当前位置：文档之家 › 视窗操作系统内的一段危险代码

视窗操作系统内的一段危险代码

  • 格式：pdf
  • 大小：241.13 KB
  • 文档页数：4

彻窗操作系统内的
问题的提出
一段危险代码

在我们开发数字认证客户端软件的过程里，发现在普通
的软磁盘上使用ＲｌＰＥｌ６０核心算法进行消息摘要计算后．得
到认证软件所需要的原始Ｈａｓｈ串，将该Ｈａｓｈ串导入随后的
迭代计算模块里进行客户端认证，却出现无法正确解码的情
况，起初怀疑是软磁盘介质故障，但是即使更换了全新软磁
盘，问题依然存在；于是怀疑主机感染病毒，通过镜像后援
恢复后问题仍然存在，而在其他类型的外存储器上进行同样
计算却能正确进行客户端认证。
通过较长时间的分析，最后发现问题出在软磁盘引导扇
区二进制内容上的异常——软磁盘引导扇区的０ＥＭ标志位被

频繁篡改（篡改为“芝加哥ＣＨＩＣＡＧＯ”字头了），而且问题
并不局限于我们的设备，恰巧我们订购的一批新设备里都随
机附送了驱动程序软磁盘，为了确定问题的普遍性，我们决
定查看这些驱动程序软磁盘的引导扇区内容。在进行软磁盘
读写前，我们先将其写保护开关打开，然后检查其ＯＥＭ标志
位，发现其同样已被篡改——换句话说，该批设备随机附送
的软磁盘在制造商出厂前，其０ＥＭ标志已被篡改。上述结果
证实了我们的判断——～视窗操作系统内含特殊指令，在执行
用户发出的软磁盘读写命令之前或命令完成之前，未经用户
确认，擅自执行未经用户“授权“的指令，篡改了用户软磁
盘的ＯＥＭ标志！这些危险的指令将导致个人电脑的安全性隐
患。
我们先来做个实验：
１．首先查看软磁盘引导扇区０ＥＭ标志：
２、然后将软磁盘引导扇区ＯＥＭ标志进行被篡改前后的
对比：

２０。｛削悟丫；，、、Ｍ

廖红旭
戢磁盘５】导蓐诞傩－标志梭篡改葡：
引导扁区瞒移：００００ＥＢ３Ｅ∞囊缸勰ｓｆ姻柚－０ｄ嚣３ｌ
０００２０１ｏｌ００

．＞．一错粼．１…

ｔｔ
ｏＥｘ标志位ｏＥ■标志寰现
较磁盘５ｌ导崩区ｏ￡Ｉ标志槛篁藏后：

引导扁区瞒移：００００
ＥＢａＥ９０黪镰ｌ鹭簿ｔ＆－∞ｄ８ｔａｏｏ０２
０１ｏｌ００

．＞．＋ｚ＿铀Ｉ辩．…．

十ｔｔ
ｏＥＩ标志位ｔｏＥ＿标志表现

（请特别注意上面的“Ｉｍ”字符）

上述ＯＥＭ标志“（ｓｗｌＮ４１”（或其他内容）都会被篡改
为“ｃＨＩｃＡＧ０芝加哥”字头的，不论是在ＤＯｓ窗口下执行
Ｆｏｒｍａｔ命令还是鼠标右键弹出的快捷键菜单下的”格式化”
选项，而且大部分的软磁盘读写操作如Ｄ旧、ｃ０ＰＹ，ＤＥＬ及
ＲＥＮ等都会导致上述篡改的频繁发生，即使是对用“磁盘空
间管理软件”压缩过的软磁盘！
而篡改指令来自视窗操作系统内的一段危险代码，在后
面的分析，我们可以看到，该段危险代码保存于视窗操作系
统内一个很重要的底层虚拟设备驱动程序ＶＦＡＴ里，机器启
动后其自动被视窗操作系统的前导程序装载，所以这段危险
代码的执行可以避过所有反病毒软件的实时扫描，不论该反
病毒软件是疏忽还是有意忽略了这个危险的操作。大家
定

