个人信息安全意识教育PPT

22
应用软件木马
• 沙虫（CVE-2014-4114）漏洞于2014年10月14 日被iSIGHT发现，最早被俄罗斯用在APT攻击 中，并命名SandWorm。 • 该漏洞影响win vista,win7等以上操作系统，利 用微软文档就可以触发该漏洞，而且该漏洞为 逻辑漏洞，很容易利用成功。 • 木马可以为PPT类型或者PPS 类型，后者打开 之后自动播放直接触发利用成功。
21
网页木马
• 操作系统漏洞。
– 如Microsoft Windows的user32.dll 中的LoadAniIcon()函数 在处理畸形的动画图标文件(.ani)时没有正确地验证ANI 头中所指定的大小，导致栈溢出漏洞。如果用户受骗 访问了恶意站点或打开了恶意的邮件消息的话，就会 触发这个溢出，导致执行任意代码(CVE-2007-1765)。
46
远程启动并测试
47
无线路由器安全
• 还可以做的事：
– 篡改路由器DNS设置，使受害者在不知情的情 况下访问钓鱼欺诈网站，而域名一切正常。
– 在路由器中植入后门程序，窃取上网信息。用 户的上网流量就会被攻击者窃听和控制。
– 利用手机固有的漏洞植入木马程序，使攻击者 获得手机的完全控制权。
48
无线安全防护
个人信息安全意识培训
卫剑钒
世界上只有两种人，
一种是知道自己被黑了，
一种是不知道自己被黑了。
2
信息安全意识的建立
被黑源于轻信和大意。
关键是要有信息安全意识。 何谓信息安全意识。
3
主要内容
• • • • • 对木马的防范意识 保护自己口令的意识 无线上网安全 手机安全 保护自己的手段
4
典型的木马类型
18
网页木马
• 漏洞利用代码多用 JavaScript 等脚本语言编 写。
– 浏览器提供了脚本语言与插件间进行交互的 API,攻击脚本通过畸形调用不安全的 API 便可触 发插件中的漏洞; – 攻击者可以利用脚本的灵活特性对攻击脚本进 行一定的混淆处理来对抗反病毒引擎的安全检 查。
19
网页木马
• 任意下载 API 类漏洞：
29
沙虫样本分析
• 整个INF的主要功能是将slide1.gif重命名为 slide1.gif.exe，然后添加注册表启动项。 • 漏洞产生的主要原因是OLE PACKAGER允许 安装INF，而INF可以对系统的某些资源如注 册表等进行修改，最终导致可以执行恶意 代码。
• 该可执行文件将会主动连接控制端，接受 控制端指令，下载更新并运行。
23
沙虫样本分析
• 攻击者使用PowerPoint作为攻击载体，漏洞 在Windows的OLE包管理器中。 • OLE打包文件（packer.dll）能够下载并执行 类似脚本的INF外部文件。
24
沙虫样本分析
• 通过分析工具我们可以看到这个文件嵌入 了两个OLE 对象，如下：
25
沙虫样本分析
• 其中OleObject1.bin包含一个 “\\94.185.85.122\public\slide1.gif”的字符 串，它是一个webdav的路径。这个gif文件 其实是一个PE文件。
• 6.不要上一些乱七八糟的网站。（色情、赌 博、游IE 浏览器尽量少用，可以用 Chrome 、360、 QQ浏览器。
• 9.如果你身份不一般，注意隐藏自己的身 份。
32
安全 安全最终要靠自己。 如果被黑，损失是你自己的。
42
无线路由器安全
• 通过路由设备漏洞进入失败后，想必只能使用 暴力美学了。通过抓取登录路由器的请求，然 后遍历帐号密码发送请求查看返回数据包大小 则判断是否登录成功。
43
无线路由器安全
• 其中：Authorization: Basic YWRtaW46YWRtaW4= 为登录的帐号密码，使 用 Base64 解密开查看内容：admin:admin • 编写了个python 脚本将字典中的密码与 “admin:”进行组合然后进行 base64 加密，进 行破解。十一点的钟声响起，发现密码已经成 功爆破出来，成功登录。
– 一些浏览器插件在用来提供下载、更新等功能的 API 中未进行安全检查,网页木马可以直接利用这些 API下载和执行任意代码,如:新浪 UC 网络电视 ActiveX 控件 DonwloadAndInstall 接口任意文件下载 4105]等. – 在一些复杂的攻击场景中,攻击者将多个 API 组合, 完成下载和执行任意文件的目的。如MS06-014 漏 洞 的利用需要 3 个插件的不安全API 分别完成恶意 可执行文件的下载、本地保存、执行。
1、路由器连接密码要复杂一点，比如 testak47521test 要比 ak47521 好很多 2、赶紧把路由器管理后台的帐号和密码改掉。 很多懒人还在 admin admin 3.使用WPA2协议认证。 4、常登陆路由器管理后台，看看有没有连接 不认识的设备连入了 Wi-Fi，有的话断开并封 掉 Mac 地址。封完以后马上修改 Wi-Fi 密码和 路由器后台帐号密码。
