病毒防护技术概述

《病毒防护技术概述》由会员分享，可在线阅读，更多相关《病毒防护技术概述（77页珍藏版）》请在金锄头文库上搜索。

1、补充内容 计算机病毒防护技术B.1 B.1 概述概述B.2 B.2 计算机病毒工作机制计算机病毒工作机制B.3 B.3 反病毒技术反病毒技术B.4 B.4 典型计算机病毒典型计算机病毒B.5 B.5 计算机病毒查杀软件计算机病毒查杀软件B.1 概述n计算机病毒定义n计算机病毒特征n计算机病毒传播途径n计算机病毒分类n计算机病毒的表现n一、计算机病毒定义n 1. 计算机病毒一词的由来：由生物医学上的“病毒”一词借用而 来。与生物医学的“病毒”的异同：同：都具有传染性、流行性、针对性异：不是天生的，而是人为编写的具 有特殊破坏功能的程序。3. 权威法律的定义：1994年2月18日我国正式颁布实施了

2、 中华人民共和国计算机信息系统安全保护条 例，在条例第二十八条中定义了计算 机病毒的概念。计算机病毒是：“指编制或 者在计算机程序中插入的破坏计算机功能或 者破坏数据，影响计算机使用并且能够自我 复制的一组计算机指令或者程序代码 ”。n 2. 广义的定义：凡是能够引起计算机故障、破坏计算 机的数据的程序统称作病毒（computer virus）。n二、计算机病毒特征1寄生性计算机病毒是一种特殊的程序，它一般不是以 独立的文件形式存在的，它寄生在合法的程序中。病毒所寄生的程序叫做病毒的载体，或者叫做 病毒的宿主程序。如病毒adWare.win32.cpush.g（木马病毒程序）,寄生在程序A00

3、10833.exe里。2. 传染性计算机病毒会通过各种渠道从已被感染的计 算扩散到没有被感染的计算机。是病毒的基本特征，是否具有传染性是判断 一个计算机程序是否为计算机病毒的首要条件。3隐蔽性计算机病毒在传染之前，必须将自身很好地 隐藏起来，不被用户发现，这样才能实现进入进 入计算机系统、进行广泛传播的目的。4潜伏性计算机病毒为了达到广泛传播并破坏系统的目的，一 般不会在传染某一程序后立刻发作，否则就暴露了自身。潜伏性越好，其在系统中存在的时间就越长，其传 染的范围就越广泛。5可触发性因某个特征或数值的出现，诱使病毒实施感染或攻击 的特性。6破坏性共同的危害：降底系统的工作效率，占用系统的资源

4、 （具体情况取决于入侵系统的计算机病毒程序）病毒的破坏性主要取决于计算机病毒设计者的目的。n三、计算机病毒传播途径n1.通过不可移动的计算机硬件设备进行传播。n2.通过移动存储设备进行传播。n3.通过计算机网络进行传播。n4.通过点对点通讯系统和无线通道传播。n四、计算机病毒分类 1.按攻击的操作系统分类 1）攻击dos系统的病毒 2）攻击Windows系统的病毒 3）攻击Unix系统的病毒(为数不多，传播率 低，不易流行) 4）攻击OS/2系统的病毒 5）攻击嵌入式操作系统的病毒（特洛伊木马 “自由A”）2.按传播媒介分类 1）单机病毒 -载体：磁盘 -早期的病毒都是单机病毒2）网络病毒 -

5、传播媒介：网络 如CIH 、Redcord等 -如今大多数病毒都是网络病毒3.按链接方式分类（1）源码型病毒该病毒攻击高级语言编写的程序，在高级语言所编写的程序编译前插入到源程序中，经编译成为合法程序的一 部分。 不过，该类病毒不多见。（2）入侵型病毒（或嵌入型病毒）在感染时往往对宿主程序进行一定的修改，将自己嵌入到攻击目标中，代替宿主程序中不常用到的堆栈区或功 能模块，而不是链接它的首部或尾部。编写该类病毒比较 困难。（3）操作系统型病毒寄生在操作系统之中，这种病毒在运行时，用自己的逻辑模块取代操作系统的部分合法程序 模块。（4）外壳型病毒寄生在宿主程序的前面或后面，并修改程序的第一个执行命

