《系统恶意程序课件》由会员分享，可在线阅读，更多相关《系统恶意程序课件（66页珍藏版）》请在金锄头文库上搜索。
1、第13章 计算机恶意程序与病毒,第13章 计算机恶意程序与病毒,第一节 恶意程序与计算机病毒 一、特殊程序、恶意程序与病毒 1.特殊程序 在特定条件、特定时间和特定环境下才执行的程序。 那些具有专门程序功能和执行结果的程序。 例如： 系统调试与跟踪程序、测试程序、网络分析与监察程序、安全审计程序、工具程序等； 自毁程序、跟踪程序、侦察程序等。 合法的程序序并不能保证不被非法的使用，合法程序的滥用，将对系统安全形成极大的威协，造成极大的破坏。,第13章 计算机恶意程序与病毒,在已经出现的计算机恶意程序中，有的是将某个合法程序进行改动，让它含有并执行某种破坏功能，如程序自毁或磁盘自毁。有的是利用合
2、法程序的功能和权限，非法获取系统资源和敏感数据，进行系统入侵，如利用网络协议分析程序，进行网络包伪造、通信数据替换等。 合法程序的滥用是恶意程序产生的一类因素。,第13章 计算机恶意程序与病毒,恶意程序(一类特殊程序) 有宿主 无宿主 特洛依木马 病毒 细菌 蠕虫 (Trojan H) (Virus) (Bacteria) (Worm) 复合型病毒,第13章 计算机恶意程序与病毒,“特洛依木马”(Trojan Horse) 一种故意隐藏在正常程序代码中的异常特殊代码，在条件成熟时进行特殊任务的执行。 “逻辑炸弹”(Logic Bomb)： 基于逻辑条件的满足而触发 “时间炸弹” (Time B
3、omb)： 基于时间条件的满足而激活。 不自身复制、不传染、任务完成后自毁或隐藏。,远程访问型特洛伊木马： 这是现在最广泛的特洛伊木马。可以访问受害人的硬盘。RATS（一种远程访问木马）用起来是非常简单的。只需得到受害人的IP，你就会访问到他/她的电脑。他们能几乎可以在你的机器上干任何事。键盘记录，上传和下载功能等等有不少的流行的特洛伊木马每天被发现，并且这些程序都是大同小异。如果特洛伊木马在每次的Windows重新启动时都会跟着启动，这意味着它修改了注册表或者Win.ini或其他的系统文件以便使木马可以启动。,特洛伊木马会创建一些文件到WindowsSystem目录下。那些文件像一些Wind
4、ows的正常可执行文件。大多数的特洛伊木马会在Alt+Ctrl+Del对话框中隐藏。 远程访问型特洛伊木马会在你的电脑上打开一个端口让每一个人连接。一些特洛伊木马有可以改变端口的选项并且设置密码为的是只能让感染你机器的人来控制特洛伊木马,密码发送型特洛伊木马 这种特洛伊木马的目的是找到所有的隐藏密码并且在受害者不知道的情况下把它们发送到指定的信箱。大多数这类的特洛伊木马不会在每次的Windows重启时重启，而且它们大多数使用25号端口发送E-mail。像ICQ号码、电脑信息等。如果你有隐藏密码，这些特洛伊木马是危险的。,键盘记录型 这种特洛伊木马是非常简单的。它们只作一种事情，就是记录受害者的
5、键盘敲击并且在LOG文件里查找密码。通常这种特洛伊木马随着Windows的启动而启动。它们有像在线和离线记录这样的选项。在在线选项中，它们知道受害者在线并且记录每一件事。但在离线记录时每一件事在Windows启动被记录后才被记录并且保存在受害者的磁盘上等待被移动。,毁坏型 这种特洛伊木马的唯一功能是毁坏并且删除文件。它们非常简单，并且很容易被使用。它们可以自动的删除你电脑上的所有的.Dll或.ini或.exe文件。这是非常危险的特洛伊木马并且一旦你被感染确信你没有杀除，则你的电脑信息会受到极大的影响。,FTP型特洛伊木马 这类的特洛伊木马打开你电脑的21号端口，使每一个人都可以有一个FTP客户
