什么是蠕蟲病毒?要怎么殺?

2003蠕蟲王”(Worm.NetKiller2003),其危害遠遠超過曾經(jīng)肆虐一時的紅色代碼病毒。
感染該蠕蟲病毒后網(wǎng)絡(luò)帶寬被大量占用,導(dǎo)致網(wǎng)絡(luò)癱瘓,該蠕蟲是利用SQL SERVER 2000 的解析端口1434的緩沖區(qū)溢出漏洞,對其網(wǎng)絡(luò)進行攻擊。由于“2003蠕蟲王”具有極強的傳播能力,目前在亞洲、美洲、澳大利亞等地迅速傳播,已經(jīng)造成了全球性的網(wǎng)絡(luò)災(zāi)害。由于1月25日正值周末,其造成的惡果首先表現(xiàn)為公用互聯(lián)網(wǎng)絡(luò)的癱瘓,預(yù)計在今后幾天繼續(xù)呈迅速蔓延之勢。
小編建議您使用360免費殺毒進行查殺,然后再根據(jù)查殺情況進行相應(yīng)措施。蠕蟲病毒傳播過程
2003蠕蟲病毒是一個極為罕見的具有極其短小病毒體卻具有極強傳播性的蠕蟲病毒。該蠕蟲利用Microsoft SQL Server 2000緩沖區(qū)溢出漏洞進行傳播,詳細傳播過程如下:
該病毒入侵未受保護的機器后,取得三個Win32 API地址,GetTickCount、socket、sendto,接著病毒使用GetTickCount獲得一個隨機數(shù),進入一個死循環(huán)繼續(xù)傳播。在該循環(huán)中蠕蟲使用獲得的隨機數(shù)生成一個隨機的ip地址,然后將自身代碼發(fā)送至1434端口(Microsoft SQL Server開放端口),該蠕蟲傳播速度極快,其使用廣播數(shù)據(jù)包方式發(fā)送自身代碼,每次均攻擊子網(wǎng)中所有255臺可能存在機器。 易受攻擊的機器類型為所有安裝有Microsoft SQL Server 2000的NT系列服務(wù)器,包括WinNT/Win2000/WinXP等。所幸該蠕蟲并未感染或者傳播文件形式病毒體,純粹在內(nèi)存中進行蔓延。 病毒體內(nèi)存在字符串"h.dllhel32hkernQhounthickChGet"、"Qh32.dhws2_f"、"etQhsockf"、"toQhsend". 該病毒利用的安全漏洞于2002年七月被發(fā)現(xiàn)并在隨后的MS SQL Server2000補丁包中得到修正。
蠕蟲病毒的特征
該蠕蟲攻擊安裝有Microsoft SQL 的NT系列服務(wù)器,該病毒嘗試探測被攻擊機器的1434/udp端口,如果探測成功,則發(fā)送376個字節(jié)的蠕蟲代碼。1434/udp端口為 Microsoft SQL開放端口。該端口在未打補丁的SQL Server平臺上存在緩沖區(qū)溢出漏洞,使蠕蟲的后續(xù)代碼能夠得以機
會在被攻擊機器上運行進一步傳播。
該蠕蟲入侵MS SQL Server系統(tǒng),運行于MS SQL Server 2000主程序sqlservr.exe應(yīng)用程序進程空間,而MS SQL Server 2000擁有最高級別System權(quán)限,因而該蠕蟲也獲得System級別權(quán)限。 受攻擊系統(tǒng):未安裝MS SQL Server2000 SP3的系統(tǒng)
而由于該蠕蟲并沒有對自身是否已經(jīng)侵入系統(tǒng)的判定,因而該蠕蟲造成的危害是顯然的,不停的嘗試入侵將會造成拒絕服務(wù)式攻擊,從而導(dǎo)致被攻擊機器停止服務(wù)癱瘓。
該蠕蟲由被攻擊機器中的sqlsort.dll存在的緩沖區(qū)溢出漏洞進行攻擊,獲得控制權(quán)。隨后分別從kernel32以及 ws2_32.dll中獲得GetTickCount函數(shù)和socket以及sendto函數(shù)地址。緊接著調(diào)用 gettickcount函數(shù),利用其返回值產(chǎn)生一個隨機數(shù)種子,并用此種子產(chǎn)生一個IP地址作為攻擊對象;隨后創(chuàng)建一個UDP socket,將自身代碼發(fā)送到目的被攻擊機器的1434端口,隨后進入一個無限循環(huán)中,重復(fù)上述產(chǎn)生隨機數(shù)計算ip地址,發(fā)動攻擊一系列動作。
感染蠕蟲病毒后的解決方法
建議所有運行Microsoft SQL Server 2000和近期發(fā)現(xiàn)網(wǎng)絡(luò)訪問異常的用戶按照以下解決方案操作:
1、阻塞外部對內(nèi)和內(nèi)部對外的UDP/1434端口的訪問。
