L002003003-病毒防范- 挽救带毒文档.doc

课程编写类别内容实验课题名称L002003003-病毒防范-挽救带毒文档实验目的与要求1、了解部分文件文件头编码2、了解10进制与16进制之间的转换3、了解UltraEdit软件的使用4、了解如何挽救带毒文件实验环境VPC1(虚拟PC）操作系统类型：windows网络接口：本地连接VPC1连接要求PC网络接口，本地连接与实验网络直连软件描述1、学生机要求安装java环境2、安装windows 2003的系统实验环境描述1、学生机与实验室网络直连;2、VPC1与实验室网络直连;3、学生机与VPC1物理链路连通；预备知识基于文件头的文件类型验证类dw4 = 4F7B,pgm = 50350A,pax = 504158,pgd = 504750644D41494E,img = EB3C902A,zip = 504B0304140000,docx = 504B030414000600(word2007),=D0CF11E0A1B11AE10000000000000000(word2003)pptx = 504B030414000600,xlsx = 504B030414000600,kwd = 504B0304,odt = 504B0304,odp = 504B0304,ott = 504B0304,sxc = 504B0304,sxd = 504B0304,sxi = 504B0304,sxw = 504B0304,wmz = 504B0304,xpi = 504B0304,xps = 504B0304,xpt = 5850434F4D0A5479,grp = 504D4343,qemu = 514649,Ultraedit定义UltraEdit是一套功能强大的文本编辑器，可以编辑文本、十六进制、ASCII码，完全可以取代记事本(如果电脑配置足够强大)，内建英文单字检查、C+及VB指令突显，可同时编辑多个文件，而且即使开启很大的文件速度也不会慢。软件附有HTML标签颜色显示、搜寻替换以及无限制的还原功能，一般用其来修改EXE或DLL文件。能够满足你一切编辑需要的编辑器。用途用做普通文本文件编辑器(.txt .bat .conf .ini等）用做.bat文件编辑器(bat，是指批量处理文件）用做c, c+, java, jsp, html, xml等的源代码编辑器(以上文件可以是本地的，也可以是通过FTP方式操作远程的文件)对文本文件进行按行排序，排序的方式是可以定义的。对16进制的文件直接修改字节指定直接的内容。对文件全体内容或选定内容进行整体的操作，比如转换格式、内容等。对文件的字符、词数量进行统计。对一个文本文件或源代码文件组成的项目进行操作。实验内容1、了解部分文件文件头编码2、了解10进制与16进制之间的转换3、了解UltraEdit软件的使用4、了解如何挽救带毒文件实验步骤1、学生单击实验拓扑按钮，进入实验场景，进入目标主机，（第一次启动目标主机，还需要安装java空间），如图所示：2、学生输入账号administrator，密码123456，登录到实验场景中的目标主机。如图所示：3、在桌面上找到“病毒分析与防范”-“01初级试验”-“病毒样本”-“1邮件病毒防范演示”文件夹中的 “千兆以太网证劵行业.doc”word文档。如图所示:4、打开“千兆以太网证劵行业.doc”文档。如图所示：注：出现上图所示的乱码，说明此word文档中病毒。5、关闭此word文档，找到千兆以太网证卷行业解决方案.doc.exe。如图所示：6、在桌面上找到Uedit32软件，并使用Uedit32软件打开千兆以太网证卷行业解决方案.doc.exe文件。如图所示：注：上图显示的为16进制编码，请查找word2003文件头的编码，word2003的编码头为D0CF11E0A1B11AE10000000000000000。7、点击工具栏“搜索-查找”输入D0CF11E0A1B11AE10000000000000000查找word文件编码头。如图所示：8、点击“下一个”即可跳转到word2003编码头，如图所示：9、删除 “D0CF11E0A1B11AE10000000000000000”以上的16进制编码，然后保存并双击打开“千兆以太网证劵行业”。如图所示：10、关闭Uedit32，并保存，