病毒及防范措施

1、1第第4 4章章 病毒及防范措施病毒及防范措施24.1 计算机病毒 1977年科幻小说The Adolescence of P-1构思了一种能够自我复制、利用通信进行传播的计算机程序。 1983年Fred Adleman首次在VAX 11/750上试验病毒； 1987年Brain病毒在全世界传播； 1988年11月2日Cornell大学的Morris编写的Worm病毒袭击美国6000台计算机，直接损失尽亿美元； 八十年代末，病毒开始传入我国；34.1.1 计算机病毒的概念中华人民共和国计算机信息系统安全保护条例中队计算机病毒进行了明确的定义：“计算机病毒（Computer Virus）是指编制

2、的或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并能够自我复制的一组计算机指令或者程序代码。”为什么称为病毒？是借用生物学中“病毒”的概念，因为这种特殊的计算机程序与生物学中的病毒就有相似的特征。生物学中的病毒具有哪些特征呢？结构简单、寄生性、自我繁殖、传播性、破坏性41、计算机病毒产生的背景（1）是计算机犯罪的新形式：计算机病毒是高技术犯罪，具有瞬时性、动态性和随机性。不易取证，风险小破坏大。（2）计算机软硬件产品的脆弱性是根本的技术原因。（3）微机的普及应用是计算机病毒产生的必要环境。 4.1.2 病毒的产生及特性它的产生是计算机技术和社会信息化发展到一定阶段的必然产物

3、52、计算机病毒产生的原因 开玩笑、恶作剧 个别人的报复心理 用于版权保护的目的 用于特殊目的3、病毒发展的阶段（略）64、病毒的特征：（1）传染性；传染性是病毒的基本特征。计算机病毒会通过各种渠道从已被感染的计算机扩散到未被感染的计算机，使被感染的计算机工作失常甚至瘫痪。病毒程序一般通过修改磁盘扇区信息或文件内容并把自身嵌入到其中，利用这种方法达到病毒的传染和扩散。（被嵌入的程序叫做宿主程序。） ；7（2）破坏性对系统来讲，所有的计算机病毒都存在一个共同的危害，即占用系统资源，降低计算机系统的工作效率。同时计算机病毒的破坏性性主要取决于计算机病毒设计者的目的，如果病毒设计者的目的是彻底破坏系

4、统的正常运行，那么这种病毒对于计算机系统进行攻击造成的后果是难以设想的，它可以毁掉系统的部分数据，也可以破坏全部数据并使之无法恢复。并非所有的病毒都有恶劣的破坏作用，有些病毒除了占用磁盘和内存外，没有别的危害。但有时几种本没有多大破坏作用的病毒交叉感染，也会导致系统崩溃。8（3 3）潜伏性 ：一个编制精巧的计算机病毒程序，进入系统之后一般不会马上发作，可以在几周或者几个月内隐藏在合法文件中，对其他系统进行传染，而不被人发现。潜伏性越好，其在系统中的存在时间就会越长，病毒的传染范围就会越大，它的危害就越大 潜伏性的第一种表现是指，病毒程序不用专用检测程序是检查不出来的，因此病毒可以静静地躲在磁盘

5、里呆上很长时间，一旦时机成熟，得到运行机会，就四处繁殖、扩散。潜伏性的第二种表现是指，计算机病毒的内部往往有一种触发机制，不满足触发条件时，计算机病毒除了传染外不做什么破坏。 9（4 4）可执行性 计算机病毒与其他合法程序一样，是一段可执行的程序，但它不是一个完整的程序 ，而是寄生在其他可执行程序中。 只有在执行时，才具有传染性、破坏性 未经授权而执行：病毒通过悄悄地篡夺合法程序的系统控制权而得到运行的机会。一般正常的程序是由用户启动，完成用户交给的任务，其目的对用户是可见的。而病毒隐藏在合法程序中，当用户启动合法程序时窃取到系统的控制权，先于正常程序执行。病毒的动作、目的对用户是未知的，是未

