FileMon for Windows v7.04
Download Filemon (280 KB)
USB病毒解決方案
2008/04/26
標籤：
惡意程式
前言
如眾所周知，Web已成為現今資安威脅的最主要來源！然而根據趨勢科技公司之統計分析（【註1】、【註2】），2007年下半年前十大惡意程式入 侵管道中，Web佔了八名，另二名則是由USB奪下，可見此一管道的病毒與資安威脅也不容忽視。上（2）月下旬，國家資通安全會報技術服務中心也發出通報 並提供USB蠕蟲的威脅與防護建議。本文則彙整相關重點，提醒同仁日常使用此類設備時應格外注意。
USB逐漸淪為病毒傳播的溫床
USB隨身碟由於輕便、容量大、價格便宜等特性，早已取代磁片等其他媒體，成為最普遍的可攜式儲存裝置。但往往病毒即利用使用便利與系統預設參數 的弱點，成為病毒傳播與侵犯的溫床。已知目前有許多惡意程式會利用微軟Windows作業系統中所提供之「裝置自動執行（Autoruns）」功能進行散 播。此類利用USB儲存裝置進行散播的惡意程式被稱為「USB蠕蟲（USB Worm）」；關鍵在於多數使用者均慣於Windows環境中用「我的電腦」開啟USB隨身碟，或者不按Shift鍵開啟隨身碟檔案，允許電腦自動執行隨 身碟上的檔案。
「USB Worm」會在磁碟裝置根目錄中寫入一個autorun.inf檔案，當使用者插入該磁碟裝置，並從桌面「我的電腦」點選進入該磁碟代號時，在預設情況下，作業系統會自動讀取autorun.inf並執行autorun.inf中所指定的惡意程式，進而使惡意程式感染電腦。
關閉作業系統裝置自動執行功能可以降低此威脅的風險；而目前網路上常見關閉作業系統裝置「自動播放」功能的防護方法，並無法徹底根絕此威脅的發生。
微軟Windows作業系統關閉裝置自動執行（Autorun）功能設定的原理在於針對
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Exploerer\MountPoint2機碼之Everyone的權限進行限制，在此之下，USB裝置仍可正常使用，但不會再執行autorun.inf檔中的設定。
以下說明的設定方式只針對目前登入的使用者，若同部電腦下以不同的使用帳號登入，則必須以相同之步驟進行設定（本方法設定後無須重開機，即刻生 效）。
以下所提供的三種方法適用於Windows XP以及Windows Vista：
方法一（利用工具手動修改）:
此方法適合應用於大量自動化部署，可應用於網域登錄程序檔（Logon Script），於使用者登入網域時自動進行設定。
步驟：
1.下載 Windows Resource Kit Tools -SubInACL.exe工具，下載subinacl.msi 檔案。
2.自動安裝完成後，於「開始/執行」中執行cmd，進入命令列模式。
3.進入SubInACL工具路徑（預設安裝路徑為C:\Program Files\Windows ResourceKits\Tools）。
4.執行以下指令，如【圖1】所示：
SubInACL /subkeyreg
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2
/deny=everyone=f（使用者可以直接以複製以上指令，再按滑鼠右鍵選擇貼上即可）
圖1
5.按下Enter鍵執行，待執行結束，權限修改完畢，如【圖2】。
圖2
6.修改完成，點選進入光碟或USB隨身碟，將不會執行autorun.inf檔。
還原設定：
若要回覆設定，請輸入（或複製/貼上）以下指令：
SubInACL /subkeyreg
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2
/grant=everyone=f
