计算机病毒知识课件

1、1 计算机管理中心计算机管理中心 2005.7.19 姜磊福姜磊福 2 -摘自国家计算机病毒应急处理中心摘自国家计算机病毒应急处理中心 3 -摘自国家计算机病毒应急处理中心摘自国家计算机病毒应急处理中心 4 计算机病毒爆发的几计算机病毒爆发的几 张图片张图片 5 6 7 8 9 10 计算机病毒基本知识计算机病毒基本知识 11 计算机病毒计算机病毒是什么东西呢是什么东西呢?是否会象是否会象 其他生物病毒其他生物病毒,如如感冒病毒感冒病毒一样对人一样对人 体造成伤害呢体造成伤害呢? “计算机病毒计算机病毒”是会造成伤害是会造成伤害,但不是对但不是对 人造成伤害人造成伤害,而是对计算机系统造成一而

2、是对计算机系统造成一 定的伤害定的伤害.其实其实,“计算机病毒计算机病毒”是一段是一段 非常短的非常短的,会不断自我复制会不断自我复制,隐藏和感隐藏和感 染其他程序或计算机的程序代码染其他程序或计算机的程序代码. 12 计算机病毒的特性计算机病毒的特性 13 特性特性 14 计算机病毒的传染性计算机病毒的传染性 传染性是计算机病毒最重要的特性，这一点与生物病毒传染性是计算机病毒最重要的特性，这一点与生物病毒 是一致的。是一致的。 生物病毒通过传染生物病毒通过传染,从一个生物体扩散到另一个生物体从一个生物体扩散到另一个生物体. 在适宜的条件下在适宜的条件下,它得到大量繁殖它得到大量繁殖,并进而使

3、被感染的生物体并进而使被感染的生物体 表现出病症表现出病症.同样地同样地,计算机病毒也会通过各种渠道从已被感计算机病毒也会通过各种渠道从已被感 染的计算机扩散到未被感染的计算机染的计算机扩散到未被感染的计算机,在某些情况下造成被在某些情况下造成被 感染的计算机工作失常甚至瘫痪感染的计算机工作失常甚至瘫痪.这就是计算机病毒最重要这就是计算机病毒最重要 的特征的特征传染和破坏传染和破坏.与生物病毒不同的是与生物病毒不同的是,计算机病毒是计算机病毒是 一段人为编制的计算机程序代码一段人为编制的计算机程序代码,这段程序代码一旦进入计这段程序代码一旦进入计 算机并得以执行算机并得以执行,就与系统中的程序

4、连接在一起就与系统中的程序连接在一起,并不断地去并不断地去 传染其它未被感染的程序传染其它未被感染的程序. 15 计算机病毒的隐蔽性计算机病毒的隐蔽性 计算机病毒通常附在正常程序中或磁盘较隐蔽的地计算机病毒通常附在正常程序中或磁盘较隐蔽的地 方方,目的是不让用户发现它的存在目的是不让用户发现它的存在.不经过防病毒软件的不经过防病毒软件的 扫描扫描,计算机病毒程序与正常程序是很难区别开计算机病毒程序与正常程序是很难区别开.在没有在没有 防护措施的情况下防护措施的情况下,计算机病毒程序经运行取得系统控制计算机病毒程序经运行取得系统控制 权后权后,可以在不到可以在不到1秒钟的时间里传染几百个程序秒钟

5、的时间里传染几百个程序,而且在而且在 屏幕上没有任何异常显示屏幕上没有任何异常显示.这种现象就是计算机病毒传染这种现象就是计算机病毒传染 的隐蔽性。的隐蔽性。 计算机病毒的隐蔽性表现在两个方面计算机病毒的隐蔽性表现在两个方面: 一是传染的隐蔽性一是传染的隐蔽性 二是计算机病毒程序存在的隐蔽性二是计算机病毒程序存在的隐蔽性, 16 大部分的计算机病毒感染系统之后一般不会马上发大部分的计算机病毒感染系统之后一般不会马上发 作作,它会长期隐藏在系统中它会长期隐藏在系统中,只有在满足其特定条件时才只有在满足其特定条件时才 会爆发会爆发,在此期间在此期间,它会对系统和文件进行大肆传染它会对系统和文件进行

