震网病毒分析与防范
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
络安全 。
图９ 查 询 Ｗ ｉＣＣ 的 数 据 库 ｎ
使 用 的 Ｓｅ７工程 中，在 打开工程 文件时，存在 Ｄ Ｌ加载策 ｔｐ Ｌ 略上 的缺 陷，从 而导致 出现一种类似于 “ Ｌ Ｄ Ｌ预加载攻击”的 利用方式 。最 终，震 网病 毒通过替换 Ｓ ｐ ｔ ７软件 中的 ｓｏｂｄ ． ｅ ７ｔｘ ｘ ｄｌ ｌ ，而将原 来的同名文件修改为 ｓｏｂ ｓ ．ｌ，并对这个文件 ７ ｔｘｘｄｌ 的导 出函数进 行一 次封装 ，从而实现 对一些查 询 、读 取 函数
ｄｌ 图 １ ｌ 。如 ０所示，原始库函数 ｓ０ｂ ｄ ． ｌ ７ ｔｘ ｘｄ 的大小为 １７５ ２ ｌ １５ ５
字节，而恶意库函数 大小为 ２ ８ ０ ９ ０ ０字节。
４３建立重要 网络应急 响应机制 ．
由于网络 安全技术发展 日新月异 ，需要建立重要信 息基础 设 施的应急响应机制，实现对重要 目标或系统 的监测、防护和
４２加大信息 网络安全管理 ＿
加强 国家信息 网络安全管理 ，从 内网和外方两个方 面协调
函数 ｓ０ｂ ｄ ．ｌ 的调 用，并 任 意操 作调用。大 多数 对 函数 ７ ｔｘ ｘｄｌ
ｓ０ｂ ｄ ．ｌ的调用都 被直接发送给被替换了的函数 ｓ０ｂ ｓ ． ７ ｔｘ ｘｄｌ ７ ｔｘ ｘ
进行 ， 对重点信息 网络应 采用 自主可控的信息安全设备及技术 。
它用来与 Ｓ ｔ 系列的 Ｐ Ｃ通信。通常，开发者使用 Ｓ Ｌ或 ｉ ｉ ｍａ ｃ Ｌ Ｔ Ｓ Ｌ语言为设备编程 。程 序通常 被编译 为一种 称为 ＭＣ Ｃ ７的汇 编代码，被 Ｐ Ｃ载入 。正常情况下ｊＷｉＣ Ｌ ｎ Ｃ的 Ｓｅ ｔｐ７软件使
用库 文件 ｓ ｔｘ ｘ ｌ来 和 Ｐ Ｃ通信 。 ７ ｂｄ ． ｌ ｏ ｄ Ｌ 将共享库 函数文件 ｓＯｂ ｄ ．ｌ重命名为 ｓ０ｂ ｓ ．ｌ ７ ｔｘ ｘ ｌ ｄ ７ ｔｘｘｄｌ ，恶 意软件 伪 装成合 法 的 ｓ０ｂ ｄ ．ｌ文件，能 够拦 截 对原始 库 ７ ｔ ｘ ｘｄｌ
ｔａｃｈ ｄｂ ｗｉｎｃｃ ｓｕｒ’ ●ｘｅ ｃ ｍ ｓｔ ｅｒ － ￥ｐ ｄｅ －
＿
‘ ’ ｎ‘＃‘ 缸 ， 薯
wenku.baidu.com
臣三三
一
＼ 、
ｕｓ● ｗｌｎｃ ｃ ５ ｒ ■ ｅｃ ｗａｓｔ ｅｒ ． ．
．
ｄｅ ｔａｃｈ ｄｂ ｖ Ｌ ｎｃｃ ｓｕｒ
ｎｄＦ
露 一
应 急处 理 ，采 取 技术 手段 实 现 追 踪定 位 、灾 害恢 复 和攻 击 反制 。
同时，建立一种类似西方国家实战演习的工作方式 ，定期 进行 内外网的网络安 全演练，发现技 术、制度上 的薄 弱环节， 及时应对。姆
图１ 原始库 函数ｓ Ｏｂ ｄ ．ｌ ０ ７ ｔｘ ｘｄｌ 和恶意库函数ｓ Ｏｂ Ｄ ．ｌ ７ ｔｘ ｘｄｌ 的比较
