=Start=

缘由：

备考CISSP，学习、整理在看《CISSP官方学习指南（第7版）》时的一些知识点，方便以后快速复习。

正文：

参考解答：

第21章 恶意代码与应用攻击

21.1 恶意代码

• 主引导记录病毒——主引导记录病毒(Master Boot Record，MBR)是已知的最早的病毒感染形式。这些病毒攻击MBR一一可启动介质(例如，硬盘、软盘或VD)上计算机用于在启动过程中加载操作系统的部分。由于MBR非常小(通常只有512宇节)，因此它不能包含实现病毒传播和破坏功能所需的所有代码。为了避开空间的限制，MBR病毒将主要的代码存储在存储介质的其他部分。在系统读取受感染的MBR时，病毒会引导系统读取并且执行在另一个地方存储的代码，从而将全部的病毒加载到内存中，并且可能触发病毒有效载荷的传播。大多数毒在系统之间通过用户不经意地共享被感染的介质进行传播。如果在启动过程中被感染的介质在驱动器中，那么目标系统就会读取被感染的MBR、将病毒加载到内存中、感染目标系统硬盘的MBR，并且还会感染其他计算机。
• 文件程序感染病毒——许多病毒感染不同类型的可执行文件，并且在操作系统试图执行这些文件时被触发。对于基于Windows的系统来说，可执行文件以扩展名.exe和.com为后缀。文件程序感染病毒的传播程序可能只是对可执行程序进行了少许改动，从而植入了病毒需要复制并毁坏系统的技术。在某些情况下，病毒可能实际上用被感染的版本替换了整个文件。标准的文件程序感染病毒没有使用障眼法技术，例如隐形或加密(参见本章稍后的”病毒技术”部分)，通过比较感染前后的文件特性(如大小和修改日期)或散列值，常常可以很容易地检查出这种病毒。本章后面的”反病毒机制”部分会介绍与这些技术相关的技术细节。文件程序感染病毒的一个变种是同伴病毒。这种病毒是自包含的可执行文件，利用与合法的操作系统文件类似但又稍有不同的文件名来躲避检查。同伴病毒依靠基于Wmdows的操作系统在执行程序文件时关联在命令上的默认文件扩展名(.com、.exe和.bat，并且按照这个顺序)哇行操作。例如，如果在硬盘上有一个名为game.exe，那么同伴病毒可能会使用名字game.com。如果你随后打开一个命令行工具并简单地键入”game”，那么操作系统将执行这个病毒文件game.com，而不是实际要执行的文件game.exe。对于在命令行工具下执行文件时要避免快捷方式并且使用具体的文件名来说，远的确是一个很好的理由。
• 宏病毒——许多常用的软件应用为了协助重复任务的自动执行而实现了某些脚本功能。这些功能常常使用简单却有效的编程语言，例如VisualBasicforApplications(VBA)。虽然宏的确为计算机用户提供了巨大的提高生产率的机会，但是它们也将系统暴露给了另一种感染手段一一宏病毒。宏病毒最早出现在20世纪90年代中期，它采用拙劣的技术感染流行的MαosoWord环境中生成的文档。虽然宏病毒相对简单，但是由于反病毒机构没有预见到，反病毒软件没有提供对它们的任何防护，因此这些病毒得到了快速传播。宏病毒很快就变得越来越普遍，供应商匆忙地修改他们的反病毒平台，使之能够对应用文档进行宏病毒扫描。
• 服务注入病毒——最近爆发的恶意代码使用另一种技术感染系统和逃脱检测将自己注入到操作系统的可信运行进程中，如svchost.exe、winlogin.exe和explorer.exe。通过成功地破坏这些受信进程，恶意代码能够绕过主机上运行的任何防病毒软件的检测。保护系统免受服务注入的最好技术之一是确保允许浏览Web内容的所有软件(如浏览器、媒体播放器、帮助应用程序)接收当前的安全补丁。

• 复合病毒——复合病毒使用多种传播技术试图渗透只防御其中一种方法的系统。例如，在1993年发现的Marzia病毒通过为每个文件添加2048个字节的恶意代码来感染关键的COM和EXE文件，最明显的就是系统文件command.com。这个特征说明它是一种文件程序感染病毒。此外，在Marzia病毒感染系统两个小时后，它会向系统的主引导记录写入恶意代码，这说明它也是一种引导扇区病毒。
• 隐形病毒——隐形病毒通过对操作系统的实际篡改来欺骗反病毒软件包认为所有事情都工作正常，从而将自己隐藏起来。例如，隐形的引导扇区病毒可能利用恶意代码覆盖系统的主引导记录，随后还通过修改操作系统的文件访问功能来覆盖自身痕迹。当反病毒软件包请求MBR的副本时，被修改的操作系统代码提供它所期望看到的版本：也就是没有任何病毒特征的未被感染的MBR版本。然而，系统启动时会读取被感染的MBR，井且将病毒加载到内存中。
• 多态病毒——在系统间传输时，多态病毒实际上会修改自己的代码。这种病毒的传播和破坏技术保持完全相同，但是每次感染新的系统时病毒的特征略有不同。多态病毒制造者的希望就是，通过连续改变特征使得特征型反病毒软件包失效。然而，反病毒软件供应商识破了许多多态病毒技术的代码，因此目前使用的反病毒软件版本都能够检测出已知的多态病毒。剩下的唯一担心是，为了阻止多态病毒的攻击而生成必要的特征文件，这会花费供应商较长的时间，因此可能导致多态病毒在更长时间范围内在互联网上肆无忌惮地运行。
• 加密病毒——加密病毒使用密码术(参看第6章的内容)来躲避检测。在加密病毒的外部表现中，它们实际上很像多态病毒，每个被感染的系统都有不同特征的病毒。然而，加密病毒不是通过改变代码来生成这些修改过的特征，而是修改在磁盘上的存储方式。加密病毒使用一个很短的、被称为病毒解密程序的代码段，这个代码段包含必要的密码学信息，用于对存储在磁盘上其他地方的主病毒代码进行加载和解密。每个感染过程都使用不同的密钥，这使得主代码在每个系统上都呈现出完全不同的样子。不过，病毒解密程序往往包含指示特征，因此加密病毒很容易被最新的反病毒软件包识破。

