第章恶意软件

第八章恶意软件防范2学时四道防线第一道防线：网络与系统接入控制防止

第二道防线：用户管理与资源访问/数据存取控制阻止

第三道防线：病毒防范与动态安全管理。检测

第四道防线：灾难预防与系统恢复（备份）。纠正

一、基本概念恶意软件：执行非法命令的程序或程序片段，通常带有恶意。恶意代码：包含恶意软件逻辑的程序代码。恶意软件载荷：恶意软件想要实现的恶意行为。分类按照如何执行恶意行为和如何自我传播分恶意软件需宿主程序独立木马逻辑炸弹陷门病毒蠕虫僵尸复制1病毒的概念计算机病毒是一种特殊的计算机程序，它可以隐藏在看起来无害的程序中，也可以生成自身的拷贝并插入到其他程序中。病毒通常会进行一些恶意的破坏活动或恶作剧，使用户的网络或信息系统遭受浩劫。病毒是可以插入正常程序的可执行代码中的代码序列。1994年2月18日，我国正式颁布实施《中华人民共和国计算机信息系统安全保护条例》的第二十八条中明确指出：“计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。”此定义具有法律性、权威性。2蠕虫一种进行自我复制的程序1988蠕虫（unix）、SQLSlammer、nimda、codered通过永久性网络连接或拨号网络进行自身复制的程序。典型的蠕虫程序只会在内存中维持一个活动副本有两种不同的变形：只会在一台计算机上运行使用网络连接作为神经系统：章鱼3僵尸秘密获取因特网联网计算机控制权的程序，它利用被感染的计算机发起攻击，很难追溯到僵尸的制造者。常用于拒绝服务攻击分布式拒绝服务攻击Trinoo……4木马它是一个独立的应用程序，用以执行未授权行为的恶意软件完成一种用户不了解，可能也不许可的活动。木马不是病毒，无法自我复制。可以损害系统可以引发未预期的系统行为可以突破系统安全措施“特洛伊”木马餐的种鸡类远程膊访问赛木马兰RA帜T反防棒护软先件木西马破坏究型木规马数据誓发送共型木弦马拒绝的服务跪攻击灵木马绸Do东S-承--茂DD自oS代理提型木丧马拒绝每服务帐攻击p8分类捎：攻击抵方法软件泰漏洞膨利用洪泛滥攻击从攻斑击位龄置或员观察冠者的聋角度晚看单源眉攻击磨（单鬼个僵冻尸）多源壶攻击贴DD山oS5眨逻辑语炸弹编程钢代码禾，有赛意或月无意戒植入国，特调定条喉件下排执行环。基于腹事件咽的病拼毒或曾木马时间缓炸弹耶路轻撒冷秘（J虏er晒us缺al棕em裂）别港称叫朝做“渐黑色房诚星期服五”碑。每记逢十改三号积又是各星期携五的超日子架，这鼠个病卸毒就刑会发口作。帅而发阁作时吼将会谊终止傍所有优使用领者所妹执行办的程同序，权症状邀相当膀凶狠傍。米开贵朗基师罗（哄Mi正ch刚el哗an格ge君lo摧）膨每蛾年到念了3档月6除日米挑开朗篇基罗播生日绢时，监这个知病毒绩就会京以F比or屯ma唇t硬梅盘来增为这搁位大盗师祝求寿。6轿陷门一种耀秘密醉的程拳序入摘口，其绕过匹访问抗控制滋规程译，获栏得访着问权学。打开鞭一个柱端口提供民命令眨行环挑境1舒病毒辅的根偿本原脾理计算理机系云统的待冯·诺伊从曼体轻系结哨构决瞧定了彩计算削机软牧件的酸特征姻，也唱从根槐本上呢决定龟了计况算机妙病毒搬的存纷在。二、呆病毒怀分析软件柴是：工具镰；资源低；知识急产品牌；社会咽进步唱的标御志；具有写威慑锣力的恰武器昆；信息穷阐述千和交便流的奴工具况;特定寺装置达转换孝成逻月辑装殿置的脊手段瓦；软件相的特史征软件可以揪：移植捉；非法饺入侵愉载体袋；存储艺、进盐入多炸种媒爬体；非法厦入侵币计算侮机系渗统软件章具有店：寄生债性；再生推性；可激晃发性百；破坏宾性；攻击俭性；2资病毒革的发由展史（1唤）计英算机泽病毒壶出现岂之前湖的情供况冯·胁诺伊等曼（绿Jo凶hn污V掉on先N永eu劳ma街nn朋）其维论文候《复赴杂自良动装微置的续理论龟及组插识的碎进行盘》里惕已经土勾勒面出病问毒程满序的律蓝图瞧。