计算机病毒知识PPT

1、计算机病毒的分类与传播原理,以及著名的病毒分析,计算机病毒是什么？,1994年2月18日颁布实施的中华人民共和国计算机信息系统安全保护条例中明确指出：“计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。”,计算机病毒有哪些特征?,1.传染性 指病毒具有把自身复制到其它程序中的特性 2. 取得系统控制权 3. 隐蔽性 通过隐蔽技术使宿主程序的大小没有改变，以至于很难被发现。 4. 破坏性 计算机所有资源包括硬件资源和软件资源，软件所能接触的地方均可能受到计算机病毒的破坏 5. 潜伏性 潜伏性 长期隐藏在系统中，只有在

2、满足特定条件时，才启动其破坏模块。 6. 不可预见性,计算机病毒的分类,病毒攻击的操作系统,（1） 攻击DOS 系统的病毒 （2） 攻击Windows 系统的病毒 用户使用多，主要的攻击对象 （3） 攻击UNIX 系统的病毒 （4） 攻击OS/2 系统的病毒 （5） 攻击NetWare 系统的病毒,病毒的链接方式,（1） 源码型病毒,（3） 外壳型病毒,（4） 操作系统型病毒,（2） 嵌入型病毒,病毒的载体,（1）引导型病毒,（2）文件型病毒： .com .exe,（4）混合型病毒,计算机病毒的破坏能力,.,病毒特有的算法不同,（3） 网络病毒,（1）伴随型病毒,（2）“蠕虫”型病毒,（3）寄

3、生型病毒,练习型病毒,诡秘型病毒,变型病毒,病毒的攻击机型,.,病毒的工作步骤与机制,休眠状态,特定的程序被执行,将自身程序复制给其他程序或磁盘区域,病毒激活,执行特定功能达到既定目标,破环文件感染程序,潜伏阶段,传染阶段,触发阶段,发作阶段, 引导机制,病毒作为一种特殊的程序，就必须从存储体进入内存才能实现其预定功能。,所以其寄生对象主要分为寄生在计算机硬盘的主引导扇区；寄生在计算机磁盘逻辑分析引导扇区；寄生在可执行程序中。,其寄生方式为：,替代法,链接法,（用自身的指令代码替代原有的内容）,（将自身代码作为正常程序的一部分链接在程 序的首部、尾部或中间）,引导过程： 1：驻留内存（网络病毒

4、不需要）,2：获取系统控制权,3：恢复系统功能（为了隐藏自己，系统不会出现死机等异常状况，使用户无法发现病毒的存在。）,指计算机病毒由一个宿主传播到另一个宿主程序，由一个系统进入另一个系统的过程。,传染方式,被动传播,主动传播,（用户在复制磁盘或文件时，把一个计算机病毒由一个信息载体复制到另一个信息载体，也可以通过网络把程序从一方传到另一方。）,（在计算机病毒处于激活的状态下，只要传染条件满足，计算机病毒程序能主动地把计算机病毒自身传染给另一个载体或另一个系统。）,传染过程,对于被动传播的病毒而言：其传染过程是随着复制磁盘或文件工作的进行而进行的。,对于主动传播的病毒而言：其传染过程是在系统运

5、行时，计算机病毒通过计算机病毒载体即系统的外存储器进入系统的内存储器，常驻内存，并在系统内存中监视系统的运作。在计算机病毒引导模块将计算机病毒传染模块驻留内存的过程中，通常要修改系统中断向量入口地址（如INT 13H或INT 21H)，使该中断向量指向计算机病毒程序传染模块。一旦系统执行磁盘读写操作或系统功能调用，计算机病毒传染模块激活，在条件满足的条件下，利用INT 13H读写磁盘中断把计算机病毒自身传染给读写的磁盘或加载程序，也就是实施计算机病毒的传染，然后再转移到原中断服务程序执行原有的操作。, 触发机制,可触发性是计算机病毒的攻击性与潜伏性之间的调整杠杆，可以控制计算机病毒感染和破坏的

