漏洞缓冲区溢出教程

1一、本周网络安全基本态势本周互联网网络安全指数整体评价为良,相对于上周整体评价为中的情况本周状况有所好转.
境内感染网络病毒1的主机数约为282万个,较上周环比下降8%;新增网络病毒家族数为2个,与上周的10个相比减少了8个;境内被篡改政府网站数量为45个,较上周112个环比大幅下降63%;新增信息安全漏洞76个,较上周110个环比下降31%,其中高危漏洞37个,较上周73个减少36个.
本周网络病毒活动情况1、网络病毒监测情况本周境内感染网络病毒的主机数约为282万个,较上周环比下降8%.
其中,境内被木马或被僵尸程序控制的主机约为6.
1万个,环比下降6%;境内感染飞客(Conficker)蠕虫的主机约为276万个,环比下降8%.
木马或僵尸程序受控主机在我国大陆的分布情况如下图所示,其中红色区域是木马和僵尸程序感染量最多的地区,排名前三位的分别是江苏省约0.
8万个(占中国大陆13%)、广东省约0.
6万个(占中国大陆9%)和山东省约0.
4万个(占中国大陆7%).
注1:一般情况下,恶意代码是指在未经授权的情况下,在信息系统中安装、执行以达到不正当目的的程序.

其中,网络病毒是特指有网络通信行为的恶意代码.
2011年第27期6月27日-7月3日网络安全信息与动态周报国家互联网应急中心良中差危优22、TOP5活跃网络病毒本周,中国反网络病毒联盟(ANVA)2整理发布的活跃网络病毒3如下表所示.
其中,利用网页挂马、捆绑下载进行传播的网络病毒所占比例较高,病毒仍多以利用系统漏洞的方式对系统进行攻击.
ANVA提醒互联网用户一方面要加强系统漏洞的修补加固,安装安全防护软件;另一方面,建议互联网用户使用正版的操作系统和应用软件,不要轻易打开网络上来源不明的图片、音乐、视频等文件,不要下载和安装一些来历不明的软件,特别是一些所谓的外挂程序.
注2:中国反网络病毒联盟(ChinaAnti-NetworkVirusAlliance,缩写ANVA)是由中国互联网协会网络与信息安全工作委员会发起、CNCERT具体组织运作的行业联盟.
反网络病毒联盟依托CNCERT的技术和资源优势,通过社会化机制组织开展互联网网络病毒防范、治理相关的信息收集发布、技术研发交流、宣传教育、联合打击等工作,并面向社会提供信息咨询、技术支持等服务,以净化公共互联网网络环境,提升互联网网络安全水平.

注3:根据瑞星、金山、奇虎360等企业报送的网络病毒信息整理.
名称特点Trojan.
DL.
Script.
JS.
Agent.
qz该脚本病毒通过网页挂马进行传播,可创建指向病毒网站的超链接.
Trojan.
Win32.
StartPage.
qfq该木马通过网页挂马进行传播,可修改用户主页、杀死杀毒软件、打开恶意网址.
Hack.
Exploit.
Script.
JS.
Agent.
ju该病毒采用加密脚本,利用RealPlayer播放器的溢出漏洞进行传播.
病毒会将网页脚本加密成乱码字符,普通用户很难识别是病毒代码.
病毒通过调用RealPlayer组件,用特定构造的shellcode进行溢出.
成功之后,就会打开指定的下载地址,下载其他病毒.
Worm.
Win32.
FakeFolder.
c该病毒通过网页挂马进行传播,可在桌面释放lnk文件指向恶意网址、检测杀软的存在并进行破坏.
Trojan.
Win32.
FakeIME.
d该下载器通过网页挂马进行传播,可下载其他病毒,劫持杀毒软件.
33、网络病毒捕获和传播情况本周,CNCERT通过多种渠道获得大量新增网络病毒文件,其中新增网络病毒名称数为108个,环比大幅下降70%;新增网络病毒家族数为2个,与上周的10个相比下降了8个.