方法二（手動設定修改）：
步驟：
1. 於「開始/執行」中執行regedit，進入登錄編輯程式。
2. 找到機碼名稱：
HKEY_CURRENT_USER\Software\microsoft\Windows\CurrentVersion\Explorer\MountPoints2
3. 點選該機碼，按右鍵選擇「使用權限」，如【圖3】。
圖3
4.新增使用者Everyone。點選「新增」鍵後在「輸入物件名稱來選取」欄內輸入「Everyone」即可，如【圖4】。
圖4
5.設定使用者 Everyone 的完全控制權限為「拒絕」，選取「套用/確定」後離開，如【圖5】。
圖5
還原設定：
若要回覆設定，請依照步驟1至3，再移除Everyone使用者，按「套用/確定」離開後即可。
關閉裝置自動執行功能可能造成的影響：
- 依據上述方法設定後，將關閉所有裝置的autorun.inf的執行功能，因此包含CD-ROM/DVD-ROM在內的裝置也將無法執行光碟片置入後自動執行的功能。
- 已知目前部份具特殊功能之USB隨身碟（如指紋辨識、加密等），使用autorun.inf功能來自動執行必要的應用程式，如經過上述設定後，此類隨身碟將失去自動執行的能力，必須由使用者自行點入隨身碟中執行。
方法三（電腦管理服務設定法）:
以下的圖樣取自Windows Vista作業系統，Windows XP使用者在排版上會和插圖不同，但名詞的使用是一致的。
步驟：
1.點選「開始」，在「我的電腦」上按右鍵，選擇「管理」，如【圖6】（Vista的使用者會出現一個確認的畫面，請點選「繼續」）。
圖6
2.在「電腦管理」的視窗裡點選「服務及應用程式」下的「服務」，如【圖7】。
圖7
3.找出「Shell Hardware Detection」，點選後會出現另一個小視窗；在「啟動類型」裡選擇「停用」，如【圖8】（在Windows XP裡選擇「已停用」）。
圖8
4.按下「確認」鍵。
還原設定：
重複步驟1至3，在「啟動類型」裡選擇「自動」，按下「確認」鍵即可。
結語
由於使用受「USB Worm」感染之USB儲存裝置至其他電腦交換資料時，不僅可能感染其他電腦，甚至可能造成個人資料外洩；在受感染的電腦上使用USB儲存裝置也可能使正 常的USB儲存裝置成為帶原體，進而成為散播惡意程式的幫兇。雖然此類病毒傳播速度不若Web或網路芳鄰等管道快速，但卻可能穿破企業資安防線的利器。
虛擬世界的病毒危害，正如同自然世界一般，不僅千奇百怪、無所不在，更是演化快速、無孔不入；而個人的疏忽，往往也將造成組織資訊安全的嚴重危害，不可不慎！因此，正確的使用習慣、正確的系統設定、以及瞭解自身常用裝置之可能弱點，是維護個人電腦使用安全性的重要原則。
參考資料
【註2】：趨勢科技發佈「2007年資安威脅報告暨2008預測」
轉自中央研究院
硬碟修護指南(下)
2008/04/25
標籤：
資料還原
硬碟的問題在於：它沒辦法任意地「長大」，生病了也不會喊痛，所以我們得時刻關懷它、維護它。有時候，我們會希望，「它要是會說話，該有多好！」
硬碟的搶救，最困難、最麻煩的狀況就是，檔案被誤刪了；或是某些人對硬碟做了所謂的「磁碟分割」，將硬碟不該砍掉的分割區卻砍掉；又或者是，硬碟因為不可挽回的硬體錯誤，導致分割描述表損毀；還有就是，有些人做所謂的「系統還原動作」，卻還原錯地方了，或是意外還原了，才發現原本應該保留的空間卻被還原，結果把硬碟重要的資料蓋掉。種種情況，不一而足。
總之，如果你硬碟的硬體問題排除、檔案系統問題排除，那最後的防線就是「檔案搶救軟體」，這類軟體的英文名稱通常被稱為「File Recovery Tools」。
檔案搶救軟體簡介
關於資料搶救軟體，我聽過的還不少，在此做個簡單介紹：