不谁过在衰当时精，绝醉大部倒分的顺专家云都无绸法想肢像会厦有这江种能颤自我幻玉繁殖惭的程仓序。（2意）第驳一个药真正造的计舍算机狼病毒19男87岭年，位第一位个计筋算机旁病毒族C-切BR热AI肃N诞风生了污。（3话）D烟OS撒时代访的著到名病耗毒：（4弊）基酬于W佳in住do输ws婶环境药的病怎毒：宏病红毒（5葱）I嗽nt俩er椒ne热t时膀代，蚁网络帽病毒洽的崛眯起经由祥网络笨广泛稍传播探是第膊二代帽病毒铺的特乏征3念病蛾毒的穴特点传染独性破坏庙性隐蔽性潜伏性不可良预见性未经顺授权京而执默行变异悔性进化闹性这是去病毒践的基工本特产征。茎病毒角一旦条侵入炊系统片，它朗会搜染寻其酱他符么合其昼传染脖条件双的程众序或犬存储蛛介质豆，确返定目错标后毙再将腥自身休代码棍插入理其中康，达漠到自偷我繁积殖的阔目的府。传染踏性破坏赢性任何闲病毒痕只要伤侵入咳系统归，都煌会对困系统出及应锣用程献序产砍生程遥度不佣同的群影响变。轻央者会疏降低通计算称机工午作效氏率，学占用案系统笛资源码，重跳者可吴导致巷系统袋崩溃偿。由此拣特性抓可将传病毒罪分为染良性葵病毒匙与恶忽性病邪毒。病毒橡一般蓬是具叠有很钻高编依程技辱巧、淘短小装精悍拣的程坏序。通常紫附在唤正常沃程序皮中或幸磁盘惊较隐剃蔽的克地方档，也辆有个逗别的慨以隐虾含文碰件形当式出旷现。目的晨是不谈让用帖户发奏现它杜的存子在。系统百被感盏染病前毒后圈一般睡情况箱下用奋户是洋感觉懂不到灭它的霉存在升的，眯只有刮在其皇发作朴，出划现不托正常播反映油时用肤户才炸知道古。隐蔽唤性潜伏断性大部导分的分病毒会感染诞系统炊之后葡一般逃不会擦马上企发作组，它救可长凭期隐遵藏在唉系统赵中，狱只有拌在满知足其险特定代条件安时才铅启动赞其表殊现（污破坏业）模盒块。梦只有任这样路它才疮可进忙行广寒泛地陶传播附。不可拘预见吩性从对爸病毒蝴的检铃测方悉面来晓看，销病毒堤还有洗不可茂预见测性。由于搬目前罗的软框件种筒类极爆其丰取富，圾且某冶些正馋常程舟序也眯使用迷了类卫似病镰毒的笼操作封甚至生借鉴筒了某崭些病突毒的易技术巧。病毒舍的制装作技暂术也泄在不熔断的纸提高退，病塘毒对吴反病晶毒软本件永夹远是情超前验的。一般替正常醒的程狼序是酱由用突户调叼用，腾再由笼系统陵分配俯资源载，完刺成用刻户交答给的伤任务竟。其乳目的装对用自户是伤可见狠的、但透明朗的。病毒胆具有纲正常耻程序棍的一来切特帜性，酱它隐养藏再锋正常探程序忠中，异当用绞户调水用正贿常程花序时慎窃取丑到系屯统的肤控制播权，棍先于凡正常垂程序久执行岁，病刃毒的鸣动作火、目器的对凳用户群时未森知的扇，是岛未经围用户遮允许菠的。未经之授权留而执链行4香病梢毒结辟构分谊析病毒直的种裙类虽够多，傍但对圆病毒标代码技进行衬分析振、比证较可叼看出湿，它休们的或主要快结构储是类份似的秩，有蒙其共挡同特涨点。整个心病毒剧代码姻虽短费小但筛通常脆包含托三部妈分：引导面部分传染暗部分表现型部分引导吸部分作用熔是将炸病毒始主体绢加载熊到内蔬存，男为传加染部啦分做纯准备照（如织驻留灵内存尖，修诸改中移断，言修改爹高端吐内存航，保献存原江中断扑向量挺等操布作）耐。传染刚部分作用给是将壁病毒箱代码阅复制寒到传耕染目杂标上丢去。碎不同缎类型亏的病策毒在渡传染筋方式彩，传掘染条殊件上柄各有椅不同简。表现阵部分表现架部分您是病丝式毒间擦差异乎最大拘的部对分，义前两金个部金分也暂是为串这部语分服矮务的右。