２１ 年 第０ 期 ０２ ２
ｄ ｃａ ｅ戢 ｅｌ ｒ ｄ ｃａ ｅ戢 ｅｌ ｒ
．
ｖｒ ｈｒ ４ ｏ ） ａ ｃ ａ （ ｃ ｏ 。曲 ｖｒ ｈｒ ４ ｅ ） ａ ｃ ａ （ ｅ ｏ ，糖
Ｉ ｔ ｎ 。 ｌ ｔｌ ｘ ｓ ｓ （ｅｅｔ ｔ ｘ ｒｍ 螗 ｏ ｏ ｆｅ ｉ ｔ ｓ ｌｃ ｅ ｔｆｏ ｉ ｔ． 射 ｔ ｔ ｉ ｘ ｓ ｓ ｓ ｌ ｃ － Ｆ ｏ ｂ ｓ ｎ ｏ Ｆ ｅ ｉ ｔ ｆ ｅ ｅ ｔ ｒ ｎ ｄ ｏ．，
ｌ
州
Ｆ － —
一 ０
Ｌ ¨
ｌ
ｒ
Ｈ§ｅ ｌａｓｔ ｅｒ ●ｄ ｆ
ｓｅｌ ｅｃｔ ｎ ａ■ｅ Ｆ ｒｏｍ Ｌｌ ５ｔｅｒ．． ｙｓｄａｔａ ｓ ｂａｓｅ ｓ ｗｈ ｅｒｅ Ｆ ｉｌｅｎａ￣
．
１ｌ ｎ ’ ｋｅ ｔｓ‘
．
ｎｄＦ １ｄｆ
—
ｔ ｅ ￣ ｓ ｅ ， ｐ ａ ｔ ｃ ｂ ‘ ｌ ｃ ｓ ｒ ｘｃ ｔ ｒ． ￥ — ｔ ａ ｈ ｄ － ｎ ｃ ｖ ‘
的 Ｈ ｏ 。ｓＯｂｄ ．ｌ是 Ｓｍ ｔ ｏ ｋ ７ ｔｘ ｘ ｌ ｄ ｉ ａｉ ｃ软件 套 装 中一 个共 享 链 接 库 ，
４１增加漏洞及其挖掘技术研 究 ．
“ 震网”病毒攻击事件后，工业级 的控制软件的安全逐 步 得 到大家 的重 视 ，通过挖 掘发现存 在大量 的零 日 洞。例 如 漏
１
一 — ＼ — 耀
’
．
１ｄｆ
Ｘ
● ｎｄｆ ｍｄＦ
．
．
ｖｅｃｔｏ ｒ＜ｔ＞ ｔｏｏ ｌｏｎｇ
２￣ｓｘｃ ｄｅｒ
图 １ 震 网病 毒 拦 截 Ｗ ｉＣ １ Ｌ ２ ｎ Ｃ￥ Ｃ的通 信 １ Ｐ
￣ｌｎｃｃ ｒ ｃｏｎｎ ｅｃｔ
■ａｓｔｅ ｒ
．
４结束语
２ １年 ３ ０１ 月，Ｕ — ＥＲ Ｓ Ｃ Ｔ控制系统安全小组就发现 ，在西 门子 等公 司的多款 Ｓ ＡＤ Ｃ Ａ网络产品中存在 多种漏洞。Ｓ ＡＤ Ｃ Ａ系 统 被广泛 应用在石油 、电力 、水利 等工业领域 ，承担着数 据 采集 、监视控制等各种任务，是 目前应 用最广、技 术发展 最成 熟 的工业控制系统。因此需要大力研究 Ｓ Ａ Ａ系统漏洞及其 Ｃ Ｄ 漏 洞挖掘技术 ，只有充分认识 这些漏洞及其挖 掘技术才 能防 范于未然 ，甚 至为我所用，以其人 之道还治其人之身。
（ 责编 程斌 ）
系统 遭受攻击后，Ｓｅ ｔｐ７软件调用被 替代的 ｓ０ｂ ｄ ．ｌ ７ ｔｘ ｘｄｌ
和 Ｐ Ｃ通信 ，于是震 网病 毒可 以拦 截任 何来 自其他 软件访问 Ｌ Ｐ Ｃ的命令， Ｌ 从而实施侦察攻击。 具体过程如 图１ 和图１ １ ２所示。
＼ ｔｃ ｗ ｎｃ
ｓｑｌｏｌ ｅｄｂ
ｐ ｏ ｉ ｅ － 缸 ： ａ ａ ｓ ｕ ｃ － ； ｎ ｔ ａ ｃ ｔ ｌ ｇ 缸 ’ ｕ ｅ ｄ ｓ ； ａ ｓ ｒ － ｒ ｖｄ ｒ 。 ｄ ｔ ｏ ｒ ｅ 缸 ｉ ｉ ｉ ｌ ａ ａ ｏ －’ ；ｓｒ ｔ－ｔ ｐｓ ￣ ｄ