30
如何远离木马危险
• 1.不要试图使用软件破解工具，买正版软件， 或者使用开源软件。 • 2.搜索引擎提供的下载链接并不可靠。 • 3.软件的原生网站比较可靠。 • 4.邮件和QQ发过来的软件不要运行，链接 不要点。 • 5.注意所下载内容的后缀，如无十分必要， 不要运行EXE
31
如何远离木马危险
45
无线路由器安全
• 扫描小米盒子的端口后发现各种各样的端 口大开，其中最有趣的就是 5555 端口 （adb 远程调试），使用 adb connect ip 直 接可连接设备进行远程调试。于是我随手 写了一个安卓 APK 程序。 • adb远程连接到盒子，然后adb install 远程安 装apk，最后使用am start -n *** 进行远程启 动。我本地使用 Genymotion 建立 android 模拟器进行测试：
39
WiFi安全
40
无线路由器安全
1.破解隔壁WIFI的密码，连入WIFI 2.获取无线路由器管理员的密码 3.查看wifi内的设备，伺机攻击 4.会话劫持，代码注入
41
无线路由器安全
1.将 wifi 打开后发现了三个信号，我选择这个名 字非常独特的路由： **LOVE** 2.翻出 minidwep（一款 linux 下破解 wifi 密码的 工具）导入部分密码字典，开始进行爆破。因对 方使用 WPA2 加密方式，所以只能使用暴力破解 方式进入，WEP 则目前可以直接破解密码。 3.所以破解 WPA2 加密方式的路由基本上成功率 取决于黑客手中字典的大小。喝了杯咖啡回来， 发现密码已经出来了：198707**
• 引诱用户下载安装的木马 • 利用系统漏洞传播木马 • 利用应用软件漏洞传播木马
5
利用热门事件引诱下载
颇具争议的大片《五十度灰》刚上映不久便在全球突破5 亿美元票房，不少木马病毒伪装成“五十度灰中文版”、 “五十度灰无删减版”等文件,并通过邮箱等社交网络的方式 进行传播。
6
可执行文件类型
• exe 可执行文件标准后辍 • pif dos格式的快捷方式后辍 • scr 屏幕保护程序后辍
28
沙虫样本分析
• 然后在函数CPackage::DoVerb中调用 SHELL32!CDefFolderMenu::InvokeCommand 函数加载slides.inf,最后通过调用 C:\Windows\System32\InfDefaultInstall.exe程 序并安装这个inf文件。
26
沙虫样本分析
• OleObject2.bin中的 “\\94.185.85.122\public\slides.inf”字符串， 它也是一个webdav的路径。下载后是一个 INF文件，它是利用漏洞触发的关键。
27
沙虫样本分析
• 当该文件被PowerPointer加载后，它会调用 Packager.dll中的一个函数将这两个文件从网 络上下载下来并保存在临时目录中。
33
勒索软件
34
勒索软件
• 搞IT二十多年来，我还没见过像这样有这么多 受感染的用户（包括技术人员）乖乖投降的情 况。 • CryptoLocker 首先向控制服务器发送获取RSA Public Key请求。在获取RSA Public Key后该软件 迅速按特定文件后缀名对每个文件产生一个 256 bit AES 新key用于对该文件内容进行加密 （AES加密算法），再用RSA Public Key 对AES密 钥进行加密。 • 最后软件该软件会跳出个对话框，提醒用户3 天之内缴费300美元。
• 第二天晚饭过后，登录路由管理界面，这时已 经有好几个设备了：
44
无线路由器安全
• android-b459ce5294bd721f android-44688379be6b9139 **********iPhone ******-iPad ******-PC • 测试两台安卓设备，发现其中一台开放端口很多， 使用 ARP 嗅探安卓开放端口较多的设备，发现是一 个影视盒子。 • 始对 iphone 进行了嗅探。嗅探不一会便找到了有趣 的东西，在她查看自己相册的时候嗅探到她的照片， 查看流量日志，根据 URL 很方便的找到了她的微博。
15
16
超过 10%的用户在安全软件提示病毒之后，
选择了信任放行，随之电脑沦陷。
17
网页木马
• 网页木马实际上是一个HTML网页，但这个 网页中的脚本恰如其分地利用了浏览器及 插件的漏洞（如flash漏洞），让浏览器在 自动下载木马并运行木马。
– 为了安全，浏览器是禁止自动下载程序特别是 运行程序的，但IE本身存在漏洞。 – 网页木马以 JavaScript、VBScript、CSS 等页面元 素作为攻击向量,利用浏览器及插件中的漏洞,在 客户端隐蔽地下载并执行恶意程序。