大此部分融的病设毒都贩是有施一定呆条件若才会国触发愉其表维现部这分的介。如添：以或时钟歪、计发数器甚作为向触发挖条件奇的或印用键析盘输翁入特鸦定字馋符来猾触发吉的。这一海部分退也是标最为挣灵活彼的部甚分，双这部硬分根湾据编抚制者辟的不觉同目烫的而现千差诵万别德，或务者根孙本没盒有这窜部分范。病毒榜一般秃会经号历如抚下四箱个阶棚段：潜伏害阶段传染层阶段触发亭阶段发作津阶段病毒晓后果格式女化硬悄盘删除花文件破坏发目录轻则票影响欣工作胖，重权则系茄统瘫蚂痪病毒仿寄生填软件盗版族软件公共龟软件In猛te自rn吵et艘下载译软件带宏娘的数港据文呀件E-惭ma绑il勇的附图件A疏tt壮ac舌he绑d病毒闲的来厘源：计算缘瑞机爱样好者姥的表杆现欲软件域加密游戏桨或恶锈作剧感情疼寄托计算垃机犯劝罪软件河缺陷开发管商有稀意所革为政府博行为5惨病毒耀分类1）六引导歼扇区棍病毒引导合扇区责作为雨病毒红宿主引导龄扇区翻病毒治特点隐蔽谦性强兼容惹性强传染荡速度逗相对墨较慢杀毒雾容易2）油文件素型病忆毒病毒席以可抗执行废程序恐作为妥宿主分类扰：覆盖诱型前/刚后附甲加型伴随绳型文终件病摇毒3）斗多成单分病采毒混合痰病毒使用逆了不肉止一最种感岁染机办制文件哥+引忍导区4）银宏病顽毒所谓胳宏，虎就是母软件厨设计当者为鄙了在皆使用族软件蛛工作嫂时，币避免戴一再泪的重懂复相厦同的庄动作道而设花计出念来的次一种宜工具尽。它失利用乓简单搂的语篮法，夕把常承用的彩动作窜写成秀宏，锄当再度工作缝时，昼就可酿以直隐接利唐用事圆先写趟好的恒宏自低动运截行，敏去完渔成某奏项特蜻定的径任务悠，而清不必誓再重腔复相初同的尝工作击。所谓伪宏病售毒，肃就是酒利用努软件走所支倒持的珠宏命闭令编肾写成吸的具福有复其制、呀传染煤能力版的宏爱。宏病食毒的捷分类宏病荣毒根委据传租染的鼓宿主侮的不鞭同可教以分法为：判传染议Wo鲁rd摄的宏马病毒抢、传蕉染E丹xc红el岁的宏洋病毒敲和传夺染A出mi虑Pr涛o的富宏病识毒。恳由于缓目前饥国内支Wo鸽rd奇系统办应用纳较多州，所述以大扁家谈爷论的川宏病黄毒一押般是隶指W物or冠d宏胃病毒逢。Wo痛rd两宏病锅毒的岔特点（1秧）以军数据月文件颗方式蛾传播枪，隐畏蔽性厌好，虑传播饿速度腹快，妄难于侍杀除（2从）制婶作宏妻病毒街以及政在原轮型病手毒上滤变种膝非常馋方便（3牲）破忍坏可镰能性乌极大Wo溉rd睁宏病识毒的坝表现Wo昨rd帝宏病秩毒在念发作锅时，舰会使愿Wo扰rd唤运行飘出现革怪现丧象，青如自谅动建米文件熄、开敌窗口师、内坦存总敢是不男够、假关闭佛WO隆RD此不对狮已修不改文妙件提种出未蚂存盘再警告产、存失盘文伶件丢喉失等修，有换的使活打印牙机无申法正佩常打下印。行Wo仙rd棚宏病埋毒在傻传染驾时，侨会使冶原有描文件顶属性川和类严型发那生改寇变，何或W鼓or园d自灵动对晒磁盘借进行袋操作耳等。禽当内肝存中帐有W斗or碍d宏接病毒罗时，旦原W辽or歼d文采档无呆法另勇存为争其他醒格式捞的文倦件，监只能膜以模找板形遇式进锈行存旬储。（1状）对险于已闭染病幅毒的悄NO手RM顶AL漫.D究OT土文件己，首舍先应越将N胁OR暂MA扬L.壮DO辩T中学的自池动宏行清除将，然爹后将耕NO晋RM港AL斜.D诱OT赠置成棋只读撞方式胃。（2不）对目于其贡它已富感染州病毒败的文就件均米应将衫自动踪蝶宏清严除，颤这样准就可代以达酒到清叔除病镜毒的渠目的那。（3草）平付时使碧用时娱要加欣强防扣范。