轉載
----------------
在此不是教入侵 是給不知者了解 如何自己測試才能防堵
此文已有一段時間了 所以應無再被駭的安全顧慮
http://www.rvibo.y365.com/rj/hac[62].HTM《對 RPC DCOM worm 的設想》
序將病毒代碼列印成反彙編後的程式清單進行分析，看病毒分成哪些模組，使用了哪些系統調用，採用了
哪些技巧，如何將病毒感染文件的過程翻轉爲清除病毒、修復文件的過程，哪些代碼可被用做特徵碼以及
如何防禦這種病毒等等。分析人員的素質越高，分析過程就越快，理解也就越深;動態分析則是指利用Debug
等程式調試工具在記憶體帶毒的情況下，對病毒作動態跟蹤，觀察病毒的具體工作過程，以進一步在靜態
分析的基礎上理解病毒工作的原理。在病毒編碼比較簡單的情況下，動態分析不是必須的。但是，當病毒
採用了較多的技術手段時，就必須使用動、靜相結合的分析方法才能完成整個分析過程。
綜上所述，利用原始備份和被檢測程式相比較的方法適合於不用專用軟體，可以發現異常情況的場合，
是一種簡單、基本的病毒檢測方法;掃描特徵串和識別特性字的方法更適用于廣大PC機用戶使用，方便而
又迅速;但對新出現的病毒會出現漏檢的情況，須要與分析和比較法結合使用。
通過採取技術上和管理上的措施，電腦病毒是完全可以防範的。
發佈者: 艱苦
來源: BLUEDON
《對 RPC DCOM worm 的設想》
by tiger:
2003.8
名稱: 對 RPC DCOM 蠕蟲的設想作者: lion 主頁:
http://www.cnhonker.com 日期: 2003/08/08 最近好象幾乎每
一個大的漏洞公佈出來，接著都會有一個針對這個漏洞的蠕蟲(worm) 流行，最近鬧得很凶的 RPC DCOM 漏洞估計也即將成爲 worm 的新傳播載體。
好象寫 worm 是一個熱門，很多人也覺得好奇，覺得 worm 是很深的一種技術，其實這個是很簡單的編程
遊戲而已。
我一直有個想法就是想寫一篇關於 worm 的技術分析(---爲了不教壞小孩子:)，只是一直懶得提筆，本人對
蠕蟲的編寫已經失去了興趣，現在在新的 worm 風暴即將到來之前，我這裏很簡單分析一下蠕蟲的相關技
術，並對 RPC DCOM 蠕蟲進行一些設想。
大家當我是助“紂”爲虐也好，故意賣弄也好，我覺得還是要寫這篇文章，一年多沒寫過文章了，同時也
了卻了自己的一個心願。
你現在可以選擇不繼續往下看，但看完後不要對我吐口水。:) 一 什麽叫蠕蟲 首先從 spark 的 《Internet蠕蟲的定義和歷史》
文章中摘抄一段關於worm的解釋: 蠕蟲這個生物學名詞在1982年由Xerox PARC 的John F. Shoch等人最早
引入電腦領域[30]，並給出了電腦蠕蟲的兩個最基本特徵："可以從一台電腦移動到另一台電腦"和"可以自我
複製"。他們編寫蠕蟲的目的是做分散式計算的模型試驗，在他們的文章中，蠕蟲的破壞性和不易控制已經
初露端倪。1988年Morris蠕蟲爆發後，Eugene H. Spafford 爲了區分蠕蟲和病毒，給出了蠕蟲的技術角度的
定義，"電腦蠕蟲可以獨立運行，並能把自身的一個包含所有功能的版本傳播到另外的電腦上。"
（worm is a program that can run by itself and can propagate a fully working version of itself to other machines. ）。
由於這裏不是向大家介紹蠕蟲的定義和歷史就不多說了，大家如果對這些感興趣，可以到這裏讀 spark 的
文章。
http://www.nsfocus.net/index.php?act=magazine&do=view&mid=1851 二 蠕蟲的組成部分 一個蠕蟲的組成其實很簡單，由於我不是在這裏教你們寫蠕蟲，也由於時間限制，我
這裏只簡單的說一些。 我們可以把它看做一個工程，我們把這個工程分成 4 個模組: 1. 攻擊模組 首先得
需要有一個大量系統受影響的能被簡單利用的嚴重漏洞，以便能夠遠端控制機器。比如猜測薄弱口令啊，
遠端溢出啊等。
2. 感染模組 考慮怎麽讓對方被攻擊後，執行你想要實現的功能，完成對一個主機的感染。對遠端溢出來
說也就是完善shellcode了。
這中間得考慮一個感染傳播(繁殖)途徑的問題。
3. 傳播模組 比如，掃描一個網段有相關弱點的機器，存成一個文件，然後對這些IP進行攻擊，或者隨機
生成IP然後對這些IP進行攻擊等。
簡單的說就是掃描薄弱的機器。
4. 功能模組 功能模組其實是一個可要可不要的模組，但如果你想對方感染蠕蟲後還在對方加上後門
/DDoS等其他功能時，就必須得要有這個啦。
其實，一個蠕蟲成功的關鍵是一個攻擊模組和感染模組。:)
三 常見的蠕蟲的傳播(繁殖)途經 具體就不深入了, 只簡單列舉一下: 1. email 2. ftp 3. http 4. netbios 5. tftp
6. rcp 7. 其他 四 RPC DCOM 漏洞介紹 RPC DCOM 漏洞是最近出的一個Windows系統的嚴重漏洞，也
是有史以來最嚴重影響最廣泛的Windows漏洞。
Remote Procedure Call (RPC)是運用於Windows作業系統上的一種協定。
RPC提供相互處理通信機制，允許運行該程式的電腦在一個遠端系統上執行代碼。RPC協定本身源於OSF
(Open Software Foundation) RPC協定，後來又另外增加了一些Microsoft專用擴展功能。
RPC中處理TCP/IP資訊交換的模組由於錯誤的處理畸形資訊，遠端攻擊者可利用此缺陷以本地系統許可權
在系統上執行任意指令。
該缺陷影響使用RPC的DCOM介面，此介面處理由用戶端機器發送給伺服器的DCOM物件啟動請求(如UNC路徑)。
攻擊者成功利用此缺陷可以以本地系統許可權執行任意指令。
攻擊者可以在系統上執行任意操作，如安裝程式、查看或更改、刪除資料或建立系統管理員許可權的帳戶。