网络病毒主要通过对一些防护比较薄弱或者访问量较大的网站进行网页挂马的方式进行传播.
当存在安全漏洞的用户主机访问了这些被黑客挂马的网站后,会经过多级跳转暗中连接黑客最终"放马"的站点下载网络病毒.
本周,CNCERT监测发现排名前五的活跃放马站点域名和活跃放马站点IP分别如下两表所示.
网络病毒在传播过程中,往往需要利用黑客注册的大量域名.
本周,ANVA重点关注的两组用于网络病毒传播的恶意域名4如下表所示.
同一组域名所解析的IP地址都相同,疑为同一黑客组织所注册.
其中,第一组恶意域名多为免费域名,并指向同一IP地址60.
12.
154.
231,同时此类域名有可能是通过程序批量自动注册;第二组恶意域名,因包含知名品牌字符串而具有很大欺诈性,用户很有可能在不知情的情况下访问恶意域名,成为受害者.
请各网站管理机构注意检查网站页面中是否被嵌入含有下述恶意域名的URL,并及时修补漏洞,加强网站的安全防护水平,不要无意中成为传播网络病毒的"帮凶".

组别恶意域名列表服务器IP第一组po0fof82w4dsadsad93down28193327.
2saed3029ds00sadsa0k0mnb.
paifo.
1booqnug.
tk、zm9dm3a008ayw0mdown28193330.
2wpopf98mnbmoj98u9j8m.
paifo.
1booqnug.
tk、zm9dm3a008ayw0mdown28193838.
2wpopf98mnbmoj98u9j8m.
paifo.
1booqnug.
tk、s0z928us6z9down28191833.
p0fmly0dknb.
paifo.
1booqnug.
tk、s0z928us6z9down28191911.
p0fmly0dknb.
paifo.
1booqnug.
tk、s0z928us6z9down28224734.
p0fmly0dknb.
paifo.
1booqnug.
tk、po9k09948k9ldsad2down28192809.
s20zks82op89mk8b.
paifo.
1booqnug.
tk、po9k09948k9ldsad2down28192834.
s20zks82op89mk8b.
paifo.
1booqnug.
tk、p4fk0aabrow32saedown27185448.
helod3da87mbragk0mnb.
paifo.
3niaq60.
12.
154.
231注4:根据CNCERT自主监测结果以及奇虎360、微软、安天、网御星云、绿盟、安信华、知道创宇等企业报送的恶意域名信息整理.
排序活跃放马站点域名排序活跃放马站点IP1dd.
qzgsl.
com1218.
93.
205.
2382v.
avpic.
net2121.
11.
76.
5836122.
ulqgn.
info3174.
127.
96.
284ea.
510xy.
com4174.
127.
96.
295www.
be92ew.
com5121.
12.
168.
1294md.
tk、p4fk0aabrow32saedown27224942.
helod3da87mbragk0mnb.
paifo.
3niaqmd.
tk、zm9dm3a008ayw0mdown28130312.
2wpopf98mnbmoj98u9j8m.
paifo.
aqobniao.
tk、zm9dm3a008ayw0mdown28160847.
2wpopf98mnbmoj98u9j8m.
paifo.
aqobniao.
tk、po9k09948k9ldsad2down28133835.
s20zks82op89mk8b.
paifo.
aqobniao.
tk、po9k09948k9ldsad2down28133855.
s20zks82op89mk8b.
paifo.
aqobniao.
tk、po9k09948k9ldsad2down28164606.
s20zks82op89mk8b.
paifo.
aqobniao.
tk、m20f982fm5down26184758.
2szof20z2msaf0223flnb.
paifo.
buiqnils.
tk、own82privmmmd005aadown26205914.
95sinfs0qd34dgk07nb.
paifo.
buiqnils.
tk、own82privmmmd005aadown27073823.
