病毒名称：Linux.Slapper.C

　　别名：Worm.Linux.Slapper, Linux.Slapper.Worm

　　病毒类型：Unix/Linux蠕虫

　　危害级别：中

　　传播速度：中

　　技术特征：

　　这是一种感染Linux系统的网络蠕虫，与原版Linux.Slapper.A相似，但有一些新增功能。它会搜索运行Apache服务器的系统，一旦找到能感染的机器，它就会利用Openssl服务器的缓冲溢出漏洞来执行远程shell命令。有关此漏洞的详细信息，请浏览：http://www.kb.cert.org/vuls/id/102795

　　该变种传播的时候，会携带自己的源代码，然后在每台受害机器上编译两个可执行程序“.unlock.c”及"update.c"，它们都创建在 “/tmp” 目录下。第一个成功编译后的可执行程序叫“httpd” ，位于相同目录下。第二个可执行文件"update" 会监听1052端口，当输入正确Frethem/index.htm" target="_blank" style='text-decoration: underline;color: #0000FF'>密码后，它会允许大量的交互式shell命令通过。另外，该变种还会将受感染机器的主机名及IP地址发送给指定的邮件地址。

　　像Slapper.A及Slapper.b一样，被Slapper.c感染过的系统会在UDP 4156端口运行一个后门服务器端程序，该服务器端会响应远程未授权用户发送的特殊指令，从而根据指令执行各种不同的操作，例如，共中一条指令是在受感染机器上搜索邮件地址。

　　它会扫描所有目录（三个特殊目录/proc, /dev及/bin除外）下的所有文件，以查找有效的邮件地址。而其中含有字符串“.hlp”及与“webmaster@mydomain.com”相同的地址会被忽略，之外的其他所有邮件地址会作为一清单发送给远程用户起初所指定的IP地址。

　　另外，远程未授权用户还可能发送其他一些指令，如：

　　1.DOS攻击（TCP或UDP）；

　　2.打开或关闭TCP代理（1080端口）；

　　3.执行任意程序；

　　4.获得其他被感染服务器的名称；

　　此变种在扫描可能存在漏洞的机器时，会检查符合如下形式的IP地址：

　　A. B. 0-255.0-255

　　其中B是0到255之间的任意数字；

　　A为从下列列表中随机选择的数字：

　　3 4 6 8 9 11 12 13 14

　　15 16 17 18 19 20 21 22 24

　　25 26 28 29 30 32 33 34 35

　　38 40 43 44 45 46 47 48 49

　　50 51 52 53 54 55 56 57 61

　　62 63 64 65 66 67 68 80 81

　　128 129 130 131 132 133 134 135 136

　　137 138 139 140 141 142 143 144 145

　　146 147 148 149 150 151 152 153 154

　　155 156 157 170 171 172 173 174 175

　　176 177 178 179 180 181 182 183 184

　　185 186 187 188 189 190 191 192 193

　　194 195 196 198 200 201 202 203 204

　　205 206 207 208 209 210 211 212 213

　　214 215 216 217 218 219 220 224 225

　　226 227 228 229 230 231 232 233 234

　　235 236 237 238 239