●「Lost & Found」是一套有名的軟體，不過這軟體是在DOS下操作，且不支援中文檔名，因此不太建議使用。
● Windows環境底下，早期較有名的一套檔案救援軟體稱為「FinalData」，這套軟體支援中文檔名，是許多專業人士曾經最愛的檔案救援工具首選。不過，隨著年華老去，這軟體目前的能見度較低。
● 目前我個人比較喜歡使用的軟體，稱為「R-Studio」(原廠中文網址：www.r-studio.com/zhhk)。這套軟體可以復原各種檔案系統的問題，不只支援NTFS、FAT/FAT32，也支援一些PC上常見OS的檔案系統。
● 最近，本人以前的同事（現任「某公司」MIS專員）則推薦另外一套軟體：Active@ File Recovery（原廠網址： www.file-recovery.net），他認為這套軟體雖然掃描速度較慢（掃描？請看後面的文章介紹，這裡的掃描是檔案復原的步驟之一，不是一般的磁碟掃描），但掃描的結果更好、更細緻，所以救回檔案的機率更高，不過我並未用過這套軟體，僅提出供各位參考，說不定讀者之中有人會有興趣試試看。
檔案搶救步驟簡介
每一套檔案復原軟體的操作步驟的細節並非完全相同，但根據我自己用過這類軟體的經驗，基本操作步驟是如下所述，請各位參考：
1. 從「物理層」或「邏輯層」開啟硬碟內容
復原軟體大多具備「繞過」Windows的管轄，直接從「物理層」存取硬碟內容的能力（我用過的Final Data和R-Studio都可以）。倒不是說它們可以避開硬體的損壞，而是說，在硬碟的硬體確定無損的情況下，即使Windows無法辨認硬碟的檔案系統了，檔案總管看不見檔案列表了，它們也還是可以從「物理層面」去復原磁碟上面的檔案。
2. 對硬碟內容做「地毯式掃描
開啟硬碟之後，我個人使用R-Studio（FinalData也很類似）的方式是：將這個硬碟做完整的「地毯式掃描」。這掃描的目的是要重建檔案結構，找到誤刪或是損壞的檔案內容。注意，這種掃描非常非常耗時，因此也一樣，你能做的事情就是等待（我就不再建議你可以做些什麼事情殺時間了）。但是，有些軟體（像是R-Studio）可以支援的檔案系統格式很多很多（EXT2/3、HFS……），但如果你只掃描Windows XP的NTFS，那就建議你只選NTFS的掃描即可，會快得多。此外，要記住，掃描不是越快越好，要能夠救回重要資料才是好。
3. 儲存掃描結果
掃描完成後，這類軟體會建立一個列表，姑且稱之為「復原檔案列表」好了，這分列表你可以存檔，作為復原的依據。
4. 從掃描結果中將遺失的檔案復
接著，你可以從這分列表中找尋你要復原的檔案，選擇後就可以繼續進行。請注意，這找到的檔案復原列表，可能相當混亂，因為它說不定把你八百年前刪掉的垃圾信都復原了。畢竟，軟體並沒法判斷它該復原的檔案哪個才是有價值的。
5. 將你要復原的檔案，存到另外的硬碟空間
只要你有足夠的空間，你可以把復原的檔案都存到這硬碟上，再來慢慢篩選要保存的檔案。
好的，你現在知道，為何「新聞人物」的照片會被找回來了，因為他可能是找到了「不知道是對的人還是錯的人」去修理他的硬碟，而且這人對上面的五個步驟一定知之甚詳。老實說，這些步驟看起來不難，但每套軟體的操作細節倒是各有不同，而且很多情形得「看情況做適當處置」，沒法三言兩語就簡單交代。因此，有志於此的使用者，可以找一套「試用版」軟體自己試試看，再決定要不要自己救援檔案。
儲存系統的維護之道
在磁碟系統中，檔案系統的設計一直存在著「兩難」。如果你設計一個「很安全，檔案不容易出問題」的檔案系統，那它的「效能就很容易受到重大的影響」。反之，如果檔案系統的設計著重於性能、反應時間的提昇，大量使用所謂的「快取延遲寫入」，那檔案的安全性也會大受影響。
因此，說完「檔案如何復原」之後，我僅提供一些儲存系統的維護看法與建議，希望對各位在磁碟系統的維護和資料儲存的管理上，能有些許的幫助：