6、经用户允许的。10（5）可触发性：病毒因某个事件或数值的出现，诱使病毒实施感染或进行攻击的特性称为可触发性。病毒的触发机制用来控制感染和破坏动作的频率。病毒具有预定的触发条件，这些条件可能是时间、日期、文件类型或某些特定数据等。病毒运行时，触发机制检查预定条件是否满足，如果满足，启动感染或破坏动作；如果不满足，使病毒继续潜伏。如CIH，触发条件：26日 11（6）隐蔽性：病毒一般是具有很高编程技巧、短小精悍的程序。如果不经过代码分析，病毒程序与正常程序是不容易区别的。一般在没有防护措施的情况下，计算机病毒程序取得系统控制权后，可以在很短的时间里传染大量程序。 一是传染的隐蔽性，大多数病毒在传染

7、时速度是极快的，不易被人发现。 二是病毒程序存在的隐蔽性，一般的病毒程序都附在正常程序中或磁盘较隐蔽的地方，也有个别的以隐含文件形式出现，目的是不让用户发现它的存在。 12（7）衍生性：分析计算机病毒的结构可知，传染和破坏部分反映了设计者的设计思想和设计目的。但是，这可以被其他掌握原理的人进行任意改动，从而又衍生出一种不同于原版本的新的计算机病毒（又称为变种），这就是计算机病毒的衍生性。这种变种病毒造成的后果可能比原版病毒严重得多。（8）寄生性：病毒程序嵌入到宿主程序中，依赖于宿主程序的执行而生存，这就是计算机病毒的寄生性。病毒程序在侵入到宿主程序中后，一般对宿主程序进行一定的修改，宿主程序一

8、旦执行，病毒程序就被激活，从而可以进行自我复制和繁衍。 134.1.3 病毒的分类： 按破坏性分为： 无害型 无危险型 危险型 非常危险型。 按激活时间分为 定时 随机14按照病毒特有的算法分为： 伴随型病毒：产生EXE文件的伴随体COM，病毒把自身写入COM文件并不改变EXE文件，当DOS加载文件时，伴随体优先被执行到，再由伴随体加载执行原来的EXE文件。 “蠕虫”型病毒：只占用内存，不改变文件，通过网络搜索传播病毒。 寄生型病毒：除了伴随和“蠕虫”型以外的病毒，它们依附在系统的引导扇区或文件中。 变型病毒（幽灵病毒）：使用复杂算法，每传播一次都具有不同内容和长度。一般的作法是一段混有无关指

9、令的解码算法和被变化过的病毒体组成。15 按传染方式分为： 文件型：病毒一般附着在可执行文件上 ； 引导型：当系统引导时进入内存，控制系统； 混合型：既可感染引导区，又可感染文件。 宏病毒：感染MS Office文档 其他类型16病毒的组成：安装模块：提供潜伏机制；传播模块：提供传染机制；触发模块：提供触发机制； 其中，传染机制是病毒的本质特征，防治、检测及杀毒都是从分析病毒传染机制入手的。病毒的症状：启动或运行速度明显变慢；文件大小、日期变化；死机增多；莫名其妙地丢失文件；磁盘空间不应有的减少；有规律地出现异常信息；自动生成一些特殊文件；无缘无故地出现打印故障。17 计算机病毒的传播途径1）

10、硬件设备传播：通过不可移动的设备进行传播 较少见，但破坏力很强。2）移动存储设备传播： 这是最广泛的传播途径之一3）通过网络进行传播： 这是最广泛的传播途径之二4）无线传播：通过点对点通讯系统和无线通道传播 预计将来会成为两大传播渠道4.1.4 病毒的传播及危害传播的途径：理论上，与外界交换数据的所有场合都有可能。18 病毒的危害 直接破坏数据 占用磁盘空间 抢占系统资源 影响计算机运行速度 错误的不可预见性 给用户造成心理压力19 病毒破坏行为的常见表现 BIOS病毒现象1、开机运行几秒后突然黑屏2、外部设备无法找到3、硬盘无法找到4、电脑发出异样声音 硬盘引导区病毒现象1、无法正常启动硬盘

11、2、引导时出现死机现象3、执行C盘时显示“Not ready error drive A Abort，Retry，Fail?”20 病毒破坏行为的常见表现 操作系统病毒现象1、引导系统时间变长2、计算机处理速度比以前明显放慢3、系统文件出现莫名其妙的丢失，或字节变长，日期修改等现象4、系统生成一些特殊的文件5、驱动程序被修改使得某些外设不能正常工作6、软驱、光驱丢失7、计算机经常死机或重新启动21 病毒破坏行为的常见表现 应用程序病毒现象1、启动应用程序出现“非法错误”对话框2、应用程序文件变大3、应用程序不能被复制、移动、删除4、硬盘上出现大量无效文件5、某些程序运行时载入时间变长224.2