95sinfs0qd34dgk07nb.
paifo.
buqnoq.
tk、own82privmmmd005aadown25080731.
95sinfs0qd34dgk07nb.
paifo.
ciqnlgs.
tk、own82privmmmd005aadown25080734.
95sinfs0qd34dgk07nb.
paifo.
ciqnlgs.
tk、own82privmmmd005aadown25080816.
95sinfs0qd34dgk07nb.
paifo.
ciqnlgs.
tk、own82privmmmd005aadown25080836.
95sinfs0qd34dgk07nb.
paifo.
ciqnlgs.
tk、own82privmmmd005aadown25080950.
95sinfs0qd34dgk07nb.
paifo.
ciqnlgs.
tk、saf8zmfaz9down25041435.
p098mf82dj6zs9dknb.
paifo.
ciqnlgs.
tk、saf8zmfaz9down25041622.
p098mf82dj6zs9dknb.
paifo.
ciqnlgs.
tk、saf8zmfaz9down25041832.
p098mf82dj6zs9dknb.
paifo.
ciqnlgs.
tk、po9k09948k9ldsad2down25040827.
s20zks82op89mk8b.
paifo.
ciqnlgs.
tk、po0fof82w4dsadsad93down27163838.
2saed3029ds00sadsa0k0mnb.
paifo.
fiqonia.
tk、p4fk0aabrow32saedown27161025.
helod3da87mbragk0mnb.
paifo.
fiqonia.
tk、s0z928us6z9down27160239.
p0fmly0dknb.
paifo.
fiqonia.
tk、s0z928us6z9down27164625.
p0fmly0dknb.
paifo.
fiqonia.
tk、po9k09948k9ldsad2down27164459.
s20zks82op89mk8b.
paifo.
fiqonia.
tk、po9k09948k9ldsad2down27164835.
s20zks82op89mk8b.
paifo.
fiqonia.
tk、po0fof82w4dsadsad93down25114107.
2saed3029ds00sadsa0k0mnb.
paifo.
hqoqniy.
tk、5p4fk0aabrow32saedown25110920.
helod3da87mbragk0mnb.
paifo.
hqoqniy.
tk、saf8zmfaz9down25171129.
p098mf82dj6zf.
2saedknb.
paifo.
niqonid.
tk、s0z928us6z9down25172909.
p0fmly0dknb.
paifo.
niqonid.
tk、s0z928us6z9down25172920.
p0fmly0dknb.
paifo.
niqonid.
tk、s0z928us6z9down26131105.
p0fmly0dknb.
paifo.
niqonid.
tk、s0z928us6z9down26162108.
p0fmly0dknb.
paifo.
niqonid.
tk、s0z928us6z9down26164103.
p0fmly0dknb.
paifo.
niqonid.
tk、s0z928us6z9down26181622.
p0fmly0dknb.
paifo.
niqonid.
tk、s9ajaj01down25193452.
paege3sa0z8zb.
paifo.
niqonid.
tk第二组62511244.
163.
com.
baidu.
com.
huanglian13.
info、6251172.
163.
com.
baidu.
com.
huanglian13.
info、62519632.
163.
com.
baidu.
com.
huanglian13.
info、62621111.
163.
com.
baidu.
com.
huanglian13.
info、627155434.
163.
com.
baidu.
com.
huanglian13.
info、627162254.
163.
com.
baidu.
com.
huanglian13.
info、627162333.
163.
com.
baidu.
com.
huanglian13.
info、629125630.
163.
com.
baidu.
com.
huanglian15.
info、62952053.
163.
com.
baidu.
com.
huanglian15.
info、62952055.
163.
com.
baidu.
com.
huanglian15.
info、6298058.
163.
com.
baidu.
com.
huanglian15.
info、63013040.
163.
com.
baidu.
com.
huanglian15.
info、630152055.
