网络信息对抗第六章恶意代码及其分析
网络信息安全中的恶意代码分析与检测
网络信息安全中的恶意代码分析与检测恶意代码是指一种具有恶意目的的计算机程序或脚本，其主要目标是在未被授权的情况下获取、破坏或篡改用户的敏感信息，甚至对整个网络系统造成严重威胁。
为了保护网络信息的安全，分析与检测恶意代码势在必行。
恶意代码分析是指通过对恶意代码样本进行研究与分析，确定其行为特征、攻击策略和传播方式，以便有效预防和对抗恶意攻击。
恶意代码检测则是利用相关的安全工具和技术，对网络中的文件、应用程序和流量进行监控和分析，以便及时发现和阻止恶意代码的传播和活动。
恶意代码的分析与检测有着关键的作用，它们能够帮助网络安全专家了解当前的威胁形势，及时发现新型的恶意代码，分析攻击者的行为特征和技术手段，从而制定相应的防范策略和安全措施，确保网络信息安全。
在进行恶意代码分析时，首先需要搜集恶意代码样本，这些样本可以来自于各种渠道，例如黑客攻击事件、恶意软件样本网站、病毒分析平台等。
通过对样本的静态分析和动态分析，可以分析出恶意代码的行为特征、代码结构、代码入侵的路径等信息。
静态分析主要包括反汇编、逆向工程和特征提取等技术，对于已经发现的恶意代码类型有一定的效果；而动态分析主要是通过在受控环境中进行恶意代码的运行和监测，以获取其行为模式和与其他系统组件的交互情况。
除了分析恶意代码本身，还需要研究和分析恶意代码的传播方式和策略。
恶意代码的传播方式多样，如电子邮件附件、可执行文件、网页等，针对不同的传播方式，需要采取相应的防范措施。
此外，对于已经泄露的恶意代码，还需要分析攻击者的目的和手段，找出受攻击系统的漏洞，并采取补救措施，以确保网络安全。
恶意代码检测则是通过一系列的技术手段和工具，对网络中的文件、应用程序和流量进行监控和分析，发现和阻止潜在的恶意代码活动。
其中包括基于签名的检测、行为分析和异常检测等。
基于签名的检测是通过比较已知的恶意代码特征与被检测文件或流量的特征是否一致来判断是否存在恶意代码。
行为分析是基于对恶意代码行为的模拟和评估，通过检测其异常行为来判断其是否为恶意代码。
6-恶意代码分析与防护分析
4
网络与信息安全从业人员培训
恶意代码的发展史
2001 年，国信安办与公安部共同主办了我国首次计算机病毒疫情网 上调查工作。结果感染过计算机病毒的用户高达73％，其中，感染 三次以上的用户又占59％多，网络安全存在大量隐患。 2001 年8月，“红色代码”蠕虫利用微软Web 服务器IIS 4.0 或5.0 中Index服务的安全漏洞，攻破目标机器，并通过自动扫描方式传播 蠕虫，在互联网上大规模泛滥。 2003 年，SLammer 蠕虫在10 分钟内导致互联网90％脆弱主机受到 感染。同年8月，“冲击波”蠕虫爆发，8天内导致全球电脑用户损 失高达20亿美元之多。 2004年到2006年，振荡波蠕虫、爱情后门、波特后门等恶意代码利 用电子邮件和系统漏洞对网络主机进行疯狂传播，给国家和社会造 成了巨大的经济损失。
8
网络与信息安全从业人员培训
计算机病毒的命名
DOS病毒命名： 1.按病毒发作症状命名：小球 熊猫烧香 花屏病毒 步行者 病毒 武汉男孩
2.按病毒发作的时间命名 ：黑色星期五 ；
3.按病毒自身包含的标志命名 ：CIH （不是HIV) 按病毒发现地命名：如“黑色星期五”又称Jurusalem( 耶路撒冷)病毒
6
网络与信息安全从业人员培训
恶意代码的主要特征(续)
恶意代码从80 年代发展至今体现出来的3个主要特征： –从病毒到电子邮件蠕虫，再到利用系统漏洞主动攻击的 恶意代码：恶意代码的早期，大多数攻击行为是由病毒 和受感染的可执行文件引起的。然而，在过去5 年，利 用系统和网络的脆弱性进行传播和感染开创了恶意代码 的新纪元。
12
网络与信息安全从业人员培训
计算机病毒的命名
病毒后缀是指一个病毒的变种特征，是用来区别具 体某个家族病毒的某个变种的。一般都采用英文中的 26 个字母来表示，如 Worm.Sasser.b 就是指振荡波蠕虫病 毒的变种B，因此一般称为 “振荡波B变种”或者“振荡 波变种B” 。如果该病毒变种非常多（也表明该病毒生命 力顽强），可以采用数字与字母混合表示变种标识。
网络攻防技术课件第6章恶意代码第2-3节
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSe t\Services\] [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet01\Ser vices\] [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet02\Ser vices\]
注册表启动项 [ HKEY_LOCAL_MACHINE\Software\Microsoft\Window s\CurrentVersion]
Run RunServices RunOnce RunOnceEx RunServicesOnce
[HKEY_CURRENT_USER\Software\Microsoft\Windows\ CurrentVersion]
6.2 恶意代码的关键技术
• 映像劫持
“HKEY_LOCAL_MACHINE/ SOFTWARE/ Microsoft/Windows NT/CurrentVersion/Image File Execution Options\aa.exe Debugger=“bb.exe”
6.2 恶意代码的关键技术
21
6.2 恶意代码的关键技术
（4）启动隐藏
明目张胆-系统启动目录 历史教训-系统启动配置文件 曾经辉煌-修改文件关联、映像劫持 屡试不爽-捆绑文件 瞒过菜鸟-修改注册表 经常采用-服务、借壳、替换系统DLL 隐蔽启动-驱动加载 查无可查-木马运行期间隐藏启动方式
6.2 恶意代码的关键技术
启动目录 开始 -> 程序 -> 启动
6.2 恶意代码的关键技术
修改系统启动配置文件
网络安全中的恶意代码分析与防范手段