如果該步驟實現(xiàn)有困難可使用邊界防火墻或者路由器上或系統(tǒng)中的TCP-IP篩選來阻塞對本機UDP/1434端口的訪問。
2、找到被感染的主機
在邊界路由器(或者防火墻)上進行檢查,也可啟動網(wǎng)絡(luò)監(jiān)視程序(譬如Sniffer Pro)進行檢查,找到網(wǎng)絡(luò)中往目的端口為UDP/1434發(fā)送大量數(shù)據(jù)的主機,這些主機極為可能感染了該蠕蟲。
如果不能確定,則認為所有運行Microsoft SQL Server 2000 而沒有安裝補丁程序的機器都是被感染的機器。
可以使用端口掃描程序?qū)DP/1434端口進行掃描來找到運行Microsoft SQL Server 2000的主機,但是由于UDP端口掃描并不準確,可以掃描TCP/1433端口找到運行SQL Server的主機。但需要注意的是,只有SQL Server 2000才會受到此蠕蟲的感染。
3、拔掉被感染主機的網(wǎng)線。
4、重新啟動所有被感染機器,以清除內(nèi)存中的蠕蟲。關(guān)閉SQL Server服務(wù)以防止再次被蠕蟲感染。
5、插上被感染機器的網(wǎng)線
注意:如果由于某種原因無法從網(wǎng)絡(luò)下載補丁進行安裝,因此可以在其他未被感染的主機上下載補丁,刻錄在光盤或者保存在其他移動介質(zhì)上,然后再到被感染的主機上進行安裝。
相關(guān)文章
電腦提示找不到libcef.dll無法繼續(xù)執(zhí)行代碼怎么辦? libcef.dll丟失修復(fù)
在使用電腦的過程中,你可能會突然遇到諸如“找不到libcef.dll”或者“由于缺少libcef.dll,程序無法啟動”之類的惱人提示,下面我們就來看看詳細解決辦法2025-04-23電腦提示由于找不到d3dx9_43.dll如何解決? d3dx9_43.dll文件丟失修復(fù)技
在使用Windows操作系統(tǒng)運行某些應(yīng)用程序(尤其是游戲或圖形密集型軟件)時,用戶可能會遇到“d3dx9_43.dll文件丟失”的錯誤提示,這一錯誤不僅影響程序的正常啟動,還可能2025-04-23電腦死機無反應(yīng)怎么強制重啟? 一文讀懂方法及注意事項
在日常使用電腦的過程中,我們難免會遇到電腦無法正常啟動的情況,本文將詳細介紹幾種常見的電腦強制開機方法,并探討在強制開機后應(yīng)注意的事項,以及如何從根本上解決電腦2025-04-16電腦如何通過數(shù)據(jù)線連接手機網(wǎng)絡(luò)? 電腦上網(wǎng)不再受限的技巧
今天我來分享一下如何用USB線把臺式電腦連接到手機的網(wǎng)絡(luò)上,其實操作非常簡單,只需要幾步就搞定了,讓我們一起來看看吧2025-04-15分辨率三兄弟LPI、DPI 和 PPI有什么區(qū)別? 搞清分辨率的那些事兒
分辨率這個東西,真的是讓人又愛又恨,為了搞清楚它,我可是翻閱了不少資料,最后發(fā)現(xiàn)“小7的背包”的解釋最讓我茅塞頓開,于是,我決定整理一下,給大家分享一下我的理解2025-04-03- 你是否曾想過,為什么鍵盤上的空格鍵有時并不能滿足我們的需求?其實,空格鍵輸入的空格分為全角和半角兩種2025-03-31
mss32.dll文件丟失怎么辦? 電腦提示mss32.dll丟失的多種修復(fù)方法
最近,很多電腦用戶可能遇到了mss32.dll文件丟失的問題,導(dǎo)致一些應(yīng)用程序無法正常啟動,那么,如何修復(fù)這個問題呢?別擔心,本文將詳細介紹mss32.dll文件的作用和丟失原因2025-03-26電腦提示找不到openal32.dll文件怎么辦? openal32.dll丟失完美修復(fù)方法
openal32.dll是一種重要的系統(tǒng)文件,當它丟失時,會給我們的電腦帶來很大的困擾,很多人都曾經(jīng)遇到過這個問題,但你知道該如何解決嗎?詳細請看下文介紹2025-03-26電腦win32spl.dll文件丟失咋辦? win32spl.dll丟失無法連接打印機修復(fù)技
電腦突然提示win32spl.dll文件丟失,打印機死活連不上,今天就來給大家詳細講解一下這個問題的解決方法,手把手教你如何搞定win32spl.dll丟失的問題,讓你輕松恢復(fù)打印機連2025-03-26電腦提示binkw32.dll缺失怎么辦? 教你輕松解決binkw32.dll丟失問題修復(fù)
電腦上玩游戲時,突然彈出“計算機丟失binkw32.dll”的錯誤提示,是不是讓你瞬間抓狂?別擔心,今天就來手把手教你如何解決這個問題2025-03-26