JPEG病毒如何發作？都是內存地址惹

　　2004年9月14日，微軟發布了安全公告 MS04-028，其作用是修補“JPEG 處理時 (GDI+) 的緩沖區溢出可能允許執行代碼”的漏洞，也就是近一陣的“JPEG病毒”所利用的。查閱本站的相關報道請點擊【這里】，以下是瑞星官方網站的部分報道：

　　瑞星公司日前發布紅色（一級）安全警報。警報顯示，微軟Windows系統出現重大漏洞，瑞星互聯網功防實驗室已經在互聯網上監測到針對該漏洞的攻擊代碼，可以認為，一種高危的新型病毒――-圖片病毒極有可能在近期出現。

專家表示，所有Windows用戶都有可能被這種新型病毒攻擊，這類病毒可以用任何方式攻擊用戶電腦系統，包括格式化硬盤、刪除文件等等。所有帶有 JPG圖片的郵件、網頁都有可能成為這類新型病毒的傳播渠道。這類病毒有可能通過以下形式發作：1.群發郵件，附帶有病毒的JPG圖片文件；2.采用惡意網頁形式，瀏覽網頁中的JPG文件甚至網頁上自帶的圖片即可被病毒感染；3.通過即時通信軟件（如MS N、QQ等）的自帶頭像等圖片或者發送圖片文件進行傳播。

　　那么，這個“JPEG病毒”是如何發作的呢？危害性又有多大？小編在這里為您粗略的解釋一下，同時歡迎大家進行討論。

　　要解釋這個病毒的發作原理，首先要從內存講起。Windows管理的內存中，包括應用程序空間以及核心空間，如下圖所示：

　　在打開JPEG文件的時候，需要將文件中的相關部分裝載到應用程序空間中的紅色區域進行處理。這本來是一件很美好的事情，但是微軟的操作系統和很多應用軟件都有一個特點——對JPEG的操作模塊在內存中的位置非常固定，現在這個特點可能要再一次將蓋茨搞得身敗名裂……

　　不僅JPEG操作模塊的地址固定，Windows核心內存空間的起始地址也是非常固定的，而這又會導致什么嚴重的后果呢？下面就需要引出另一個概念——溢出。<

    剛才提到內存的應用程序空間中有對JPEG操作的模塊，打開我們在打開*.jpg文件的時候，系統就要將文件中的相關數據裝載到這個模塊中，而如果有人故意把這些相關數據部分做得異常的大，會怎么樣呢？

    如果軟件方面比較完善的話，會對這個區域有保護措施，不允許這些超出范圍的數據從模塊中“溢出來”，否則的話這些溢出的數據會一直向著內存中其他部分延伸，可能造成藍屏等癥狀。

    但是，微軟在這里恰恰沒有保護措施！以至于攻擊者可以做到將任意長度的數據、代碼從JPEG操作模塊中一直覆蓋到核心空間，而核心空間有一個特點：允許執行極高權限的代碼。這樣一來攻擊者就能夠做到完全控制目標主機，刪文件、格硬盤……

    但利用單純的溢出漏洞，要想做到這一點也不是那么容易，因為攻擊者不知道大量的異常代碼要多長才合適。如果在進入核心空間之前就執行惡意代碼，是沒有足夠權限的。而我們剛才提到，微軟的操作系統和很多應用軟件的相關地址非常固定，因此攻擊者可以輕易的計算出所需的代碼長度，并“嚴絲合縫”地在核心空間處執行。<

    其實溢出漏洞早已不是什么新鮮事物，關鍵就是這次配合上了極其規律的內存地址分布，這問題就嚴重了。不知道大家是否了解，前一段大出風頭的“沖擊波”病毒也是利用了類似的漏洞組合而發作的。

    沖擊波的病毒編寫者是根據Win2000操作系統的內存特點來編寫的代碼，因此沖擊波在Win2000下會完美發作，導致IE無法打開新窗口、剪貼板失效等等癥狀。而由于WinXP下的內存分布與Win2000有所不同，因此沖擊波在WinXP下會表現為RPC操作不成功，默認情況下導致系統重啟而不會進行其他破壞。

    漏洞既然出來了，我們就得趕快補上。這次比較特殊的是不僅Windows系列操作系統需要補丁，而且微軟的Office系列軟件以及Visual Studio等諸多軟件都要打上相關補丁，所以請大家趕快到微軟的【相關頁面】下載補丁程序進行安裝。<