163.
com.
baidu.
com.
huanglian15.
info、630152111.
163.
com.
baidu.
com.
huanglian15.
info、6302012.
163.
com.
baidu.
com.
huanglian15.
info、630224622.
163.
com.
baidu.
com.
huanglian15.
info、630224624.
163.
com.
baidu.
com.
huanglian15.
info、71125811.
163.
com.
baidu.
com.
huanglian15.
info、7113498.
163.
com.
baidu.
com.
huanglian15.
info98.
126.
129.
244下表为本周活跃恶意域名所属顶级域名及地理分布,绝大多数恶意域名分布在极少数的顶级域名上.
其中.
tk域名属于免费域名(少于4个字母或具有某种特殊含义等特殊域名需要收费).
排名顶级域名(TLD)顶级域名地理位置本周恶意域名数量1.
info通用顶级域名(gTLD)482.
tk托克劳群岛433.
org通用顶级域名(gTLD)424.
com通用顶级域名(gTLD)24下图为本周活跃恶意域名在各个域名服务机构的注册数,请各域名服务机构注意加强域名服务的安全管理和域名滥用处理.
特别是,由于不法分子为降低传播网络病毒的成本往往申请大量的免费域名,所以免费域名服务机构更需加强有关工作.
6本周网站安全情况5根据CNCERT监测数据,本周境内被篡改网站数量为626个,与前一周环比下降22%.
境内被篡改网站数量按类型分布情况如下图所示,数量最多的仍是.
com和.
com.
cn域名类网站.
gov.
cn域名类网站有45个(占境内7%),环比大幅下降63%.
截至7月4日12时仍未恢复的被篡改政府网站如下表所示.
被篡改网站所属部门或地区szs.
tlinfo.
gov.
cn安徽省铜陵市haayyb.
si.
gov.
cn河南省安阳市xnfg.
gov.
cn湖北省咸宁市ccsw.
jl.
gov.
cn吉林省长春市www.
yxga.
gov.
cn江苏省宜兴市注5:政府网站是指英文域名以".
gov.
cn"结尾的网站,但不排除个别非政府部门也使用".
gov.
cn"的情况.
表格中仅列出了被篡改网站或被挂马网站的域名,而非具体被篡改或被挂马的页面URL.
7被篡改网站所属部门或地区www.
wlhtjjw.
gov.
cn内蒙古自治区乌兰浩特市jsnw.
gov.
cn山西省晋中市根据CNCERT监测和通信行业报送数据6,截至7月4日12时,仍存在被挂马或被植入不正当广告链接(如:网络游戏、色情网站链接)的政府网站如下表所示.

被挂马或被植入不正当广告链接的网站所属部门或地区www.
dingzhou.
gov.
cn河北省定州市www.
hlfire.
gov.
cn黑龙江省消防局www.
jxyzsafety.
gov.
cn江西省宜春市www.
yckjinfo.
gov.
cn宁夏自治区银川市www.
jzzx.
gov.
cn河南省焦作市本周事件处理情况1、本周处理各类事件数量对国内外通过电子邮件、热线电话、传真等方式报告的网络安全事件,以及自主监测发现的网络安全事件,CNCERT根据事件的影响范围和存活性、涉及用户的性质等因素,筛选重要事件进行协调处理.
本周,CNCERT通过与基础电信运营商、域名服务机构的合作机制,以及反网络病毒联盟(ANVA)的工作机制,共协调处理了228件网络安全事件.
2、本周恶意域名和恶意服务器处理情况依据《中国互联网域名管理办法》和《木马和僵尸网络监测与处置机制》等相关法律法规的规定,本周ANVA在基础电信运营企业以及希网网络、花生壳、新网数码、江苏邦宁、东南融通等域名服务机构的配合和支持下,并通过与境外域名服务商和国际安全组织的协作机制,对192个境内外参与传播网络病毒或从事仿冒活动的恶意域名或服务器主机IP采取了处置措施.