拳定期插检查鞋活动渠宏表芦，对能来历暑不明堂的宏答最好赏予以绪删除怎；如辉果发盆现后逼缀为脚.D剪OC河的文心件变大成模漫板（伸.D乌OT妄）时疮，则吧可怀涝疑其颠已染扰宏病蜘毒，品其主燃要表仔现是现在S窗av且e治As舟文档笨时，旷选择缩慧文件眉类型恭的框疏变为匠灰色幸。Wo铺rd宏病展毒的舍防范（4橡）在烈启动竭Wo苦rd鞭、创谈建文萍档、邻打开窜文档忌、关弦闭文申档以锐及退任出W勇or炒d时卖，按渗住S愧HI磁FT辟键可功以阻愉止自竞动宏订的运的行。那例如旗，当里用含考有A灰ut匪oN康ew百宏的禁模板址新建舍一文面档时笨，在隙“新车建”琴对话阔框中旦单击引“确蜘定”盾按钮妄时按蓬住S弃HI下FT要键，饶就可惨以阻猎止A签ut宿oN证ew饭宏的笋执行贵。（5过）存缎储一贫个文陡档时公，务臣必明绕确指匙定该覆文档听的扩浊展名圾。宏策病毒择总是皆试图彼把模今板文明件的嫌扩展逐名加预到你很指定建的文闸件名均后面眉，无艳论扩逢展名抱是否挂已经秋存在溜。例助如，汗你指帝定文光件名拉如下殊TE梳ST析.D托OC咐，最秤终这呆个文肠件名步会变歪为，镰显然视这个盈文件部名在挨DO崭S下不不可彩接受舰的。练由此戴就可茎以察俩觉到泰宏病算毒的命存在娇。宏病圾毒的返清除（1哗）手贩工清诊除W烤or观d宏营病毒（2唇）使非用杀优毒软窜件清朋除W寸or考d宏渐病毒5）符脚本胀病毒可以筒嵌入菌HT宣ML洞脚本拨的恶贺意代第码VB邪sc思ri但pt辽,民Js弓cr蒜ip辟t6制病汁毒的被防范防杀唉结合捐，防缸范为锻主。通常艘的防筒范手牌段：行为撤监控叼器扫描哪器完整怜性检焰查器三、樱恶意层软件草防范涨技术基于赴防火锄墙的首防范利用径IP渔S防碧范入捕侵基于乘恶软离防范丹软件策的防状范—临—杀损毒软庭件反病寄毒软苦件第一头代：床简单杰的扫乌描程梯序第二驳代：县启发阁式的至扫描筛程序第三宅代：栽主动箩设置得陷阱第四荷代：邪全面闻的预澡防措姥施网络采反病姿毒技纠术的联特点反病粉毒技修术的衰安全科度取疾决于符“木臭桶理诊论”计算糠机网浸络病瞧毒防溜治是晶计算添机安幅全极重为重哗要的拘一个织方面疾，它言同样惭也适寸用于木桶皮理论。一置个计拆算机型网络姥，对俯病毒刮的防杏御能蜂力取荒决于菠网络帖中病萝毒防亭护能泥力最浩薄弱典的一树个节好点。网络平反病矿毒技技术尤踏其是价网络器病毒怀实时圾监测林技术塞应符尽合“丹最小卖占用扒”原诊则该技戴术符棋合“头最小缝占用姨”原尖则，扑对网询络运企行效肺率不纽奉产生钩本质叠影响搜。网络华反病惩毒产亡品自匙身的袋运行闭中不略应影擦响网蜜络的粪正常仇运行百，以遵保证纵网络翻反病况毒技进术和案网络驾本身捷都能齿发挥嚷出应严有的悟正常御功能领。网络验反病慰毒技碑术的苍兼容搏性是校网络仓防毒金的重抄点与乔难点按照仇一定吗网络感反病烤毒技栋术开宁发出临来的内网络夸反病蓬毒产迈品，名要运穗行于象多种凡软、篮硬件躁之上彻，与脾它们晶和平兽共处称，远尤比单朋机反辈病毒戚产品屈复杂恐。这森既是算网络耐反病爹毒技并术必择须面嘴对的音难点朴，又扭是其盆必须锻解决者的重肠点。四、惭防护呀方针安全男设置病毒完特征肢文件端更新磁盘搁管理扫描电子什邮件镰策略用户鼠策略用户或培训电子落邮件伞病毒电子画邮件愉病毒烦的防亏范:（1站）思盏想上序要有委防毒槐意识（2匀）使等用防删毒软逗件相关料知识《计霉算机爸病毒就防治蜜管理秃办法勾》中负华人乘民共委和国磨公安壁部令籍第5果1号《关于冰对生滴产销握售计革算机请病毒屡检测巩、清呢除、剂防护隆工具军产品碧进行千审批缓的通择告》北京众市公迁安局洽通告胡１９邪９５胡年第歉２０梯号）中华令人民塌共和矿国社六会公丙共安完全行爆业标慰准计算移机病批毒防衰治产哄品评铸级准怪则（箱GA封2锋43父-2眠0