还记得．早期的计算机病毒如“Ｂ川ｎ”．“Ｊｅ
ｒｕｓａ
Ｊｅｍ”等都会

往磁盘的引导扇区或可执行文件内写入各式各样的¨ｅｃｔｅｄ
标志，从这个角度看，不管视窗操作系统的开发商基于什么
考虑，其内置的这段危险代码频繁写入其“标志“于软磁盘
引导扇区ｏＥＭ标志位，这与很多实际已知病毒的表现无异，
这让人很自然地联想到类似的计算机病毒而且操作系统应
该严格执行操作者对软磁盘的读写指令，操作系统本身也应

　万方数据
该禁止其任何组件对系统敏感的数据结构进行“未获授权“
的操作！甚至病毒设计者可以利用这个”后门“将自己的
¨ｅｃｌｅｄ标志在形式与保存的位移上与ｏＥＭ标志保持一致或
直接盗用这个“标志”以避开反病毒软件的实时监控。二、问题的分析１、预备知识（１）视窗操作系统的启动过程（只列出有助于我们理解的部分）ｌ勋＿Ｂ１０ｓｌ寻找并６ｅ重ｌｌ谴八磋盘主引导记录船Ｒ及ＩＩ装戟Ｉｏｓｙｓ到内存井ｌ自举ｒ—’１ＰｒＪＰ设备ｒ叫活动分区引导记录ＢＲ卜叫构造最精简的Ｆ。ｔ裹ｌ蛰岖围七噩也氢（２）什么是ＶＦａｔ我们知道，ＦａＴ实际上是一文件系统的简称，其作用是组织磁盘及移动介质的数据，在视窗操作系统开发商早期的产品里广泛应用，大家熟知的文件名限制在１１个字符以及缺乏对ｕｎｉｃｏｄｅ的支持等都是其特点，ＦａＴ有效的文件名的格式为：［［ｄｒｌｖｅ：］】［【ｄＩｒｅｃｔｏｒｙ＼】】ｆｉｌｅｎａｍｅ【［ｅｘｔｅｎｓｌｏｎ】】也就是说没有现在“自然”的长文件名支持。ＦａＴ文件系统的主要优点是可以方便地被早期的磁盘操作系统（包括Ｏｓ／２等）所访问，也支持软磁盘及其他移动介质；其主要的缺点是对文件名的长度等的限制上以及不支持ｕｎｉｃｏｄｅ等。ＶＦａｔ是保护模式下的文件系统。ＶＦａｔ也采取类似于ＦａＴ的方式组织磁盘及移动介质的数据，所以与ＦａＴ兼容，也是使用“文件分配表“（Ｆａｔ）及。文件目录表”（Ｆｄｔ）来存储磁盘文件信息，但是ＶＦａｔ支持长文件名。在ＦａＴ文件系统里，一个列出完整路径的文件名串长度不能超过２５５个字符（含字串结束符），这点与ＮＴＦＳ类似（其最多不能超过２５６个字符）ｊ而在ＶＦａｔ文件系统里，一个列出完整路径的文件名串长度最多可达２６０个字符（含字串结束符）。值得注意的是．由于支持长文件名，所以如果碰巧有个文件其名长达２５５个字符，那么在ＶＦａｌ文件系统里．这个文件只能存储在根目录下，或根目录下的级子目录里了．而且该一级子目录名最多只能是４个字符（最后一个字符用于字串结束符）。２、篡改ｏＥＭ标志的危险代码分析要找到视窗操作系统里篡改软磁盘ＯＥＭ标志的危险代码．使用可以运行在系统级的内存探察程序或调试器，搜索安全操作系统专题。技术豢蠢，。ｊ“＝ＩＨｃ”字串，就可以很容易在视窗操作系统内存里找到这段危险的代码，它们就“藏”在ＶＦａｔ模块里，但是不要试图在自己的机器硬盘内找到这串代码或查找Ｖｆａｔ文件，因为其在视窗操作系统的最初安装过程里早已被Ｄｅｌｅｔｅｄ了．原因
是ＶＦ
ａ【Ｖ×Ｄ被成功”装订”到虚拟设备驱动程序库文件ＶＭｍ