网络安全中的恶意代码分析与防范手段恶意代码是指通过计算机网络对用户或者系统造成危害的一种程序代码，常见的恶意代码包括病毒、蠕虫、木马、间谍软件等。
随着网络的普及和应用的广泛，网络安全问题变得愈发突出。
本文将对网络安全中的恶意代码进行分析，并提供相应的防范手段。
一、恶意代码的分析恶意代码的形式多种多样，具有隐蔽性和破坏性。
下面将介绍几种常见的恶意代码及其分析方法。
1. 病毒病毒是一种能够自我复制并传播的恶意代码。
它通常通过文件的共享或者下载、运行来感染目标计算机。
病毒可以对系统文件进行修改、删除或者破坏，导致计算机系统崩溃。
分析病毒需要使用杀毒软件，对潜在的病毒样本进行扫描和分析，从而识别病毒的特征。
2. 蠕虫蠕虫是一种能够自动复制并在网络中传播的恶意代码。
蠕虫可以通过漏洞来感染系统，并在系统中运行。
它们常常通过邮件、用户点击等方式传播。
分析蠕虫需要借助网络监控系统，对网络流量进行监测和分析，从而发现异常的数据包和行为。
3. 木马木马是一种通过伪装成合法程序隐藏在计算机系统中的恶意代码。
它可以远程控制受感染的计算机，进行非法操作，如窃取个人信息、植入其他恶意程序等。
分析木马需要使用流量分析工具，监控计算机与外部的网络连接，识别异常连接和传输的数据包。
4. 间谍软件间谍软件是一种潜伏在计算机中的恶意程序，用于收集用户的个人信息，并将其发送给第三方。
间谍软件通常通过下载和安装一些看似正常的软件而进入系统。
分析间谍软件可以使用反间谍软件进行扫描和识别，同时注意检查系统中的异常行为和网络连接。
二、恶意代码的防范手段针对恶意代码的分析结果，我们需要采取相应的防范措施，并提高网络安全的水平。
以下是几种常用的防范手段。
1. 使用杀毒软件和防火墙杀毒软件和防火墙是防范恶意代码的第一道防线。
及时更新病毒库和漏洞补丁，可以有效阻止恶意代码的感染。
同时，配置合适的防火墙策略，对网络连接和传输进行监控和过滤，保护系统安全。
网络攻防技术与恶意代码分析
网络攻防技术与恶意代码分析在当今信息技术迅猛发展的时代，网络攻防技术和恶意代码分析变得日益重要。
本文将深入探讨网络攻防技术的基本原理和恶意代码分析的方法，旨在帮助读者更好地了解和应对网络安全风险。
1、网络攻防技术概述网络攻防技术是指保护计算机网络系统免受未经授权和恶意访问的一系列方法和策略。
主要包括防火墙、入侵检测系统（IDS）和入侵防御系统（IPS）等。
防火墙用于监控和过滤网络流量，保护网络免受恶意攻击。
IDS和IPS则能够识别和阻止未经授权的访问，并及时报告网络安全事件。
2、网络攻击类型及对策2.1 黑客攻击黑客攻击是指未经授权的个人或组织试图获取或破坏计算机网络系统的安全性。
常见的黑客攻击包括密码破解、拒绝服务攻击（DDoS）和远程执行代码攻击等。
为了应对黑客攻击，我们需要加强网络访问控制、定期更新系统补丁，并通过安全访问控制策略限制网络访问权限。
2.2 病毒和蠕虫病毒和蠕虫是通过植入恶意代码进入计算机系统，进行数据破坏或篡改的攻击方式。
为了防止病毒和蠕虫的传播，我们需要安装并及时更新杀毒软件，并定期进行系统扫描。
此外，用户还应该避免打开来自未知或不信任来源的文件和链接。
2.3 钓鱼攻击钓鱼攻击是指通过伪装成合法实体（如银行或电子邮件提供商）的方式，诱导用户输入个人敏感信息，以进行身份盗窃或其他非法活动。
为了防止钓鱼攻击，用户应该保持警惕，避免点击可疑的链接和提供个人信息给不可信任的实体。
3、恶意代码分析方法恶意代码分析是指通过对恶意软件的解析和研究，以增强对网络攻击的防御能力。
常见的恶意代码分析方法包括静态分析和动态分析。
3.1 静态分析静态分析是指对恶意代码进行逆向工程，并通过静态分析工具提取关键信息。
这些信息包括恶意代码的文件结构、被侵害系统的漏洞和攻击方式等。
在静态分析过程中，我们可以使用反汇编、调试器和二进制分析工具等来分析恶意代码的执行过程和影响范围。
3.2 动态分析动态分析是指在隔离的环境中运行和监视恶意代码，以收集其行为和操作。
恶意代码检测与分析
恶意代码检测与分析恶意代码是指那些被设计用来对计算机系统或网络进行破坏、入侵或传播的代码。
恶意代码的目的可以是窃取敏感信息、破坏系统功能、操纵系统行为或传播自身。
恶意代码种类繁多，包括病毒、蠕虫、木马、间谍软件、广告软件等。
为了确保计算机系统和网络的安全，恶意代码的检测与分析变得至关重要。
下面将介绍恶意代码检测与分析的方法和技术。
一、恶意代码检测1.病毒扫描病毒扫描是一种最常见的恶意代码检测方法。
它通过对文件和系统进行扫描，寻找已知的病毒特征。
病毒特征是一些已知的病毒代码片段、文件名或行为模式。
如果扫描发现了这些特征，就会认定文件或系统受到感染。
2.行为分析行为分析是一种基于恶意代码的行为模式进行检测的方法。
它监视软件程序的运行过程，分析其行为模式是否符合恶意代码的行为。
例如，如果一个程序试图修改系统文件或窃取用户信息，就可能是恶意代码。
3.网络流量分析恶意代码在传播和执行时通常会通过网络进行通信。
网络流量分析可以通过监视网络通信，检测出异常流量模式或恶意行为。
例如，如果一个计算机在短时间内向大量IP地址发送数据包，就可能是一个僵尸网络的一部分。
二、恶意代码分析恶意代码分析是对恶意代码进行深入分析和理解的过程，目的是找出其行为、特征和传播方式，从而提供有效的防御措施。
1.静态分析静态分析是对恶意代码进行静态扫描，不需要实际运行代码。
静态分析可以通过对代码的反汇编、符号执行和代码模式匹配等技术来获取恶意代码的行为和特征。
2.动态分析动态分析是在虚拟环境中运行恶意代码，并监视其行为模式和系统调用。
动态分析通常通过采集恶意代码的运行数据、行为模式和输入输出参数来分析恶意代码的特征和目的。
3.持续监测总结：恶意代码检测与分析是确保计算机系统和网络安全的重要环节。
通过病毒扫描、行为分析和网络流量分析等方法可以及时检测恶意代码。
静态分析和动态分析可以深入理解恶意代码的行为和特征，从而提供有效的防御措施。
持续监测可以保持对恶意代码的及时识别和应对。
第六章 恶意代码分析与防范
3.
