揭秘融合多种传播方式的蠕虫病毒设计〓华西安全联盟华西黑客联盟〓 >> —

【编者按：以往的病毒一般只会采取一种传播方式，而现在，特别是“熊猫烧香”病毒的出现，多种传播方式的融合成为了一种新的趋势。本文内容仅供参考，切勿用于不当之处！】一个典型的蠕虫病毒有两个功能型部件：传播和破坏，流行的蠕虫病毒大都是利用操作系统或者应用程序的（以弱口令和溢出最为常见），但常常并不会对宿主机造成“致命”的破坏。这两个特点使蠕虫病毒比普通电脑病毒传播得更快，影响力更大。一般来说，单一的蠕虫病毒只针对某种特定的进行攻击，所以一旦这种得到大范围修补，病毒也就没有了生存空间。更新这种设计，我把传播部件拆分开来：把扫描、攻击和破坏脚本化，主程序则负责解析这些脚本。例如针对ftp弱口令进行扫描，我们可以定义如下脚本：

uid=iscript-0a21-2331-x#随机唯一编号
usingtcp;
port21;
send“useranonymous”;
sendcrlf;
send“pass[email]fake@nothing.com[/email]”
sendcrlf;
if(find“200”)resultok;
next;

解析了这段脚本后（我想这种脚本是很容易读懂的），我们再定义一系列的过程，把我们的蠕虫体upload上去，一次完整的传播动作就完成了。如果是溢出，为了简单起见我们可以采集远程溢出的包，然后修改ip地址等必要，再转发溢出包进行溢出（这种情况下要实现connect-back就不容易了，不过这些具体问题就待有心人去研究吧），例如：

usingraw;
ipoffsetat12;
send“\x1a\xb2\xcc”……

主程序在完成传播后留下一个后门，其他宿主机可以通过这个后门与本地的蠕虫病毒同步传播脚本，这样每次有新的产生，宿主机的传播方式可以很快地得到升级。我们当然不会仅满足于这样一个蠕虫程序，扫描/攻击脚本的传播过程也是需要仔细处理的。我们希望适应力（fitness）最强的脚本得到广泛的应用（看起来有点类似蚁群算法和ga），所以我们要求得每个个体的fitness，当它和另一个体取得联系的时候就可以决定谁的传播脚本将取代另一个：

fitness=numberofhostinfected/numberofhostscanned

但也不能仅凭fitness就修改传播脚本，我个人觉得一个合适的概率是75%，20%的机会保持各自的传播脚本，剩下的5%则交换脚本。这样在维持每种脚本都有一定生存空间的情况下使适应性最好的个体得到更多的传播机会，同时，一些在某种环境下适应性不强的脚本也有机会尝试不同的环境。