内了，如果读者想得到完整的ＶＦａｔ文件，只要用外部命令
“Ｅｘｔｒａｃｔ／Ａ／Ｅ…”从视窗操作系统的安装盘内的某个ｃＡＢ
文件内（各版本不同）导出来即可（使用通配符可快速解
压）。
下面我们就对这段危险的代码进行分析
（１）主要流程

（２）部分关键代码分析
用于“判断当前０ＥＭ标志是否为【特定】的磁盘签名”
的过程将已计算好的时戳进行编码，并依次填入ｏＥＭ标志位
对于“当前软磁盘的ＯＥＭ标志有【ｃＨＩｃＡＧＯ芝加哥】字头签
名“、“当前软磁盘的ＯＥＭ标志为【特定】的磁盘签名”的情
况，通过本过程对ＯＥＭ标志内含的时戳进行解码．以备读取。

三、结束语

我们一直对这个被篡改的ＯＥＭ标志的流动在视窗操作
系统内部进行追查，以期发现视窗操作系统对其的真正用
意，可是除了所谓的“ＶｏｆＴｒａｃｋ”作用并在每次的篡改都刷
新该ＯＥＭ标志的时戳外，因时间所限，暂时没有看到其更深
层次的作用．结果让人很是有些费解。现在的操作系统都很
庞大，深藏其间的“隐秘”操作有多少不得而知，曾
度传

得沸沸扬扬的某国操作系统产品里被发现内置该国国安局密
钥的消息，大家一定早有耳闻，再看现在的某操作系统产品

　万方数据
薹鎏。技７Ｒ・安全操作系统专题
关键入口（偏移地址以各人机器显示为实，不必拘泥）
所谓的“激活”机制等，不～而足．剔除其可以公开的商业
理由，其更深层次的国家战略考虑值得我们大家警惕。
所以我们认为，如果对软件系统产品特别是像操作系统
这样的基础软件产品，在没有彻底由本国政府组织资深计算
机安全专家评估其安全性之前，就大规模引进、大规模部
署，实在相当危险；而且在关乎国家安全．国计民生等领域．
如果不能从源代码级甚至汇编级上把握从国外引进的操作系
统产品．最后还是会受制于人！随着”红旗”与“龙芯”的
相继问世，情况令人振奋．谨于此向这些“中华脊梁”表达
个普通程序员的敬意！（作者单位Ａｂｕｓｙｓ公司）ｏ

２２
㈡＂

本文仅供参考，如果读者希望重复实黢及数据，请一定
严格按照本文依照本文的所有实验倒前请记住，我们对尽管我们知道
是读者行动之
式的担保。

　万方数据
视窗操作系统内的一段危险代码
作者：廖红旭
作者单位：Abusys公司
刊名：
计算机安全

英文刊名：NETWORK & COMPUTER SECURITY
年，卷(期)：2004(2)

本文链接：http://d.g.wanfangdata.com.cn/Periodical_dzzwyjc200402008.aspx

合集下载

XP的漏洞及组策略设置

XP的漏洞及组策略设置

WindowsXP的系统漏洞及组策略设置系统漏洞通常是由于系统开发过程中程序设计不严谨或者由于某些功能自身而留下的，包括身份认证、访问控制、服务漏洞等多个方面。

系统上已知的漏洞被称为“通用漏洞披露”(CVEs)，它是由MITRE组织汇编整理的漏洞信息。

漏洞使系统非常危险，它可以使攻击者或病毒很容易取得系统最高权限，然后可以对系统进行各种破坏，让用户无法上网，甚至对一些分区进行格式化操作，盗取用户的各种账号密码等。