6、端且不用密码连接到你的电脑并且会有完全的上传下载选项。,第13章 计算机恶意程序与病毒,“计算机病毒”(Computer Virus) 一种人为编制的特殊程序代码，可将自己附着在其他程序代码上以便传播，可自我复制、隐藏和潜伏，并带有破坏数据、文件或系统的特殊功能。 特洛依木马的特例。 具有宿主。,第13章 计算机恶意程序与病毒,“细菌”(Bacteria) 一种简单的可自身复制的程序，一旦进入系统，该程序就连续不停地运行，尽可能地占据处理器时间和存储空间，造成系统因缺乏可用资源而不能工作。 无宿主。,第13章 计算机恶意程序与病毒,“蠕虫”(Worm) 一种独立运行的程序代码，在网络环境下主动
7、传播和复制，利用系统资源侵入网络，从而阻塞和拒绝网络服务。无宿主、不驻留、仅存在于内存，可经网络传播。,第13章 计算机恶意程序与病毒,分类已随着恶意程序彼此间的交叉和互相渗透(变异)变得模糊。 恶意程序的出现、发展和变化给计算机系统、网络系统和各类信息系统带来了巨大的危害，尽管已经出现了许多有效的防范措施，但仍然远远不够。因此，必须了解恶意程序及其对它的防御。由于计算机病毒的特殊功能和潜在的威胁，它成为所有计算机恶意程序的代名词。 目前的威胁：复合类病毒！病毒制造者将各类病毒机理相互借鉴，形成各类改进型、混合型、交叉型和多形型的病毒。,第13章 计算机恶意程序与病毒,二、计算机病毒的特性 所
8、有计算机病毒都具有(或者部分具有)下述的特性，这些特性是病毒赖以生存的手段和机制，是计算机病毒对抗技术中必须涉及的重要问题。 传染性(propagation)。感染病毒的程序一旦运行，就会感染其他的程序，并且一直保持这种传染性，进行再传染。特洛依木马型特殊程序以预施方式发布。,第13章 计算机恶意程序与病毒,持久性(persistence)。带毒程序可以再传染，带毒程序的检测和清除、带毒环境的清洗、系统和数据的恢复是十分困难和费时的，甚至是不可能的。尤其在网络环境下，病毒的跟踪检测是很困难的。反病毒软件及硬件本身所具有的副作用, 使系统恢复不稳定和困难。 多能性(versatility)。计算
9、机病毒具有各种类型，变化各异, 攻击目标不同, 可以针对和攻击各个应用领域，甚至无需任何预先信息。,第13章 计算机恶意程序与病毒,潜伏性(conceality)。绝大多数病毒代码量少、体积小，附加于其他程序之上,隐藏于系统之中而不易查觉，以便长期潜伏。程序固化和病毒码的微电子化, 也从另一途径使得病毒具有长期存在性和潜伏性。潜伏期的病毒由专门事件触发，受害者很难早期发现。部分病毒具有伪装性，难以识别。,第13章 计算机恶意程序与病毒,影响性(effectiveness)。计算机病毒既可以对数据、程序、以及整个系统带来灾难性和深远的影响，也可以对操作员、程序员、以及决策者的心理产生极大影响，造
10、成平时和战时, 军事与民事的双重压力。,第13章 计算机恶意程序与病毒,三、计算机病毒的分类， 不同的分类方式： 功能性、进展分类： 四类（四代） 驻留和感染机制分类： 文件驻留型、系统驻留型、混合驻留型、宏病毒。 宿主机不同分类： PC型病毒、Mac病毒、UNIX病毒、网络病毒等。,第13章 计算机恶意程序与病毒,1. 计算机病毒进展分类 第一代：良性和准恶性表现 第二代：恶性、破坏性、复合性机制 第三代：变异性、欺骗性、反跟踪性 第四代：交叉、融合、隐形和多形性 早期病毒与合法的特殊程序间区别模糊，这类病毒程序的表现形式是良性的，例如：占据和消耗时间和空间、修改中断矢量，改动文件指针，改动
11、并增加文件长度，感染指定文件，破坏有限，病毒程序代码基本不变，驻留环境单一，检测消除较容易，系统恢复较好。,第13章 计算机恶意程序与病毒,目前病毒新进展： 不修改中断矢量，采用插入或 补丁 方式，不改动、也不增加文件长度，潜伏在保留区中，感染文件类型增加，甚至全盘感染；恶性破坏增多，物理性、复盖性破坏增加； 病毒程序代码改变或部分改变，反跟踪、反分析技术采用，潜伏性强；变异型病毒增多，修改已知病毒，增加反侦破技术。 检测消除困难，系统恢复困难；多机系统、多用户系统和网络上的病毒开始出现。,第13章 计算机恶意程序与病毒,2. 计算机病毒的驻留方式分类 1)文件驻留型病毒 病毒附着在可执行文件