6、频度，兼顾杀伤性和潜伏性。一般触发条件越苛刻，病毒就具有越好的潜伏性，但不易传播，所以杀伤力就减弱。 目前采用的触发条件一般有：,1.日期触发 （CIH病毒4月26号发作）2.时间触发 3.键盘触发 4.感染触发 5.启动触发 6.访问磁盘触发 .,例如：火炬病毒发作时，屏幕上显示5把燃烧的火炬，同时该病毒用内存的随机数从硬盘的物理第一扇区开始覆盖，造成硬盘中的数据丢失。, 传播机制,计算机病毒的传播途径： （1） 通过不可移动的计算机硬件设备进行传播，即利用专用ASIC 芯片和硬盘进行传播； （2） 通过移动存储设备来传播，其中U盘和移动硬盘是使用最广泛、移动最频繁的存储介质； （3） 通过

7、计算机网络进行传播； （4） 通过点对点通信系统和无线通道传播。,著名的计算机病毒分析,蠕虫病毒与一般病毒的区别 普通病毒 蠕虫病毒 存在形式 寄存文件 独立程序 传染机制 宿主程序运行 主动攻击 传染目标 本地文件 网络计算机, 蠕虫型病毒,网络蠕虫成为最主要和破坏力最大的计算机病毒类型。,【代号： Stuxnet 蠕虫 超级工厂病毒】,感染系统：windows CE系统,发现时间：2010年6月,传播方式：U盘,杀伤力：导致伊朗布什尔核电站瘫痪,具体情况：stuxnet的独特之处在于它并不攻击传统的Windows系统，而是将目标放在了极小众、极专业的西门子wincc工控系统上，这个系统的原

8、型就是广为人知的Windows CE。并且这个病毒的目标非常具体，它会通过U盘感染将自己摆渡到目标工控件中，然后发作。 吊诡的是，第一批发作的病毒60%将目标定在了伊朗布什尔核电站的西门子工控系统上，这个核电站正是美国怀疑伊朗制造核武器的基地。专家指出：一旦stuxnet找到西门子WinCC装置，就能接管西门子设施的关键操作系统，并在十分之一秒内封住设备的操作。,代号： 熊 猫 烧 香,熊猫烧香感染机理：,“熊猫烧香”，是一个感染型的蠕虫病毒，它能感染系统中的exe,com,pif,scr,html,asp等文件，它能中止大量的反病毒软件进程并且会删除扩展名为gho的文件，使用户的系统备份文件

9、丢失。被感染的用户系统中所有.exe可执行文件全部被改为熊猫举着三根香的模样。,为什么熊猫烧香如此猖獗？,最绝的是，病毒作者李俊将这个病毒卖给了120个黑客，鼓励教导他们广撒网多抓鸡。李俊自己也购买了服务器，专门用作病毒更新，创下了一天更新8次的病毒升级记录，可以堪称史上最勤奋的病毒作者。,该病毒除了通过网站感染用户外，还会在局域网中传播，在极端时间内就可以感染几千台计算机，严重时出现网络瘫痪。 中毒电脑也会出现蓝屏、频繁重启以及数据文件被破坏等现象。, 特洛伊木马病毒,谈到木马，人们就想到病毒，木马也算是一种病毒，但与传统的计算机病毒不同。木马是一种恶意代码，它通常并不像病毒程序那样感染文件

10、。木马一般是以寻找后门、窃取密码和重要文件为主，还能对计算机进行跟踪监视、控制、查看、修改资料等操作，具有很强的隐蔽性、突发性和攻击性。,木马的运行模式属于客户/服务模式，它包括两大部分，即客户端和服务端。其原理是一台主机提供服务(服务器)，另一台主机接受服务(客户机)，作为服务器的主机一般会打开一个默认的端口进行监听。如果有客户机向服务器的这一端口提出连接请求，服务器上的相应程序就会自动运行，来应答客户机的请求。这个程序被称为守护进程。 木马通常的攻击步骤是： ： 设定好服务器程序； ： 骗取对方执行服务器程序； ：寻找对方的地址IP； ： 用客户端程序来控制对方的计算机。,中了灰鸽子会出现

