推 RedHouse:所以 MS有點此地無銀三百兩的味道嗎 08/14 05:52
推 pttdog:此版難得一見的好文，版主給你當好不好 08/14 08:06
推 yinjing:寫得還蠻像小說的，不錯不錯 08/14 10:19
推 joyviwer:push 08/14 11:16
推 kilinyo:專業中還有幽默感.大力推 08/14 11:28
推 Gumpy:寫得好! 我想看後續啊!! 08/14 13:48
推 lubber:高手~ 08/14 15:12
推 LOVEYT:推阿~ 08/14 17:19
→ kukulcan:0,2000064574,20108623,00.htm 08/14 18:27
推 asok:真是好文~ 08/14 22:36
推 pdgwu:KKC~~~~~被我發現你了....= =+++ 08/14 23:11
推 inva:感謝提供詳細解說 08/15 02:45
※ 編輯: kukulcan 來自: 140.129.20.7 (08/15 19:45)
※ exFREEzy:轉錄至看板 ck57th317 08/15 21:51
推 exFREEzy:好文借轉 感謝提供來龍去脈呀 ^^" 08/15 21:51
※ palermo:轉錄至看板 HPSH-90-31X 08/16 00:01
> -------------------------------------------------------------------------- <
作者: kukulcan (kkc) 看板: AntiVirus
標題: Re: [Log ] svchost.exe的問題..
時間: Tue Aug 15 01:08:45 2006
※ 引述《netneto ( )》之銘言：
: 請問一下哪裡有關於這個病毒入侵方法的介紹...
: 我哥說用防火牆就不會被入侵...
是的，只要用防火牆擋住 Port 135-139 與 Port 445，就可以完全防阻
此攻擊。
: 然後又在網路上看到有人說有用路由器就不會被入侵....
: 不是很懂為什麼...
我想應該是把路由器與防火牆之間的關係弄混了....
: 所以想了解一下這個病毒的入境方式
Well....我想想看該怎麼解釋...........
各位如果有常常"注視"系統內運作的程式的話，應該會發現
系統內會執行若干個 svchost.exe 其中有一個 svchost.exe
會提供所謂的 RPC (Remote Procedure Call)
詳細解釋可於此 http://www.cs.cf.ac.uk/Dave/C/node33.htm
簡單的說，就是你電腦上面執行的 svchost.exe 會提供 某些服務給網路上
的使用者來呼叫使用。這是作業系統設計上的一種美意，在某些情況下，
有些網路服務必須透過此機制來達成。
所以說，每一台 Windows XP 在出廠時，就設定好有一個 svchost.exe
會接受來自 Port 445 的 服務要求，並進行相關的處置。
但是所謂 病從口入，有了這個服務存在後，等於是系統上的一個開口，
如果存在弱點，就很容易變成入侵的端點。
事實上也是如此的，我們從 攻擊程式的說明來看：
This module exploits a stack overflow in the NetApi32 NetpIsRemote()
function using the NetpwPathCanonicalize RPC call in the Server
Service. It is likely that other RPC calls could be used to exploit
this service.
這個svchost.exe 在處理來自網路的要求時，會進行一些動作，其中有一個動作
是經由使用 netapi32.dll 當中的 NetpIsRemote來達成的，而NetpIsRemote
又會呼叫 NetpwPathCanonicalize 來進行某些字串的串接處理。
有經驗的人可能知道，字串串接很容易發生問題，只要字串長度過長，
或是長度計算錯誤，很容易就可以造成 stack buffer overflow。
所以，這個攻擊程式是經由傳送一個『精心設計』的資料給 svchost.exe
當 svchost.exe 經過一系列處理程序，來到 NetpwPathCanonicalize時，
該 『精心設計』的資料會發輝作用，觸發svchost.exe進入一個不穩定的狀態。
如果攻擊者可以成功利用該『不穩定狀態』，就可以藉此去執行任何他想要做
的事情；如果攻擊者無法控制該狀態，則程式就會當掉，終止服務。
所以該漏洞可能會造成 『攻擊者遠端控制電腦』，也可能造成『Denied of
Service』。我想由於該攻擊程式主要是在歐美語系系統上開發，故攻擊者
主要是利用 英文語系上面的弱點，至於在 中文/繁體中文 系統上的系統控制
就有問題。所以當遭受攻擊時，惡意程式不會執行，反而是 svchost.exe一直
當。
這個跟 MS04-011 有異曲同工之妙阿 ～>_<～。