安全防范 认识瞬时攻击的危险性
添加时间: 2008-3-5 15:44:39 作者: 网络安全 阅读次数:7 来源: http://www.d9soft.com
瞬时攻击，也就是我们常看到的“零时差攻击”、“零时攻击”、“0-day”、“Zero-Day”。主要就是指，黑客利用刚刚发现的系统漏洞尚未被修补上的时机发起的攻击。
无论你如何勤勉地修补系统和保护你的电脑，它仍然有可能在未曾预见到的攻击出现后的数个小时内中招。这篇文章将为您讲述零时差攻击的危险性以及它是如何利用安全漏洞的。
在电脑安全方面你并不曾懈怠。你随时更新应用程序，确保它们都是最新的版本，你也安装了反病毒软件。你很在意你浏览的是什么样的网站，在电脑上安装的是什么样的软件。
但是去年九月，如果你访问过由HostGator(位于佛罗里达州的一家顶级主机托管商)托管的博客站点，你的浏览器就会立即被重定向到一个受病毒感染的网站，这利用的是一种古老的微软图形格式中存在的漏洞。
遭遇到这一切，是因为你已经沦为零时差攻击的受害者――这种攻击往往针对某种软件的漏洞，当漏洞刚被发现不久，还没有任何补丁文件被发布并对已知问题进行修复时发起的攻击就叫做零时差攻击。这个术语最初用来描述那些 “非正式”(也就是在研究实验室外)发现的漏洞在补丁发布的当天就被利用来发起的恶意攻击，这使得IT专家们没有时间来堵上这个漏洞。
现在，零时差攻击对于网上罪犯们的价值正在飞涨中，因为这种攻击可以侵入最新的、保护得当的系统。例如，去年十月，一个网络聊天室里滚动出现一条广告：一个黑客想出售测试版的Windows Vista里一个不为人知的漏洞，要价是令人瞠目的5万美元，虽然Genes无从得知是否有人购买了那些代码。
“现在有了不少有组织的地下机构，网上罪犯们已经领会到他们能够靠恶意软件来发财了。”
恶意软件可以是个“机器人程序”。例如，它能够让你的电脑传播垃圾邮件，或者加入到拒绝服务式攻击，把某个网站弄得崩溃而不能提供正常服务。“这比把一位老太太打倒在地，并抢走她的钱包要容易多了，”Marcus说，“这也是非常隐匿的，而且攻击者可以舒服地坐在星巴克里发动这一切，却不会被丝毫察觉。”
在补丁发布之前就发起攻击的各种程序里，最危险的是会偷偷地在后台下载恶意软件的那些。你只是很平常地浏览了某个被植入恶意代码的页面，或者是打开了一封受感染的HTML格式电子邮件，就会遭到入侵，你的电脑里会悄无声息地被塞入各种间谍软件，木马程序或者其它恶意软件。在2005年底到2006年底之间，网络罪犯们利用一种不常被人们使用的微软图片格式中的漏洞，发动了至少两起这样的零时差攻击，并感染了数百万台电脑。
在HostGator遭到入侵的案例中，被黑客所利用的是IE浏览器在处理矢量标记语言(VML)格式的图片时出现的漏洞，这个漏洞一直没有引起注意。VML是一种不常见的、用来创建3D图像的标准格式。
微软的产品，如IE浏览器、Office办公套件和Windows操作系统，是最常受到零时差攻击(和其它类型的攻击)的目标。部分原因是它们占据了大部分的软件领域。但是微软过去犯下的没能在产品开发时对安全性进行充分考虑的错误，也导致了它的软件产品成为普遍的(也是容易攻入的)攻击目标。然而，Vista在安全方面有了长足的进步，至少在现在看来是这样。
仅在2006年，就有四种直接或者间接针对IE 6浏览器的零时差攻击。首先出现的针对IE 6的持续不断的攻击利用了在2005年底发现的漏洞。这种漏洞存在于Windows图元文件格式(WMF)，当IE呈现WMF图片时就有可能受到攻击。
在针对WMF漏洞的攻击事件层出不穷并广为人知后，微软首先宣布随着正常的补丁发布周期，它将在数周后发布一个补丁来修复此漏洞 ―― 但是由于攻击事件的不断出现和公众的反对声不断上涨，它最终不得不在一月初发布一个计划外的修复补丁。
然而补丁并没有让攻击停止，这表示出零时差攻击也可以有着很长的时间效应。与VML文件漏洞一样，WMF漏洞也会导致电脑被暗中植入恶意程序，这是网上罪犯们最喜欢的攻击方式之一，受害者无需点击受感染的图片就会中招。如果你通过Windows的自动升级功能打上了微软发布的补丁，那么你会没事。但是很明显，许多Windows用户并没有这样做。
去年七月份，通过一家为上千个网站服务的广告发行网络公司，一幅藏匿着有害代码、为Deckoutyourdeck.com网站做宣传的广告出现在MySpace和Webshots这样的知名网站里。藏匿在旗帜广告里的恶意程序会把木马下载到访问者的电脑里，它会带来广告软件和间谍软件。消息人士称――到补丁在七个月后终于发布时为止――一共有上百万人的电脑遭到入侵。
与针对IE浏览器发起的具有高危险性的零时差攻击不同，专门针对Word与其它Office软件的攻击不能通过下载来发起攻击。而主要依靠诱使受攻击者双击打开电子邮件附件――这通常用于有目的地攻击某家特定的公司，即使是再小心的用户也有可能不经意就双击打开了附件。
向目标企业的雇员发送假的(或者“欺骗性的”)邮件，把邮件伪装得看上去像是来自某个同事或者是该企业内的其它来源，黑客就有很大机会成功诱使收件人打开附件里的Word文档。而如果邮件看上去像是来自于某个不知详情的发件人，机会则小得多。
