《信息安全 10系统恶意程序1精编版》由会员分享，可在线阅读，更多相关《信息安全 10系统恶意程序1精编版（69页珍藏版）》请在金锄头文库上搜索。
1、第十章 计算机恶意程序与病毒,第十章计算机恶意程序与病毒,第一节 恶意程序与计算机病毒 一、特殊程序、恶意程序与病毒 1.特殊程序 在特定条件、特定时间和特定环境下才执行的程序。 那些具有专门程序功能和执行结果的程序。 例如： 系统调试与跟踪程序、测试程序、网络分析与监察程序、安全审计程序、工具程序等； 自毁程序、跟踪程序、侦察程序等。 合法的程序序并不能保证不被非法的使用，合法程序的滥用，将对系统安全形成极大的威协，造成极大的破坏。,第十章计算机恶意程序与病毒,在已经出现的计算机恶意程序中，有的是将某个合法程序进行改动，让它含有并执行某种破坏功能，如程序自毁或磁盘自毁。有的是利用合法程序的功
2、能和权限，非法获取系统资源和敏感数据，进行系统入侵，如利用网络协议分析程序，进行网络包伪造、通信数据替换等。 合法程序的滥用是恶意程序产生的一类因素。,第十章计算机恶意程序与病毒,恶意程序(一类特殊程序) 有宿主 无宿主 特洛依木马 病毒 细菌 蠕虫 (Trojan H) (Virus) (Bacteria) (Worm) 复合型病毒,第十章计算机恶意程序与病毒,“特洛依木马”(Trojan Horse) 一种故意隐藏在正常程序代码中的异常特殊代码，在条件成熟时进行特殊任务的执行。 “逻辑炸弹”(Logic Bomb)： 基于逻辑条件的满足而触发 “时间炸弹” (Time Bomb)： 基于时
3、间条件的满足而激活。 不自身复制、不传染、任务完成后自毁或隐藏。,远程访问型特洛伊木马： 这是现在最广泛的特洛伊木马。可以访问受害人的硬盘。RATS（一种远程访问木马）用起来是非常简单的。只需得到受害人的IP，你就会访问到他/她的电脑。他们能几乎可以在你的机器上干任何事。键盘记录，上传和下载功能等等有不少的流行的特洛伊木马每天被发现，并且这些程序都是大同小异。如果特洛伊木马在每次的Windows重新启动时都会跟着启动，这意味着它修改了注册表或者Win.ini或其他的系统文件以便使木马可以启动。,特洛伊木马会创建一些文件到WindowsSystem目录下。那些文件像一些Windows的正常可执行
4、文件。大多数的特洛伊木马会在Alt+Ctrl+Del对话框中隐藏。 远程访问型特洛伊木马会在你的电脑上打开一个端口让每一个人连接。一些特洛伊木马有可以改变端口的选项并且设置密码为的是只能让感染你机器的人来控制特洛伊木马,密码发送型特洛伊木马 这种特洛伊木马的目的是找到所有的隐藏密码并且在受害者不知道的情况下把它们发送到指定的信箱。大多数这类的特洛伊木马不会在每次的Windows重启时重启，而且它们大多数使用25号端口发送E-mail。像ICQ号码、电脑信息等。如果你有隐藏密码，这些特洛伊木马是危险的。,键盘记录型 这种特洛伊木马是非常简单的。它们只作一种事情，就是记录受害者的键盘敲击并且在LO
5、G文件里查找密码。通常这种特洛伊木马随着Windows的启动而启动。它们有像在线和离线记录这样的选项。在在线选项中，它们知道受害者在线并且记录每一件事。但在离线记录时每一件事在Windows启动被记录后才被记录并且保存在受害者的磁盘上等待被移动。,毁坏型 这种特洛伊木马的唯一功能是毁坏并且删除文件。它们非常简单，并且很容易被使用。它们可以自动的删除你电脑上的所有的.Dll或.ini或.exe文件。这是非常危险的特洛伊木马并且一旦你被感染确信你没有杀除，则你的电脑信息会受到极大的影响。,FTP型特洛伊木马 这类的特洛伊木马打开你电脑的21号端口，使每一个人都可以有一个FTP客户端且不用密码连接到
