莫里斯互联网蠕虫 - 任何人都知道他们是如何阻止它的?

时间:2009-11-25 20:14:51

标签: virus computer-forensics

是的,这个 是一个家庭作业类型的问题,但是你可以帮我解决一下吗?

在一篇关于 Morris Internet Worm 主题的简短演讲中,我应该列出阻止蠕虫传播的步骤。我的pp幻灯片现在正在接近最终状态,但在我说这个 是他们阻止蠕虫的方式之前,我想和你联系。我听说这个蠕虫很快就发布了新闻,并且在当时引起了很多轰动,所以我希望找到一些能够提供一些信息的计算领域的人。

基本上,我一直在各种报告和文章中发现,蠕虫的主要弱点是pleasequit变量没有正确初始化,因此将此变量设置为-1足以阻止蠕虫。这是蠕虫的最后一击吗?这是否有效地阻止它传播?

我发现以下报告,其他人提到了pleasequit var:(taken from this website):

  

蠕虫使用一个名为的变量   'pleasequit',但没有正确   初始化它,所以一些人添加了一个   模块名为_worm.o到C   库,由以下产生:

int pleasequit = -1; 
     

此值设置为-1的事实   将导致它在一个之后退出   迭代。

2 个答案:

答案 0 :(得分:5)

它在旧版本的sendmail,finger和rsh(主要是sendmail,IIRC)中使用了一个漏洞。修复就像走出去,让自己获得这些服务器的最新版本一样简单。

什么会阻止最初的传播正是阻止人类病毒传播的原因:缺少新的未受感染的易受攻击的主机可以从受感染的主机上传播。它只能感染旧的Sun3系统或Vaxen与一个正确版本的Unix(很多,如果不是大多数Vaxes当时运行VMS)和未修补版本的finger或sendmail或rsh服务器。

答案 1 :(得分:3)

该蠕虫有几种感染新系统的方法,包括sendmail和finger漏洞,还有密码猜测。 (sendmail漏洞不是代码漏洞,而是可以在sendmail.cf文件中启用的后门。)最初的目标似乎是进行低级隐身攻击,最终导致程序在许多不同的服务器上运行没有业主意识到发生了什么。编码错误不是pleasequit变量,而是蠕虫重新感染了甚至似乎已被感染的系统。这导致受感染的计算机遭受多次感染,然后崩溃。

因此,被接受为正确的答案(由T.E.D.提供)实际上是不正确的,因为蠕虫继续感染未受感染的系统。

导致感染停止的原因是易受攻击的系统被从互联网上取下。不幸的是,许多组织当时通过削减他们的互联网连接做出了回应,这实际上使他们更难以找出问题并解决问题。

说系统只能感染“旧的Sun3系统或Vaxen”也是不正确的。在蠕虫时,它正在感染正在使用的最先进的系统。这种蠕虫特别聪明,因为它为两种不同的体系结构提供了机器语言攻击(Sun3是68K,Vax是它自己的体系结构)。蠕虫攻击当前版本的操作系统 - 我们今天称之为“0天”的漏洞。

莫里斯此前曾公布过蠕虫在邮件列表中利用的一个漏洞,人们几乎忽略了他,并表示漏洞并不重要。看起来蠕虫是作为宣传噱头完成的,以引起人们对一些重要的计算机安全问题的关注。蠕虫被释放后失控,似乎他公布了如何阻止它的信息,但由于互联网堵塞,这些信息无法快速传播。