震 网病毒震动了世界工业 界，破灭 了专用网络、专用系统 固有 的安 全基础 ，我们应高度 警惕物理 隔离的专业系统 的网
图９ 查 询 Ｗ ｉＣＣ 的 数 据 库 ｎ
使 用 的 Ｓｅ７工程 中，在 打开工程 文件时，存在 Ｄ Ｌ加载策 ｔｐ Ｌ 略上 的缺 陷，从 而导致 出现一种类似于 “ Ｌ Ｄ Ｌ预加载攻击”的 利用方式 。最 终，震 网病 毒通过替换 Ｓ ｐ ｔ ７软件 中的 ｓｏｂｄ ． ｅ ７ｔｘ ｘ ｄｌ ｌ ，而将原 来的同名文件修改为 ｓｏｂ ｓ ．ｌ，并对这个文件 ７ ｔｘｘｄｌ 的导 出函数进 行一 次封装 ，从而实现 对一些查 询 、读 取 函数
ｄｌ 图 １ ｌ 。如 ０所示，原始库函数 ｓ０ｂ ｄ ． ｌ ７ ｔｘ ｘｄ 的大小为 １７５ ２ ｌ １５ ５
字节，而恶意库函数 大小为 ２ ８ ０ ９ ０ ０字节。
４３建立重要 网络应急 响应机制 ．
由于网络 安全技术发展 日新月异 ，需要建立重要信 息基础 设 施的应急响应机制，实现对重要 目标或系统 的监测、防护和
４２加大信息 网络安全管理 ＿
加强 国家信息 网络安全管理 ，从 内网和外方两个方 面协调
函数 ｓ０ｂ ｄ ．ｌ 的调 用，并 任 意操 作调用。大 多数 对 函数 ７ ｔｘ ｘｄｌ
ｓ０ｂ ｄ ．ｌ的调用都 被直接发送给被替换了的函数 ｓ０ｂ ｓ ． ７ ｔｘ ｘｄｌ ７ ｔｘ ｘ
进行 ， 对重点信息 网络应 采用 自主可控的信息安全设备及技术 。
它用来与 Ｓ ｔ 系列的 Ｐ Ｃ通信。通常，开发者使用 Ｓ Ｌ或 ｉ ｉ ｍａ ｃ Ｌ Ｔ Ｓ Ｌ语言为设备编程 。程 序通常 被编译 为一种 称为 ＭＣ Ｃ ７的汇 编代码，被 Ｐ Ｃ载入 。正常情况下ｊＷｉＣ Ｌ ｎ Ｃ的 Ｓｅ ｔｐ７软件使
用库 文件 ｓ ｔｘ ｘ ｌ来 和 Ｐ Ｃ通信 。 ７ ｂｄ ． ｌ ｏ ｄ Ｌ 将共享库 函数文件 ｓＯｂ ｄ ．ｌ重命名为 ｓ０ｂ ｓ ．ｌ ７ ｔｘ ｘ ｌ ｄ ７ ｔｘｘｄｌ ，恶 意软件 伪 装成合 法 的 ｓ０ｂ ｄ ．ｌ文件，能 够拦 截 对原始 库 ７ ｔ ｘ ｘｄｌ
ｔａｃｈ ｄｂ ｗｉｎｃｃ ｓｕｒ’ ●ｘｅ ｃ ｍ ｓｔ ｅｒ － ￥ｐ ｄｅ －
＿
‘ ’ ｎ‘＃‘ 缸 ， 薯
wenku.baidu.com
臣三三
一
＼ 、
ｕｓ● ｗｌｎｃ ｃ ５ ｒ ■ ｅｃ ｗａｓｔ ｅｒ ． ．
．
ｄｅ ｔａｃｈ ｄｂ ｖ Ｌ ｎｃｃ ｓｕｒ
ｎｄＦ
露 一
应 急处 理 ，采 取 技术 手段 实 现 追 踪定 位 、灾 害恢 复 和攻 击 反制 。
同时，建立一种类似西方国家实战演习的工作方式 ，定期 进行 内外网的网络安 全演练，发现技 术、制度上 的薄 弱环节， 及时应对。姆
图１ 原始库 函数ｓ Ｏｂ ｄ ．ｌ ０ ７ ｔｘ ｘｄｌ 和恶意库函数ｓ Ｏｂ Ｄ ．ｌ ７ ｔｘ ｘｄｌ 的比较
２１ 年 第０ 期 ０２ ２
ｄ ｃａ ｅ戢 ｅｌ ｒ ｄ ｃａ ｅ戢 ｅｌ ｒ
