图片 1

罕见蠕虫瞄准PHP漏洞 Linux安全不在

据国外媒体报道,Linux和其他开源软件遭到病毒或黑客袭击的概率一般比较小。不过,最近所发现的一个蠕虫病毒引发了开源界的关注。因为这个病毒的袭击目标正是Linux平台上广为流行的WEB应用服用工具(平台)PHP。
这个蠕虫病毒利用了PHP的XML-RPC组件中的一个漏洞。可以对网站服务器发起攻击。
据悉,XML-RPC作为PHP的一部分,被诸如PostNuke、Drupal、b2evolution、Xoops、WordPress、PHPGroupWare和TikiWiki等产品所使用。在Lupper蠕虫病毒的消息传出以后,这些组件的开发商已经先后进行了升级或是推出了补丁包。
由于Linux及其开源应用软件安全性比较高,杀毒软件厂商并未及时对这个蠕虫提出警告。
XML-RPC的漏洞最初发现于今年6月,8月份报出了第二个安全警告。由于大多数用户没有升级XML-RPC,导致蠕虫病毒逐渐传播开来。

图片 1

Linux系统病毒防治

Symantec的研究员Kaoru
Hayashi最近发现了一种Linux蠕虫病毒,它能够迅速感染家用路由器、机顶盒、安全摄像头以及其它一些能够联网的家用设备。

一、Linux病毒的历史

这种名叫Linux.Darlloz的蠕虫病毒已被归类为低安全风险,因为当前的版本只能感染x86平台设备。但是这种病毒在经过一些修改之后产生的变种已经能够威胁到使用ARM芯片以及PPC、MIPS、MIPSEL架构的设备。

1996年出现的Staog是Linux系统下的第一个病毒,它出自澳大利亚一个叫VLAD的组织。Staog病毒是用汇编语言编写,专门感染二进制文件,并通过三种方式去尝试得到root权限。Staog病毒并不会对系统有什么实质性的损坏,它应该算是一个演示版,但它向世人揭示了Linux可能被病毒感染的潜在危险。Linux系统上第二个被发现的病毒是Bliss病毒,它是一个不小心被释放出来的实验性病毒。与其它病毒不同的是,Bliss本身带有免疫程序,只要在运行该程序时加上“disinfect-files-please”选项,即可恢复系统。

这种蠕虫病毒会利用设备的弱点,随机产生一个IP地址,通过常用的ID以及密码进入机器的一个特定路径,并发送HTTP
POST请求。如果目标没有打补丁,它就会从恶意服务器继续下载蠕虫,同时寻找下一个目标。

如果说刚开始时Linux病毒向人们展示的仅仅是一个概念,那么,在2001年发现的Ramen病毒,则已经开始引起很多人的担心。Ramen病毒可以自动传播,无需人工干预,所以和1988年曾使人们大受其苦的Morris蠕虫非常相似。它只感染RedHat6.2和7.0版使用匿名FTP服务的服务器,它通过两个普通的漏洞RPC.statd和wu-FTP感染系统。表面看来,这不是一个危险的病毒,它很容易被发现,且不会对服务器做出任何有破坏性的事情。但是当它开始扫描时,将消耗大量的网络带宽。从1996年至今,新的Linux病毒屈指可数,这说明Linux是一个健壮的、具有先天病毒免疫能力的操作系统。当然,除了其自身设计优秀外,还有其它的原因。首先,Linux早期的使用者一般都是专业人士,就算是今天,虽然其使用者激增,但典型的使用者仍为那些有着很好的电脑背景且愿意帮助他人的人,Linux高手更倾向于鼓励新手支持这样一种文化精神。

虽然Linux.Darlloz还没有在世界范围内造成巨大的危害,但却也暴露出目前大多数联网设备的一大缺陷。它们大多都是在Linux或者其它一些过时的开源系统上运行的。而这些设备的轻量级硬件无法处理更新版本的代码请求而无法升级。Darlloz利用的就是一个18个月以前就有了补丁的PHP脚本语言漏洞。

正因为如此,Linux使用群中一种倾向就是以安全的经验尽量避免感染病毒。其次,年轻也是Linux很少受到病毒攻击的原因之一。事实上,所有的操作系统(包括DOS和Windows)在其产生之初,也很少受到各种病毒的侵扰。然而,2001年3月,美国SANS学院的全球事故分析中心(GlobalIncidentAnalysisCenter——GIAC)发现,一种新的、针对使用Linux系统计算机的蠕虫病毒正通过互联网迅速蔓延,它将有可能对用户的电脑系统造成严重破坏。这种蠕虫病毒被命名为Lion病毒,与Ramen蠕虫病毒非常相似。但是,这种病毒的危险性更大,Lion病毒能通过电子邮件把一些密码和配置文件发送到一个位于china.com的域名上。

Dartmouth学院安全技术研究所工程师威廉·斯蒂恩斯说:“攻击者在把这些文件发回去之后就可以通过第一次突破时的缺口再次进入整个系统。这就是它与Ramen蠕虫病毒的不同之处。事实上,Ramen病毒是一种比较友善的病毒,它在侵入系统后会自动关闭其中的漏洞。而这个病毒却让那些漏洞敞开,并开辟新的漏洞。以至于如果你的系统感染了这个病毒,我们不能百分之百确信这个系统有挽救的价值。更加合理的选择很有可能是转移数据,并且重新格式化硬盘。”一旦计算机被彻底感染,Lion病毒就会强迫电脑开始在互联网上搜寻别的受害者。不过,感染Lion病毒的系统少于感染Ramen病毒的系统,但是它所造成的损失却比后者大得多。