6、大肆传染.潜伏潜伏 性愈好性愈好,其在系统中的存在时间就会愈久其在系统中的存在时间就会愈久,计算机病毒的计算机病毒的 传染范围就会愈大传染范围就会愈大. 在潜伏期间计算机病毒程序不用专用检测程序是检在潜伏期间计算机病毒程序不用专用检测程序是检 查不出的查不出的,计算机病毒的爆发是靠一定的触发条件进行计算机病毒的爆发是靠一定的触发条件进行 发作的发作的,不满足触发条件时不满足触发条件时,计算机病毒除了传染外不做计算机病毒除了传染外不做 什么破坏什么破坏.一旦触发条件得到满足一旦触发条件得到满足,有的在屏幕上显示信有的在屏幕上显示信 息息,图形或特殊标识图形或特殊标识,有的则执行破坏系统的操作有的

7、则执行破坏系统的操作,如格式如格式 化磁盘化磁盘,删除磁盘文件删除磁盘文件,对数据文件做加密对数据文件做加密,封锁键盘以及封锁键盘以及 使系统崩溃等使系统崩溃等. 计算机病毒的潜伏性计算机病毒的潜伏性 17 计算机病毒的破坏性计算机病毒的破坏性 任何计算机病毒只要侵入系统任何计算机病毒只要侵入系统,都会对系统及应用都会对系统及应用 程序产生程度不同的影响程序产生程度不同的影响.轻者会降低计算机工作效轻者会降低计算机工作效 率率,占用系统资源占用系统资源,重者可导致系统崩溃重者可导致系统崩溃.这些都取决于这些都取决于 计算机病毒编制者的目的。计算机病毒编制者的目的。 病毒一般会攻击系统数据区病毒

8、一般会攻击系统数据区,攻击部位包括攻击部位包括:引导扇引导扇 区区,FAT表表,文件目录文件目录;攻击文件攻击文件;攻击内存攻击内存;干扰系统运干扰系统运 行行,如如:无法操作文件无法操作文件,重启动重启动,死机等死机等;导致系统性能下导致系统性能下 降降;攻击磁盘攻击磁盘,造成不能访问磁盘造成不能访问磁盘,无法写入等无法写入等;扰乱屏扰乱屏 幕显示幕显示;干扰键盘操作干扰键盘操作;喇叭发声喇叭发声;攻击攻击CMOS;干扰外干扰外 设设,如无法访问打印机等如无法访问打印机等. 18 19 1、一些计算机爱好者的好奇或兴趣。、一些计算机爱好者的好奇或兴趣。 2、产生于个别人的报复心理。、产生于个

9、别人的报复心理。 3、用于版权保护、用于版权保护 ，商业软件为防被非法复制，商业软件为防被非法复制， 为了保护自己的利益制作了一些特殊程序，附为了保护自己的利益制作了一些特殊程序，附 在产品中在产品中 。 4、产生于游戏。、产生于游戏。 5、用于研究或实验而设计的、用于研究或实验而设计的“有用有用”程序，由程序，由 于某种原因失去控制而扩散出来。于某种原因失去控制而扩散出来。 6、由于政治、经济和军事等特殊目的。据说、由于政治、经济和军事等特殊目的。据说 20 21 22 23 磁盘到磁盘磁盘到磁盘 程序到程序程序到程序 文档到文档文档到文档 INTERNETINTERNET和和EMAILEM

10、AIL 局域网局域网 24 存储设备之间的传播存储设备之间的传播 存储设备包括：存储设备包括： 软盘软盘 CD-ROM USB盘盘 硬盘等硬盘等 盗版光盘上的软件和游戏及非法拷贝也是目前盗版光盘上的软件和游戏及非法拷贝也是目前 传播计算机病毒主要途径传播计算机病毒主要途径. 存储设备之间病毒的传播有以下几种形式：存储设备之间病毒的传播有以下几种形式： 25 26 局域网传播局域网传播 27 网络是由相互连接的一组计算机组成的网络是由相互连接的一组计算机组成的,这是数据共这是数据共 享和相互协作的需要享和相互协作的需要.组成网络的每一台计算机都能连组成网络的每一台计算机都能连 接到其他计算机接到

