防火墙，蠕虫的下一个目标

winzww

防火墙，蠕虫的下一个目标
作者：Jimmy/CPCW

　　曾几何时，我们坚信防火墙是对付攻击最好的利器，然而３月底出现的一个蠕虫病毒彻底击碎了我们的理念。防火墙与黑客的斗争就好似一个亡羊补牢的游戏，如今这个专门替别人修补漏洞的利器竟然忘记修补自己的千疮百孔。
　　网络安全技术顾问托尼·布德瑞博士说：“现在几乎所有的软件都存在安全隐患或漏洞，如果你想最大可能地避免病毒及黑客攻击，就请不要连接互联网，更不要完全相信你的防火墙……”
　　城门失守
　　２００４年３月２０日，一个星期六的早晨，重庆电信ＩＤＣ机房的很多服务器突然出现异常情况，服务器似乎受到了溢出攻击，系统运行迟缓，而更加严重的问题是很多服务器重新启动后陷入了彻底的瘫痪状态，无法重新引导和修复。
　　与此同时，全球网络在短短的半个小时之内，已经有３００００多台服务器和个人电脑受到了未知病毒的攻击而陷入瘫痪状态。
　　而且此次攻击的目标似乎很有针对性，这些被攻击的机器都有一个相同的特征：安装有ＩＳＳ公司的网络安全产品。
　　攻击事件的罪魁很快被查明，结果令大众非常吃惊，造成此次全球众多服务器瘫痪的竟是一个名为Ｗｉｔｔｙ的蠕虫病毒，而Ｗｉｔｔｙ利用的正是ＩＳＳ安全系列产品的一个漏洞发动针对性攻击的。
　　Ｗｉｔｔｙ蠕虫的传播方式同冲击波非常相似，它不需要欺骗用户打开任何文件，它在感染一台服务器后会迅速地将该服务器变成一个病毒传播源，通过随机生成的ＩＰ地址尝试将病毒传播到新的ＰＣ机或服务器上。
　　由于受到攻击的目标多数为网络服务器，因此Ｗｉｔｔｙ感染的速度也惊人地快。
　　崩塌的安全支柱
　　“Ｗｉｔｔｙ的传播速度实在令我们吃惊，在短短半个小时内它就感染了多达３２０００台机器，这可能是历史上速度最快的恶意攻击了。”ＩＳＳ公司Ｘ－Ｆｏｒｃｅ研发部门副总裁克里斯·劳兰德显然对Ｗｉｔｔｙ的到来没有做好充分的准备，“Ｗｉｔｔｙ每秒都会随机产生２００００个ＩＰ地址进行攻击，然后通过ＩＳＳ产品的漏洞向服务器硬盘中的关键分区写入垃圾数据，覆盖原有的重要系统数据。它摧毁了整个系统的稳定性，这些破坏最终会导致多数系统在重新启动时‘蓝屏死机’。”
　　ＩＳＳ这次漏洞的出现主要是由于ＩＳＳ安全产品的入侵检测功能都依赖于一个名为 “ｉｓｓ－ｐａｍ１．ｄｌｌ”的模块，该模块中包含了协议分析、攻击特征描述等内容。而ｉｓｓ－ｐａｍ１．ｄｌｌ在解析著名的通讯软件ＩＣＱ公开的ＩＣＱ ｖ５通讯协议时对某些字段没有处理好，因此导致了缓冲区溢出漏洞。
　　不过因为这是ＲｅａｌＳｅｃｕｒｅ、ＢｌａｃｋＩＣＥ等安全产品对系统接收到的数据包解析过程中出现的问题，所以黑客或病毒要触发该漏洞时，被攻击者的系统上并不需要运行ＩＣＱ。
　　ｉＤｅｆｅｎｓｅ的计算机安全专家肯·邓哈姆表示，在大多数用户系统中使用的反病毒软件很难发现Ｗｉｔｔｙ蠕虫，因为它并不将自己复制到硬盘上，也不修改注册表，而是常驻内存。互联网病毒、蠕虫以及其他恶意软件往往在受到攻击的ＰＣ上安装软件或是打开后门让黑客控制ＰＣ，从而了解用户的个人信息或是利用受感染的电脑发送垃圾邮件。但Ｗｉｔｔｙ蠕虫却并非如此，Ｗｉｔｔｙ蠕虫自身并不以文件形式存在，它仅是一段ＵＤＰ代码，这种情形类似于ＣｏｄｅＲｅｄ和ＳＱＬ Ｓｌａｍｅｒ蠕虫。而且大多数被感染的计算机将不得不重新安装整个系统，除非用户决定买新的电脑。他说：“这种病毒的破坏目的非常明确，那就是以Ｒａｗ Ｄａｔａ方式摧毁硬盘数据，导致用户不得不重新安装计算机操作系统和所有的软件。”
