让我们摒弃一些浮躁 -- 对Norton误报WinXP事件的技术分析

2024-01-18 00:18

本文主要是介绍让我们摒弃一些浮躁 -- 对Norton误报WinXP事件的技术分析,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

申明:言论仅代表个人,与所在公司无任何联系。
这两天看到不少有关 Norton 误报 WinXP 中文版的两个系统文件为病毒的报道。
不过,今天在 CSDN blog 上看到了王开源先生的一篇文章, “从诺顿误杀WinXP后门误猜国家机密被窃取 ”。读完以后,首先,我觉得非常失望。我衷心希望我们的 Open Source 不要沦落到需要炒作类似街头花边新闻来吸引眼球的地步。
任何时候,都让我们摒弃一些浮躁,扎扎实实的从技术做起,这样对我们的软件产业才最有好处。
下面给大家分析一下 Norton 这次事件技术细节。
首先 Norton 误报的这两个系统文件分别是:
Netapi32.dll ,这是 Windows 系统用来提供基本的网络功能 API 的系统文件。
Lsasrv.dll ,这是 Windows 系统用来提供本地安全功能,如密码验证等的系统文件。 Lsasrv Local Security Authority Service 的缩写。 Lsasrv.dll 被系统进程 lsass.exe 使用。
这两个文件都是非常重要的系统文件,一旦被破坏,系统将不能正常启动。
其次,我们简单的说一下反病毒软件的工作原理。所有的 工作机理均是基于病毒或间谍软件样本的特征代码进行内存和文件系统的扫描。这个特征代码可以是一段特定的字符串,对程序特定区域的一个 Hash ,仿真运行( Emulation )时的一段特定指令,等等。
那么,特征码的普遍性和安全性就是一对矛盾。如果希望提取的特征码最为可靠,不会有误报的话,那么最安全的特征代码就是对整个病毒文件的一个 HASH ,如 MD5 SHA1 。但是这样的话,这个特征码就只能检测到这一个特定的病毒文件,而不能检测到任何的变种。如果想提高特征码的普遍性的话,就只能对病毒文件某一特定区域提取,例如从偏移量 X 位置开始的 Y 字节的 HASH 等等。这个特征码就有可能也检测到病毒文件的变种。但是,也就有可能发生误报。
所以说,防病毒产品的误报( False Positive ),并不是一个新闻。 Symantec 发生过, McAfee 发生过,微软的 Onecare 也发生过。
第三,为什么 Norton 出现了对这两个文件的误报。如果熟悉 Windows 操作系统安全漏洞和病毒历史,看到 Norton 误报的这两个文件就可以将发生的情况估计的八九不离十。特别申明,由于我并不在Symantec工作,以下的我个人的估计,也有可能与事实有所出入。
这要从微软的 MS04-011 安全漏洞说起。 MS04-011 的安全漏洞是 Lsasrv 的远程缓存溢出漏洞。 Eeye 有一段非常详细的技术分析。
Windows Local Security Authority Service Remote Buffer Overflow
http://research.eeye.com/html/advisories/published/AD20040413C.html
要想利用这个安全漏洞,需要一个定制的 DsRoleUpgradeDownlevelServer Lsasrv.dll 中的一个函数)的实现。为了做到这一点,攻击者需要自己修改 (patch) 一下 Lsasrv.dll Netapi32.dll 。因此,利用 MS04-011 的病毒往往会包括三个程序,
病毒的主体(网络扫描和发送 Shell Code
一个修改过的 Lsasrv.dll 实现
一个修改过的 Netapi32.dll 实现
反病毒公司需要提供对这三个文件的检测。病毒的主体的特征码提取还好办,对于后两个文件,也就是修改过的 Lsasrv.dll Netapi32.dll ,特征码的提取就要非常非常小心了。这是因为,这两个文件,和原始版本的真正的系统文件,差别非常小,只在很少几个地方修改过。如果不注意的话,特征代码提取到了没有修改过的文件部分,这个特定代码,就会把原先好的系统文件也误报成病毒了。如果收到的病毒样本是基于 WinXP 中文版的 Lsasrv.dll Netapi32.dll 的修改,提取特征代码不注意的话,那么误报 WinXP 中文版的 Lsasrv.dll Netapi32.dll 也就会发生了。
最后,我想说两句题外话,如果你想要了解操作系统的工作原理(现代操作系统的工作原理和体系结构都是类似的,不管是 Linux 还是 Windows ),网上的资料,公开的 Symbol 文件,一个好的 debugger ,如 WinDBG ,一个好的反汇编程序,如 IDA ,可以告诉你想知道的所有信息,只要你花时间钻研技术。
6月16日更新:
首先我感谢这些阅读了我的blog并提供宝贵意见的读者,不管是支持还是反对我的观点。