特洛伊木马：是指一类看起来具有正常功能，但实际 上隐藏着很多用户不希望功能的程序。通常由控制端 和被控制端两端组成。
如冰河、网络神偷、灰鸽子……
网络恶意代码的分类（续） 4. 后门：使得攻击者可以对系统进行非授权访 问的一类程序。
网络通信安全管理员认证
恶意代码分析与防范
Copyright © 2010 Mazhao
请先思考以下3个问题
什么是上网安全意识？ 恶意代码如何进入我 们
一个每天都要遇到的操作1 可移动存储设备的使用
演示U盘的使用过程
一个每天都要遇到的操作2
一个通过QQ的病毒用来扩散恶意代码，以创建一个 IRC僵尸网络（感染了60,000台主机）。
请访问：
一个每天都要遇到的操作3
如果您的电脑配有摄像头，在您使用完摄像头 之后，您会：（ ）
拔掉摄像头，或者将摄像头扭转方向 （546 人，44.1%） 无所谓 （693人，55.9%）
计算机病毒的生命周期
1、潜伏阶段
2、传染阶段 3、触发阶段
4、发作阶段
网络恶意代码的运行周期
保存线
触发线
寻 找 目 标
将在 自目 身标 保之 存中
目恶 标意 触系代 发统码 中执 的行
长目 让期标 自存系 身活统 于之 中
寻 找 目 标
将在 自目 身标 保之 存中
目恶 标意 触系代 发统码 中执 的行
一般比较大
是完整的程序，独立的存在于磁盘上 有自己的文件名和扩展名，如COM、EXE 不能自我复制 根据用户的命令执行
网络信息安全中的恶意代码分析与防御研究
网络信息安全中的恶意代码分析与防御研究第一章：引言随着互联网的快速发展，网络攻击已变得日益常见，给社会和个人带来了巨大的危害。
其中，恶意代码是网络攻击的重要组成部分，它具有隐蔽性和破坏性，对系统和数据安全造成了严重威胁。
因此，对恶意代码的分析与防御研究具有重要的意义。
第二章：恶意代码的定义与分类2.1 定义恶意代码：恶意代码是指以非法手段入侵计算机系统，破坏计算机系统安全，窃取用户信息，或传播恶意软件的程序。
2.2 恶意代码的分类：恶意代码可分为病毒、蠕虫、木马、间谍软件、广告软件等几大类别。
每种类型的恶意代码都有其独特的特点和传播方式。
第三章：恶意代码分析方法3.1 静态分析：静态分析是通过对恶意代码的二进制文件进行逆向工程，分析其结构和行为特征。
常用的静态分析方法包括特征码比对、模式匹配、语义分析等。
3.2 动态分析：动态分析是通过在虚拟环境中执行恶意代码，监控其行为并收集行为数据。
常用的动态分析技术包括行为特征提取、行为监测、行为可视化等。
第四章：恶意代码的危害与攻击方式4.1 危害：恶意代码可以导致系统崩溃、数据泄露、用户信息被盗用等严重后果。
同时，恶意代码还可用作发起其他网络攻击的工具，如拒绝服务攻击、劫持等。
4.2 攻击方式：恶意代码的攻击方式多种多样，包括电子邮件附件、网络下载、潜伏在正当程序中、网络漏洞利用等。
第五章：恶意代码防御与应对策略5.1 实时防御：设置防火墙、入侵预防系统等网络安全设备，并及时更新安全补丁，对恶意代码进行实时监控和拦截。
5.2 教育培训：加强员工的网络安全意识，定期进行网络安全培训，提高他们识别和避免恶意代码的能力。
5.3 安全软件：安装并定期更新安全软件，如杀毒软件、防火墙等，提供恶意代码的实时拦截和清除功能。
5.4 安全策略：建立完善的安全策略和安全管理体系，包括数据备份、网络监控、访问控制等，以防范恶意代码的入侵。
第六章：研究成果与展望恶意代码分析与防御领域的研究已取得了一定的成果，包括恶意代码的检测、行为追踪、变异分析等。
恶意代码分析与防治09-6
恶意代码的相关定义 (表6-1)
恶意代码类型 计算机病毒 定义 指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响 计算机使用，并能自我复制的一组计算机指令或者程序代码。 特点 潜伏、传染和 破坏
计算机蠕虫
指通过计算机网络自我复制，消耗系统资源和网络资源的程序
扫描、攻击和 扩散 欺骗、隐蔽和 信息窃取 潜伏和破坏
6.1.2 恶意代码的发展史(续)
2003 年，SLammer 蠕虫在10 分钟内导 致互联网90％脆弱主机受到感染。同年8 月，“冲击波”蠕虫爆发，8天内导致全 球电脑用户损失高达20亿美元之多。 2006年到2007年，振荡波蠕虫、爱情后 门、波特后门等恶意代码利用电子邮件 和系统漏洞对网络主机进行疯狂传播， 给国家和社会造成了巨大的经济损失。
2007 年国内恶意代码情况
2007 年上半年恶意代码的目的性增强。 通过对CNCERT/CC 蜜网系统所捕获的恶 意代码进行分析，可以看出流行的恶意 代码侧重于控制用户系统并进而组成僵 尸网络或者窃取用户敏感信息等，主要 有后门、邮件蠕虫、木马、间谍软件以 及利用MS Windows 系统漏洞和通过即 时通讯软件、网络共享进行传播的蠕虫。
6.1.1 研究恶意代码的必要性
在Internet安全事件中，恶意代码造成的经济 损失占有最大的比例。恶意代码主要包括计算 机病毒（Virus）、蠕虫（Worm）、木马程序 （Trojan Horse）、后门程序（Backdoor）、 逻辑炸弹（Logic Bomb）等等。与此同时，恶 意代码成为信息战、网络战的重要手段。日益 严重的恶意代码问题，不仅使企业及用户蒙受 了巨大经济损失，而且使国家的安全面临着严 重威胁。
【网络通信安全管理员认证中级】第六章恶意代码分析与防范
按入侵方式：源代码嵌入攻击、代码取代攻 击、系统修改型、外壳附加型
按传播媒介：单机、网络
PPT文档演模板
【网络通信安全管理员认证中级】第 六章恶意代码分析与防范
病毒的命名：实测比较各种防毒软件的查毒能力
•瑞•瑞星星查发出现有有木拒马绝类服务黑的客黑工客具工具
能够引起计算机故障,破坏计算机数据 的程序都统称为计算机病毒。
PPT文档演模板
【网络通信安全管理员认证中级】第 六章恶意代码分析与防范
恶意代码
