鳥哥的 Linux 與 ADSL 私房菜

---

實例一：
實例二：

前言：
這隻病蟲對於 Linux 並不會有危害，但是對於微軟的視窗（尤其是 windows2000 伺服器）則攻擊得很凶，甚至於比 Code Red 還要來得凶！尤其他的擴散管道非常的多，除了常使用的郵件傳送之外，亦可經由 WWW 伺服器的 port 80 來傳播，此外，亦可以經由『網路上的芳鄰』（資源分享）來傳播病毒！真是可怕！

入侵方向與分析原理：
由於 Nimda 可以經由三重管道傳播病毒，我們並無法得知他經由『網芳』傳播的情況（其實還是可以的，只要分析 SAMBA 伺服器的登錄檔就可以知道連上線的用戶端情況了！），因此以下仍然是以 WWW 伺服器的 port 80 作為偵測的方向。
　
在 WWW 伺服器方面，基本上，與 Code Red 相同的， Nimda 是以微軟的 WWW Server 的 port  80 侵入伺服器的 WWW 服務，然後再進行破壞行為。當 Nimda 嘗試侵入 Linux 的 port 80 時，就會被檔下來（因為沒有 Nimda 預設要入侵的檔案系統），而在 Linux 的 Apache 登錄檔上面就會有紀錄，亦即在你的 WWW 網頁登錄檔（應該是在 /usr/local/apache/logs/access_log 這個檔案）留下記錄，這個檔案的內容有點像這樣：
　

61.224.44.98 - - [17/Sep/2001:15:43:28 +0800] "GET /~vbird/linux_live/index.php HTTP/1.0" 200 893 211.74.244.91 - - [17/Sep/2001:15:43:28 +0800] "GET /~vbird/linux_live/index.php HTTP/1.1" 200 905 211.74.210.189 - - [17/Sep/2001:15:43:29 +0800] "GET /~vbird/linux_live/index.php HTTP/1.1" 200 905 140.116.44.156 - - [19/Sep/2001:10:36:30 +0800] "GET /scripts/root.exe?/c+dir HTTP/1.0" 404 287 140.116.44.156 - - [19/Sep/2001:10:36:30 +0800] "GET /MSADC/root.exe?/c+dir HTTP/1.0" 404 285 140.116.44.156 - - [19/Sep/2001:10:36:30 +0800] "GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 295 140.116.44.156 - - [19/Sep/2001:10:36:30 +0800] "GET /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 295 140.116.44.156 - - [19/Sep/2001:10:36:30 +0800] "GET /scripts/..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 309 140.116.44.156 - - [19/Sep/2001:10:36:30 +0800] "GET /_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir TTP/1.0" 404 326

　
像上面這個例子中，第一行中，61.224.44.98 指的是使用你 WWW 伺服器的主機名稱，後面接的是登入的日期，然後 GET 後面接的是 WWW 伺服器傳送的檔案，而在黃色的部分則是當 Nimda 嘗試登入你的 WWW 伺服器時，由於系統不是 Windows2000 所以會顯示的錯誤訊息！（Nimda 在一次的嘗試登錄中，就會有差不多15行的錯誤訊息出現），因此，我們只要分析登錄檔（access_log）就可以知道哪一個 IP 已經中毒了！（就是看前面的 IP 囉）

病蟲的危害性質：
在已經公布的資料中， Nimda 的危害程度與性質你可以到下面的網頁中查詢道：
• 金帥（ZLock）防毒中心；
• 趨勢（Trend）；趨勢二（Trend）
• 賽門鐵克（symante.）；臺灣賽門鐵克
• 台灣危機處理小組；

偵測實例：
• 經由修改 周定賢老師 針對 Code Red 的小程式加以改良（搜尋字串改變） ：

這個例子可以每天將你的主機中，將嘗試侵入你主機的電腦 IP 列出來，並且每 5 分鐘更新一次！你可以將上面的文字檔拷貝下來，貼在你的 Linux 系統中，建立一個檔案，並改成可執行來測試！

解毒方法：
趨勢與賽門鐵克已經公布了解決辦法，你可以去看看，這裡也提供他們提供的方法解釋：（資料來源：趨勢與賽門鐵克公司）
• 趨勢：
1. 電腦族如果收到Readme.exe(讀我)檔案，請直接刪除，勿開啟以免中毒。
2. 趨勢科技產品用戶請立即更新掃瞄引擎至5.20以上和病毒碼至942(含)以上，以偵測及清除此病毒。
3. 由於病毒會搜尋網路上的磁碟機，企業若安裝了IIS主機，請至微軟網站下載最新的Service Pack及修正程式!!

http://www.microsoft.com/taiwan/support/content/6496.htm
4. 若你連接至中毒的網頁伺服器，會自動下載病毒檔案，請將防毒軟體開啟至常駐狀態。
5. 如果您有安裝eManager可以設定收到readme.exe, readme.wav及readme.com三個檔案附件移除。
6. 如果您使用微軟IE 瀏覽器,請連接下列微軟公司網站更新 IE 的修正程式

http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS01-020.asp
7. 手動解決方法：

(1) 請關閉資源分享功能
(2)連接至趨勢網站下載清除程式
(3)將清除程式存放至暫存目錄中.並執行以解壓縮
(4)關閉防毒軟體的即時掃瞄功能
(5)執行FIX_NIMDA.EXE
(6)重新啟動電腦.使用防毒軟體掃瞄所有檔案.
(7)若您發現 RICHED20.DLL 及 LOAD.EXE 檔案無法清除.請由平時備份還原
(8)請您將防毒軟體設定為掃瞄所有檔案.您可參考
http://www.trend.com.tw/EncyclopediaV2/download/Troj_Sircam_pre.doc 說明設定

• 賽門鐵克：
1. 執行 LiveUpdate 線上更新至最新版的病毒定義碼；
2. 開始執行 Norton AntiVirus 防毒軟體（NAV，在右下方的諾頓小圖示中點兩下），並請將掃瞄選項設定為全部檔案均掃瞄；
3. 開始執行『全系統掃瞄』；
4. 若有發現任何 W32.Nimda.A@mm 或 W32.Nimda.A@mm(html) 的病毒，選擇『修復』；
5. 若有發現任何 W32.Nimda.A@mm(dr) 或 W32.Nimda.A@mm(dll) 的病毒，選擇『刪除』；
6. 若無法刪除 admin.dll 及 riched20.dll 檔案時，以備份（或者其他相同作業系統的電腦上）的 admin.dll 及 riched20.dll 檔案覆蓋中毒的電腦檔案；
7. 將電腦重新開機；
8. 重複上面的步驟1-6，直到 NAV 找不到任何毒為止；
9. 刪除 \windows\system.ini 的下面一行字（應該是第二行左右）：

Shell= load.exe -dontrunold
10. 關閉不必要的資源分享；

---

Designed by VBird during 2001-2004.  Aerosol Lab.