我刚刚写了 再谈:Norton误报WinXP事件的技术分析 二 ,
http://blog.csdn.net/chengyun_chu/archive/2007/06/16/1654028.aspx

有更多的技术信息,希望对解答大家的疑惑有所帮助。

谢谢
 


这篇关于让我们摒弃一些浮躁 -- 对Norton误报WinXP事件的技术分析的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/617613

相关文章

Java程序进程起来了但是不打印日志的原因分析

《Java程序进程起来了但是不打印日志的原因分析》:本文主要介绍Java程序进程起来了但是不打印日志的原因分析,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录Java程序进程起来了但是不打印日志的原因1、日志配置问题2、日志文件权限问题3、日志文件路径问题4、程序

Java字符串操作技巧之语法、示例与应用场景分析

《Java字符串操作技巧之语法、示例与应用场景分析》在Java算法题和日常开发中,字符串处理是必备的核心技能,本文全面梳理Java中字符串的常用操作语法,结合代码示例、应用场景和避坑指南,可快速掌握字... 目录引言1. 基础操作1.1 创建字符串1.2 获取长度1.3 访问字符2. 字符串处理2.1 子字

Python 迭代器和生成器概念及场景分析

《Python迭代器和生成器概念及场景分析》yield是Python中实现惰性计算和协程的核心工具,结合send()、throw()、close()等方法,能够构建高效、灵活的数据流和控制流模型,这... 目录迭代器的介绍自定义迭代器省略的迭代器生产器的介绍yield的普通用法yield的高级用法yidle

C++ Sort函数使用场景分析

《C++Sort函数使用场景分析》sort函数是algorithm库下的一个函数,sort函数是不稳定的,即大小相同的元素在排序后相对顺序可能发生改变,如果某些场景需要保持相同元素间的相对顺序,可使... 目录C++ Sort函数详解一、sort函数调用的两种方式二、sort函数使用场景三、sort函数排序

kotlin中const 和val的区别及使用场景分析

《kotlin中const和val的区别及使用场景分析》在Kotlin中,const和val都是用来声明常量的,但它们的使用场景和功能有所不同,下面给大家介绍kotlin中const和val的区别,... 目录kotlin中const 和val的区别1. val:2. const:二 代码示例1 Java

SpringBoot3实现Gzip压缩优化的技术指南

《SpringBoot3实现Gzip压缩优化的技术指南》随着Web应用的用户量和数据量增加,网络带宽和页面加载速度逐渐成为瓶颈,为了减少数据传输量,提高用户体验,我们可以使用Gzip压缩HTTP响应,... 目录1、简述2、配置2.1 添加依赖2.2 配置 Gzip 压缩3、服务端应用4、前端应用4.1 N

Go标准库常见错误分析和解决办法

《Go标准库常见错误分析和解决办法》Go语言的标准库为开发者提供了丰富且高效的工具,涵盖了从网络编程到文件操作等各个方面,然而,标准库虽好,使用不当却可能适得其反,正所谓工欲善其事,必先利其器,本文将... 目录1. 使用了错误的time.Duration2. time.After导致的内存泄漏3. jsO

C#如何动态创建Label,及动态label事件

《C#如何动态创建Label,及动态label事件》:本文主要介绍C#如何动态创建Label,及动态label事件,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录C#如何动态创建Label,及动态label事件第一点:switch中的生成我们的label事件接着,

Java利用JSONPath操作JSON数据的技术指南

《Java利用JSONPath操作JSON数据的技术指南》JSONPath是一种强大的工具,用于查询和操作JSON数据,类似于SQL的语法,它为处理复杂的JSON数据结构提供了简单且高效... 目录1、简述2、什么是 jsONPath?3、Java 示例3.1 基本查询3.2 过滤查询3.3 递归搜索3.4

Python中随机休眠技术原理与应用详解

《Python中随机休眠技术原理与应用详解》在编程中,让程序暂停执行特定时间是常见需求,当需要引入不确定性时,随机休眠就成为关键技巧,下面我们就来看看Python中随机休眠技术的具体实现与应用吧... 目录引言一、实现原理与基础方法1.1 核心函数解析1.2 基础实现模板1.3 整数版实现二、典型应用场景2