详细列表如下所示.
处置域名列表处置服务器列表7处置原因woniu888.
com、tianjuidc.
com、www.
abchhinan.
com、804.
cn、ems-cxs.
com、yhz88.
com202.
119.
46.
*、124.
234.
188.
*、182.
50.
0.
*、218.
26.
209.
*网页仿冒newdfg.
info、yard-fg-h.
info、d-fg.
info、dfgnow.
info、panren78.
3322.
org、j-kl-tower.
info、j-kl.
info、z-xc.
info、bestfgh.
info、baiduxzz1.
3322.
org、传播恶意代码注6:被挂马网站根据CNCERT自主监测结果以及奇虎360、绿盟、微软、安天、网御星云、安信华等企业报送的挂马信息整理.
注7:CNCERT不公开服务器的具体IP,其中*代表数字0-255,可能会出现同一C段的多个IP使用相同的表示.
8sdfstore.
info、7766.
org、thesdf.
info、fghtoday.
info、sdfofficers.
info、myhjk.
info、ddddjah1.
8800.
org、jklnow.
info、besthjk.
info、fghpublications.
info、fghstore.
info、a-sd-travel.
info、bestghj.
info、dfgonline.
info、xcvonline.
info、ie2011b.
3322.
org、bestjkl.
info、ghjsite.
info、hjkblog.
info、hjks.
info、angelrj1.
3322.
org、fghsong.
info、myghj.
info、jklshop.
info、theasd.
info、qqbdajibamo.
8800.
org、cml1698.
gicp.
net、ghjnow.
info、thexcv.
info、xcvtoday.
info、freeghj.
info、sdfblog.
info、jkls.
info、wqrfsaf.
3322.
org、bestdfg.
info、downaq1.
3322.
org、xcvs.
info、h65y.
3322.
org、xcvstore.
info、fghfoundation.
info、xuxiao1234.
3322.
org、thezxc.
info、360safe2010.
3322.
org、jk118.
3322.
org、asdmemory.
info、dfgsyndrome.
info、paulo-fg-h.
info、zuixinxiazai1.
3322.
org、j-kl-malaysia.
info、15698wqeqwewq.
8800.
org、xcbtmp.
gicp.
net、sdfgraph.
info、sdfassistance.
info、jkltower.
info、jklhotel.
info、maryjkl.
info、bht56.
3322.
org、newzxc.
info、ladyjkl.
info、a-sd-reader.
info、a-sd-card.
info、yardfgh.
info、hjktoday.
info、zxcblog.
info、freexcv.
info、sdfairport.
info、efd6.
8866.
org、sdfformat.
info、d-fg-syndrome.
info、d-fg-wilson.
info、zxconline.
info、freejkl.
info、daduji.
3322.
org、z-xc-host.
info、fghonline.
info、hj-k.
info、px.
6600.
org、thehjk.
info、fg-h.
info、jklmalaysia.
info、sdfsubsidy.
info、sdfsite.
info、ghjstore.
info、jkltravel.
info、6070.
9966.
org、vsdfscv890.
8866.
org、freehjk.
info、bestxcv.
info、9527785.
3322.
org、xzzza1111.
3322.
org、hjkonline.
info、nimadc190.
3322.
org、xcvlayout.
info、jklstore.
info、dfgtoday.
info、g6786.
3322.
org、asdcards.
info、benchixz1.
3322.
org、hyju6.
3322.
org、bestsdf.
info、asdtravel.
info、sdffunding.
info、hjksong.
info、thedfg.
info、jkltoday.
info、xcvsite.
info、dfgstore.
info、newghj.
info、fxy2011.
3322.
org、hjkshop.
info、qqb1gaio.
3322.
org、freedfg.
info、fghshop.
info、hjksite.
info、myzxc.
info、fghblog.
info、xiazaiai1.