● 定期用SpinRite保養有點年紀的硬碟
用SpinRite的Level 4保養稍有年紀的硬碟機，可以強化資料存在硬碟上的「類比磁場強度」。我個人認為，有保養有差，莫待硬碟壞軌時，再來空餘恨。不過要注意的是：如果硬碟已經瀕臨損壞，用Level 4反而可能會造成硬碟機件的崩潰，而導致資料全毀。
● 硬碟有點年紀了就該定期備份資料，甚至定期替換
硬碟的資料備份既然是老生常談，我想不如請你定期替換老舊硬碟還比較好。不過這種作法的困難在於，如果硬碟數量很多，根本就不會有人真的這樣做，除非你有完善的產品維護監控系統吧！
● 平常就使用S.M.A.R.T.軟體監控硬碟狀況
S.M.A.R.T. 技術問世多年，目前已經有很多的軟體可以常駐在Windows系統下，隨時監控硬碟的狀況，像是硬碟溫度、硬碟健康度、錯誤率等等。如果硬碟溫度過高，或是健康度不佳，這類軟體會適時提出警告。有些軟體還會支援筆記型電腦的硬碟防護功能，讓你的資料防護更加周延。舉例來說，Hard Drive Inspector Professional就是一套這樣的軟體（www.altrixsoft.com），HDDlive（hddlife.com）則是另一套頗知名的類似軟體。同樣的，這類軟體也大多也有試用版可以下載。
● 考慮使用簡單的RAID系統備份資料，即使你只是「電腦個體戶」而已
目前多數的主機板都支援RAID系統，常見的規格有RAID 0、RAID 1、RAID 0+1、RAID 5和RAID 6等等。RAID 0可以加大整體儲存容量，等於是串聯硬碟空間，但出事時損失也相當恐怖（壞掉一臺硬碟就整個系統毀掉）。RAID 1就是所謂的「Disk Mirror」，只是把一臺硬碟的內容原原本本地複製到另一臺，有點像是「全額保險」。不過，如果你是一個「電腦個體戶」，我建議重要的資料可以使用 RAID 1來防護，主要是因為現在硬碟的價格已經很低了吧！而且，請注意「重要資料」四個字。
RAID 5和RAID 6固然可以較不浪費空間（RAID 5只會損失 1/n臺的硬碟空間，RAID 6會損失2/n），但效能較差，且個人使用這種RAID系統，陣仗也稍大了點（如果你不用個4、5顆硬碟來組合，那使用RAID 5、RAID 6的意義何在？）。但如果你的資料量超大，我也是見過有人家裡就擺兩、三個RAID 5系統的。
● 公司行號不僅要用RAID這種即時的資料備援系統，更要考慮定點備份系統
對公司行號而言，我的看法是：除了RAID系統，磁帶機、資料備援中心的定期備援，都是必要的。因為：即時的備份系統，會連系統的錯誤也立刻備份，無法回復，這是很恐怖的。
這是何意？由於RAID系統會無時無刻備份你的資料，因此，如果儲存系統出現嚴重的問題，像是「作業系統中毒」或是「資料庫嚴重損毀」，RAID系統也會立刻把「錯誤狀況」也備份，這時你也許會想要「時光回溯」，那你就得靠「定點備份系統」了。
定點備份系統我不是專家，但是iThome的採購特輯你一定看過，磁帶機系統、光碟櫃系統，甚至是資料備援中心，這都是有必要的。雖然定點備份很無聊，因為你很辛苦的備份，但系統若一直都很正常，備份好像也無用武之地。但別說公司小就不會有意外，意外都是「一次」就可能要你的命。
此外，RAID系統也不是100％就保險，要是你用RAID 5，系統一次壞二臺硬碟機，資料怎辦？全毀！這時你就會後悔，沒有使用定點備份系統囉！
● 用上期教的「作業系統內建的磁碟檢查方法」，定期磁碟檢查，避免檔案系統的崩潰
一般人不知道，開機久了，檔案系統總是潛藏著危險，因為檔案存取過程偶然產生的「鍊結錯誤」，將會影響電腦運行的穩定性。再次強調，一般人總覺得「電腦看來沒問題啊？」不，「電腦用久了，檔案系統總有些潛藏的問題」，我恨不得把這句話植入每個電腦使用者的大腦裡！