利用从网上下载的公开代码对未打补丁的系统进行攻击，成功率可以达到80%；稍作技术改进之后，攻击成功率接近百分之百。

可以把WindowsXP操作系统漏洞大致分为两种类型：一类是由于系统设计的缺陷产生的漏洞。

他们是源于系统设计的复杂性而出现的疏忽和缺陷。

这种漏洞在被微软发现并发布补丁之前，极有可能被不法分子所利用，对别人的计算机进行恶意攻击，甚至制作出危害极大且短时间内难以抵挡的恶性计算机病毒。

例如UPnP （Universal Plug and Play，通用即插即用软件）的漏洞问题，UPnP服务可以导致著名的“缓冲区溢出”漏洞，由于UPnP服务运行在系统的上下文，攻击者如果利用漏洞成功，可以完全控制主机。

更为严重的是SSDP服务器程序同样也监听广播和多播接口，所以攻击者可以同时攻击多个机器而不需要知道单个主机的IP地址。

这种系统设计漏洞的存在，往往会令用户在不觉中就已经受到攻击和侵害。

对于一般用户来说，这种类型的漏洞是最难以防范的，因为在漏洞被公布之前，他们根本难以知情，更不要说防范。

另一种可以称为功能性漏洞。

WindowsXP在易用性、多功能，尤其是网络共享和远程帮助等方面下了很大功夫，但是，很多的功能在方便用户的同时，也留下了可以被入侵者利用的漏洞和后门。

著名的IPC＄攻击就是网络共享功能留下漏洞的例子，Windows XP在默认安装后允许任何用户通过空用户连接（IPC＄）得到系统所有账号和共享列表，这本来是为了方便局域网用户共享资源和文件的，但是任何一个远程用户都可以利用这个空的连接得到你的用户列表。

危险化学品登记系统(网络版企业级)操作说明

危险化学品登记系统(网络版企业级)操作说明

危险化学品登记系统（网络版企业级）操作说明一．登记系统（网络版）简介危险化学品登记信息管理系统（网络版）[以下简称登记系统（网络版）]是国家安全生产监督管理总局化学品登记中心[以下简称“中心”]为了配合全国危险化学品登记工作的开展、方便登记数据上报和统计分析而专门设计开发的网络数据上报与管理系统，是全国化学品登记企业数据信息上报的平台。

登记系统（网络版）设为企业级、省危险化学品登记办公室（以下简称“办公室”）和中心级三个层次，以企业级为最低层，中心级为最高层。

企业级主要设置数据填写和上报功能，办公室和中心级主要是数据审核功能和数据统计分析功能。

在登记系统（网络版）中主要实现以下工作流程：1. 首次登陆登记系统（网络版）的单位，首先通过系统向办公室提出用户申请，办公室接到申请，经确认无误后核准申请；2. 已通过申请的单位通过用户名称、用户密码、验证码等信息登陆系统；3. 登记单位输入单位信息和化学品信息，经县、市安监局初审后，提交至登记办公室；4. 登记办公室对登记单位上报的信息进行审核后，填写审核结论，不合格者退回登记单位重新上报，合格后“提交”至化学品登记中心；5. 化学品登记中心对登记办公室上报的数据进行审核后，填写审核结论，对审核合格者颁发登记号。