6、你的电脑并且会有完全的上传下载选项。,第十章计算机恶意程序与病毒,“计算机病毒”(Computer Virus) 一种人为编制的特殊程序代码，可将自己附着在其他程序代码上以便传播，可自我复制、隐藏和潜伏，并带有破坏数据、文件或系统的特殊功能。 特洛依木马的特例。 具有宿主。,第十章计算机恶意程序与病毒,“细菌”(Bacteria) 一种简单的可自身复制的程序，一旦进入系统，该程序就连续不停地运行，尽可能地占据处理器时间和存储空间，造成系统因缺乏可用资源而不能工作。 无宿主。,第十章计算机恶意程序与病毒,“蠕虫”(Worm) 一种独立运行的程序代码，在网络环境下主动传播和复制，利用系统资源侵入网
7、络，从而阻塞和拒绝网络服务。无宿主、不驻留、仅存在于内存，可经网络传播。,第十章计算机恶意程序与病毒,二、计算机病毒的特性 所有计算机病毒都具有(或者部分具有)下述的特性，这些特性是病毒赖以生存的手段和机制。 传染性(propagation)。感染病毒的程序一旦运行，就会感染其他的程序，并且一直保持这种传染性，进行再传染。特洛依木马型特殊程序以预施方式发布。,第十章计算机恶意程序与病毒,持久性(persistence)。带毒程序可以再传染，带毒程序的检测和清除、带毒环境的清洗、系统和数据的恢复是十分困难和费时的，甚至是不可能的。尤其在网络环境下，病毒的跟踪检测是很困难的。反病毒软件及硬件本身所
8、具有的副作用, 使系统恢复不稳定和困难。 多能性(versatility)。计算机病毒具有各种类型，变化各异, 攻击目标不同, 可以针对和攻击各个应用领域，甚至无需任何预先信息。,第十章计算机恶意程序与病毒,潜伏性(conceality)。绝大多数病毒代码量少、体积小，附加于其他程序之上,隐藏于系统之中而不易查觉，以便长期潜伏。程序固化和病毒码的微电子化, 也从另一途径使得病毒具有长期存在性和潜伏性。潜伏期的病毒由专门事件触发，受害者很难早期发现。部分病毒具有伪装性，难以识别。,第十章计算机恶意程序与病毒,影响性(effectiveness)。计算机病毒既可以对数据、程序、以及整个系统带来灾难
9、性和深远的影响，也可以对操作员、程序员、以及决策者的心理产生极大影响，造成平时和战时, 军事与民事的双重压力。,第十章计算机恶意程序与病毒,三、计算机病毒的分类， 不同的分类方式： 功能性、进展分类： 四类（四代） 驻留和感染机制分类： 文件驻留型、系统驻留型、混合驻留型、宏病毒。 宿主机不同分类： PC型病毒、Mac病毒、UNIX病毒、网络病毒等。,第十章计算机恶意程序与病毒,1. 计算机病毒进展分类 第一代：良性和准恶性表现 第二代：恶性、破坏性、复合性机制 第三代：变异性、欺骗性、反跟踪性 第四代：交叉、融合、隐形和多形性 早期病毒与合法的特殊程序间区别模糊，这类病毒程序的表现形式是良性
10、的，例如：占据和消耗时间和空间、修改中断矢量，改动文件指针，改动并增加文件长度，感染指定文件，破坏有限，病毒程序代码基本不变，驻留环境单一，检测消除较容易，系统恢复较好。,第十章计算机恶意程序与病毒,目前病毒新进展： 不修改中断矢量，采用插入或 补丁 方式，不改动、也不增加文件长度，潜伏在保留区中，感染文件类型增加，甚至全盘感染；恶性破坏增多，物理性、复盖性破坏增加； 病毒程序代码改变或部分改变，反跟踪、反分析技术采用，潜伏性强；变异型病毒增多，修改已知病毒，增加反侦破技术。 检测消除困难，系统恢复困难；多机系统、多用户系统和网络上的病毒开始出现。,第十章计算机恶意程序与病毒,2. 计算机病毒
11、的驻留方式分类 1)文件驻留型病毒 病毒附着在可执行文件中。 2)系统驻留型病毒 病毒程序驻留在系统保留区、参数区、磁盘。 3)双重驻留型病毒 兼具上述两种情况。 4)宏病毒 利用Word BASIC宏语言，驻留在Word文档字模板文档，并进行感染传播，原文件病毒。,第十章计算机恶意程序与病毒,宏病毒特征： 与操纵系统平台无关 它可以感染DOS, Windows, Win95, WinNT, MAC等系统下的文档和模板。 利用文档自动装载 利用MS Word字处理软件特性自动装载病毒宏代码，其他Office文档也受影响。 感染数据文件 宏病毒可以感染DOC, DOT, XLS等类型的数据文件。