二、Linux平台下的病毒分类

Linux操作系统一直被认为是Windows系统的劲敌,因为它不仅安全、稳定、成本低,而且很少发现有病毒传播。但是,随着越来越多的服务器、工作站和个人电脑使用Linux软件,电脑病毒制造者也开始攻击这一系统。对于Linux系统无论是服务器,还是工作站的安全性和权限控制都是比较强大的,这主要得力于其优秀的技术设计,不仅使它的操作系统难以宕机,而且也使其难以被滥用。Unix经过20多年的发展和完善,已经变得非常坚固,而Linux基本上继承了它的优点。在Linux里,如果不是超级用户,那么恶意感染系统文件的程序将很难得逞。当然,这并不是说Linux就无懈可击,病毒从本质上来说是一种二进制的可执行的程序。像速客一号(Slammer)、冲击波(Blast)、霸王虫(Sobig)、米虫(Mimail)、劳拉(Win32.Xorala)病毒等恶性程序虽然不会损坏Linux服务器,但是却会传播给访问它的Windows系统平台的计算机。

Linux平台下的病毒分类大体如下:

◆可执行文件型病毒

可执行文件型病毒是指能够寄生在文件中的、以文件为主要感染对象的病毒。病毒制造者们无论使用什么武器,不管是汇编语言或C语言,要感染ELF文件都是轻而易举的事情。这方面的病毒有Lindose。

◆蠕虫(Worm)病毒

1988年Morris蠕虫爆发后,EugeneH.Spafford为了区分蠕虫和病毒,给出了蠕虫的技术角度的定义——计算机蠕虫可以独立运行,并能把自身的一个包含所有功能的版本传播到另外的计算机上。在Linux平台下,蠕虫病毒极为猖獗,像利用系统漏洞进行传播的Ramen、Lion和Slapper等,这些病毒都感染了大量的Linux系统,造成了巨大的损失。

◆脚本病毒

目前出现比较多的是使用Shell脚本语言编写的病毒。此类病毒编写较为简单,但是破坏力同样惊人。我们知道,Linux系统中有许多的以.sh结尾的脚本文件,而一个短短十数行的Shell脚本就可以在短时间内遍历整个硬盘中的所有脚本文件,进行感染。

◆后门程序

在广义的病毒定义概念中,后门也已经纳入了病毒的范畴。活跃在Windows系统中的后门这一入侵者的利器在Linux平台下同样极为活跃。从增加系统超级用户账号的简单后门,到利用系统服务加载、共享库文件注射、rootkit工具包,甚至可装载内核模块(LKM),Linux平台下的后门技术发展非常成熟,隐蔽性强,难以清除。这是Linux系统管理员极为头疼的问题。

三、Linux病毒的防治

综合以上介绍可以看到,总体来说计算机病毒对Linux系统的危害较小。但是由于各种原因在企业应用中往往是Linux和Windows操作系统共存形成异构网络,在服务器端大多使用Linux和Unix,在桌面端使用Windows,所以Linux的防范病毒策略分成针对Linux本身(服务器和使用其作为桌面的计算机)防范策略和针对使用Linux服务器后端的Windows系统的病毒防范策略两个部分,Linux下的防病毒软件也分成基于开放源代码的和商业软件两部分。

◆针对Linux本身做病毒防范策略(服务器和使用其作为桌面的计算机)

对可执行文件型病毒、蠕虫(Worm)病毒、脚本病毒的防范,通过安装GPL查杀病毒软件基本可以防范。服务器端可以使用AntiVir(

对于后门程序防范,可以采用

LIDS(

此外,对于Linux服务器来说运行的软件大都是开源软件,而且都在不停升级,稳定版和测试版交替出现。在www.apache.org等网站上,最新的ChangeLog中都写有“BugFix”、“SecurityBugFix”等字样。所以,Linux系统管理员要经常关注相关网站的BugFix和升级,及时升级或添加补丁,千万不要报侥幸心理。这里套用一句名言:“你的服务器永远可能在第二天被黑客接管。”

◆针对使用Linux服务器后端的Windows系统的病毒防范策略

许多企业使用代理服务器接人互联网,用户的Windows系统在进行HTTP网页浏览和文件下载时容易被感染病毒,所以可以在代理服务器上加挂一个病毒过滤器,对用户浏览的HTTP网页进行病毒检测,发现有用户浏览网页感染病毒的状况即由代理服务器进行阻断,丢弃带有病毒的请求,将不安全的进程阻止在代理服务器内,禁止带有病毒的数据向客户端计算机传播。Squid是一款非常优秀的代理服务器软件,但是没有专门的病毒过滤功能。可以考虑使用德国开放源码爱好者开发的一款基于Linux的病毒过滤代理服务器–HAVP(

HAVP病毒过滤代理服务器软件既可以独立使用,也可以与Squid串联使用,增强Squid代理服务器的病毒过滤功能。

提供邮件服务是Linux服务器中重要应用,可以使用ClamAV(

以上主要介绍了基于开放源代码的软件,商业防毒软件商TrendMicro、NetworkAssociates、DataFellows和Sophos也都有各自的Linux版病毒检测器。另外,随着Linux在中国的发展许多我们熟悉的国内软件厂商(瑞星等)也推出了相应的Linux病毒防范软件。

以下博主分享了几个linux下的杀毒软件

ClamAVforLinux

本文出自 “李晨光原创技术博客”
博客,谢绝转载!

发表评论

电子邮件地址不会被公开。 必填项已用*标注