PPT文档演模板
【网络通信安全管理员认证中级】第 六章恶意代码分析与防范
网络恶意代码的分类
1. 计算机病毒：一组能够进行自我传播、需要用户干预 来触发执行的破坏性程序或代码。
v 4、脚本病毒：红色代码（Script.Redlof， 欢 乐 时 光 （ VBS.Happytime ） 、 十 四 日 （Js.Fortnight.c）
PPT文档演模板
【网络通信安全管理员认证中级】第 六章恶意代码分析与防范
计算机病毒的命名
v 5、宏病毒：宏病毒的前缀是：Macro，第二前缀 是：Word、Word97、Excel、Excel97， Macro.Melissa
PPT文档演模板
【网络通信安全管理员认证中级】第 六章恶意代码分析与防范
病毒起源探究
v 1949年，冯·诺伊曼文章《复杂自动装置的理论 及组织的行为》中提出一种会自我繁殖的程序的 可能，但没引起注意
v 1960年，美国的约翰·康维在编写"生命游戏"程 序时，首先实现了程序自我复制技术。
v 1977，科幻小说《p-1的青春》 v 贝尔实验室，磁芯大战,达尔文游戏
网络安全恶意代码分析
网络安全恶意代码分析在如今高度互联的社会，网络安全问题已经成为一个日益突出的挑战。
随着技术的不断发展，恶意代码（Malware）作为网络攻击的主要工具之一，对个人、企业和机构的网络安全造成了严重威胁。
本文将对网络安全恶意代码进行深入分析，探讨其工作原理、类型、检测方法和防御措施。
一、恶意代码的工作原理恶意代码是恶意攻击者为达到其目的而编写的专门用于入侵、破坏、窃取信息或者进行其他非法活动的计算机代码。
恶意代码可以利用各种方式传播，例如通过电子邮件、下载文件、网络广告等。
一旦用户点击或访问感染了恶意代码的链接，恶意代码将开始对系统进行攻击。
恶意代码的工作原理通常包括以下几个步骤：1. 感染阶段：恶意代码通过各种手段，如潜伏在正常软件中、利用漏洞进行传播，感染目标系统。
2. 执行阶段：恶意代码在目标系统中执行，可能会进行各种恶意行为，如拦截用户输入、窃取敏感信息等。
3. 控制与通信阶段：恶意代码与攻击者的服务器建立通信，传输被窃取的信息，并接收来自攻击者的控制指令。
二、恶意代码的类型恶意代码的类型繁多，根据其特点和行为方式可以分为以下几类：1. 病毒（Viruses）：病毒是一种能够自我复制并感染其他程序的恶意代码。
一旦感染，病毒可以传播到系统上的其他文件，并对宿主系统造成破坏。
2. 蠕虫（Worms）：蠕虫是一种能够自我复制并通过网络传播的恶意代码。
与病毒不同，蠕虫不需要依赖宿主文件来进行传播，因此蔓延速度更快。
3. 木马（Trojans）：木马是一种伪装成正常程序的恶意代码。
一旦用户运行了木马程序，攻击者就可以获取用户的敏感信息或者完全控制被感染的系统。
4. 广告软件（Adware）：广告软件是一种通过在系统上弹出广告窗口或者在浏览器中插入广告来获取利益的恶意代码。
5. 间谍软件（Spyware）：间谍软件会悄悄地监视用户的在线活动，并获取用户的敏感信息，如登录凭据、信用卡号码等。
三、恶意代码的检测方法为了及时发现和阻止恶意代码的威胁，人们开发了各种检测方法。
网络安全技术中的恶意代码检测与分析
网络安全技术中的恶意代码检测与分析1.引言随着互联网的不断发展，网络安全问题越来越引起人们的关注。
恶意代码（Malware）是一种能够损害计算机系统的程序，常见的恶意代码有病毒、蠕虫、木马、广告软件和僵尸网络等。
这些恶意代码不仅会破坏计算机系统，还会泄露个人隐私和商业机密等重要信息。
因此，在网络安全技术中，恶意代码检测和分析是非常重要的一个方面。
2.恶意代码分类在进行恶意代码检测和分析之前，必须先了解恶意代码的类型。
根据恶意代码的特性和目的，可以将恶意代码分为以下几类：2.1 病毒病毒是恶意代码中最为常见的一种，它会通过在合法程序中插入代码来感染其他程序，在用户不知情的情况下进行自我复制和传播。
病毒具有隐蔽性和破坏性，能够在计算机系统中扩散，并在病毒感染的计算机上执行一定的恶意行为，比如删除文件和窃取用户信息等。
2.2 蠕虫蠕虫是一种自我复制的计算机程序，它可以自主传播到计算机网络中的其他计算机，具有很高的感染力和传染速度。
和病毒不同，蠕虫可以完全自主运行而不需要依附于其他程序。
2.3 木马木马是一个伪装成合法程序的恶意代码，常常伪装成一些有用的软件来诱骗用户下载和安装。
一旦安装，木马就能够实现远程控制和命令执行等功能，攻击者可以通过木马窃取用户信息、攻击其他计算机系统等。
2.4 广告软件广告软件是一种通过弹窗、网页等形式来展示广告或者强制用户进行某些操作的程序。
广告软件也常常被称为“流氓软件”，因为它们经常会在用户不知情的情况下安装，占用带宽和资源，影响用户体验。
2.5 僵尸网络僵尸网络是由大量被感染的计算机组成的网络，攻击者可以通过这个网络来发起各种攻击。
一旦计算机感染了恶意软件，攻击者就可以远程控制它来实现各种目的，如发起DDoS攻击、窃取用户信息和进行网络钓鱼等。
3.恶意代码检测技术面对不同类型的恶意代码，必须采用不同的检测技术来进行检测。
下面介绍几种常见的恶意代码检测技术。
3.1 签名检测签名检测是一种常见的恶意代码检测技术，它是通过对已经发现的恶意代码进行分析和特征提取来建立恶意代码库，然后对系统中的二进制文件进行扫描匹配，从而检测出是否感染了恶意代码。
网络安全中的恶意代码检测与分析
网络安全中的恶意代码检测与分析随着互联网的快速发展，网络安全问题日益凸显，恶意代码成为威胁网络安全的主要手段之一。
恶意代码指那些通过隐藏在正常软件中、利用安全漏洞、入侵计算机系统并窃取个人信息和财务数据等恶意行为。
在网络攻击日益增多的今天，如何及时、准确地检测和分析恶意代码成为保护网络安全的重要任务。
首先，恶意代码检测与分析是网络安全的基石。
恶意代码通常采用多种技术手段，如植入木马、病毒传播、网络钓鱼等。