6、令，使病毒先于宿主程序执行， 并随着宿主程序的使用而传播扩散，该类病毒易 于编写数量最多。4.按危害程度分类1）良性计算机病毒不对计算机系统进行直接破坏，只是具有一 定表现症状的病毒。2）恶性计算机病毒在其代码中包含有损伤和破坏计算机系统的 操作，在其传染和发作时，会对系统产生直接的 破坏作用，诸如篡改数据、格式化磁盘等。3）中性计算机病毒对计算机系统不造成直接的破坏，又没有表 现症状，只是疯狂复制自身病毒，如人们常说的 蠕虫病毒。5.按寄生方式分类1）引导型病毒：通过磁盘引导区传染的病毒。用病毒的全部或部分逻辑模块取代正常的引导记录，而将正常的引导记录隐藏在其他的地方。2）文件型病毒通过操作

7、系统的文件系统传染的病毒，主要以感染可执行文件（如.bat、.exe、.com、sys、.dll 等）为主，病毒寄生在可执行程序中，一旦程序被 执行，病毒就会被激活，并将自身驻留在内存，然后设置触发条件，进行感染。3）混合型病毒既传染磁盘引导区有传染可执行文件 的病毒。综合了引导型和文件型病毒的特 征。6.按攻击机型分类1）攻击微型计算机的病毒2）攻击小型机的计算机病毒3）攻击工作站的计算机病毒4）攻击便携式电子设备的病毒n 7.从广义病毒定义n 1）逻辑炸弹修改计算机程序，使它在某种特殊条件下，按某种特殊的方式运行。逻辑炸弹也是由程序员插入其他程序代码中间的，但并不进行自 我复制。n 2）特

8、洛伊木马（Trojan horse）-定义：泛指那些内部包含有为完成特殊任务而编写的程序，一种潜伏 执行非授权功能的技术，它原本属于一类基于远程控制的工具。-原理：C/S模式：服务器提供服务，客户机接受服务。 作为服务器的 主机一般会打开一个默认的端口进行监听，如果有客户机向服务器的 这一端口提出连接请求，服务器上的相应程序就会自动运行，来应答 客户机的要求，这个程序被称为守护进程。-攻击步骤：设定好服务器程序；骗取对方执行服务器程序；寻找对方的IP地址；用客户端的程序来控制对方的计算机。 -特征和行为：木马本身不进行自我复制被感染的计算机会表现出不寻常的行为或运 行速度变慢，比如，有一个或多

9、个不寻常的任务 在运行；注册表或其他配置文件被修改；电子邮 件在用户不知情的情况下被发送等。-传播途径：作为电子邮件附件传播；隐藏在用户与其他用户进行交流的文档或其他文件中；被其他恶意代码携带，如蠕虫；隐藏在一些互联网上下载的捆绑的免费软件中。-预防不执行任何来历不明的软件和程序(无论是邮件中还是互联网上下载的)；上网的计算机必须具备防毒软件（切记及时升级）。n3）计算机蠕虫-定义：通过分布式网络来扩散传播特定信息或错误，破坏网络中的信息或造成网络服务中断的病毒。-主要特点：利用网络中软件系统的缺陷，进行自我复制和主动传播。但它与病毒在文件之间的传播不同，它们是从一台计算机传播到另一台计算机，

10、从而感染整个系统。-组成：主程序和引导程序主程序：一旦在机器上运行，就会通过读取公共配置文件以及收集当前网络状态信息，获取与当前机器联网的其他机器的信息和软件缺陷，并主动尝试在这些远程机器上建立起引导程序。n五、计算机病毒的表现n计算机病毒是客观存在的，客观存在的事物总有它的特性，计算机病毒也不例外。从实质上说，计算机病毒是一段程序代码，虽然它可能隐藏得很好，但也会留下许多痕迹。通过对这些蛛丝马迹的判别，我们就能发现计算机病毒的存在了。 根据计算机病毒感染和发作的阶段，可以将计算机病毒的表现分为三大类，即计算机病毒发作前、发作时和发作后的表现。 n （一）计算机病毒发作前的表现现象n计算机病毒

11、发作前，是指从计算机病毒感染计算机系统， 潜伏在系统内开始，一直到激发条件满足，计算机病毒发 作之前的一个阶段。在这个阶段，计算机病毒的行为主要 是以潜伏、传播为主。计算机病毒会以各式各样的手法来 隐藏自己，在不被发现的同时又自我复制， 以各种手段进 行传播。下面讨论一些计算机病毒发作前常见的表现。 n1.计算机经常性无缘无故地死机 n计算机病毒感染了计算机系统后，将自身驻留在系统内并 修改了中断处理程序等，引起系统工作不稳定，造成死机 现象发生。 n2.操作系统无法正常启动 n关机后再启动，操作系统报告缺少必要的启动文件，或启动文件被破坏，系统无法启动。这些很可能是由计算机病毒感染系统文件所

