针对客户端的恶意代码分析

…………//代码省略

如上述代码所示，一个html文件中包含一长串加密之后的代码，经过Wepawet的检测，结果为malicious(恶意的)，即用户如果通过浏览器打开此页面，会被恶意代码攻击，这也可以理解为该网页就是一个恶意代码宿主页.如果该恶意代码攻击的系统漏洞在用户的系统中并不存在，那么该恶意代码对该用户就没有任何危害.

对加密代码进行解密之后的部分核心代码如下所示：

var ghtb=document.createElement("OBJECT");

ghtb.classid="clsid: "+clid;

ghtb.launch("http: ".concat("-J-jar","-J\66.90.104.163pub ew.avi http://66.90.104.163/w.php?f=18&e=2 none"));

与漏洞CVE-2010-1423的特征码进行比对，可以以此判断该恶意代码是为了攻击该漏洞而编写的.

经过对上述2个html文件的分析，可以看出用户在访问挂马网页时，可能会遇到被引导和被攻击2个环节，这2个环节的代码都有可能会被加密，从而隐藏真实目的，达到感染用户的目的.

3.2　特征码检测

特征码识别技术就是将恶意代码的静态部分进行一些关键性的代码判断比较，包含某一特征码的代码就被识别为恶意代码.国外专家认为特征码法是检测已知病毒的最简单、开销最小的方法[10].

上文中提到的恶意代码，有的经过加密，也有未经加密.如果是没有加密的恶意代码，可以直接通过特征码的比对进行检测；如果是经过加密的恶意代码，只能通过沙盒模拟运行1次，解密之后再与特征码进行比对.这里讨论的恶意代码都是利用客户端的各种系统漏洞进行攻击，上文中提到的CVE-2010-1423漏洞就是其一，这里的CVE是指通用漏洞与披露(common vulnerabilities and exposures).

CVE是一个字典表，为公开的信息安全漏洞给出一个通用的名称(CVE编号)，可以帮助用户在各自独立的漏洞数据库和漏洞评估工具中共享数据.在漏洞报告中指明的一个漏洞，如果有CVE名称，就可以快速地在任何其他CVE兼容的数据库中找到相应修补的信息，解决安全问题[11].

CVE-2010-1423漏洞就是Java开发工具包URL参数变量注入漏洞，漏洞具体描述为：运行在Windows及Linux操作系统下的Java开发工具包及Java NPAPI插件URL参数存在变量注入漏洞，攻击者通过javaws.exe文件的(1)-J(2)-XXaltjvm 参数执行任意代码.部分源码如下所示：

var u="http: -J-jar -J\lock.cmpxchg8b.comcalc.jar none";

if(window.navigator.appName=="Microsoft Internet Explorer")

{

var o=document.createElement("OBJECT");

o.classid="clsid:CAFEEFAC-DEC7-0000-0000-ABCDEFFEDCBA";

o.launch(u);

…………//代码省略

与上文中破坏性恶意代码比较，可以发现相似之处，以此作为特征编写正则表达式，形成特征码，可以与其他网页文件的内容进行比对，判断是否包含恶意代码.

3.3　样本分析

这里准备了101个恶意代码样本文件和5个特征码，这5个特征码针对的漏洞CVE编号分别为CVE-2006-0003，CVE-2009-1136，CVE-2010-0806，CVE-2010-1423和CVE-2010-1885.接下来做一些分析，首先用5个特征码对病毒样本进行扫描，得到如图3的结果.在101个样本中共有97个样本中包含恶意代码分别针对上面给出的5个漏洞，其中针对CVE-2006-0003的有26个样本，针对CVE-2009-1136的有24个样本，针对CVE-2010-0806的有4个样本，针对CVE-2010-1423的有11个样本，针对CVE-2010-1885的有32个样本.

目前的网络环境复杂，针对不同漏洞的恶意代码数量多，并且经常会有大量变种产生，在这种情况下，检测工作非常困难.如果每发现一个新的恶意代码，就要针对该代码编写相应的防护措施，那么工作量非常大，且会使得杀毒软件的病毒库迅速膨胀.上述实验就是将样本文件通过沙盒进行分析，然后只要5个CVE特征码，就可以检测这101个样本中的97个.因此，从实验数据上看，只要防守住漏洞，针对可能会被攻击的漏洞，编写相应的特征码，可以极大地提高防护恶意程序的效率，特征码编写的好坏也会影响到防护效果.