11、其他计算机,数据能从一台计算机发送到其他计算数据能从一台计算机发送到其他计算 机上机上.如果发送的数据感染了计算机病毒如果发送的数据感染了计算机病毒,接收方的计算接收方的计算 机将自动被感染机将自动被感染,因此因此,有可能在很短的时间内感染整个有可能在很短的时间内感染整个 网络中的计算机。网络中的计算机。 28 互联网传播互联网传播 国际互联网已经越来越多地被用于获取信息国际互联网已经越来越多地被用于获取信息,发送和发送和 接收文件。随着互联网的高速发展接收文件。随着互联网的高速发展,计算机病毒也走上了计算机病毒也走上了 高速传播之路高速传播之路,互联网已经成为计算机病毒的第一传播途互联网已经

12、成为计算机病毒的第一传播途 径，主要通过：径，主要通过： 电子邮件电子邮件:计算机病毒主要是以附件的形式进行传播。计算机病毒主要是以附件的形式进行传播。 网上论坛：在论坛上用户除了可以讨论问题外网上论坛：在论坛上用户除了可以讨论问题外,还能够还能够 进行各种文件的交换进行各种文件的交换,加之论坛一般没有严格的安全管理，加之论坛一般没有严格的安全管理， 便使之成为计算机病毒传播的场所。便使之成为计算机病毒传播的场所。 WWW浏览浏览 下载软件下载软件 即时通讯工具即时通讯工具 29 30 31 攻击系统数据区攻击系统数据区 对于文件的攻击对于文件的攻击 计算机病毒可以对文件进行删除计算机病毒可以

13、对文件进行删除,重命名重命名,更换内容更换内容,修改部分代修改部分代 码等操作码等操作,受到攻击的文件一般是无法修复的受到攻击的文件一般是无法修复的. 影响系统运行速度影响系统运行速度, 使系统的运行明显变慢使系统的运行明显变慢. 计算机病毒可以占用各种系统资源计算机病毒可以占用各种系统资源,如如CPU,硬盘资源硬盘资源,内存等内存等, 因此造成系统运行速度下降因此造成系统运行速度下降,反应变慢反应变慢. 破坏磁盘破坏磁盘 计算机病毒可以控制系统对于磁盘的操作计算机病毒可以控制系统对于磁盘的操作,造成的影响包括格造成的影响包括格 式化磁盘式化磁盘,无法写入无法写入,写入时数据丢失等写入时数据丢

14、失等. 32 扰乱屏幕显示扰乱屏幕显示 计算机病毒扰乱屏幕显示的方式很多计算机病毒扰乱屏幕显示的方式很多,比如比如:字符倒置字符倒置,屏幕抖动屏幕抖动, 图形翻转显示等图形翻转显示等. 键盘和鼠标工作不正常键盘和鼠标工作不正常 包括键盘和鼠标封锁包括键盘和鼠标封锁,键盘字符混乱键盘字符混乱,抹掉缓冲区字符等抹掉缓冲区字符等. 干扰外设的工作干扰外设的工作,尤其是打印机尤其是打印机 计算机病毒可以封锁打印机计算机病毒可以封锁打印机,造成无法打印造成无法打印.也可能造成打印时也可能造成打印时 文件数据乱码文件数据乱码 计算机病毒对于商业应用的危害性最大，因为任何一个关计算机病毒对于商业应用的危害性

15、最大，因为任何一个关 键数据的丢失，都意味着财富的损失。键数据的丢失，都意味着财富的损失。 33 34 35 36 计算机病毒的分类计算机病毒的分类 37 1、系统病毒、系统病毒 系统病毒的前缀为：系统病毒的前缀为：Win32、PE、Win95、W32、 W95等。这些病毒的一般公有的特性是可以感染等。这些病毒的一般公有的特性是可以感染windows 操作系统的操作系统的 *.exe 和和 *.dll 文件，并通过这些文件进行传播。文件，并通过这些文件进行传播。 如如CIH病毒。病毒。 2、蠕虫病毒、蠕虫病毒 蠕虫病毒的前缀是：蠕虫病毒的前缀是：Worm。这种病毒的公有特性是通。这种病毒的公有