好，如果你大腦已經植入這句話了，還建議各位定期使用上期所教的，作業系統內建的磁碟檢查功能，檢查檔案系統的正確性，這樣才可以避免「有一天硬碟就開不了機了」的窘況。
● 定期重組硬碟
硬碟重組的英文名字很多，可稱為「Disk Optimization」、「Disk Defragment」……，總之，它可以盡可能讓檔案連續存放，減少磁頭的往返移動，並因此加快電腦讀取檔案的效能。額外的好處是在你硬碟出事時，增加你拯救檔案的機率（因為檔案的內容是連續的，救援軟體比較容易處理）。
我建議買一套好軟體，一個月做一次磁碟重組，有益電腦健康。
● 硬碟保持一定的空間比較安全
硬碟不要用到「滿」再來清理，有時會導致系統的崩潰。尤其是電腦記憶體內容的置換，或是瀏覽器的內容暫存，都需要靠硬碟有足夠的空間，才能正常運作。把硬碟塞爆了，電腦說不定就也跟著爆了。
一般的建議是至少保持15％的硬碟空間。
● 殺檔案要確實，請「Wipe」而不是「Kill」
如果你的檔案就是想「殺掉」，不留痕跡，那你殺檔一定要確實，使用特殊的「Wipe」軟體，把資料確確實實抹掉。一般的「丟到垃圾桶」、「清除垃圾桶」，注意，甚至是「Format硬碟」，都不一定就保證檔案不能救回來（這一點很多人誤會，但是，是的，Format不一定100％保證資料的遺失，否則幹麼有復原軟體的存在？）。那要是硬碟落在「有心人士」的手裡，就不免會有各種奇怪的事情可能發生，這不用我多講了吧？
本期結語：預防勝於治療，保密勝於後悔
最後，我想說的是：「要是硬碟系統也能做到『Scalability』和『Virtualization』就好了。」
我想像的「Scalability」就只是「可擴充」罷了，但這對硬碟系統來講就不容易做到。
比方說，你買了一臺硬碟，用到某年某月某一天，你想要擴充，再買一臺，但是，你可以把你原來C:磁碟的空間直接「無縫」變大（不是增加個D:碟喔，是直接把C:變大）？
不行，因為作業系統有很多限制而做不到。所以，現在的儲存系統問題多。但是，這本來就是兩難，要是存在這樣的系統，說不定效率會差到一般人無法忍受。
看來這是個複雜的問題，所以我又想像，硬碟系統要是也有Virtualization也不壞。但，說不定已經有了？SAN技術是否就可以做到？又或是傳說中的Object File System？這時候，我又希望硬碟會說話，會自己長大，這樣也許我們的問題可以少一點。
轉自IThome
六種VLAN在Switch上的實施方法
標籤：
資訊安全
VLAN在交換器上的實施方法，可以大致區分為六類:
1. 根據port區分的VLAN
這是最常應用的一種VLAN區分方法，應用也最為廣泛、最有效，目前絕大多數VLAN協定的交換器都提供這種VLAN配置方法。這種區分VLAN的方 法是根據乙太網交換器的交換port來區分的，它是將VLAN交換器上的實體port和VLAN交換器內部的PVC（永久虛擬電路）port分成若干個 組，每個組構成一個虛擬網，相當於一個獨立的VLAN交換器。
對於不同部門需要互訪時，可通過路由器轉送，並配合根據MAC地址的port過濾。對某站點的訪問路徑上最靠近該站點的交換器、路由交換器或路由器的相應port上，設定可通過的MAC地址集。這樣就可以防止非法入侵者從內部盜用IP地址從其他可接入點入侵的可能。
從這種區分方法本身我們可以看出，這種區分的方法的優點是定義VLAN成員時非常簡單，只要將所有的port都定義為互相對應的VLAN組即可。適合於任何大小的網路。它的缺點是如果某用戶離開了原來的port，到了一個新的交換器的某個port，必須重新定義。
2. 根據MAC地址區分VLAN
這種區分VLAN的方法是根據每個主機的MAC地址來區分，即對每個MAC地址的主機都配置他屬於哪個group，它實施的機制就是每一塊網卡都對應 唯一的MAC地址，VLAN交換器跟蹤屬於VLAN MAC的地址。這種方式的VLAN允許網路用戶從一個實體位置移動到另一個實體位置時，自動保留其所屬VLAN的成員身份。