为了保护网络安全，我们需要使用有效的检测方法来识别和清除这些恶意代码。
传统的恶意代码检测方法主要基于模式匹配和行为分析，但由于攻击者使用了新的技术手段，这些方法已经难以应对。
因此，研究人员不断提出了新的恶意代码检测技术，如机器学习、数据挖掘和行为特征分析等。
其次，恶意代码分析有助于了解其攻击手段和目的。
只有深入分析恶意代码的攻击方式和行为，我们才能更好地防范和应对同类攻击。
恶意代码分析可以帮助我们了解攻击者的动机和目标，识别潜在的安全漏洞，并提供有效的应对措施。
恶意代码分析通常包括静态分析和动态分析两种方式。
静态分析是通过对源代码和二进制代码的分析，识别恶意行为和关键功能。
动态分析则通过在受控环境下运行恶意代码，并监控其行为和效果，从而获得更多的细节和信息。
第三，恶意代码检测与分析面临着巨大的挑战。
随着恶意代码技术的不断进化，攻击者不断改进其手段和方式，使得检测和分析工作变得更加复杂和困难。
其中一个主要挑战是恶意代码的隐蔽性。
攻击者通过使用混淆和加密技术，使恶意代码难以被发现和分析。
此外，恶意代码的变种也是一个挑战，因为恶意代码的变体和新型恶意代码的出现速度非常快，使得传统的检测方法无法及时发现和应对。
因此，研究人员需要不断改进检测和分析技术，以适应恶意代码的不断变化。
最后，恶意代码检测与分析需要全社会的共同努力。
网络安全是一个复杂的系统工程，不仅需要安全防护技术，还需要教育、法律和监管等多方面的配合。
互联网安全防护的恶意代码分析
互联网安全防护的恶意代码分析随着互联网的广泛应用，网络安全问题也日益严重，其中恶意代码成为互联网安全威胁之一。
恶意代码是指那些存在恶意目的、能够对计算机系统和网络造成破坏的软件程序。
为了有效防范恶意代码的攻击，了解和分析恶意代码的特征和行为显得尤为重要。
本文将对互联网安全防护的恶意代码进行深入分析。
一、恶意代码的分类与特征1. 病毒(Virus)：病毒是一类具有自我复制能力，并以用户为介质进行传播的恶意程序。
典型的病毒特征是通过感染文件来传播自身，并破坏被感染文件的正常功能，例如擦除数据、破坏系统等。
2. 蠕虫(Worm)：与病毒不同，蠕虫不需要感染其他文件，而是利用漏洞直接在计算机网络中自我复制和传播。
蠕虫具有速度快、传播范围广的特点，可以对整个网络系统造成巨大威胁。
3. 木马(Trojan horse)：木马程序通常伪装成正常的程序，隐藏在用户不容易发现的文件中。
一旦用户运行了木马程序，黑客便可以通过木马获取用户计算机的控制权，进而窃取用户的个人信息或者进行远程操作。
4. 勒索软件(Ransomware)：勒索软件是一种目前广泛流行的恶意代码，它通过加密用户计算机中的重要文件，并勒索用户要求支付赎金来解密文件。
勒索软件通常通过网络钓鱼邮件、恶意广告等方式传播，对用户数据造成极大威胁。
二、恶意代码的传播途径和防护策略1. 电子邮件附件：恶意代码经常通过电子邮件的附件来传播。
为了防范此类攻击，用户需要保持警惕，在打开邮件附件之前，首先要确认发件人身份和邮件内容的可信度。
此外，定期更新防病毒软件，及时进行病毒扫描也是防范恶意代码的有效措施。
2. 恶意网站链接：黑客通常会通过社交媒体、恶意广告等方式引诱用户点击恶意网站链接，进而使用户的计算机感染恶意代码。
为了防范此类攻击，用户需要加强对网站链接的辨识能力，选择访问有口碑和可信度的网站，尽量不点击可疑来源的链接。
3. 系统漏洞：恶意代码开发者通常会利用计算机系统的漏洞，进行攻击和感染。
网络安全中的恶意代码分析
网络安全中的恶意代码分析在当今数字化的时代，互联网已经成为了人们日常生活中不可或缺的一部分。
随着互联网的不断发展，网络安全逐渐被人们所重视，而恶意代码则成为了其中最具威胁性的安全问题之一。
因此，恶意代码分析也就成为了网络安全领域的一个非常重要的技术。
本文将从恶意代码的概念、分类、分析方法等方面来进行深入探讨。
一、恶意代码的概念与分类恶意代码是指一种能够在没有用户授权的情况下进入计算机系统，并在其中执行一些恶意行为的程序或代码。
通常情况下，这些恶意代码能够对计算机系统进行各种各样的破坏，如：窃取用户信息、制造网络攻击、占据计算机资源等等。
根据其功能的不同，恶意代码可以被分为以下几类：1.病毒病毒是恶意代码中最常见的一种，它能够在计算机系统内部进行复制和传播。
病毒通过感染已有的程序和文件，使得多个计算机被感染，并在感染后自动进行复制。
2.蠕虫蠕虫是一种可以用来自我复制，并通过网络传播的恶意代码。
它可以通过网络裂缝传播并感染大量计算机系统，造成可怕的破坏。
蠕虫与病毒的主要区别在于，它不需要主动感染程序或文件，而是利用系统漏洞实现自我复制。
3.木马木马是一种伪装成合法程序，但事实上包含恶意代码的软件。
当用户在使用这些软件时，它们会自动实施恶意行为，如窃取用户信息、上传病毒等。
4.间谍软件间谍软件是一种潜行到用户计算机内部的行为监控工具，它可以规避杀毒软件的查杀，并隐蔽在计算机中进行各种窃取操作，如嗅探用户网络活动、窃取密码等。
二、恶意代码分析方法为了解决恶意代码对计算机系统造成的威胁，我们需要采用一系列的恶意代码分析方法，从而找出其中的危害、功能和来源等信息。
目前流行的恶意代码分析方法包括以下几种：1.静态分析静态分析是一种利用源代码或可执行文件的特征来进行分析和识别恶意代码的方法。
该方法可以不需要执行恶意代码，确定恶意代码内部结构，以及识别相关的机器码特征。
2.动态分析动态分析是指在特定环境中执行恶意代码观察其行为，以确定其功能和行为特征。
网络信息安全与网络恶意代码分析分析和处理网络恶意代码
网络信息安全与网络恶意代码分析分析和处理网络恶意代码网络信息安全与网络恶意代码分析与处理近年来，随着互联网的快速发展和普及，人们的生活已经离不开网络。
网络为我们提供了便利的同时，也带来了一系列的安全隐患。
网络恶意代码如病毒、木马、蠕虫等威胁着个人隐私和公司安全。