3322.
org、paulofgh.
info、sdfnow.
info、a-sd-memory.
info、myxcv.
info、sdfonline.
info、dfgblog.
info、freezxc.
info、dfgshop.
info、newhjk.
info、zxcshop.
info、fg-h-publications.
info、9bestzxc.
info、zjhad1in.
3322.
org、theghj.
info、mary-j-kl.
info、360vs2b.
3322.
org、sdfshop.
info、dfgwilson.
info、9966.
org、zxchost.
info、hj-k-song.
info、wbrj2009.
3322.
org、sdftoday.
info、zxcstore.
info、ghjblog.
info、xcvshop.
info、mydfg.
info、zxcsite.
info、jklsite.
info、xcvnow.
info、newxcv.
info、myjkl.
info、zxctoday.
info、fanxianyi.
3322.
org、jklonline.
info、hjkstore.
info、gh56.
3322.
org、newsdf.
info、zxcgames.
info、xcvblog.
info、mysdf.
info、thejkl.
info、dfgsite.
info、z-xc-games.
info、zxcnow.
info、fghelectric.
info、jklblog.
info、freesdf.
info、fghnow.
info、newjkl.
info、hjknow.
info、ghjonline.
info、sdfgrant.
info、a-sd-cards.
info、asdreader.
info3、本周重点事件处理情况协调处理境外注册仿冒农业银行网站的事件6月29日,CNCERT接到举报,称在境外注册的域名为www.
abchhinan.
com的网站仿冒中国农业银行网站,对用户财产安全构成威胁.
经验证核实后,CNCERT协调境外域名服务商,迅速暂停了被举报的仿冒域名的解析服务.
协调处理多起境外注册仿冒工商银行网站的事件7月1日,CNCERT接到举报,称在境内注册的域名分别为woniu888.
com、ems-cxs.
com、yhz88.
com和tianjuidc.
com的网站仿冒中国工商银行网站,对用户财产安全构成威胁.
经验证核实后,CNCERT协调江苏邦宁、新网数码、东南融通公司,及时暂停了被举报的全部仿冒域名的解析服务.
协调处理多个境内政府网站的漏洞事件近期,CNCERT密切关注国外黑客组织"LulzSec"对全球政府部门网站的攻击情况,并与境外网络安全组织相互协作,加强政府部门网络安全事件的处置.
6月28日,根据澳大利亚CERT组织的通报,CNCERT协调多个分中心对涉及www.
shuangliu.
gov.
cn、www.
ykzzb.
gov.
cn、jsfgj.
yeda.
gov.
cn、www.
investhg.
gov.
cn、www.
ahshx.
gov.
cn、www.
ccpitzj.
gov.
cn等多个境内政府部门网站的漏洞事件进行了验证和处置.
同时,上述事件也对我国政府部门网站安全提出重要警示.
与Phishlabs密切协作严厉打击恶意代码传播活动本周,根据CNCERT近期监测到的情况,IP为68.
68.
101.
226的主机被黑客控制并用于大规模传播恶意代码.
其中,黑客使用了在.
info域上注册的大量指向该IP地址的二级动态域名,从而形成了大量传播恶意代码的URL.
6月27日,CNCERT将有关情况通报国外网络安全组织Phishlabs.
Phishlabs对相关域名进行了技术跟踪,至7月1日完成了144个恶意域名的处置,有力地打击了黑客传播恶意代码的势头.
10本周重要安全漏洞本周,国家信息安全漏洞共享平台(CNVD)8整理和发布以下重要安全漏洞,详细的漏洞信息请参见CNVD漏洞周报(http://www.
cnvd.
org.
cn/reports/list).
1、NullSoftWinamp安全漏洞Winamp是一款媒体播放器.
本周,Winamp被披露存在多个综合评级为"高危"的安全漏洞,远程攻击者可以利用漏洞以应用程序安全上下文执行任意代码或使应用程序崩溃.