专家教你清除Rootkit之完全篇.doc

专家教你清除Rootkit之完全篇 Rootkit：隐秘的黑客攻击 发布日期： 2005年10月06日 作者：Mike Danseglio 和 HYPERLINK /secguide Tony Bailey Rootkit 是一种特殊类型的 malware（恶意软件）。Rootkit 之所以特殊是因为您不知道它们在做什么事情。Rootkit 基本上是无法检测到的，而且几乎不可能删除它们。虽然检测工具在不断增多，但是恶意软件的开发者也在不断寻找新的途径来掩盖他们的踪迹。 Rootkit 的目的在于隐藏自己以及其他软件不被发现。它可以通过阻止用户识别和删除攻击者的软件来达到这个目的。Rootkit几乎可以隐藏任何软件，包括文件服务器、键盘记录器、Botnet 和 Remailer。许多 Rootkit 甚至可以隐藏大型的文件集合并允许攻击者在您的计算机上保存许多文件，而您无法看到这些文件。 Rootkit 本身不会像病毒或蠕虫那样影响计算机的运行。攻击者可以找出目标系统上的现有漏洞。漏洞可能包括：开放的网络端口、未打补丁的系统或者具有脆弱的管理员密码的系统。在获得存在漏洞的系统的访问权限之后，攻击者便可手动安装一个Rootkit。这种类型的偷偷摸摸的攻击通常不会触发自动执行的网络安全控制功能，例如入侵检测系统。 找出Rootkit十分困难。有一些软件包可以检测 Rootkit。这些软件包可划分为以下两类： 基于签名的检查程序 基于行为的检查程序 基于签名（特征码）的检查程序，例如大多数病毒扫描程序，会检查二进制文件是否为已知的 Rootkit。基于行为的检查程序试图通过查找一些代表 Rootkit 主要行为的隐藏元素来找出 Rootkit。一个流行的基于行为的 Rootkit 检查程序是  HYPERLINK / \t _blank Rootkit Revealer。 在发现系统中存在 Rootkit 之后，能够采取的补救措施也较为有限。由于 Rootkit 可以将自身隐藏起来，所以您可能无法知道它们已经在系统中存在了多长的时间。而且您也不知道 Rootkit 已经对哪些信息造成了损害。对于找出的 Rootkit，最好的应对方法便是擦除并重新安装系统。虽然这种手段很严厉，但是这是得到证明的唯一可以彻底删除 Rootkit 的方法。 防止 Rootkit 进入您的系统是能够使用的最佳办法。为了实现这个目的，可以使用与防范所有攻击计算机的恶意软件一样的深入防卫策略。深度防卫的要素包括：病毒扫描程序、定期更新软件、在主机和网络上安装防火墙，以及强密码策略。 有关 Rootkit 的更多信息，请参阅以下这个很好的 Web 广播： HYPERLINK /CUI/EventDetail.aspx?EventID=1032279998Culture=en-US Windows 中的 Rootkit。此外，Microsoft Solutions for Security and Compliance (MSSC) 小组也已经制定了  HYPERLINK /technet/security/topics/serversecurity/avdind_0.mspx Antivirus Defense-in-Depth Guide（防病毒深度防卫指南），该指南使用易于理解的语言简要介绍了各种不同类型的恶意软件以及它们具有的危险性。本指南还讨论了恶意软件具有的特征、复制方法以及有效负载。 首先大家必须明白什么是rootkit？ Rootkit基本是由几个独立程序组成，一个典型rootkit包括： 以太网嗅探器程程序，用于获得网络上传输的用户名和密码等信息。 特洛伊木马程序，为攻击者提供后门。 隐藏攻击者目录和进程的程序。 还包括一些日志清理工具，攻击者用其删除wtmp、utmp和lastlog等日志文件中有关自己行踪的条目。复杂的rootkit还可以向攻击者提供telnet、shell和finger等服务。还包括一些用来清理/var/log和/var/adm目录中其它文件的脚本。 最近最让IT管理员头痛的是什么呢？毫无疑问是rootkit。这种可恶的程序是一批工具集，黑客用它来掩饰对计算机网络的入侵并获得管理员访问权限。一旦黑客获得管理员访问权限，就会利用已知的漏洞或者破解密码来安装rootkit。然后rootkit会收集网络上的用户ID和密码，这样黑客就具有高级访问权限了。 rootkit还有监控网络数据和按键的功能；为黑客在系统上开“后门”；修改日志文件；攻击网络上的其他计算机；修改系统上已有的工具防止被检测出来。那么如何发现rootkit呢？看看三位Windows安全专家对用户的rootkit问题提供了什么解决方案吧。 用户的