由這種區分的機制可以看出，這種VLAN的區分方法的最大優點就是當用戶實體位置移動時，即從一個交換器換到其他的交換器時，VLAN不用重新配置， 因為它是根據用戶，而不是根據交換器的port。這種方法的缺點是初始化時，所有的用戶都必須進行配置，如果有幾百個甚至上千個用戶的話，配置是非常累 的，所以這種區分方法通常適用於小型區域網路。而且這種區分的方法也導致了交換器執行效率的降低，因為在每一個交換器的port都可能存在很多個VLAN 組的成員，保存了許多用戶的MAC地址，查詢起來相當不容易。另外，對於使用筆記本電腦的用戶來說，他們的網卡可能經常更換，這樣VLAN就必須經常配 置。
3. 根據網路層協定區分VLAN
VLAN按網路層協定來區分，可分為IP、IPX、DECnet、AppleTalk、Banyan等VLAN網路。這種按網路層協定來組成的 VLAN，可使廣播域跨越多個VLAN交換器。這對於希望針對具體應用和服務來組織用戶的網路管理員來說是非常具有吸引力的。而且，用戶可以在網路內部自 由移動，但其VLAN成員身份仍然保留不變。
這種方法的優點是用戶的實體位置改變了，不需要重新配置所屬的 VLAN，而且可以根據協定類型來區分VLAN，這對網路管理者來說很重要，還有，這種 方法不需要附加的frame tag來識別VLAN，這樣可以減少網路的流量。這種方法的缺點是效率低，因為檢查每一個packet的網路層地址是需要消耗處理時間的(相對於前面兩種 方法)，一般的交換器晶片都可以自動檢查網路上packet的乙太網frame header，但要讓晶片能檢查IP frame header，需要更高的技術，同時也更費時。當然，這與各個廠商的實施方法有關。
4. 根據IP組播區分VLAN
IP 組播實際上也是一種VLAN的定義，即認為一個IP組播組就是一個VLAN。這種區分的方法將VLAN擴大到了wan，因此這種方法具有更大的靈活性，而 且也很容易通過路由器進行擴展，主要適合於不在同一地理範圍的區域網路用戶組成一個VLAN，不適合區域網路，主要是效率不高。
5. 按策略區分VLAN
根據策略組成的VLAN能實施多種分配方法，包括VLAN交換器port、MAC地址、IP地址、網路層協定等。網路管理人員可根據自己的管理模式和本單位的需求來決定選擇哪種類型的VLAN 。
6. 按用戶定義、非用戶授權區分VLAN
根據用戶定義、非用戶授權來區分VLAN，是指為了適應特別的VLAN網路，根據具體的網路用戶的特別要求來定義和設計VLAN，而且可以讓非VLAN群體用戶訪問VLAN，但是需要提供用戶口令，在得到VLAN管理的認證後才可以加入一個VLAN。
轉自網路
當紅惡意程式KAVO刪除法
2008/04/22
標籤：
惡意程式
1. 關閉所有應用程式
2. 開啟工作管理員
3. 開啟 cmd 視窗
4. cmd視窗下利用 dir /a:h 的指令 找出 %windir%\system32 和 %temp% 下的隱藏dll 和 exe檔, 理論上就是前面所提的那些
5. cmd視窗下和用 attrib -s -h -r 將前面所找到檔案的屬性消除, 這樣才能砍掉
6. cmd視窗下將前面所找到的檔案砍掉, 應該會發現 .有些檔案砍不掉, 砍不掉的就是正在執行中的檔案, 如果是exe檔, 就到工作管理員裏停掉該程式再砍, 如果是dll檔請看下一步, 如果不知該不該砍, %temp%目錄下的全砍就是了, %windir%\system32 下的kavo開頭的砍了就是了 Smile
7. cmd視窗下用 tasklist -m kav* 列出呼叫kav*.dll的程式, 您會找到 explorer,exe taskmgr.exe 這兩個程序在裏面, 如果還有其他程序先停掉
