有人的地方就有江湖。武侠江湖中有侠客、剑客；安全江湖内有黑客、红客、极客……不会代码、没有神技的小编靠着娴熟的叨法，斗胆自封了一个名号——
第 7 叨
打个赌吧？
拉手风琴
病毒的发现改变了人们对于微生物的认知：病毒体积微小、结构简单，甚至没有完整的细胞结构，仅仅是一个蛋白质外壳包裹着核酸链。不同于寄生类细菌，病毒必须将遗传物质注入到宿主细胞内，依靠宿主细胞的物质和能量，才能完成自我复制和增殖。
很快，病毒出现了另外一层含义：1987年，一对来自巴基斯坦的兄弟发明了另一种“病毒”，它的感染目标并不是细胞生物，而是计算机系统，能够耗尽计算机的存储空间。
so
计算机病毒就此诞生，并很快成为危害计算机安全的头号杀手，在网络空间大肆传播。它和普通的细菌、病毒等寄生生物一样，具有传播、复制和破坏宿主正常功能的能力。
b
为了阻止计算机病毒的传播，人们发明了反病毒软件，它工作在计算机终端或者服务器终端上，能够扫描所有磁盘空间，把那些病毒文件找出来。
示意图片来源于网络
用麦克阿瑟送给李奇微的一句话来说，这场拉手风琴式的战争永远都不会结束。
猝不及防
说句实话，李奇微针对志愿军后勤特点制定的这种“磁性战术”非常有效。但正如麦克阿瑟所说，靠这种手风琴式的打法，“联合国军”想要快速结束战争的愿望却很难实现。
来做一下类比。抗生素的杀菌机制总共有四种，包括抑制细菌细胞壁的合成、改变细胞膜的渗透性、干扰蛋白质的合成以及抑制核酸的复制和转录。
但无论哪种杀菌机制，它的作用对象都是拥有完整细胞结构的细菌，而不会对非细胞生物起任何作用。
这个还真有。
![我赌你的服务器里没有恶意文件]( "我赌你的服务器里没有恶意文件")
![我赌你的服务器里没有恶意文件]( "我赌你的服务器里没有恶意文件")
2012年，卡巴斯基在一份安全报告中，提到了一个新型木马：Lurk木马非常独特，它不会存储在受害者的计算机硬盘中，而是利用漏洞把恶意代码写入javaw.exe进程的内存中执行。
这就是无文件恶意软件的样子。下面举个形象的例子来区分有文件攻击和无文件攻击。
这个还真有。
2012年，卡巴斯基在一份安全报告中，提到了一个新型木马：Lurk木马非常独特，它不会存储在受害者的计算机硬盘中，而是利用漏洞把恶意代码写入javaw.exe进程的内存中执行。
示意图片来源于网络
核酸检测
时至今日，人们对于病毒的检测已经有了比较科学的方法，比如大家所熟知的新冠病毒核酸检测，无论是咽拭子和是肛拭子，都能够有效采集并检测到病毒核酸。
同理，无论无文件攻击再怎么花里胡哨，只需要检测到恶意代码它就再也无路可逃。
所不同的是，计算机并不会新陈代谢，无文件恶意软件也只会写在内存里，感染合法进程，而不会跑到其他地方。想要检测到恶意代码，只能在内存里做文章。
椒图就是用这个“钩子”把恶意代码钩出来。
该引擎总共包含了三个模块。
-
第一，INJECT注入模块负责把HOOK模块第一时间加载到新建进程内。
这个过程就如同护士把棉签放到你的咽部。
-
第二，HOOK钩子模块是整个无文件检测引擎的核心，负责修改进程内的指令，用于在命令执行之前，拿到需要关心的函数调用参数或者Com方法中的参数。HOOK函数可以理解为一段消息处理的程序，每当消息发出，在没有到达目的窗口前，HOOK函数就先捕获该消息，亦即钩子函数先得到控制权。
这里再科普一下。程序猿朋友都知道，每一个应用程序都包含大量的变量和函数。在数学中，函数可以把各种不同类型的变量，按照一定的计算关系给组合起来，比如二次函数、三角函数等。这里也一样，函数可以把变量组合起来，执行既定的操作或者命令。钩子钩住了关键参数，接下来就能判断程序到底会执行什么样的操作，这个操作是不是恶意的。 这个过程就如同护士拿着棉签对你的咽部一顿操作，采集关键样本。 -
第三，CHECK检查模块会将钩子捕捉到的关键参数进行检查，判断是否为恶意。这个模块内置了大量的业务逻辑规则，用于和钩住的参数进行匹配，比如脚本特征匹配、拦截逻辑判断、白名单放行逻辑、写入事件、写入日志等操作。如果发现了有什么不对的地方，就可以产生告警。
这个过程就相当于护士采集到的咽拭子或者肛拭子样本，送到检测中心去检测。
除了无文件攻击检测引擎之外，椒图还有一些功能模块也能够检出部分类型的无文件攻击。
椒图在新版本中引入了全新的龙息Webshell（一种网页后门，常用于远程控制Web服务器）检测引擎，它工作于Web中间件内部，对于内存马（常通过Apache等Web中间件漏洞写入内存的无文件Webshell）就有很好的检测效果。
基因突变
我们应当注意到，病毒是非常容易发生变异的。由于缺乏细胞结构的保护，病毒的核酸链非常容易在复制的过程中发生改变。
从理论上说，这种基于内存指令集的检测能力，肯定能够发现内存中的恶意代码。因为无论它再怎么变异，也逃脱不了计算机的设计逻辑，总归会进入到内存中运行起来，从而在内存中留下“浓墨重彩的一笔”。就像普通新冠毒株也好，德尔塔毒株也罢，总是逃脱不了白衣天使的棉签。
但说句实在话，把宝全部压在机器的自动化检测上，并不是一个非常明智的做法。况且，针对无文件攻击的处置，能够说得上是一个技术活。
就目前而言，相对于病毒对动植物生命健康带来的巨大危害而言，无文件攻击尚未成为攻击服务器的最主要方式。
但在将来的某一天有人和你打赌，就赌你中招的服务器上没有恶意软件，你就得掂量掂量再下注了。
END
作者简介
分享
收藏
点赞
在看
原文始发于微信公众号（奇安信集团）：我赌你的服务器里没有恶意文件
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论