．
ｖｒ ｈｒ ４ ｏ ） ａ ｃ ａ （ ｃ ｏ 。曲 ｖｒ ｈｒ ４ ｅ ） ａ ｃ ａ （ ｅ ｏ ，糖
Ｉ ｔ ｎ 。 ｌ ｔｌ ｘ ｓ ｓ （ｅｅｔ ｔ ｘ ｒｍ 螗 ｏ ｏ ｆｅ ｉ ｔ ｓ ｌｃ ｅ ｔｆｏ ｉ ｔ． 射 ｔ ｔ ｉ ｘ ｓ ｓ ｓ ｌ ｃ － Ｆ ｏ ｂ ｓ ｎ ｏ Ｆ ｅ ｉ ｔ ｆ ｅ ｅ ｔ ｒ ｎ ｄ ｏ．，
ｌ
州
Ｆ － —
一 ０
Ｌ ¨
ｌ
ｒ
Ｈ§ｅ ｌａｓｔ ｅｒ ●ｄ ｆ
ｓｅｌ ｅｃｔ ｎ ａ■ｅ Ｆ ｒｏｍ Ｌｌ ５ｔｅｒ．． ｙｓｄａｔａ ｓ ｂａｓｅ ｓ ｗｈ ｅｒｅ Ｆ ｉｌｅｎａ￣
．
１ｌ ｎ ’ ｋｅ ｔｓ‘
．
ｎｄＦ １ｄｆ
—
ｔ ｅ ￣ ｓ ｅ ， ｐ ａ ｔ ｃ ｂ ‘ ｌ ｃ ｓ ｒ ｘｃ ｔ ｒ． ￥ — ｔ ａ ｈ ｄ － ｎ ｃ ｖ ‘
的 Ｈ ｏ 。ｓＯｂｄ ．ｌ是 Ｓｍ ｔ ｏ ｋ ７ ｔｘ ｘ ｌ ｄ ｉ ａｉ ｃ软件 套 装 中一 个共 享 链 接 库 ，
４１增加漏洞及其挖掘技术研 究 ．
“ 震网”病毒攻击事件后，工业级 的控制软件的安全逐 步 得 到大家 的重 视 ，通过挖 掘发现存 在大量 的零 日 洞。例 如 漏
１
一 — ＼ — 耀
’
．
１ｄｆ
Ｘ
● ｎｄｆ ｍｄＦ
．
．
ｖｅｃｔｏ ｒ＜ｔ＞ ｔｏｏ ｌｏｎｇ
２￣ｓｘｃ ｄｅｒ
图 １ 震 网病 毒 拦 截 Ｗ ｉＣ １ Ｌ ２ ｎ Ｃ￥ Ｃ的通 信 １ Ｐ
￣ｌｎｃｃ ｒ ｃｏｎｎ ｅｃｔ
■ａｓｔｅ ｒ
．
４结束语
２ １年 ３ ０１ 月，Ｕ — ＥＲ Ｓ Ｃ Ｔ控制系统安全小组就发现 ，在西 门子 等公 司的多款 Ｓ ＡＤ Ｃ Ａ网络产品中存在 多种漏洞。Ｓ ＡＤ Ｃ Ａ系 统 被广泛 应用在石油 、电力 、水利 等工业领域 ，承担着数 据 采集 、监视控制等各种任务，是 目前应 用最广、技 术发展 最成 熟 的工业控制系统。因此需要大力研究 Ｓ Ａ Ａ系统漏洞及其 Ｃ Ｄ 漏 洞挖掘技术 ，只有充分认识 这些漏洞及其挖 掘技术才 能防 范于未然 ，甚 至为我所用，以其人 之道还治其人之身。
（ 责编 程斌 ）
系统 遭受攻击后，Ｓｅ ｔｐ７软件调用被 替代的 ｓ０ｂ ｄ ．ｌ ７ ｔｘ ｘｄｌ
和 Ｐ Ｃ通信 ，于是震 网病 毒可 以拦 截任 何来 自其他 软件访问 Ｌ Ｐ Ｃ的命令， Ｌ 从而实施侦察攻击。 具体过程如 图１ 和图１ １ ２所示。
＼ ｔｃ ｗ ｎｃ
ｓｑｌｏｌ ｅｄｂ
ｐ ｏ ｉ ｅ － 缸 ： ａ ａ ｓ ｕ ｃ － ； ｎ ｔ ａ ｃ ｔ ｌ ｇ 缸 ’ ｕ ｅ ｄ ｓ ； ａ ｓ ｒ － ｒ ｖｄ ｒ 。 ｄ ｔ ｏ ｒ ｅ 缸 ｉ ｉ ｉ ｌ ａ ａ ｏ －’ ；ｓｒ ｔ－ｔ ｐｓ ￣ ｄ
震 网病毒震动了世界工业 界，破灭 了专用网络、专用系统 固有 的安 全基础 ，我们应高度 警惕物理 隔离的专业系统 的网