12月中旬，在公布Excel和PowerPoint等Office软件含有可能被黑客利用发起攻击的漏洞后，微软再次确认Word里有两个漏洞也可能被黑客利用，并发起“危害非常有限并且目的明确的攻击”。它向用户发出警告不仅仅要警惕陌生发件人邮件里附件，同时也要对来自熟悉发件人的、未经请求主动提供的附件保持足够的警觉。
微软的产品或许是最普遍的零时差攻击目标了，不过其它的常用软件也同样面临着受到攻击的危险。一月份研究人员公布了QuickTime播放程序里的一个漏洞， QuickTime在处理流媒体视频文件时可能让攻击者入侵并控制受害者的电脑。2006年11月份Adobe ActiveX浏览器控件的一个漏洞也会导致受害者电脑被黑客控制。
零时差攻击事件的涌现折射出每年公布的软件漏洞数目在不断地上升。2006年软件开发者与研究人员发现了7247个软件漏洞，比起2005年多了整整39%。
但是，这些bug中的大多数不会被黑客利用并发起零时差攻击。软件公司经常收到用户反映的bug和程序崩溃的报告，并从中找到安全漏洞，然后在黑客利用这些漏洞发起攻击前就进行修复。如果其它安全专家发现了一个漏洞，他们(总之，大多数会是这样)会按照一套行业惯例――被称作“有道德地透露”――来处理，这套惯例是特别设计用来规避零时差攻击的。
但有时候研究人员对于软件开发商调查的进度过慢而感到不满，就会在漏洞被解决之前将问题告知给大众。部分安全专家认为这种策略虽然有些不妥但能促使顽固的开发商立即发布修补程序，有些专家则谴责这种行为，认为这么做违背了行业惯例。
拥护这种行为的人们争辩说如果研究人员发现了漏洞，那么黑客们有可能也发现了。聪明的黑客会小范围、有目标地发起攻击，以避免引起生产商的注意而发布修补程序。不幸的是，大多数情况下，公布漏洞都会促成大规模的零时差攻击。
包括微软在内的软件公司通常使用工具软件来寻找自家软件里的漏洞。而黑客们也会这么做。专家们认为东欧那些有组织的网络罪犯，训练有素的中国黑客，还有其它不怀好意的人都会寻找有价值的可以用来发起零时差攻击的漏洞。发现漏洞的人能够用它来发起攻击，或者，与上面提到的WMF文件漏洞一样，可以把漏洞信息拿到黑市去索价出售。
如果软件开发商能在攻击发生前及时修补好安全漏洞，那么公司的IT人员以及家庭用户都能及时升级电脑，在黑客发起攻击之前就做好保护。但一旦零时差攻击开始了，时钟就开始计时――有时候时钟要走上好一阵，急需的补丁才会发布。
在2006年的前半年里，微软的Windows与红帽Linux都是开发补丁最快的收费操作系统，平均只需要13天。但是在升级浏览器方面――尤其是当有零时差攻击已经发生的情况下――微软比苹果、Mozilla和Opera的反应速度都要慢。IE浏览器的补丁在漏洞公布的10天后才会发布，而Opera，Mozilla和Safari浏览器打上补丁的时间，分别只需要两天、三天和五天。
Adam Shostack，微软安全开发生命周期小组的一位程序经理，说有时候更短的开发时限只会是设想，他提到微软用户构成的复杂性。
“我们必须测试安全升级程序以确保它能兼容于28种不同语言的操作系统，以及每一种支持这个升级程序的操作系统。”Shostack说。“我们真的是在质量与速度中做出取舍与平衡。”
安全软件有助于在有效的补丁发布前保护系统不受未知威胁的攻击，传统的反病毒软件依赖于病毒定义文件才能对攻击起到保护作用。启发式与基于行为的病毒分析分析方式依靠运算法则，而不是病毒定义文件，去查找反常的行为或者文件。启发式查毒检查潜在的恶意软件是靠分析文件是否有值得怀疑的行为，比如与内存有关的可疑行为。而另一方面，基于行为的病毒分析，观察程序是否有典型的恶意软件的行为(比如启动Email传播垃圾邮件)，它鉴定程序是否有害是看它们做什么而不是包含什么。
现在大多数主流的反病毒软件都拥有一种或者同时拥有这两种分析方式。去年，PC World测试过使用一个月未更新的病毒库成功识别出20%到50%的病毒。不过启发式与基于行为的病毒分析容易引起误报。
其它种类的安全产品试着藉由改变用户的电脑环境来抵抗新的未知威胁，并限制着攻击者成功入侵后带来的伤害。网络浏览器与电邮客户端，创建出一个“沙盒”，或者称虚拟的被隔绝的环境。举个例子来说，攻击者也许可以攻破IE浏览器，但安装间谍软件或者进行其它恶意篡改的举动都无法冲破沙盒的阻拦。
其它一些程序，除了创建虚拟环境以外，还修改用户帐号的权限，这样程序就无法对系统做出深层的改变。还有些程序，如免费的VMWare 播放器，会安装一个单独的操作系统并拥有它自己的浏览器。被层层保护着的浏览器与你正常的电脑环境是完全隔离开的。
Windows Vista引入了一些新的安全特性，但没有人会认为软件漏洞或者零时差攻击会渐渐地销声匿迹。.遗憾的是，充斥着非法数据与垃圾邮件发送者名单的地下黑市将刺激网络罪犯们继续想方设法从恶意软件里获得利益。
上一篇文章: 检查并堵住网站的eWebEditor漏洞 下一篇文章: 顶级防火墙LooknStop的配置详解
相关软件: