計算機病毒基礎知識

1、第八講 計算機病毒基礎知識,計算機病毒簡介計算機病毒的基本原理計算機病毒的檢測技術(shù)計算機病毒的清除、預防,本講內(nèi)容,計算機病毒的概念,在生物學中，病毒是指侵入動植物體等有機生命體中的具有感染性、潛伏性、破壞性的微生物，而且不同的病毒具有不同的誘發(fā)因素。“計算機病毒”一詞是人們聯(lián)系到破壞計算機系統(tǒng)的“病原體”具有與生物病毒相似的特征，借用生物學病毒而使用的計算機術(shù)語?！坝嬎銠C病毒”與生物學上的“病毒”還是有些區(qū)別，它不是天然存在

2、的，是某些人利用計算機軟、硬件所固有的脆弱性（這是計算機病毒產(chǎn)生的根本原因），編制具有特殊功能的程序。,計算機病毒的概念（續(xù)）,目前最流行的定義： 計算機病毒是一段附著在其他程序上的、可以自我繁殖的程序代碼。在《中華人民共和國計算機信息系統(tǒng)安全保護條例》中的定義為：“指編制或者在計算機程序中插入的破壞計算機功能或者數(shù)據(jù)，影響計算機使用并且能夠自我復制的一組計算機指令或者程序代碼”。此定義具有法律性、權(quán)威性。,病毒程序與正常程序的區(qū)別,

3、正常程序是具有應用功能的完整程序，以文件形式存在，具有合法文件名；而病毒一般不以文件的形式獨立存在，一般沒有文件名，它隱藏在正常程序和數(shù)據(jù)文件中，是一種非完整的程序。正常程序依照用戶的命令執(zhí)行，完全在用戶的意愿下完成某種操作，也不會自身復制；而病毒在用戶完全不知的情況下運行，將自身復制到其他正常程序中，而且與合法程序爭奪系統(tǒng)的控制權(quán)，甚至進行各種破壞。,計算機病毒產(chǎn)生的原因,研究、興趣等目的。游戲、惡作劇、表現(xiàn)欲等目的。破壞、報復

4、目的。軟件保護目的。特殊目的。,計算機病毒特征,可執(zhí)行性：病毒是一段可執(zhí)行程序，但不是一個完整的程序。傳染性：病毒的基本特征，必備的特征。非授權(quán)性：強調(diào)病毒程序的執(zhí)行對用戶是未知的。依附性：病毒的寄生方式（靜態(tài)）。潛伏性：由可觸發(fā)性決定的（動態(tài)）?？捎|發(fā)性：病毒在一定條件下激活或發(fā)作。不可預見性：指病毒的實現(xiàn)機制。針對性：病毒一般是對特定的操作系統(tǒng)的。破壞性：病毒的表現(xiàn)特征。,計算機病毒的生命周期,創(chuàng)造期：編制者花數(shù)

5、日數(shù)周努力研究出一種可廣為散布的有害程序，新病毒誕生。孕育期：病毒被放在一些容易散播的地方。潛伏感染期：病毒不斷地繁殖與傳染。發(fā)作期：一切條件形成，病毒開始破壞行動。發(fā)現(xiàn)期：一旦病毒發(fā)作，也就是它被發(fā)現(xiàn)的時期。同化期：殺毒軟件能夠檢測到這種新計算機病毒。根除期：使用了能檢測及控制這種病毒的殺毒軟件，病毒就有可能被根除。,計算機病毒的傳播途徑,網(wǎng)頁電子郵件Email 局域網(wǎng)共享或共享的個人計算機盜版軟件、文件下載系統(tǒng)漏

6、洞、協(xié)議漏洞 移動存儲設備：軟盤、磁帶、CD-ROMs、U盤等通過點對點通信系統(tǒng)和無線通信系統(tǒng)傳播,計算機病毒的狀態(tài),靜態(tài)：存在于輔助存儲介質(zhì)上的計算機病毒。能激活態(tài)：內(nèi)存中的病毒代碼能夠被系統(tǒng)的正常運行機制執(zhí)行。激活態(tài)：系統(tǒng)正在執(zhí)行病毒代碼。失活態(tài)：內(nèi)存中的病毒代碼不能被系統(tǒng)的正常運行機制執(zhí)行。,計算機病毒的組成,引導模塊：病毒的初始化部分，它隨著系統(tǒng)或宿主程序的執(zhí)行而進入內(nèi)存。感染模塊：病毒進行感染動作的部分，負責實現(xiàn)感