因此，网络信息安全和网络恶意代码分析处理成为了当下不可忽视的重要任务。
作为个人用户，我们应该时刻保持警惕，保护自己的网络信息安全。
首先，我们需要安装杀毒软件和防火墙来对抗潜在的威胁。
其次，我们应该定期更新操作系统和软件，及时修复存在的漏洞。
此外，还要保持密码的复杂性，定期更换密码，避免密码被破解。
避免点击陌生邮件和链接，并经常备份重要文件，以防数据丢失。
而对于企业来说，网络信息安全更是至关重要。
企业需要建立完善的安全体系，以保护机密数据和客户信息。
首先，企业应该购买专业的安全产品，如入侵检测系统和数据加密系统，以提高安全性。
其次，企业需要定期进行安全漏洞扫描和风险评估，及时修复存在的问题。
同时，公司员工应该定期接受网络安全教育培训，提高他们的安全意识。
而对于网络恶意代码分析与处理，专业人士的介入是必不可少的。
网络恶意代码分析是为了深入了解威胁的性质和行为，为后续的处理提供依据。
在分析过程中，可以采用静态分析和动态分析两种方法。
静态分析是通过研究恶意代码的代码结构和特征，从而得出恶意代码的功能和目的。
动态分析则是在虚拟环境中运行恶意代码，观测它的行为和交互。
这些分析手段可以帮助安全专家更好地理解和识别恶意代码。
在进行网络恶意代码处理时，我们需要采取一系列措施以确保安全。
首先，需要隔离感染的系统，防止恶意代码进一步传播。
然后，通过杀毒软件或专业工具对受感染的文件进行检测和清除。
在这个过程中，及时更新病毒库也是非常关键的。
最后，要进行系统恢复和修复，确保系统运行正常。
网络信息安全和网络恶意代码分析处理是一项长期而艰巨的任务。
我们都需要认识到网络安全的重要性，并且积极采取措施来保护自己的网络信息安全。
网络安全中的恶意代码检测与分析研究
网络安全中的恶意代码检测与分析研究第一章：引言网络安全已经成为信息时代亟需解决的重要问题之一。
网络攻击者通过恶意代码来破坏、窃取或干扰计算机系统的操作，给个人、组织和国家带来巨大的经济损失和安全威胁。
因此，对于恶意代码的检测与分析研究尤为重要。
本文将重点讨论网络安全中的恶意代码检测与分析研究的相关工作和技术。
第二章：恶意代码分类与特征恶意代码种类繁多，包括病毒、木马、蠕虫等。
根据其传播和传染方式，我们可以将恶意代码分为主动型和被动型。
主动型恶意代码需要用户亲自介入才能执行，而被动型恶意代码则利用系统漏洞、网络传播等方式进行传染。
此外，恶意代码还具备特定的行为特征，如文件篡改、信息窃取、资源占用等。
这些分类和特征将有助于后续的检测与分析工作。
第三章：恶意代码检测技术恶意代码检测技术的目标是通过扫描已有的计算机系统或接收到的文件，识别出其中的恶意代码。
基于特征的检测方法通过比对已知的恶意代码特征库来判断是否存在恶意代码。
而行为分析方法则通过监控系统的行为活动来检测恶意代码的存在。
另外，基于机器学习的检测方法使用已有的数据集来训练模型，实现自动化恶意代码检测。
这些技术各有优劣，综合利用可提高检测的准确性和效率。
第四章：恶意代码分析技术恶意代码分析技术主要通过对恶意代码样本进行深入分析，以了解其具体行为和传播方式。
静态分析技术通过分析代码本身的特征、结构等来获取有关恶意代码的信息。
动态分析技术则是在运行时对恶意代码进行监测和分析，通过追踪其行为和系统调用来获取更多的信息。
此外，基于Sandbox的分析方法在一个隔离的环境中运行恶意代码，以避免对真实系统的危害。
第五章：恶意代码检测与分析工具为了帮助安全专业人士进行恶意代码的检测与分析工作，已经出现了许多工具和平台。
例如，IDA Pro是一款静态分析工具，可用于逆向恶意代码的二进制文件。
Cuckoo Sandbox是一个自动化的恶意代码分析平台，可以分析和监测各种类型的恶意代码。
网络攻防技术与恶意代码分析
网络攻防技术与恶意代码分析随着互联网的迅速发展，网络攻击和恶意代码的威胁也日益严重。
网络攻防技术和恶意代码分析成为保护网络安全的重要手段。
本文将介绍网络攻防技术的基本原则和常见方法，并探讨恶意代码分析的过程和技术手段。
一、网络攻防技术1. 防御原则网络防御的基本原则是预防、检测和响应。
预防措施包括强化网络设备和系统的安全配置，及时修补漏洞，提供访问控制等。
检测手段包括入侵检测系统、网络流量分析等，用于及时发现潜在的安全威胁。
响应措施包括及时处置网络攻击事件、隔离受感染系统等。
2. 防御方法（1）入侵检测系统（IDS）：IDS通过监测网络流量、日志和系统状态来识别入侵行为。
它可以实时检测网络中的异常活动，并及时发出警报。
（2）防火墙：防火墙是网络安全的第一道防线，它可以根据设定的策略过滤网络流量，阻止未授权的访问，提供访问控制和安全隔离。
（3）蜜罐：蜜罐是一个虚拟的网络系统，用于吸引攻击者入侵。
通过分析攻击行为，可以了解攻击者的手法和目的，并及时采取措施进行防御。
二、恶意代码分析恶意代码是指利用计算机系统的安全漏洞或用户操作不当，对计算机进行攻击、破坏或窃取信息的程序。
恶意代码分析的目的是研究其行为和特征，以便及时识别和应对新型的恶意代码。
1. 静态分析静态分析是通过对恶意代码的代码和结构进行分析，从中获取恶意行为的特征和逻辑。
常用的静态分析工具有反汇编器、字符字符串分析器和代码查看器等。
2. 动态分析动态分析是在一个受控环境中执行恶意代码，观察其行为和效果。
常用的动态分析工具有虚拟机、沙盒和动态调试器等。
动态分析可以模拟出恶意代码在实际执行时的行为，帮助安全专家更好地了解其攻击方式。
3. 行为分析行为分析是基于对已知恶意代码行为库的比对，识别出恶意代码的行为特征。
行为分析可以通过监测系统调用、网络通信和文件操作等方式，判断是否存在恶意行为。
4. 漏洞分析恶意代码常常利用系统的漏洞进行攻击。
漏洞分析可以深入挖掘恶意代码利用的漏洞，帮助系统管理员及时修复漏洞，提高系统的安全性。
网络攻防技术课件第6章恶意代码第2-3节
