不久以前，很多系統(tǒng)管理員還信誓旦旦的表示，Linux和其他基于UNIX的平臺對于病毒和蠕蟲事實上是無懈可擊的。我不知道為什么他們對自己的威脅分析這么自信，特別是從第一個大型蠕蟲在1988年被Robert Morris發(fā)明，在使用Sendmail程序的UNIX系統(tǒng)中被釋放出來以后。我猜測每個人都變得熱衷于批評微軟的操作系統(tǒng)和軟件，這已經(jīng)成為越來越多病毒制造者的攻擊目標，然而他們卻遺忘了UNIX上的脆弱點。
Linux/UNIX威脅
隨著Klez病毒在Linux平臺上傳染的通告，防毒軟件廠商開始提醒我們微軟的操作系統(tǒng)不再是唯一易受病毒攻擊的操作系統(tǒng)了。即使Linux和其他一些主流UNIX平臺的用戶可能不是微軟捆綁應(yīng)用軟件的大用戶，不可能通過這些軟件造成病毒的泛濫，Linux和UNIX仍然有它們自身并不引人注目的脆弱點。
除了Klez以外，其他Linux/UNIX平臺的主要威脅有：Lion.worm、OSF.8759病毒、Slapper、Scalper、Linux.Svat和BoxPoison病毒，這些很少被提及。
我記得曾經(jīng)在兩年前參加了一個由歐洲最大的財政機構(gòu)完成的安全審計項目，當時我聽見一個知名的安全專家告訴審計師，UNIX是不易受病毒攻擊的。審計師只是簡單的說了一句"okay"，然后紀錄下"UNIX系統(tǒng)對于病毒是安全的"。那個時代已經(jīng)過去了，你現(xiàn)在可以預(yù)料到，安全審計師和IT安全團隊已經(jīng)開始強烈的需要UNIX平臺上的病毒策略了。
一個叫Alexander Bartolich的奧地利學(xué)生甚至已經(jīng)完成了如何一個編寫Linux平臺上ELF 病毒的指南。Bartolich 沒有要求做一個Linux病毒先鋒，他表示，他只是更有效的說明了和反映了病毒、蠕蟲和木馬威脅Linux 更好的途徑，那些很早就已經(jīng)在別處被說明了。有了這樣具啟發(fā)性的、在網(wǎng)上發(fā)布的文檔，基于UNIX的病毒數(shù)量只會增長的更快，特別是自Linux 在服務(wù)器領(lǐng)域的應(yīng)用越來越廣泛之后。系統(tǒng)管理員也許希望，在親自讀過那本指南以后，對Linux 病毒的理解發(fā)生飛躍，從而能夠更好的掌握Linux 的脆弱點。
病毒的制造者是一些精通編寫代碼的黑客，他們遠比那些胡亂涂改網(wǎng)站卻對編寫病毒知之甚少的黑客要危險。盡管一個被黑掉的網(wǎng)站可以很快的修好，病毒卻加更隱蔽，會帶來潛在的安全隱患。你也許不能相信，但是病毒會一直潛伏，直到它給系統(tǒng)帶來不可挽回的損害。
受影響的Linux/UNIX平臺
不是所有版本的Linux/UNIX平臺都已經(jīng)被影響，但是下面這些是在從前已經(jīng)被病毒侵害過的系統(tǒng)：
|
越多的Linux/UNIX系統(tǒng)連接到局域網(wǎng)和廣域網(wǎng)，你的單位就有越多受攻擊的可能，這是因為很多UNIX 病毒正在快速的擴散著。使用WINE的 Linux/UNIX系統(tǒng)特別容易受到病毒的攻擊。WINE是一個公開源代碼的兼容軟件包，能讓UNIX平臺運行Windows應(yīng)用軟件。 WINE系統(tǒng)特別容易遭受病毒的攻擊，因為它們會使無論是對UNIX的還是對 Windows的病毒、蠕蟲和木馬都能對系統(tǒng)產(chǎn)生威脅。
威脅的本質(zhì)
你不應(yīng)該為Linux/UNIX平臺上的病毒和Windows操作系統(tǒng)上的病毒工作方式不同而感到奇怪。不過，UNIX中病毒、蠕蟲和木馬工作的原理和Windows中的還是大同小異的。