7、染機制。觸發(fā)模塊：根據(jù)預定條件滿足與否，控制病毒的感染或破壞動作。（可選）破壞模塊：負責實施病毒的破壞動作。主控模塊：在總體上控制病毒程序的運行。,計算機病毒工作的主要流程,計算機病毒的分類,按照操作系統(tǒng)分：DOS系統(tǒng)的病毒、Windows系統(tǒng)的病毒、Unix/Linux系統(tǒng)的病毒、OS/2系統(tǒng)的病毒等。按照鏈接方式分：源碼型病毒、嵌入型病毒、Shell病毒、譯碼型病毒、操作系統(tǒng)型病毒等。按照破壞情況分：良性病毒和惡性病毒

8、。按傳播媒介分：單機病毒和網(wǎng)絡病毒。 按寄生方式和傳染途徑分：引導型病毒、文件型病毒、引導型兼文件型病毒。,計算機病毒產(chǎn)生過程,程序設計傳播依附激活潛伏觸發(fā)運行實行攻擊,計算機病毒基本原理的思考,傳播途徑寄生方式激活方式,計算機病毒基本原理的舉例,引導型病毒文件型病毒宏病毒腳本病毒蠕蟲病毒,引導型病毒,通過軟盤傳播，修改13 INT。寄生對象引導扇區(qū)。激活方式系統(tǒng)啟動。典型病毒：大麻病毒

9、、小球病毒、火炬病毒等。,文件型病毒,通過文件復制傳播。寄生對象可執(zhí)行文件。激活方式文件執(zhí)行。典型病毒：變色龍病毒、1575病毒等。,宏病毒,宏就是能夠組織在一起的，可以作為一個獨立命令來執(zhí)行的一系列Word命令。通過文件復制傳播。寄生對象Office文件。激活方式文件打開。典型病毒：美麗莎 、七月殺手、13號病毒等。,腳本病毒,腳本語言是介于HTML和Java、C++和Visual Basic之類的編程語言之間的語言。腳

10、本語言需要一個腳本語言引擎解釋執(zhí)行腳本語言編寫的程序。通過網(wǎng)頁、Email等傳播。運行網(wǎng)頁中ActiveX控件。欺騙性，如郵件附件采用雙后綴。 寄生對象:網(wǎng)頁文件、Email附件。激活方式:系統(tǒng)啟動自動加載。HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run典型病毒：美麗公園病毒、愛蟲病毒、庫爾尼科娃病毒等。,蠕蟲病毒,蠕蟲(Worm)是

11、一個程序或程序序列，通過分布式網(wǎng)絡來擴散傳播特定的信息或錯誤，進而造成網(wǎng)絡服務遭到拒絕并發(fā)生死鎖或系統(tǒng)崩潰。 通過系統(tǒng)漏洞傳播。寄生對象系統(tǒng)目錄。激活方式系統(tǒng)啟動自動加載。典型病毒：沖擊波病毒、求職信病毒等。,病毒檢測技術(shù),特征值檢測技術(shù)校驗和檢測技術(shù)行為監(jiān)測技術(shù)啟發(fā)式掃描技術(shù)虛擬機技術(shù),特征值檢測技術(shù),病毒標識是指計算機病毒本身在特定的寄生環(huán)境中確認自身是否存在的標記符號。病毒特征值是指一種病毒有別于另一種病毒的字符

12、串。許多抗病毒軟件都采用了計算機病毒特征值檢測技術(shù)的鑒別辦法。檢測速度快、準確，誤報率低。不能檢測未知病毒。,校驗和檢測技術(shù),計算正常文件的內(nèi)容和正常的系統(tǒng)扇區(qū)的校驗和，將該校驗和數(shù)據(jù)庫保存。這種方法既能發(fā)現(xiàn)已知病毒，也能發(fā)現(xiàn)未知病毒。對隱蔽性病毒無效。常常有誤報警。,其它檢測技術(shù),行為監(jiān)測技術(shù)計算機病毒不論偽裝得如何巧妙，它總存在著一些和正常程序不同的行為。啟發(fā)式掃描技術(shù)分析文件中的指令序列，根據(jù)專家識別病毒的經(jīng)驗和

13、知識，判斷該文件是否染上病毒。虛擬機技術(shù)也稱軟件模擬法，是一種軟件分析器，用軟件方法來模擬和分析程序的運行，而且程序的運行不會對系統(tǒng)產(chǎn)生實際的危險?？赡苷`報警、可發(fā)現(xiàn)未知病毒。,病毒的清除,病毒的清除，又稱殺毒，就是將染毒的文件或系統(tǒng)的病毒摘除，使之恢復為可正常運行的健康文件或系統(tǒng)。大多數(shù)情況下，使用殺毒軟件恢復受感染的文件或系統(tǒng)。如果時間緊迫，有時不得不手工殺毒或恢復。不是所有文件都可以殺毒，也不是所有染毒系統(tǒng)都能夠驅(qū)除病