8. 在工作管理員--處理程序 裏 將explorer.exe 結束處理程序, 此時桌面會消失, 只剩下cmd視窗和工作管理員, 然後再把工作管理員結束
9. 再利用tasklist -m kav* 應該就找不到呼叫 kav*.dll的程式, 此時就可以把那些dll砍光了, 小心別亂砍
10. 在cmd視窗下, 到各磁碟根目錄, 利用attrib -s -h -r消除autorun.inf ntdelect.com 的屬性然後砍掉
11. 在cmd視窗下執行 explorer, 桌面即可復原
12. 用regedit 檢查,如果有前面提到的請刪掉
正面應對迎戰Rootkit造成的安全威脅
標籤：
惡意程式
註：以下文章非本人撰寫為中國大陸網路轉載文章，只做繁簡轉換整理。
來源：賽迪網 IT技術 正面應對 迎戰Rootkit造成的安全威脅
作者：茫然的風
Rootkit可以說是最新的安全威脅之一。任何聽說過它的人都知道它臭名昭著：無法刪除，在一台電腦內部存在數年而不被發現，而且可通過作業系統發動攻擊。
Rootkits：隱藏的安全威脅
什 麼是Rootkit呢？根據www.whatis.com的觀點，一個Rootkit就是一個允許以管理員身份訪問電腦或電腦網路的工具的集合（a Rootkit is 「a collection oftools that enable administrator-level access to a computeror a computer network.」）。根據安全專家Greg HogLund的觀點，Rootkit是一個設計出來在一個系統中隱藏自身和/或其它過程資料/活動的工具。雖然名聲不好，Rootkit實際上卻可以擁 有十分重要的應用，如管理許可證或隱藏一些管理員不想讓其他人看見的文件等。Rootkit的問題在於那些隱藏一些東西並為遠端使用者提供訪問服務的程 式，它們可被濫用引起各種安全問題。如今Rootkit可被用來危及電腦的安全，因此電腦使用者必須清楚這些Rootkit。Rootkit基本上可作為間諜軟體、特洛伊木馬、釣魚軟體和其它有害程式的一個基礎平臺。關於Rootkit的好話我們就不多說了，先重點談談Rootkit被用來犯罪的工具問題。
電腦犯罪的理想工具
因為眾所周知的經濟方面上的原因，近年來Rootkit已經成為一個日益嚴重的問題。Rootkit的力量在於它允許遠端使用者控制受害人的系統。一旦它在你的系統上製造或發現一個後門,就可以收集各種各樣的個人資訊，如信用卡號等。
Rootkit常被用來利用間諜軟體和鍵盤記錄程式進行犯罪活動。Rootkit還可以作為蠕蟲和病毒的快速啟動的跳板。實 際上，一些蠕蟲就包含Rootkit，這些Rootkit安裝在被感染蠕蟲的電腦上，從而通過網路進一步擴散。Rootkit的最大危險在於它們可以給遠 端使用者一種能夠對系統實施「外殼訪問」（shell access）的許可權，也就是說駭客可以完全地控制目標系統。如此一來，Rootkit就可以擁有一種幾乎無限的破壞潛力。
Rootkit陰險地潛入
Rootkit 可存在於內核、庫、和應用程式的層次上。內核級的Rootkit特別危險，是人們注意的中心，因為它們十分地難於檢測。Rootkit的一個真正狡猾的特 點就是：有一些類型的Rootkit可以將其自身與作業系統緊密地綁定，實際上，幾乎不可能檢測它們。其結果是，Rootkit可以以這種方式取代作業系 統，如此一來，使用者就不能相信作業系統傳給使用者的資訊。
傳統的反間諜軟體和反病毒程式在這種情況下是無能為力的，因為它們依靠作業系統自身來尋求狀態資訊，而作業系統卻已被控制。雖然一些Rootkit實際上相當陰險，不過，事實上許多Rootkit可通過關機，然後從另一個乾淨的磁片重新開機來檢測到。畢竟一個非活動的Rootkit是無法隱藏自己的。
