计算机。</p> <p>总的来说，木马可以是僵尸网络的一个组成部分，木马的作用是让计算机成为僵尸网络中的一员，而僵尸网络则通过远程控制这些“僵尸”计算机来实施更大范围的恶意攻击。</p> <h3 id="僵尸网络分析与防护">僵尸网络分析与防护</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.5_%E5%83%B5%E5%B0%B8%E7%BD%91%E7%BB%9C-%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E9%98%B2%E6%8A%A4%E4%BA%A7%E5%93%81/f88a713cd6ede3e6d5e4302dcae952aa_MD5.png" alt=""></p> <p>用ip容易被封，聪明的一般用域名，所以可以设置DNS黑名单。</p> <h3 id="僵尸网络分析与防护-1">僵尸网络分析与防护</h3> <p><strong>木马本身不具备破坏性，属于恶意软件/间谍软件。</strong></p> <p><strong>蠕虫属于病毒的一种。勒索病毒、震网病毒其实都是蠕虫。</strong></p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.5_%E5%83%B5%E5%B0%B8%E7%BD%91%E7%BB%9C-%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E9%98%B2%E6%8A%A4%E4%BA%A7%E5%93%81/583258c3a82f16bf024c03d5b8ceacee_MD5.png" alt=""></p> <h3 id="其他恶意代码">其他恶意代码</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.5_%E5%83%B5%E5%B0%B8%E7%BD%91%E7%BB%9C-%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E9%98%B2%E6%8A%A4%E4%BA%A7%E5%93%81/ad6668023e59330a792f598c1b72caa7_MD5.png" alt=""></p> <h3 id="恶意代码防护主要产品">恶意代码防护主要产品</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.5_%E5%83%B5%E5%B0%B8%E7%BD%91%E7%BB%9C-%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E9%98%B2%E6%8A%A4%E4%BA%A7%E5%93%81/d13b9c3e094acba5760e3eeb00e070ba_MD5.png" alt=""></p> <h3 id="恶意代码防护主要技术指标">恶意代码防护主要技术指标</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.5_%E5%83%B5%E5%B0%B8%E7%BD%91%E7%BB%9C-%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E9%98%B2%E6%8A%A4%E4%BA%A7%E5%93%81/9fc185b305afe0e6102617b9dc0108ae_MD5.png" alt=""></p> <p><strong>案例分析重点</strong></p> <p>APT防护一定是多设备的联动。例如态势感知。</p> <h3 id="恶意代码防护技术应用">恶意代码防护技术应用</h3> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.5_%E5%83%B5%E5%B0%B8%E7%BD%91%E7%BB%9C-%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E9%98%B2%E6%8A%A4%E4%BA%A7%E5%93%81/8b7236da3b4d8563de586f8c6257d241_MD5.png" alt=""></p> <p><img src="https://www.clearsec.org/wikis/_resources/%C2%A714.5_%E5%83%B5%E5%B0%B8%E7%BD%91%E7%BB%9C-%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E9%98%B2%E6%8A%A4%E4%BA%A7%E5%93%81/d8880697a4b3451327777d53d65d251e_MD5.png" alt=""></p> <p>沙箱、态势感知、安全大数据分析平台</p>