16、特性是通 过网络或者系统漏洞进行传播，很大部分的蠕虫病毒都有向过网络或者系统漏洞进行传播，很大部分的蠕虫病毒都有向 外发送带毒邮件，阻塞网络的特性。比如冲击波（阻塞网外发送带毒邮件，阻塞网络的特性。比如冲击波（阻塞网 络），小邮差（发带毒邮件）络），小邮差（发带毒邮件） 等。等。 38 3、木马病毒、黑客病毒、木马病毒、黑客病毒 木马病毒其前缀是：黑客病毒前缀名一般为木马病毒其前缀是：黑客病毒前缀名一般为 Hack 。木。木 马病毒的公有特性是通过网络或者系统漏洞进入用户的系统马病毒的公有特性是通过网络或者系统漏洞进入用户的系统 并隐藏，然后向外界泄露用户的信息，而黑客病毒则有一个并隐藏，然后

17、向外界泄露用户的信息，而黑客病毒则有一个 可视的界面，能对用户的电脑进行远程控制。木马、黑客病可视的界面，能对用户的电脑进行远程控制。木马、黑客病 毒往往是成对出现的，即木马病毒负责侵入用户的电脑，而毒往往是成对出现的，即木马病毒负责侵入用户的电脑，而 黑客病毒则会通过该木马病毒来进行控制。现在这两种类型黑客病毒则会通过该木马病毒来进行控制。现在这两种类型 都越来越趋向于整合了。一般的木马如都越来越趋向于整合了。一般的木马如QQ消息尾巴木马消息尾巴木马 Trojan.QQ3344 ，还有大家可能遇见比较多的针对网络游，还有大家可能遇见比较多的针对网络游 戏的木马病毒如戏的木马病毒如 Troja

18、n.LMir.PSW.60 。这里补充一点，病。这里补充一点，病 毒名中有毒名中有PSW或者什么或者什么PWD之类的一般都表示这个病毒有之类的一般都表示这个病毒有 盗取密码的功能（这些字母一般都为盗取密码的功能（这些字母一般都为“密码密码”的英文的英文 “password”的缩写）一些黑客程序如：网络枭雄的缩写）一些黑客程序如：网络枭雄 （Hack.Nether.Client）等。）等。 39 特洛伊木马程序特洛伊木马程序 名字来源：古希腊故事，希腊人围攻特洛伊城名字来源：古希腊故事，希腊人围攻特洛伊城 通过伪装成其他程序、有意隐藏自己恶意行为的程序，通过伪装成其他程序、有意隐藏自己恶意行为的

19、程序， 通常留下一个远程控制的后门通常留下一个远程控制的后门 没有自我复制的功能没有自我复制的功能 非自主传播非自主传播 用户主动发送给其他人用户主动发送给其他人 放到网站上由用户下载放到网站上由用户下载 40 用户运行安装了从网上下载的用户运行安装了从网上下载的 或从光盘软盘等渠道获得的软或从光盘软盘等渠道获得的软 件件 黑客可利用它打开用户计算机黑客可利用它打开用户计算机 端口，以得到你的重要数据端口，以得到你的重要数据 这些软件包含了木马程序，并这些软件包含了木马程序，并 且可访问用户的计算机系统，且可访问用户的计算机系统， 获得重要信息，并发送给黑客获得重要信息，并发送给黑客 黑客黑客