上述实验，使用5个列出的漏洞特征码对样本数据进行了扫描分析，并且进行了分类汇总.接下来，再对这101个病毒样本文件逐个扫描，看看每个文件中所包含的恶意代码会针对多少个漏洞进行攻击，这个实验需要借助于更多的漏洞特征码，如图4所示，其中已知漏洞就是上文中提到的5个列出的漏洞.从图4中可以看出每个样本文件中的恶意代码都会针对或多或少的漏洞进行攻击，针对的漏洞数量越多，用户受感染的概率就越高.因为恶意代码的最终目的是希望感染用户，所以一般的挂马网页中可能会包含针对多个漏洞的恶意代码，然后根据用户的系统环境，进行攻击.

图3　基于特征码的分类汇总Fig.3　Classification based on signature

图4　恶意代码针对漏洞数量统计Fig.4　Different types of malicious codes quantity statistics

4结束语

当前网络环境复杂，用户在使用Web应用的过程中可能会面临各种各样的风险.恶意代码会针对用户的各种系统漏洞进行攻击，因此防护针对客户端的恶意代码显得尤为重要.恶意代码会用各种方式隐藏自己的真实身份，从而达到成功感染用户的目的，那么在检测此种恶意代码时就必须使用一些有针对性的手段.上文中已经就一些恶意代码样本进行了实验，验证了沙盒与特征码检测的有效性，但仍有一些问题需要进一步优化和处理.如沙盒的效率问题，如何在最短的时间之内将加密的恶意代码解密成易懂的明文，提高恶意代码的检测效率；另外就是特征码的编写，特征码编写的好坏直接影响到检测的成功率.上述这些问题将在今后的工作中继续开展研究.

参考文献:

[1]CNNIC．中国互联网络发展状况统计报告[R/OL]．[2014-3-5]. http://www.cnnic.net.cn/hlwfzyj/hlwxzbg/hlwtjbg/201403 /P020140305346585959798.pdf．

[2]Symantec Corporation．2014 Internet security threat report， volume[R/OL]．[2014-2-12]. http://www.symantec.com/content/en/us/enterprise /other_resources/b-istr_main_report_v19_21291018.en-us.pdf．

[3]于莉莉，杜蒙杉，张平，等．Web安全性测试技术综述[J]．计算机应用研究，2012，29(11):4001-4005．

YU Lili，DU Mengshan，ZHANG Ping，et al．Survey on web security testing technologies[J]．Application Research of Computers，2012，29(11):4001-4005．

[4]趋势科技．中国地区2013年第二季度网络安全威胁报告[R/OL]．[2013-8-23]. http://cn.trendmicro.com/imperia/md/content/cn/license /pdf-20130823.pdf．

[5]诸葛建伟．挂马网站分析追溯技术与实践[L/OL]．[2008-6-17]. http://www.cstnet.cn/scml/20080617041513250.pdf．

[6]张慧琳，诸葛建伟，宋程昱，等．基于网页动态视图的网页木马检测方法[J]．清华大学学报：自然科学版，2009，49(S2): 2126-2132．

ZHANG Huilin，ZHUGE Jianwei，SONG Chengyu，et al．Detection of drive-by downloads based on dynamic page views[J]．J Tsinghua Univ (Sci&Tech) ，2009，49(S2): 2126-2132．

[7]章明．Web应用程序客户端脚本安全技术研究[D] ．上海:上海交通大学，2012．

ZHANG Ming．Research on client-side scripting security technology of web application[D]．Shanghai：Shanghai Jiaotong University，2012．

[8]段玉龙．基于沙盒仿真的可执行程序恶意代码检测工具的研究与实现[D]．长沙:国防科技大学，2008．

DUAN Yulong．Research and implementation of sandbox and simulation based executables malicious code detection tool[D]．Changsha：National University of Defense Technology，2008．

[9]王洋，王钦．沙盒安全技术的发展研究[J]．软件导刊，2009，8(8): 152-153．

WANG Yang，WANG Qin．Research on sandbox security technology[J]．Software Guide，2009，8(8): 152-153．

[10]陈丹伟，唐平，周书桃．基于沙盒技术的恶意程序检测模型[J]．计算机科学，2012，39(6A): 12-14．

CHEN Danwei，TANG Ping，ZHOU Shutao．Malware detection model based on the sandbox[J]．Computer Science，2012，39(6A): 12-14．

[11]The office of cybersecurity and communications at the U.S. department of Homeland Security．Common Vulnerabilities and Exposures[EB/OL]．[2013-5-16]. http://cve.mitre.org/about/index.html．

(责任编辑：孟素兰)