　　其实早在３月１８日，著名的安全公司ｅＥｙｅ Ｄｉｇｉｔａｌ Ｓｅｃｕｒｉｔｙ就发现了ＩＳＳ产品中的这个缓冲区溢出漏洞，并通知了ＩＳＳ公司。但是就在ＩＳＳ推出该漏洞补丁程序的３月２０日，Ｗｉｔｔｙ蠕虫也同时出现在互联网上，这一切都让ＩＳＳ的技术人员和用户措手不及。而ＩＳＳ只能看着自己用户的防火墙和系统一个个“失守”瘫痪。
　　３月２０日～３月２２日，仅仅过了两天时间，ＩＳＳ产品５％的用户不同程度地遭到了Ｗｉｔｔｙ的“洗劫”，这家世界著名的网络安全公司对那些由于自己产品漏洞而毁掉系统的用户显得如此无能为力。而Ｗｉｔｔｙ蠕虫这种通过防火墙自身的漏洞发起破坏性攻击的速度与威力也给全世界留下了深刻的印象。
　　还用不用防火墙
　　ＩＳＳ这次城门失守在网络安全软件史上并不是头一次，著名的杀毒软件公司赛门铁克也曾经几次城门失守，但是由于当时黑客技术和病毒技术并没有非常好融合，因此赛门铁克幸运地躲过了这些危险的攻击。
　　可如今的软件体积越来越大，而软件中的重复使用代码率也相当高，很多公司购买的重复代码安全性更低，存在很多的漏洞。根据赛门铁克一年两次的《互联网安全威胁报告》称，２００３年软件公司和安全研究员共向公众发布了２６３６个软件安全漏洞，比２００２年的２５８７个安全漏洞上升了２％。而从２００１年至２００２年，这一比率上升了８１％。
　　赛门铁克还称：４３％的网络攻击是由于蠕虫病毒；而４０％来源于探测系统漏洞（不全为恶意）；另外１７％是非蠕虫导致的闯入系统尝试。该报告中还描述，过去半年的赛门铁克高级网络的侦测中，约有１／３的电脑被ＭＳＢｌａｓｔ或Ｂｌａｓｔｅｒ蠕虫病毒利用进行攻击。这是因为一台电脑可以用作多个攻击的工具，很多病毒极大程度地利用了这一点。后果“显著”的ＳＱＬ Ｓｌａｍｍｅｒ蠕虫，在实现的攻击数量中占１／４，仅利用了２．４％的电脑。这份报告最后指出，已经有两年以上历史的红色代码和Ｎｉｍｄａ蠕虫也仍在网络上传播。
　　Ｗｉｔｔｙ在传播中，在被研究中，在被诅咒中。诅咒是无谓的，如果我们不能彻底战胜这类病毒，那就应该代之以感谢——感谢它带给我们的启示。
　　一时间，这个高速的网络之上的每一个人似乎都陷入了自我检讨和反思；感谢它“救”了防火墙，虽然我们付出了几万台机器“中招”的代价，但它教会更多人要理性，并重新抛弃那些有防火墙就万事大吉、天下太平的信念，就像当年抛弃计算机防毒卡一样。
　　结束语
　　最近又有安全组织发现Ｗｉｎｄｏｗｓ ＸＰ的浏览器在解析目录中的“ｗｍｆ”文件时，如果目录包含零长度记录，就会发生异常，造成资源管理器崩溃。远程攻击者可以发送恶意目录中包含“ｗｍｆ”文件的Ｅ－ｍａｉｌ给目标用户，并通过用户点击来触发此漏洞。
　　目前厂商还没有提供补丁或者升级程序。

文章来源：西部E网IT频道
日期：2004-4-7