12、 检测消除困难 与传统病毒机理不同，消除困难。,第十章计算机恶意程序与病毒,第二节 计算机病毒的攻击技术 一、计算机病毒的传染途径 注入(侵入) -传染(驻留) -替换(修改) -潜伏(等待) -表现(破坏) -结束(自毁) 在其上任何一个环节都可以阻止病毒传染、设立警戒标志和防护栏。,第十章计算机恶意程序与病毒,二、计算机病毒的入侵机制 1.直接注入 别有用心者施放，软盘、软件传播。 2.预置注入 通过固件方式和微电子方式, 利用智能型可控硬件产品、部件带入或安装在系统中, 形成所谓特洛依木马式的特殊程序。当这些部件组成的产品进入对方系统, 将形成长期的潜在威胁, 特殊工作只需依靠某种方式激
13、发预置的程序而已。,第十章计算机恶意程序与病毒,3.无线注入 通过无线通信方式，利用战时无线通信系统，远距离地将计算机病毒代码 发送并进入敌方接收系统，继而进入中央指挥系统或者其他子系统，完成潜伏或直接作用。这种方式的关键是收发双方的 同步，利用正常通信方式进入对方系统。,第十章计算机恶意程序与病毒,4.有线注入 主要是经网络的病毒注入。由于网络空间是一个人人都可进入的自由流动区，具有特殊发明创造力的计算机黑客(Hacker)总会找到进入网络系统的入口。而公共信息网络与国家专用信息网络的互连, 打开了从不敏感部门进入敏感部门的大门。因此，军事系统受到入侵和进攻的可能性大大存在。,第十章计算机恶
14、意程序与病毒,三、计算机病毒的潜伏机制 可能的藏身之处 磁盘文件、磁盘结构(主引导、次引导、FAT、ROOT、UMB和HMA)、保留扇区、超越扇区、磁盘间隙、CMOS等。 网络文件、电子邮件、邮件附件等。,1MB,00000,0A000,常规内存,基本内存,上位 存储区,1088K,高端存储区,ETM/EPM,64K,384K,640K,实模式,显示存储器,ROMBIOS,第十章计算机恶意程序与病毒,A0000,Top,Base,640KB,00000,Top和Base是两个指针，规定了应用程序装入的存储区范围，其值存放在00413地址（0280）。如果病毒侵入，可将top指针下移至top1，
15、该区域被病毒程序占据，并不会被新调入的程序覆盖。应用程序区域缩小。,Top1,病毒程序,操作系统,应用程序,第十章计算机恶意程序与病毒,转移到病毒程序执行： MOV SI, 0413 ; 指向0:0413字节 XOR DI, DI ; DS:SI=0:0413 MOV DS, DI ; 0:0413中内容为0280 DEC WORD PTR SI；减去1K字节 LODSW ; 将027F取到 AX中 MOV CL, 06 ; CL=06 SHL AX, CL ; 左移6位=9FC0 PUSH AX ; 压入返回段地址9FC0 PUSH DI ; 压入返回位移量0000 RETF ; 转移到9F
16、C0:0000地址,第十章计算机恶意程序与病毒,0面0道1扇区,MBS,1面0道1扇区,DBS,MBS：Main Boot Sector 主引导扇区 DBS：DOS Boot Secotor 次引导扇区,FAT,FAT,Root,（系统保留扇区 62个）,病毒藏身之地,Data,第十章计算机恶意程序与病毒,读MBS引导扇区：（用程序读） MOV AX, 0201 ; 读一个扇区 MOV BX, 1000 ; 读入缓冲区地址1000 MOV CX, 0001 ; 读第一扇区 MOV DX; 0080 ; 读C盘0面 INT 13 ; 读盘操作 INT 3 ; 执行终止 要读63个扇区则用023F，要写入一个扇区则用0301，读A盘为00，
