中新網(wǎng)1月27日電 江民反病毒專(zhuān)家指出日前導致全球網(wǎng)絡(luò )癱瘓元兇——“SQL殺手”病毒是一個(gè)罕見(jiàn)的病毒體極短小而傳播性極強的蠕蟲(chóng)病毒。該蠕蟲(chóng)利用Microsoft SQL Server 2000緩沖區溢出漏洞進(jìn)行傳播，詳細傳播過(guò)程如下：
該病毒入侵未受保護的機器后，取得三個(gè)Win32 API地址，GetTickCount、socket、sendto，接著(zhù)病毒使用GetTickCount獲得一個(gè)隨機數，進(jìn)入一個(gè)死循環(huán)繼續傳播。在該循環(huán)中蠕蟲(chóng)使用獲得的隨機數生成一個(gè)隨機的ip地址，然后將自身代碼發(fā)送至1434端口(Microsoft SQL Server開(kāi)放端口)，該蠕蟲(chóng)傳播速度極快，它使用廣播數據包方式發(fā)送自身代碼，每次均攻擊子網(wǎng)中所有255臺可能存在機器。
易受攻擊的機器類(lèi)型為所有安裝有Microsoft SQL Server 2000的NT系列服務(wù)器，包括WinNT/Win2000/WinXP等。所幸該蠕蟲(chóng)并未感染或者傳播文件形式病毒體，純粹在內存中進(jìn)行蔓延。病毒體內存在字符串"h.dllhel32hkernQhounthickChGet"、"Qh32.dhws_f"、"etQhsockf"、"toQhsend"。該病毒利用的安全漏洞于2002年7月被發(fā)現并在隨后的MS SQL Server2000補丁包中得到修正。
病毒特征：
該蠕蟲(chóng)攻擊安裝有Microsoft SQL的NT系列服務(wù)器，嘗試探測被攻擊機器的1434/udp端口(江民反黑王默認設置是將1434端口關(guān)閉，使用江民反黑王的用戶(hù)不會(huì )受到此病毒的影響)，如果探測成功，則發(fā)送376個(gè)字節的蠕蟲(chóng)代碼。1434/udp端口為Microsoft SQL開(kāi)放端口。該端口在未打補丁的SQL Server平臺上存在緩沖區溢出漏洞，使蠕蟲(chóng)的后續代碼能夠得以機會(huì )在被攻擊機器上運行進(jìn)一步傳播。
該蠕蟲(chóng)入侵MS SQL Server系統，運行于MS SQL Server 2000主程序sqlservr.exe應用程序進(jìn)程空間，而MS SQL Server 2000擁有最高級別System權限，因而該蠕蟲(chóng)也獲得System級別權限。
受攻擊系統：未安裝MS SQL Server2000 SP3的系統而由于該蠕蟲(chóng)并沒(méi)有對自身是否已經(jīng)侵入系統的判定，因而該蠕蟲(chóng)造成的危害是顯然的，不停的嘗試入侵將會(huì )造成拒絕服務(wù)式攻擊，從而導致被攻擊機器停止服務(wù)及癱瘓。
該蠕蟲(chóng)由被攻擊機器中的sqlsort.dll存在的緩沖區溢出漏洞進(jìn)行攻擊，獲得控制權。隨后分別從kernel32以及ws2_32.dll中獲得GetTickCount函數和socket以及sendto函數地址。緊接著(zhù)調用gettickcount函數，利用其返回值產(chǎn)生一個(gè)隨機數種子，并用此種子產(chǎn)生一個(gè)IP地址作為攻擊對象；隨后創(chuàng )建一個(gè)UDP socket，將自身代碼發(fā)送到目的被攻擊機器的1434端口，隨后進(jìn)入一個(gè)無(wú)限循環(huán)中，重復上述產(chǎn)生隨機數計算ip地址，發(fā)動(dòng)攻擊一系列動(dòng)作。