感染了Rootkit怎麼辦？
有 一種觀點認為，在感染之前（或者沒有被安裝Rootkit）），只需備份系統，然後重新格式化磁片再恢復系統是個好辦法。無可否認，這是針對此問題的一個 極端的方法。現在有多種免費的或開源的Rootkit檢測工具來解決問題，不過這並非是真正的安全之道。使用者應謹慎地選擇這種軟體。特別是免費的 Rootkit檢測工具並不能像商務軟體那樣及時更新，而此Rootkit的發展步伐又是如此之快，因此我們還要尋求其它的方法。
因為 Rootkit經常被用作間諜軟體的平臺，配置最好的可以解決Rootkit問題的商務軟體或硬體廠商通常是那些有著豐富的間諜軟體檢測和清除經驗的公 司。一個Rootkit的檢測和清除程式使用多維向量來確認問題。這種程式還應該有最新的被確認的Rootkit的列表，從而確保那些新出現的 Rootkit不會成為漏網之魚。這也就是用戶及時更新其簽名檔的重要原因。
記住下面一點也是很重要的：並非所有的Rootkit都是惡意的。使用者並不想要一個Rootkit檢測程式只是檢測那些它所能夠發現的惡意的Rootkit。一個良好的Rootkit檢測程式還應該分辨善意和惡意的Rootkit，並能讓管理員禁用或啟用這些Rootkit程式。
檢測和清除Rootkit的策略
從一定意義上講，Rootkit是難於清除的，特別是對於那些處於作業系統級的Rootkit來說。不過,這又依賴於Rootkit的執行、實施方法。使用者可以在作業系統內核級上安裝工具軟體，也可以在使用者模式水準上放置一些工具。總的來說，Rootkit的目的地是對使用者隱藏資訊、過程和檔,因此無論是檢測還是清除都是相當困難的、複雜的。一般說來，刪除比檢測更難於實施，因為你要確保作業系統在清除Rootkit後還能正常工作。當今的大多數Rootkit都是可以從系統中安全地清除的，但今後一、兩年內，清除Rootkit可能會是一個相當重大的挑戰。
那 麼檢測和清除Rootkit的最困難的方面是什麼呢？我們說過，Rootkit就是來隱藏資訊的。這樣你就再也不能真正的相信作業系統本身。一旦你的機器 感染了惡意的Rootkit，那麼作業系統所告訴你的任何東西都不再是真正可信的資訊。因此，從作業系統中清除一個Rootkit的首要一步就是引入能夠 理解作業系統最低級資訊的技術。例如，磁片如何被格式化。因此對作業系統之下的技術所掌握的能力能夠使你確認任何可認為是Rootkit的蛛絲馬跡。換句 話說，對一個作業系統的更高深的知識和能力是非常關鍵的。
科學的檢測技術應位於作業系統之下，我們可以將作業系統在機器上所看到的與檢測軟體在作業系統最低層上所看到的相比較。如果二者匹配，作業系統極有可能是乾淨的、安全的，但如果二者有差異，那你就應該好好看一下了，因為這有可能是一個潛在的Rootkit感染的跡象。
使用者可以採取以下幾方面的步驟來減少總體的暴露程度和被Rootkit感染的風險：
- 通過儘快地確保電腦打上最新的補丁來保證系統的健康，特別是如果你採用微軟的作業系統的話。不過，這條忠告適用於任何其它的作業系統或應用程式。
- 建議用戶以非超級用戶的身份登錄。說來容易做來難。不過，事實是：如果你減少登錄用戶的許可權，你就是在大大地減少被Rootkit感染的風險。
- 總是同時地、及時地更新你的反間諜軟體和反病毒軟體。
筆者(註：原作者)還要建議此文的閱讀者：一定要小心所謂的免費下載！一些所謂的免費下載並不是真得免費。因為你是要付出代價的。很多所謂的「免費」下載可能會包含惡意軟體或Rootkit，使用者完全應該採取預防措施以防止這種事情的發生。儘量從可信任的網站下載，因為它們可為用戶提供一定的安全保障，但並非絕對。
文章來源：網路攻防戰
訂閱：
文章 (Atom)
發表文章
