作者： TechRepublic.com
Thursday, September 11 2003 2:33 PM
[ZDNet China專稿] 不久以前，很多系統管理員還信誓旦旦的表示，Linux和其他基於UNIX的平台對於病毒和蠕蟲事實上是無懈可擊的。我不知道為什麼他們對自己的威脅分析這麼自信，特別是從第一個大型蠕蟲在1988年被Robert Morris發明，在使用Sendmail程序的UNIX系統中被釋放出來以後。我猜測每個人都變得熱衷於批評微軟的操作系統和軟件，這已經成為越來越多病毒制造者的攻擊目標，然而他們卻遺忘了UNIX上的脆弱點。
Linux/UNIX威脅
隨著Klez病毒在Linux平台上傳染的通告，防毒軟件廠商開始提醒我們微軟的操作系統不再是唯一易受病毒攻擊的操作系統了。即使Linux和其他一些主流UNIX平台的用戶可能不是微軟捆綁應用軟件的大用戶，不可能通過這些軟件造成病毒的泛濫，Linux和UNIX仍然有它們自身並不引人注目的脆弱點。
除了Klez以外，其他Linux/UNIX平台的主要威脅有：Lion.worm、OSF.8759病毒、Slapper、Scalper、Linux.Svat和BoXPoison病毒，這些很少被提及。
我記得曾經在兩年前參加了一個由歐洲最大的財政機構完成的安全審計項目，當時我聽見一個知名的安全專家告訴審計師，UNIX是不易受病毒攻擊的。審計師只是簡單的說了一句"okay"，然後紀錄下"UNIX系統對於病毒是安全的"。那個時代已經過去了，你現在可以預料到，安全審計師和99v安全團隊已經開始強烈的需要UNIX平台上的病毒策略了。
一個叫Alexander Bartolich的奧地利學生甚至已經完成了如何一個編寫Linux平台上ELF 病毒的指南。Bartolich 沒有要求做一個Linux病毒先鋒，他表示，他只是更有效的說明了和反映了病毒、蠕蟲和木馬威脅Linux 更好的途徑，那些很早就已經在別處被說明了。有了這樣具啟發性的、在網上發布的文檔，基於UNIX的病毒數量只會增長的更快，特別是自Linux 在服務器領域的應用越來越廣泛之後。系統管理員也許希望，在親自讀過那本指南以後，對Linux 病毒的理解發生飛躍，從而能夠更好的掌握Linux 的脆弱點。
病毒的制造者是一些精通編寫代碼的黑客，他們遠比那些胡亂塗改網站卻對編寫病毒知之甚少的黑客要危險。盡管一個被黑掉的網站可以很快的修好，病毒卻加更隱蔽，會帶來潛在的安全隱患。你也許不能相信，但是病毒會一直潛伏，直到它給系統帶來不可挽回的損害。
受影響的Linux/UNIX平台
不是所有版本的Linux/UNIX平台都已經被影響，但是下面這些是在從前已經被病毒侵害過的系統：
# SuSE Linux
# Mandrake Linux
# Red Hat Linux
# Debian GNU Linux
# Slackware Linux
# FreeBSD
# HP/UX
# IBM AIX
# SCO Unixware
# SCO OpenServer
# Sun Solaris
# SunOS
越多的Linux/UNIX系統連接到局域網和廣域網，你的單位就有越多受攻擊的可能，這是因為很多UNIX 病毒正在快速的擴散著。使用WINE的 Linux/UNIX系統特別容易受到病毒的攻擊。WINE是一個公開源代碼的兼容軟件包，能讓UNIX平台運行Windows應用軟件。 WINE系統特別容易遭受病毒的攻擊，因為它們會使無論是對UNIX的還是對 Windows的病毒、蠕蟲和木馬都能對系統產生威脅。
威脅的本質
你不應該為Linux/UNIX平台上的病毒和Windows操作系統上的病毒工作方式不同而感到奇怪。不過，UNIX中病毒、蠕蟲和木馬工作的原理和Windows中的還是大同小異的。
病毒只不過是一個能不經過你的同意而感染和摧毀其他程序的程序。蠕蟲是一個不經過你的同意而自我復制的代碼塊。盡管計算機程序中的bug也可能在未經你允許的情況下進行自我復制，它們還是有很大區別的。區別就在於bug的自我復制是無意識的，而病毒的自我復制卻是有意識的。木馬程序隱藏了它們進行數字破壞的企圖。在一個UNIX環境下，木馬可能被命名為一個合法的程序（例如tar或者df），可是它卻能移除整個文件系統。