12、中。 2)系统驻留型病毒 病毒程序驻留在系统保留区、参数区、磁盘。 3)双重驻留型病毒 兼具上述两种情况。 4)宏病毒 利用Word BASIC宏语言，驻留在Word文档字模板文档，并进行感染传播，原文件病毒。,第13章 计算机恶意程序与病毒,宏病毒特征： 与操纵系统平台无关 它可以感染DOS, Windows, Win95, WinNT, MAC等系统下的文档和模板。 利用文档自动装载 利用MS Word字处理软件特性自动装载病毒宏代码，其他Office文档也受影响。 感染数据文件 宏病毒可以感染DOC, DOT, XLS等类型的数据文件。 检测消除困难 与传统病毒机理不同，消除困难。,第1
13、3章 计算机恶意程序与病毒,四、计算机病毒的干扰方式 潜伏待机。即特洛依木马，是一种具有特殊任务的潜伏程序，它注入目标系统后不立即发作，而处于潜伏期。在潜伏期无任何影响，直到预先设置的事件或者条件满足，才自激触发或外激触发，产生干扰和破坏。等病毒现象表现出来，已为时过晚。它具有硬件型(预置器件)和软件型(逻辑炸弹)。,第13章 计算机恶意程序与病毒,欺骗干扰。即强迫检疫(Forced Quarantine)。一种欺骗手段，病毒进入目标系统后即表现自己，公开宣告病毒存在。此时，系统操作员被强迫进行系统检疫，做病毒检测、诊断。对网络用户则不得不退出网络，以免传染给其他站点，而其他网络用户也提心吊胆
14、，担心被传染。这样，使整个系统和网络处于一种自疑状态、一种不稳定、不可信状态。,第13章 计算机恶意程序与病毒,性能恶化。使系统超载(Overload)，运行和功能逐渐恶化的过程。这种干扰主要降低系统性能，使之不能以正常速度运行。 例如，病毒(及早期的蠕虫类程序)在系统中无限制地自身复制，抢占运行时间、阻塞通信信道、占据存储空间等。它将减慢军用系统的实时响应，延迟军用控制系统的动作，影响战地信息处理速度与响应。,第13章 计算机恶意程序与病毒,间谍侦察。即特殊的探针(Probe)程序。它是一类负有特殊任务的程序，它负责寻找和搜索某些专门数据，并将它们自己或者找到的数据存放或传送到一个专门的地点
15、，或形成某一类特殊的、隐含式的文件, 到适当的时机通过特殊程序和方式获取这些数据, 起到了一种电子侦察的作用。,第13章 计算机恶意程序与病毒,直接破坏。即刺客(Assassin)程序, 它是病毒直接攻击的一种方式。注入的病毒摧毁和破坏某个专门文件、数据和存储结构。它可通过网络在任何地点查找，直到找到目标。并在传播过程中消除自己，完成任务后自毁，不留下任何痕迹。,第13章 计算机恶意程序与病毒,第二节 计算机病毒的攻击技术 一、计算机病毒的传染途径 注入(侵入) -传染(驻留) -替换(修改) -潜伏(等待) -表现(破坏) -结束(自毁) 在其上任何一个环节都可以阻止病毒传染、设立警戒标志和
16、防护栏。,第13章 计算机恶意程序与病毒,二、计算机病毒的入侵机制 1.直接注入 别有用心者施放，软盘、软件传播。 2.预置注入 通过固件方式和微电子方式, 利用智能型可控硬件产品、部件带入或安装在系统中, 形成所谓特洛依木马式的特殊程序。当这些部件组成的产品进入对方系统, 将形成长期的潜在威胁, 特殊工作只需依靠某种方式激发预置的程序而已。,第13章 计算机恶意程序与病毒,3.无线注入 通过无线通信方式，利用战时无线通信系统，远距离地将计算机病毒代码 发送并进入敌方接收系统，继而进入中央指挥系统或者其他子系统，完成潜伏或直接作用。这种方式的关键是收发双方的 同步，利用正常通信方式进入对方系统。,第13章 计算机恶意程序与病毒,4.有线注入 主要是经网络的病毒注入。由于网络空间是一个人人都可进入的自由流动区，具有特殊发明创造力的计算机黑客(Hacker)总会找到进入网络系统的入口。而公共信息网络与国家专用信息网络