6. 出具登记证书。

二．登记系统运行环境（一）、操作系统需要XP/win2000及以上版本。

（二）、系统运行需要IE6.0或以上版本支持。

（三）、IE浏览器的安全设置为级别“低”。

安全级别设置方法：1. 打开IE浏览器，选择工具中的Internet选项（0）。

2. 点击安全项按钮。

3. 把安全级别移动滑块拉到最低，会弹出一个警告窗口，点是即可。

4. 设置完毕点应用确定即可。

三．登记系统的登录（一）、登记系统（网络版）网络地址打开IE浏览器，输入网址：，登录国家安全生产监督管理总局化学品登记中心网站。

（二）、登记系统（网络版）登录1 单击“危险化学品登记信息管理系统”。

内存注入原理

内存注入原理

内存注入是一种计算机安全领域的技术，它利用软件漏洞或特定的技术手段将恶意代码注入到正在运行的程序的内存中。

通过内存注入，攻击者可以执行恶意操作，如执行恶意指令、窃取敏感信息、控制被攻击系统等。

内存注入的原理主要涉及以下几个方面：
1. 漏洞利用：内存注入通常利用软件漏洞，如缓冲区溢出、代码注入等，来实现将恶意代码注入到目标程序的内存中。

攻击者通过精心构造的输入数据，利用程序的漏洞，将恶意代码注入到程序的内存空间中。

2. 代码执行：一旦恶意代码成功注入到内存中，攻击者通过特定的技术手段触发恶意代码的执行。

这可以是通过修改程序的控制流，使其跳转到恶意代码的入口点，或者通过改变函数指针等方式将程序的执行流程转移到恶意代码上。

3. 权限提升：在内存注入攻击中，攻击者通常试图以高权限运行恶意代码，以获取更多的权限和控制权。

通过内存注入，攻击者可以利用漏洞或特定的技术手段提升自己的权限，从而绕过系统的安全机制，执行更加危险和复杂的攻击行为。

4. 操作控制：一旦恶意代码成功执行，攻击者就可以在目标系统中执行各种操作。

这可能包括窃取敏感信息、操纵系统资源、传播恶意软件等。

攻击者可以利用被注入的恶意代码来控制目标系统，从而满足他们的不法目的。

需要注意的是，内存注入是一种恶意攻击行为，违法了计算机系
统的安全和隐私。

为了防止内存注入攻击，开发人员和系统管理员需要采取相应的安全措施，如修复漏洞、限制程序访问权限、使用防火墙和安全软件等。

此外，用户也应保持软件和系统的及时更新，避免使用未经验证的软件和文件，以减少受到内存注入攻击的风险。

网络病毒是怎么产生的

网络病毒是怎么产生的

网络病毒是怎么产生的网络病毒指计算机病毒的定义计算机病毒(Computer Virus)在《中华人民共和国计算机信息系统安全保护条例》中被明确定义，病毒“指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码”。

下面由店铺为你详细介绍网路病毒的相关知识。

网络病毒是怎么产生的：与医学上的“病毒”不同，计算机病毒不是天然存在的，是某些人利用计算机软件和硬件所固有的脆弱性编制的一组指令集或程序代码。

产生缘由计算机病毒的产生：病毒不是来源于突发或偶然的.一次突发的停电和偶然的错误，会在计算机的磁盘和内存中产生一些无序和混乱的代码，病毒则是一种比较完美精巧严谨的代码，按照严格的秩序组织起来，与所在的系统网络环境相适应和配合起来，病毒不会通过偶然形成，并且需要有一定的长度，这个基本的长度从概率上来讲是不可能通过随机代码产生的。

发明目的病毒是人为的特制程序现在流行的病毒是由人为故意编写的，多数病毒可以找到作者信息和产地信息，通过大量的资料分析统计来看，病毒作者主要情况和目的：一些天才的程序员为了表现自己和证明自己的能力，处于对上司的不满，为了好奇，为了报复，为了祝贺和求爱，为了得到控制口令，为了软件拿不到报酬预留的陷阱等.当然也有因政治，军事，宗教，民族.专利等方面的需求而专门编写的，其中也包括一些病毒研究机构和黑客的测试病毒。

病毒分类：大致分类计算机病毒的分类：根据多年对计算机病毒的研究，按照科学的、系统的、严密的方法，计算机病毒可分类如下：病毒可以划分为网络病毒，文件病毒，引导型病毒。

网络病毒通过计算机网络传播感染网络中的可执行文件，文件病毒感染计算机中的文件(如：COM，EXE，DOC等)，引导型病毒感染启动扇区(Boot)和硬盘的系统引导扇区(MBR)，还有这三种情况的混合型，例如：多型病毒(文件和引导型)感染文件和引导扇区两种目标，这样的病毒通常都具有复杂的算法，它们使用非常规的办法侵入系统，同时使用了加密和变形算法。