6.2 恶意代码的关键技术
一个例子
17
6.2 恶意代码的关键技术
typedef struct SystemServiceDescriptorTable {
UINT *ServiceTableBase; //address of the SSDT UINT *ServiceCounterTableBase; //not used UINT NumberOfService; //number of system calls UCHAR *ParameterTableBase; //byte array }SystemServiceDescriptorTable,*PSystemServiceDescriptorTable;
6.2 恶意代码的关键技术
进程隐藏
• 使用隐蔽性、欺骗性强的进程名称 • 使用动态链接库 • 在其它进程空间中插入代码 • 过滤进程信息
6.2 恶意代码的关键技术
DLL木马 • 硬性-替换系统DLL • 软性-DLL注入
– 安装系统钩子 – 远程线程插入 – 借壳-svchost服务
6.2 恶意代码的关键技术
6.2 恶意代码的关键技术
修改系统配置文件
SYSTEM.INI——Windows目录下 语法 [boot] Shell=Explorer.exe trojan.exe
6.2 恶意代码的关键技术
修改系统配置文件
WIN.INI——Windows目录下 语法 [windows] load=trojan.exe run=trojan.exe
如果木马把自己注册成系统服务，并设置成自动启 用模式，那么它将随系统开机而启动
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSe t\Services\] [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet01\Ser vices\] [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet02\Ser vices\]
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
90年代末新世纪初，本土化恶意代码流行
1998-CIH病毒 1999-冰河 2003-灰鸽子 2004-证券大盗 2007-2008：熊猫烧香，机器狗、磁碟机…
计算机病毒
定义
计算机病毒是一种能够自我复制的代码，通过将自
木马的常见伪装机制
命名伪装 软件包装 木马化软件发行站点
Tcpdump/libpcap木马化事件
代码“Poisoning”
软件开发者/厂商有意给代码加入后门 “复活节彩蛋”: Excel 2000中隐藏的赛车游 戏
僵尸程序与僵尸网络
僵尸程序(Bot)
来自于robot,攻击者用于一对多控制目标主机的恶意代 码
Linux
LRK (Linux RootKit) URK (Universal RootKit)：适用于多种Unix平台 Linux用户模式Rootkit的防御: 文件完整性检测 Tripwire, 专用检测工具chkrootkit
Win32
FakeGINA, AFX Rootkit(DLL注入、API Hooking)
后门
后门类型
本地权限提升、本地帐号 单个命令的远程执行 远程命令行解释器访问－NetCat 远程控制GUI－VNC, BO, 冰河, 灰鸽子 无端口后门: ICMP后门, 基于Sniffer非混杂模式的后 门，基于Sniffer混杂模式的后门
自启动后门
Windows：自启动文件/文件夹；注册表自启动项； 计划任务 Linux/Unix：inittab, rc.d/init.d, 用户启动脚本, cron计划任务
HTTP僵尸网络
传统僵尸网络-基于IRC互联网实时聊天协议构建 著名案例: sdbot, agobot等
P2P僵尸网络
僵尸网络控制器－Web网站方式构建 僵尸程序中的命令与控制模块：通过HTTP协议向控制器 注册并获取控制命令 著名案例: bobax, rustock, 霸王弹窗
内核模式Rootkit
XueTr检测软件
恶意代码相关推荐书籍
基础
Ed. Skoudis, Lenny Zelter, Malware: Fighting Malicious Code(决战恶意代码)电子工业 出版社. 刘倍昌，走进计算机病毒，人民邮电出版社，2011
进阶
Peter Szor, The Art of Computer Virus Research and Defense(计算机病毒防范艺术), 机 械工业出版社. 段钢(看雪学院), 加密与解密(第三版), 电子工业出版社. 刘倍昌，计算机病毒揭秘与对抗，电子工业出版社， 2011
恶意代码的类型
恶意代码的命名规则与分类体系
恶意代码命名规则
[恶意代码类型.]恶意代码家族名称[.变种号]
恶意代码分类的混淆
反病毒工业界并没有形成规范的定义，概念混淆 各种恶意代码形态趋于融合
各种形态恶意代码在关键环节上具有其明确的定义 特性
传播、控制、隐藏、攻击 针对明确定义特性对恶意代码进行分类研究 僵尸程序、Rootkit、网页木马…
网络信息对抗
主讲人：张 瑜
Email:bullzhangyu@ QQ:344248003
网络信息对抗
第六章：恶意代码及其分析
提纲
恶意代码基础知识 恶意代码分析技术
课题实践：恶意代码静态分析
作业：分析一个自制恶意代码样 本
恶意代码(Malware)