11、什么情况？ 事实是什么情况都会出现。灰鸽子能够记录你的键盘击键记录，能够远程开启摄像头，打开麦克风，能够下载你电脑里的任何文件。几乎你能够想到的电脑基本操作，黑客都可以通过灰鸽子远程控制实现。从灰鸽子诞生的2001年到销声匿迹的2008年之间，正好遭遇了全民皆黑客的年代，灰鸽子因为操作简单，上手快，很快的成为当时最泛滥的木马病毒，近中国国内至少有上千万台电脑感染过灰鸽子病毒。 有趣的是，灰鸽子的作者并没有像熊猫烧香的李俊一样，一直用灰鸽子赚钱。在2008年之后该作者转而开发防火墙，专门用来防护自己的灰鸽子。,【代号： 灰鸽子】,感染系统：windows 系统,发作时间：2001年,传播方式：多

12、种网络传播方式,CIH病毒,CIH（英语又称为Chernoby1或Spacefiller）是一种电脑病毒，其名称源自它的作者，当时仍然是台湾大同工学院（现大同大学）学生的电脑技术鬼才陈盈豪的名字的拼音缩写。它被认为是最有害的广泛传播的病毒之一，会破坏用户系统的全部信息，在某些情况下，会重写系统的BIOS（BIOS是英文“Basic Input Output System”的缩略语，直译过来后中文名称就是“基本输入输出系统”。其实，它是一组固化到计算机内主板上一个ROM芯片上的程序，它保存着计算机最重要的基本输入输出的程序、系统设置信息、开机后自检程序和系统自启动程序。其主要功能是为计算机提供最

13、底层的、最直接的硬件设置和控制。） CIH的运作原理： 通常，CIH病毒的传染方式是通过修改文件头部的程序入口地址，使其指向病毒的引导代码，在这一点上，CIH病毒和以前DOS环境中的多数病毒是类似的。CIH的载体一个名为“ICQ中文Chat模块”的工具，并以热门盗版光盘游戏如“盗墓奇兵”或Windows95/98为媒介，经互联网各网站互相转载，使其迅速传播。目前传播的主要途径主要通过Internet和电子邮件，当然随着时间推移，其传播主要仍将通过软盘或光盘途径。 CIH感染的系统： CIH以可移植可执行文件格式在Windows95、Windows98和Windows ME上传播。CIH不会在W

14、indows NT、Windows 2000或者WindowsXP上传播。,电脑鬼才陈盈豪,陈盈豪（1975年)，台湾的电脑技术鬼才，CIH病毒之父。现在是集嘉通讯（技嘉子公司）主任工程师，以研究作业系统核心为主，试图开发更符合人性的智慧的手机系统。 据初步统计，来自台湾的CIH电脑病毒共造成全球6000万台电脑瘫痪，其中韩国损失最为严重，共有30万台电脑中毒，占全国电脑总数的15%以上，损失更是高达两亿韩元以上。土耳其、孟加拉、马来西亚、俄罗斯、中国内地的电脑均遭CIH病毒的袭击。CIH电脑病毒暴发过后，有的把CIH的始作俑者陈盈豪抬升为“天才”，有的把他贬为“鬼才”。,1998年制造出在台湾传播的首例CIH病毒时，陈盈豪年仅23岁。并且CIH病毒完全由他一人设计。, 对于从因特网上下载的可执行文件和WORDEXECEL文件一定要非常小 心，在打开这些东西之前一定要进行非常仔细的检查。 设置始终显示文件的扩展名。 不要相信任何人发来的邮件，即使是来自你的朋友，即使邮件的主题是“我爱你”。 最好是购买正版的软件，不要购买盗版