14、毒使之康復，可能出現(xiàn)不可預料的結(jié)果，做好數(shù)據(jù)備份。,病毒的預防,檢查外來文件。局域網(wǎng)預防。購買正版軟件。小心運行可執(zhí)行文件。使用確認和數(shù)據(jù)完整性工具。周期性備份工作文件。留心計算機出現(xiàn)的異常。及時升級抗病毒工具的病毒特征庫和有關(guān)的殺毒引擎。建立健全的網(wǎng)絡系統(tǒng)安全管理制度，嚴格操作規(guī)程和規(guī)章制度。,計算機病毒的顯著特點及防御方法,利用漏洞的病毒開始增多，及時修補系統(tǒng)是御毒良方。漏洞是操作系統(tǒng)致命的安全缺陷，如果系統(tǒng)存在漏

15、洞，即使有殺毒軟件的保護，病毒依然可以長驅(qū)直入，對系統(tǒng)造成破壞。 “SQL蠕蟲王”病毒就是利用了SQL Server 2000的最新漏洞進行傳播，病毒也屬此類，近幾年，漏洞病毒更是占到了病毒總數(shù)的20%。預防漏洞型病毒最好的辦法，就是及時為自己的操作系統(tǒng)打上補丁，關(guān)閉不常用的服務，對系統(tǒng)進行必要的設置。,計算機病毒的顯著特點及防御方法（續(xù)1）,病毒向多元化、混合化發(fā)展，整體防御成為趨勢。病毒中混合型病毒越來越多，它們集合了蠕蟲、后門

16、等等功能，利用多種途徑傳播，危害極大。比如“愛情后門”就是一個混合型病毒，它雖然屬于蠕蟲類病毒，但不僅會通過郵件、網(wǎng)絡進行傳播，還會給系統(tǒng)開后門，對用戶電腦進行遠程控制。而這種病毒的最終目的不僅僅是為了使用戶的計算機系統(tǒng)癱瘓，對于攻擊者來說，用戶存儲在計算機上的機密資料對于他們更有價值。針對混合型病毒增多的趨勢，未來的殺毒軟件將是整體防御的全面解決方案。,計算機病毒的顯著特點及防御方法（續(xù)2）,有網(wǎng)絡特性的病毒增多，殺毒軟件的多途徑實

17、時監(jiān)控是關(guān)鍵。有網(wǎng)絡特性的病毒開始增多。像蠕蟲、木馬（黑客）、腳本等類型的病毒，它們都通過網(wǎng)絡進行傳播。從統(tǒng)計數(shù)據(jù)上看，這三類病毒占了所有病毒總數(shù)的68%，其中，對個人電腦和企事業(yè)單位影響最大的是蠕蟲和木馬病毒，像求職信、大無極就是屬此類病毒。這類病毒會通過網(wǎng)絡或郵件漏洞進行傳播，從而阻塞網(wǎng)絡、使服務器癱瘓。多用途實時監(jiān)控，是應對網(wǎng)絡病毒泛濫的最佳措施。,針對即時通訊軟件的病毒大量涌現(xiàn)，用戶安全意識要提高。隨著上網(wǎng)聊天人數(shù)的增多，

18、那些專門針對QQ、MSN等即時通訊軟件的病毒極速增加，占普通病毒的10%以上。比如影響比較大的專門偷盜QQ用戶密碼的病毒：QQ傳送者和QQ木馬。針對MSN的“請客”病毒和專門偷MSN密碼的“MSN竊賊”病毒，這意味著，兩大主流即時通訊軟件都開始遭受到病毒的威脅，用戶使用即時通訊軟件越來越不安全。 在這種情況下，用戶要提高自己的安全意識，比如對于即時通訊軟件上的好友發(fā)送過來的網(wǎng)址和文件，一定要小心。因為這可能是病毒發(fā)送的，好友并不知情。,

19、計算機病毒的顯著特點及防御方法（續(xù)3）,關(guān)注即時通訊軟件的升級報告，也是保護自己安全的好辦法，比如QQ的每一次升級，都會彌補上若干的漏洞。中毒之后，到專業(yè)的反病毒廠商網(wǎng)站上尋求專殺工具也是一個好辦法。,計算機病毒的顯著特點及防御方法（續(xù)4）,對計算機病毒應持有的態(tài)度,客觀承認計算機病毒的存在。 不要懼怕病毒。 樹立計算機病毒意識，善于總結(jié)經(jīng)驗，積極采取預防措施。 掌握必要的計算機病毒知識和病毒防治技術(shù)，對用戶至關(guān)重要。發(fā)現(xiàn)病毒，