病毒只不過是一個能不經(jīng)過你的同意而感染和摧毀其他程序的程序。蠕蟲是一個不經(jīng)過你的同意而自我復(fù)制的代碼塊。盡管計算機程序中的bug也可能在未經(jīng)你允許的情況下進行自我復(fù)制，它們還是有很大區(qū)別的。區(qū)別就在于bug的自我復(fù)制是無意識的，而病毒的自我復(fù)制卻是有意識的。木馬程序隱藏了它們進行數(shù)字破壞的企圖。在一個UNIX環(huán)境下，木馬可能被命名為一個合法的程序（例如tar或者df），可是它卻能移除整個文件系統(tǒng)。
這些病毒和蠕蟲如何工作
為了給你一個由UNIX病毒、蠕蟲和木馬產(chǎn)生的重大破壞過程的認識，我?guī)阕哌M兩個假想的環(huán)境來揭示它們是如何工作的。每個病毒、蠕蟲和木馬都有它們自己的特性和行為，當然，這些例子只能給你一個對它們怎樣在Linux/UNIX里發(fā)作的認識。
讓我們從Linux.Slapper worm. Slapper怎樣侵襲一個Apache服務(wù)器開始。它通過HTTP的80端口連接到服務(wù)器，然后發(fā)送有效的GET請求，以發(fā)現(xiàn)正在使用的Apache服務(wù)器的版本，從而為詳細的目標系統(tǒng)做一個自我定義。當找到了一個合適的易攻擊的系統(tǒng)之后，它又連接到443端口，利用一個緩沖區(qū)溢出漏洞來采用合適的蠕蟲包替換目標系統(tǒng)。
接著，蠕蟲會利用一個本地編譯器，例如gcc來編譯自己。二進制結(jié)果跟著從/tmp目錄開始擴散，監(jiān)聽UDP端口，以接受更長遠的分布式拒絕服務(wù)（DDoS ）攻擊的指示。最后，DDoS攻擊制造TCP洪流令系統(tǒng)癱瘓。某些Slapper病毒的變異體還會掃描整個B類網(wǎng)絡(luò)尋找易攻擊的Apache服務(wù)器。
另一種蠕蟲，Linux Lion worm，掃描任意的B類網(wǎng)絡(luò)里的53端口，從而找出易受攻擊版本的BIND——最流行的Linux/UNIX DNS服務(wù)器。當Linux Lion worm找到一個易受攻擊版本的BIND之后，它清除日志文件，接著種植各種木馬文件以隱藏它的企圖。Linux Lion worm可能安裝的木馬文件有：
|
你可以看到，這些文件看起來是合法的UNIX文件，因此你可能懷疑你的第一眼所見，但這就是木馬的關(guān)鍵所在。要掩蓋它的足跡，Linux Lion可能會刪除以下文件：
|
一旦已經(jīng)對系統(tǒng)構(gòu)成威脅，Lion會把密碼文件發(fā)送給遠程的計算機，其他Lion 的變種可以通過嗅探器來嗅探活動連接中的密碼信息。通過獲得系統(tǒng)訪問權(quán)限，病毒黑客們能利用遠程系統(tǒng)進行DDoS攻擊，竊取信用卡號，或者竊取和破壞機密文件、紀錄。
Linux/UNIX的防毒產(chǎn)品
自從Linux成為最流行的UNIX平臺之一以后，大多數(shù)為UNIX系統(tǒng)所編寫的病毒瞄準了Linux平臺。然而，一些廠商同樣有一些非主流UNIX平臺的軟件包。如果你的單位正在使用Solaris、FreeBSD，或者其他版本的UNIX，不要期待找到很多防毒的選擇。明顯的，Linux/UNIX平臺上的防毒軟件正在蔓延，在教育，只有一部分廠商提供了Linux/UNIX 平臺的軟件產(chǎn)品。
一些UNIX防毒產(chǎn)品被特別的設(shè)計安裝在防火墻之上，因此你可以在UNIX病毒侵害其他系統(tǒng)之前將其攔截在防火墻上。另外的一些UNIX防毒產(chǎn)品被特別的設(shè)計在消息和群件服務(wù)器上。
保護你的系統(tǒng)不受自動化的黑客行為所侵害
病毒、蠕蟲和木馬基本上意味著自動化的黑客行為，也許被病毒攻擊比被黑客攻擊更可能發(fā)生。直接的黑客攻擊目標一般是服務(wù)器，而病毒是等機會的麻煩制造者。如果你的網(wǎng)絡(luò)包含了Linux或UNIX系統(tǒng)，特別危險的是服務(wù)器，不要在作出反應(yīng)之前等待尋找UNIX病毒、蠕蟲和木馬是否存在。做一些調(diào)查然后選擇一個適合你系統(tǒng)的防毒產(chǎn)品，它們能幫你防止病毒的傳播。