• 客户端系统：网络中的每个工作站都应当通过更新的反病毒软件在本地文件系统中查找恶意代码。
• 服务器系统：服务器应当具有类似的防护。因为公用服务器上的一个病毒会迅速在整个网络内传播，所以保护服务器系统比保护客户端系统更为重要。
• 内容过滤器：目前的大多数病毒都通过互联网传播。继续在网络上根据恶意代码的特征，对入站和出站电子邮件以及Web流量进行内容过滤，是非常明智的做法。

21.2 密码攻击

21.3 应用程序攻击

21.4 Web应用的安全性

• 执行输入验证。与前面讨论的跨站脚本攻击的防御方法一样，输入验证操作能够限制用户在表单中输入的数据类型。具体到上面的SQL注入攻击示例，从输入中去除单引号字符就能够成功地防御SQL注入攻击。
• 限制用户特权。Web服务器使用的数据库账户应当具有尽可能最小的权限集。如果Web应用程序只需要检索数据，那么数据库账户就应当仅具有检索能力。在具体的示例中，如果账户只具有SELECT权限，那么DELETE命令就会失败。
• 使用存储过程。Web应用程序的开发应该利用数据库存储过程来限制应用字执行任意代码的能力。使用存储过程，SQL语句句驻留在数据库服务器上并且仅仅可由数据库管理员修改。调用存储过程的Web应用程序可以传递参数，但不改变SQL语句的基本结构。

21.5 侦察攻击

21.6 伪装攻击

21.7 本章小结

• 应用程序开发人员有很多担心！随着黑客使用的工具和技术变得越来越复杂，由于复杂性和多个脆弱点，应用层越来越多地成为他们攻击的焦点。
• 恶意代码，包括病毒、蠕虫、木马和逻辑炸弹，利用应用程序和操作系统中的漏洞或使用社会工程学感染操作系统，并获得它们的资源和机密信息。
• 应用程序自身也可能包含许多漏洞。缓冲区溢出攻击利用缺少适当输入验证的代码来影响系统内存中的内容。后门为以前的开发者和恶意代码的作者提供绕过正常安全机制的能力。rootkit为攻击者提供了一种简单的方法来执行权限提升攻击。
• 许多应用程序正在转向Web，从而制造新级别的暴露和漏洞。跨站脚本攻击允许黑客欺骗用户向不安全的站点提供敏感信息。SQL注入攻击允许绕过应用程序控制直接访问和操纵底层数据库。
• 探测工具为攻击者提供了自动化工具，他们可以使用它们来确定后面要攻击的带有脆弱性的系统。IP探测、端口扫描和漏洞扫描都是使用自动化的方法来检测组织的安全控制中的薄弱点。伪装攻击使用隐形技术来模拟用户和系统。

21.8 考试要点

• 理解病毒使用的传播技术。病毒使用4种主要的传播技术来渗透系统并传播恶意有效载荷，这4种技术是文件感染、服务注入、引导扇区感染和宏感染，从而渗透系统和扩散它们的病毒载体。需要理解这些技术以有效地保护网络上的系统免受恶意代码侵犯。
• 知道反病毒软件包如何检测已知病毒。大多数反病毒程序使用特征型检测算法寻找已知病毒的指示模式。为了维持对新产生病毒的防护，定期更新病毒定义文件是必不可少的。
• 解释攻击者使用的损坏密码安全的攻击技术。密码是目前最常见的访问控制机制，也是必不可少的，所以需要知道如何保护以防止攻击者破坏它们的安全性。知道如何进行密码破解、字典攻击和社会工程学攻击也可以打败密码的安全性。
• 熟悉各种类型的应用程序攻击，攻击者使用这些攻击来攻击编写拙劣的软件。应用程序攻击是现代计算的最大威胁之一。攻击者还利用后门、检查时间到使用时间漏洞以及rootkit来获得对系统的非法访问。安全专家必须对每种攻击和相关控制措施有清晰的理解。
• 理解常见Web应用程序的漏洞及对策。由于许多应用程序转移到Web上，开发人员和安全专业人员必须了解存在于当今环境中的新的攻击类型，以及如何防护它们。两个最常见的例子是跨站脚本(XSS)攻击和SQL注入攻击。
• 知道攻击者准备攻击网络时使用的网络侦察技术。在发起攻击之前，攻击者使用IP扫描来找出网络中运行的主机。这些主机随后会遭到端口扫描和其他漏洞探测，从而使攻击者能够定位在目标网络中可能被攻击的脆弱之处。应该在理解这些攻击后帮助网络抵御这些攻击，限制攻击者可能收集的信息量。

参考链接：

• CISSP官方学习指南第7版（中文）-文字版带完整书签

=END=