20、 41 4、脚本病毒、脚本病毒 脚本病毒的前缀是：脚本病毒的前缀是：Script。脚本病毒的公有特性是。脚本病毒的公有特性是 使用脚本语言编写，通过网页进行的传播的病毒，如红色使用脚本语言编写，通过网页进行的传播的病毒，如红色 代码（代码（Script.Redlof）。脚本病毒还会有如下前缀：）。脚本病毒还会有如下前缀：VBS、 JS（表明是何种脚本编写的），如欢乐时光（表明是何种脚本编写的），如欢乐时光 （VBS.Happytime）、十四日（）、十四日（Js.Fortnight.c.s）等。）等。 5、宏病毒、宏病毒 宏病毒的前缀是：宏病毒的前缀是：Macro，第二前缀是：，第二前缀是：W

21、ord、 Word97、Excel、Excel其中之一。该类病毒的公有特性其中之一。该类病毒的公有特性 是能感染是能感染OFFICE系列文档，然后通过系列文档，然后通过OFFICE通用模板进通用模板进 行传播，如：著名的美丽莎行传播，如：著名的美丽莎(Macro.Melissa)。 42 6、后门病毒、后门病毒 后门病毒的前缀是：后门病毒的前缀是：Backdoor。该类病毒的公有特。该类病毒的公有特 性是通过网络传播，给系统开后门，给用户电脑带来安全性是通过网络传播，给系统开后门，给用户电脑带来安全 隐患。隐患。 7破坏性程序病毒破坏性程序病毒 破坏性程序病毒的前缀是：破坏性程序病毒的前缀是：

22、Harm。这类病毒的公有。这类病毒的公有 特性是本身具有好看的图标来诱惑用户点击，当用户点击特性是本身具有好看的图标来诱惑用户点击，当用户点击 这类病毒时，病毒便会直接对用户计算机产生破坏。如：这类病毒时，病毒便会直接对用户计算机产生破坏。如： 格式化格式化C盘（盘（Harm.formatC.f）、杀手命令）、杀手命令 （Harm.Command.Killer）等。）等。 43 9玩笑病毒玩笑病毒 玩笑病毒的前缀是：玩笑病毒的前缀是：Joke。也称恶作剧病毒。这类病。也称恶作剧病毒。这类病 毒的公有特性是本身具有好看的图标来诱惑用户点击，当毒的公有特性是本身具有好看的图标来诱惑用户点击，当 用

23、户点击这类病毒时，病毒会做出各种破坏操作来吓唬用用户点击这类病毒时，病毒会做出各种破坏操作来吓唬用 户，其实病毒并没有对用户电脑进行任何破坏。如：女鬼户，其实病毒并没有对用户电脑进行任何破坏。如：女鬼 （Joke.Girlghost）病毒。）病毒。 10捆绑机病毒捆绑机病毒 捆绑机病毒的前缀是：捆绑机病毒的前缀是：Binder。这类病毒的公有特性。这类病毒的公有特性 是病毒作者会使用特定的捆绑程序将病毒与一些应用程序是病毒作者会使用特定的捆绑程序将病毒与一些应用程序 如如QQ、IE捆绑起来，表面上看是一个正常的文件，当用户捆绑起来，表面上看是一个正常的文件，当用户 运行这些捆绑病毒时，会表面上

24、运行这些应用程序，然后运行这些捆绑病毒时，会表面上运行这些应用程序，然后 隐藏运行捆绑在一起的病毒，从而给用户造成危害。如：隐藏运行捆绑在一起的病毒，从而给用户造成危害。如： 捆绑捆绑QQ（Binder.QQPass.QQBin）、系统杀手）、系统杀手 （Binder.killsys）等。）等。 44 计算机病毒的新特点计算机病毒的新特点 45 随着计算机软硬件水平的不断发展随着计算机软硬件水平的不断发展,近年来近年来,计算机病计算机病 毒技术也是突飞猛进毒技术也是突飞猛进 基于基于“视窗视窗”的计算机病毒越来越多的计算机病毒越来越多 近年来近年来,攻击计算机的计算机病毒绝大多数都是针对攻击计