12、引起的，使得文件结构发生变化，无法被操作系统加载、引导。 n3.运行速度异常 n运行速度是计算机的重要技术指标。 n计算机速度是由内置资源的配置水准高低决定的。一台计 算机的运行速度是从出厂之日起便决定了的。 n引起计算机系统运行速度异常的原因有很多，例如，同时 启用了大量的应用程序会使得计算机运行速度减慢。另外 ，程序混乱、磁盘损坏、文件卷标改动、数据存储区域改 动和外接设备故障等都可能引起系统运行速度异常。 n n由计算机病毒引起的运行速度异常主要分为以下几类。 n1）由于计算机病毒占用了大量的系统资源，造成系统资 源不足，运行变慢。n2）存储空间显著缩小也会影响速度。对于细心的用户来 说

13、存储空间的多少、可用空间的容量都心中有数。如果系 统突然因为磁盘爆满而引起系统速度缓慢，这时需要查明 原因。 如果没有连续地向磁盘写入文件，则很有可能是 计算机病毒所为。计算机病毒发作时常常生产大量的文件 ，从而占据大量的磁盘空间。为了不被用户觉察，计算机 病毒常常生成的文件常常是隐形文件。用许多莫名其妙的 数据或字符填满磁盘空间是计算机病毒危害的常有现象。n3）有些计算机病毒则不断把磁盘上的簇标记为坏 ，也会使磁盘的可用存储空间迅速减少，如“小珍”和“巴基斯坦智囊”计算机病毒同时传染系 统后，会随着系统的运行反复自动不断地在系统 上制造坏簇。从而使磁盘的可用空间迅速减少。 n4）引导型计算机

14、病毒，由于在系统引导过程中需 要完成计算机病毒的自我加载，会在系统的功能 入口处引入计算机病毒传染模块与表现模块，必 然会使得系统启动速度减慢， 但这种现象很不容 易察觉。 n4.内存不足的错误 n某个以前能够正常运行的程序，在程序启动的时 候报系统内存不足，或者使用应用程序中的某个 功能时报内存不足，这可能是计算机病毒驻留后 占用了系统中大量的内存空间，使得可用内存空 间减小。n需要注意的是，在Windows 95/98/XP环境下，有 时也会报“内存不足，不能完成操作”的错误， 但要区分是不是计算机病毒在作怪。 n5.打印、通信及主机接口发生异常 n打印机、调制调解器等外接设备是计算机系统

15、的重要组成 部分，它们使人机对话变得高效、富于灵性，使计算机的 功能得以充分开发应用，使用起来很方便。 n不少用户对于计算机这些外接设备也会受到计算机病毒感 染觉得不可理解，以至于计算机病毒来袭时毫无思想准备 ，一味往机械故障、运行故障方面怀疑，殊不知计算机病 毒对外接设备的感染和破坏是常有的事情。计算机病毒作 为一种应用程序，与其他应用程序如 Windows软件、文字 编辑软件和学习软件等一样，除具有计算机病毒危害外， 都以现有计算机技术为支撑基础，都为计算机所接受，也 包括外接设备，因此计算机病毒的传染性、潜伏性、破坏 性对打印和通信方面的外接设备也同样适用。 n在硬件没有更改或者是损坏的

16、情况下，以前手作 正常的打印机，近期发现无法进行打印操作，或 打印出来的是乱码，或是串口设备无法正常工作 ，例如调制解调器不拨号，这些都很可能是计算 机病毒驻留内存后占用了打印端口或串行通信端 口的中断服务程序，使之不能正常工作的表现。 n“Win32.Bugbear.B“是一种用微软Visual C+写成 的E-mail蠕虫病毒。该蠕虫通过电子部件进行传 播。系统感染该计算机病毒后，该计算机病毒会 遍历所有的共享资源，并尝试像复制到磁盘一样 将共享资源复制到打印机中，这可能会导致在本 地局域网的打印机打印出垃圾信息。 n“HongKong“计算机病毒，会驻留内存并使 内存减少IKB。该计算机病毒发作时封 闭 COMI及LPTl接口，使得位于该接口的外部 设备无法与计算机通信。 n“TYPO“计算机病毒，会感染当前目录下的 .COM文件，使文件增加867字节，同时修 改接口参数，使得打印频频出错。 n6.无意中要求对软盘（移动存储设备）/U盘等移动存储设备进行写操作 n在计