恶意代码定义 Malware is a set of instructions that run on your computer and make your system do something that an attacker wants it to do. 使计算机按照攻击者的意图运行以达到恶意目的的指令集合。 指令集合: 二进制执行文件, 脚本语言代码, 宏代码, 寄生在文 件、启动扇区的指令流 恶意代码目的: 技术炫耀/恶作剧, 远程控制, 窃取私密信息, 盗用资源, 拒绝服务/破坏, … 恶意代码类型 计算机病毒, 蠕虫, 恶意移动代码, 后门, 特洛伊木马, 僵尸程 序, Rootkit等… 计算机病毒是最早出现的恶意代码，媒体/工业界的概念混淆， 经常以计算机病毒(Computer Virus)等价于恶意代码
恶意代码分析环境（病毒发烧友）
2007-2008年：Storm worm
基于Overnet构建了Stromnet, 一个专属的P2P网络
恶意代码发展史上著名的案例
国内著名的恶意代码实例与事件
1986年，中国公安部成立计算机病毒研究小组 1989年，国内首例病毒攻击事件，Kill发布 90年代，反病毒业界逐步形成
恶意代码的发展史
1999-2000年：邮件病毒/蠕虫, Melissa, ILOVEYOU 2001年(蠕虫年)：Code Red I/II, Nimda 2002年：反向连接木马Setiri, … 2003年-2004年：蠕虫大爆发
2003: Slammer/Blaster/Nachi/Sobig/… 2004: Mydoom/Witty/Sasser/Santy/…
木马
特洛伊木马(Trojan Horse)起源-特洛伊 战争 木马: 特洛伊木马(Trojans)
定义: 看起来具有某个有用或善意目的，但实际 掩盖着一些隐藏恶意功能的程序。 错误观点: 提供对受害计算机远程控制的任何程 序，或受害计算机上的远程命令行解释器看做 木马，他们应被视为后门。 如果将后门工具伪装成良性程序，才具备真正 的木马功能。
内核模式Rootkit
内核模式Rootkit 恶意修改操作系统内核，从而达到更深的隐藏和更强的隐蔽性 Linux内核模式Rootkit Adore, Adore-ng, KIS (Kernel Intrusion System) 防御: SELinux, LIDS, … 检测: chkrootkit, KSTAT, ... Win32内核模式Rootkit NT Rootkit, Fu Rootkit 虚拟机模式Rootkit 黑客帝国《Matrix》 Linux: UML, KML Win32: VM Rootkit
恶意代码的发展史
1949年: Von Neumann提出计算机程序自我复制概念 1960年: 康维编写出“生命游戏”, 1961年AT&T实验室程序员编 写出“Darwin”游戏，通过复制自身来摆脱对方控制 1970s早期: 第一例病毒Creeper在APANET上传播 1983年: Fred Cohen给出计算机病毒定义 1983年: 最著名的Backdoor, Thompson Ken (October 1983). "Reflections on Trusting Trust" (PDF). 1983 Turing Award Lecture, ACM. 1986年: 第一例PC病毒Brain 1988年: 第一例蠕虫Morris Worm 1990年: SunOS rootkit 1995年: Concept宏病毒 1998年: CIH病毒－首例破坏计算机硬件的病毒 1998年: 最著名的后门软件－Back Orifice
特性
感染性：最本质的特性 潜伏性 可触发性 破坏性 衍生性
计算机病毒的感染机制
感染可执行文件
前缀感染 后缀感染 插入感染
感染引导扇区 感染数据文件－宏指令
计算机病毒的感染机制
计算机病毒的传播机制
计算机病毒VS. 蠕虫
病毒: 借助人类帮助从一台计算机传至另一台计 算机 蠕虫: 主动跨越网络传播
提纲
恶意代码基础知识 恶意代码分析技术
课题实践：恶意代码静态分析
作业：分析一个自制恶意代码样 本
恶意代码分析
没有分析的生活是毫无意 义的。 ---苏格拉底
恶意代码分析
恶意代码分析与良性代码分析
相同点：通用代码分析技术
恶意代码分析的关键点
构建受控的分析环境, 通过静态/动态方法实施分析
应用程序级木马后门: 操作系统之上由攻击 者添加至受害计算机的恶意应用程序 用户模式Rootkit：木马化操作系统用户模 式应用程序 内核模式Rootkit：对内核组件的恶意修改 和木马化
Rootkit和木马后门之间的位置对比
用户模式Rootkit
用户模式Rootkit
恶意修改操作系统在用户模式下的程序/代码，达到隐藏 目的
Rootkit也可被视为特洛伊木马 获取目标操作系统上的程序或内核代码，用恶意版本替 换它们 Rootkit往往也和后门联系在一起 植入Rootkit目的是为攻击者提供一个隐蔽性的后门访 问
Rootkit分类: 用户模式、内核模式
定义特性：隐藏性
Rootkit和木马后门之间的位置对比
僵尸网络（BotNet）
攻击者出于恶意目的，传播僵尸程序控制大量主机，并 通过一对多的命令与控制信道所组成的网络。 定义特性：一对多的命令与控制通道的使用。
僵尸网络危害－提供通用攻击平台
分布式拒绝服务攻击 发送垃圾邮件 窃取敏感信息 点击欺诈…
僵尸网络类型
IRC僵尸网络
渗透攻击模块
传播引擎
FTP/TFTP/HTTP/SMB/直接传送/单包
目标选择算法+扫描引擎
扫描策略
有效负荷(攻击负荷)
Payload: 传播自身, 开放后门, DDoS攻击...
“红色代码”蠕虫
2001年7月19日，”红色代码”蠕虫爆发 在红色代码首次爆发的短短9小时内，以迅雷不及 掩耳之势迅速感染了250,000台服务器（通过 IIS服务漏洞） 最初发现的红色代码蠕虫只是篡改英文站点主页， 显示“Welcome to ! Hacked by Chinese!” 随后的红色代码蠕虫便如同洪水般在互联网上泛滥， 并会在每月20日～28日对白宫的WWW站点的 IP地址发动DoS攻击，使白宫的WWW站点不得 不全部更改自己的IP地址。