25、算机的计算机病毒绝大多数都是针对 Windows操作系统操作系统.另外一个很重要的原因是另外一个很重要的原因是Windows操操 作系统本身也存在比较多的安全漏洞作系统本身也存在比较多的安全漏洞,微软每年都会发布微软每年都会发布 大量的补丁程序大量的补丁程序;其其Internet Explorer浏览器浏览器,Web 服务服务 器器,Windows NT以及邮件系统都存在许多漏洞以及邮件系统都存在许多漏洞,而且随着而且随着 新版本的不断发布新版本的不断发布,勿庸置疑的是补丁数还会不断增加勿庸置疑的是补丁数还会不断增加. 46 新计算机病毒种类不断涌现新计算机病毒种类不断涌现,数量急剧增加数量急

26、剧增加 这两年来这两年来,基于互联网进行传播的计算机病毒出现了许多基于互联网进行传播的计算机病毒出现了许多 新的种类新的种类,比如包含恶意代码的网页比如包含恶意代码的网页,电子邮件计算机病毒电子邮件计算机病毒,蠕蠕 虫虫,黑客程序黑客程序.而且而且,最近甚至出现了专门针对手机和掌上电脑最近甚至出现了专门针对手机和掌上电脑 的计算机病毒的计算机病毒. 同时同时,计算机病毒的数量急剧增加计算机病毒的数量急剧增加,据据I统计统计,现在每天有超现在每天有超 过过100种新计算机病毒出现种新计算机病毒出现,因此每年就有因此每年就有36500种左右的新种左右的新 计算机病毒出现，因此计算机病毒出现，因此,

27、计算机病毒对于计算机的威胁越来越计算机病毒对于计算机的威胁越来越 大。大。 47 计算机病毒传播途径更多计算机病毒传播途径更多,传播速度更快传播速度更快 最初最初,计算机病毒主要通过软盘计算机病毒主要通过软盘,硬盘等可移动磁盘传硬盘等可移动磁盘传 播播,但随着新技术的发展但随着新技术的发展,现在计算机病毒已经可以通过现在计算机病毒已经可以通过 包括大容量移动磁盘，光盘包括大容量移动磁盘，光盘,网络网络,Interet,电子邮件等多电子邮件等多 种方式传播种方式传播,而且仅而且仅Internet的传播方式又包括的传播方式又包括WWW浏浏 览览,IRC聊天聊天,FTP下载下载,BBS论坛等论坛等.

28、 由于互联网的触角已经遍及世界每一个角落由于互联网的触角已经遍及世界每一个角落,接入互接入互 联网的任何两台计算机都可以进行通讯联网的任何两台计算机都可以进行通讯,因此因此,也为计算也为计算 机病毒的传播打开了方面之门机病毒的传播打开了方面之门.依赖于互联网的便利依赖于互联网的便利,现现 在的计算机病毒传播速度已远非原先可比在的计算机病毒传播速度已远非原先可比,尤其是一些蠕尤其是一些蠕 虫病毒虫病毒,它们借助于电子邮件系统它们借助于电子邮件系统,几乎以不可思议的速几乎以不可思议的速 度传播。度传播。 48 计算机病毒造成的破坏日益严重计算机病毒造成的破坏日益严重 CIH计算机病毒在全球造成的损

29、失估计是计算机病毒在全球造成的损失估计是10亿美元亿美元,而受而受 2000年年5月月I Love You情书计算机病毒的影响情书计算机病毒的影响,全球的损失全球的损失 预计高达预计高达100亿。亿。 电子邮件成为计算机病毒传播的主要媒介电子邮件成为计算机病毒传播的主要媒介 据统计电子邮件已经成为计算机病毒传播的主要媒介据统计电子邮件已经成为计算机病毒传播的主要媒介,其其 比例占所有计算机病毒传播媒介的比例占所有计算机病毒传播媒介的56%.由于电子邮件可附由于电子邮件可附 带任何类型的文件带任何类型的文件,因此因此,几乎所有类型的计算机病毒都可通几乎所有类型的计算机病毒都可通 过它来进行快速传播过它来进行快速传播. 49 如何知道计算机感染了如何知道计算机感染了 病毒病毒 50 平时运行正常的计算机突然经常性无缘无故地死机平时运行正常的计算机突然经常性无缘无故地死机 操作系统无法正常启动操作系统无法正常启动 运行速度明显变慢