這些病毒和蠕蟲如何工作
為了給你一個由UNIX病毒、蠕蟲和木馬產生的重大破壞過程的認識，我帶你走進兩個假想的環境來揭示它們是如何工作的。每個病毒、蠕蟲和木馬都有它們自己的特性和行為，當然，這些例子只能給你一個對它們怎樣在Linux/UNIX裡發作的認識。
讓我們從Linux.Slapper worm. Slapper怎樣侵襲一個Apache服務器開始。它通過HTTP的80端口連接到服務器，然後發送有效的GET請求，以發現正在使用的Apache服務器的版本，從而為詳細的目標系統做一個自我定義。當找到了一個合適的易攻擊的系統之後，它又連接到443端口，利用一個緩沖區溢出漏洞來采用合適的蠕蟲包替換目標系統。
接著，蠕蟲會利用一個本地編譯器，例如gcc來編譯自己。二進制結果跟著從/tmp目錄開始擴散，監聽UDP端口，以接受更長遠的分布式拒絕服務（DDoS ）攻擊的指示。最後，DDoS攻擊制造TCP洪流令系統癱瘓。某些Slapper病毒的變異體還會掃描整個B類網絡尋找易攻擊的Apache服務器。
另一種蠕蟲，Linux Lion worm，掃描任意的B類網絡裡的53端口，從而找出易受攻擊版本的BIND——最流行的Linux/UNIX DNS服務器。當Linux Lion worm找到一個易受攻擊版本的BIND之後，它清除日志文件，接著種植各種木馬文件以隱藏它的企圖。Linux Lion worm可能安裝的木馬文件有：
/bin/in.telnetd
/bin/mjy
/bin/ps
/bin/netstat
/bin/ls
/etc/inetd.conf
/sbin/ifconfig
/usr/bin/find
/usr/sbin/nscd
/usr/sbin/in.fingerd
/usr/bin/top
/usr/bin/du
你可以看到，這些文件看起來是合法的UNIX文件，因此你可能懷疑你的第一眼所見，但這就是木馬的關鍵所在。
要掩蓋它的足跡， Linux Lion可能會刪除以下文件：
/.bash_history
/etc/hosts.deny
/root/.bash_history
/var/log/messages
/var/log/maillog
一旦已經對系統構成威脅，Lion會把密碼文件發送給遠程的計算機，其他Lion 的變種可以通過嗅探器來嗅探活動連接中的密碼信息。通過獲得系統訪問權限，病毒黑客們能利用遠程系統進行DDoS攻擊，竊取信用卡號，或者竊取和破壞機密文件、紀錄。
Linux/UNIX的防毒產品
自從Linux成為最流行的UNIX平台之一以後，大多數為UNIX系統所編寫的病毒瞄准了Linux平台。然而，一些廠商同樣有一些非主流UNIX平台的軟件包。如果你的單位正在使用Solaris、FreeBSD，或者其他版本的UNIX，不要期待找到很多防毒的選擇。明顯的，Linux/UNIX平台上的防毒軟件正在蔓延，在教育，只有一部分廠商提供了Linux/UNIX 平台的軟件產品。這些廠商包括：
Computer Associates
F-Secure
KASPersky
Sophos
Symantec
Trend Micro
一些UNIX防毒產品被特別的設計安裝在防火牆之上，因此你可以在UNIX病毒侵害其他系統之前將其攔截在防火牆上。另外的一些UNIX防毒產品被特別的設計在消息和群件服務器上。
保護你的系統不受自動化的黑客行為所侵害
病毒、蠕蟲和木馬基本上意味著自動化的黑客行為，也許被病毒攻擊比被黑客攻擊更可能發生。直接的黑客攻擊目標一般是服務器，而病毒是等機會的麻煩制造者。如果你的網絡包含了Linux或UNIX系統，特別危險的是服務器，不要在作出反應之前等待尋找UNIX病毒、蠕蟲和木馬是否存在。做一些調查然後選擇一個適合你系統的防毒產品，它們能幫你防止病毒的傳播。（責任編輯：劉燕之)