12、 网络病毒的防范措施 传统的网络病毒定义是指利用网络进行传播的病毒。 现在的网络病毒定义是指以网络为平台，对计算机产生安全威胁的所有程序的总称。234.2.1 网络病毒的新特点 传染速度快 扩散面广 传播形式复杂多样 难以彻底清除 破坏性大 潜在危险性大24 增加安全意识 小心邮件 挑选网络版杀毒软件4.2.2 基于网络安全体系的防病毒技术254.3 防毒策略与常用杀毒软件防毒：预防入侵； 病毒过滤、监控、隔离查毒：发现和追踪病毒； 统计、报警杀毒：从感染对象中清除病毒；恢复功能4.3.1 病毒的防治策略（参见教材P82）4.3.2 防毒杀毒软件26 反病毒软件的选择1）能查杀的病毒数量多2）

13、扫描速度快3）快速、方便地升级著名杀毒软件公司瑞星 RAV北京江民 KV系列，如KV3000冠群金辰 KILL金山 金山毒霸 卡巴斯基 Kaspersky 赛门铁克 Norton Anti Virus27 CIH病毒台湾陈盈豪编写，一般每月26日发作。不仅破坏硬盘的引导扇区和分区表，还破坏系统Flash BIOS芯片中的系统程序，导致主板损坏。病毒长1KB，由于使用VXD技术，只感染32位Windows 系统可执行文件中的.PE格式文件。修复硬盘分区表：信源公司()的免费软件VRVFIX.EXE；CIH疫苗:CIH作者的Ant-CIHv1.0； 美国Symantec公司的Kill_CIH4.4

14、 常见的病毒及清除（1）284.4 常见的病毒及清除（2） 宏病毒宏(Macro)：为避免重复操作而设计的一组命令。在打开文件时，先执行“宏”，然后载入文件内容。因此如果“宏”带有病毒，则在编辑文件时病毒自动载入。 宏病毒的特点: 感染数据文件、多平台交叉感染容易编写、容易传播 宏病毒的症状：1）用Word或Excel打开文件时，出现“文档未打开”、“内存不够”、“WordBasic Err=514”等；2）保存文件时，强制将文件按“.dot”类型存储，或强制在指定目录存放。29几种宏病毒：AAAZAO Macro：Concept病毒，第一个宏病毒；Taiwan NO.1：第一个中文word病

15、毒；Rainbow Macro：能改变桌面颜色；FormatC：格式化C盘，第一个木马型宏病毒；Hot Macro：第一个调用Windows API的宏病毒；Nuclear Macro:第一个干扰打印机、硬盘的宏病毒。30 宏病毒的防治除杀毒软件以外，还可尝试下列方法：1）按住键再启动Word，禁止宏自动运行；2）工具宏，检查并删除所有可能带病毒的宏；3）使用Disable AutoMacros宏 Sub MainDisableAutoMacros 1End Sub”4）将模板文件如normal.dot的属性设为只读。31（3 3）潜伏性 ：一个编制精巧的计算机病毒程序，进入系统之后一般不会马

16、上发作，可以在几周或者几个月内隐藏在合法文件中，对其他系统进行传染，而不被人发现。潜伏性越好，其在系统中的存在时间就会越长，病毒的传染范围就会越大，它的危害就越大 潜伏性的第一种表现是指，病毒程序不用专用检测程序是检查不出来的，因此病毒可以静静地躲在磁盘里呆上很长时间，一旦时机成熟，得到运行机会，就四处繁殖、扩散。潜伏性的第二种表现是指，计算机病毒的内部往往有一种触发机制，不满足触发条件时，计算机病毒除了传染外不做什么破坏。 324.1.3 病毒的分类： 按破坏性分为： 无害型 无危险型 危险型 非常危险型。 按激活时间分为 定时 随机33 计算机病毒的传播途径1）硬件设备传播：通过不可移动的设备进行传播 较少见，但破坏力很强。2）移动存储设备传播： 这是最广泛的传播途径之一3）通过网络进行传播： 这是最广泛的传播途径之二4）无线传播：通过点对点通讯系统和无线通道传播 预计将来会成为两大传播渠道4.1.4 病毒的传播及危害传播的途径：理论上，与外界交换数据的所有场合都有可能。344.2 网络病毒的防范措施 传统的网络病毒定