|
知识路径: > 网络攻击原理与常用方法 > 网络攻击案例 >
|
相关知识点:2个
|
|
|
|
W32.Blaster.Worm是一种利用DCOM RPC漏洞进行传播的网络蠕虫,其传播能力很强。感染蠕虫的计算机系统运行不稳定,系统会不断重启。并且该蠕虫还将对windowsupdate.com进行拒绝服务攻击,使得受害用户不能及时地得到这个漏洞的补丁。如下图所示,当W32.Blaster.Worm运行时,会进行以下操作。
|
|
|
|
|
(1)创建一个名为BILLY的互斥体。如果这个互斥体存在,蠕虫将放弃感染并退出。
|
|
|
|
"windows auto update"="msblast.exe"
|
|
|
|
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
|
|
|
|
(3)蠕虫生成攻击IP地址列表,尝试去感染列表中的计算机,蠕虫对有DCOM RPC漏洞的机器发起TCP 135端口的连接,进行感染。
|
|
|
(4)在TCP 4444端口绑定一个cmd.exe的后门。
|
|
|
(5)在UDP port 69口上进行监听。如果收到了一个请求,将把Msblast.exe发送给目标机器。
|
|
|
(6)发送命令给远端的机器使它回联已经受到感染的机器并下载Msblast.exe。
|
|
|
(7)检查当前日期及月份,若当前日期为16日或以后,或当前月份处在9月到12月之间,则W32.Blaster.Worm蠕虫将对windowsupdate.com发动TCP同步风暴拒绝服务攻击。
|
|
|