恶意代码概述
恶意代码介绍及防范
恶意代码介绍及防范
恶意代码，也称为恶意软件，是指被设计出来用于入侵、破坏、干扰、篡改或者窃取信息等不法目的的计算机程序。
恶意代码可以包括计算机病毒、木马、蠕虫、间谍软件、广告软件等各种形式。
恶意代码的威胁性非常大，它可以对计算机系统和网络造成严重的破
坏和泄露。
举例来说，计算机病毒可以通过感染其他文件或者程序来破坏
数据文件或者系统文件，造成计算机崩溃；木马可以通过远程控制计算机，窃取用户的敏感信息、银行账号密码等；间谍软件可以监控用户的计算机
活动，偷窃用户的隐私等。
为了防范恶意代码的攻击，我们可以采取以下几个方面的措施：
3.不随便点击链接和打开附件：不轻易点击不明链接，尤其是来自未
知的邮件、社交媒体等。
同时，在打开附件前先进行杀毒扫描，确保附件
没有恶意代码。
4.定期更新系统和软件：及时安装系统和软件的补丁和更新，以修复
存在的漏洞，减少恶意代码攻击的机会。
5.注意网络安全教育和优化：定期进行网络安全教育，提高用户的安
全防范意识。
同时，优化系统设置、配置强密码、定期备份数据等也是有
效的防范措施。
6.使用加密技术和安全传输协议：在敏感信息传输中使用加密技术和
安全传输协议，确保数据在传输过程中不被窃取或篡改。
7.使用虚拟机和沙盒环境：在不信任的环境中，可以使用虚拟机或者
沙盒环境来运行潜在的恶意软件，以隔离它们对系统的影响。
总之，防范恶意代码的攻击是一个持续的过程，需要我们不断提高安全防范意识，采取多层次的措施来保护个人和企业的计算机系统和数据安全。
同时，合理使用互联网和计算机，并及时更新相关防护措施也是非常重要的。
恶意代码常见格式
恶意代码常见格式恶意代码(maliciouscode)又称为恶意软件(malicioussoftware，Malware)，是能够在计算机系统中进行非授权操作，以实施破坏或窃取信息的代码。
恶意代码范围很广，包括利用各种网络、操作系统、软件和物理安全漏洞来向计算机系统传播恶意负载的程序性的计算机安全威胁。
也就是说，我们可以把常说的病毒、木马、后门、垃圾软件等一切有害程序和应用都可以统称为恶意代码。
一、恶意代码分类病毒(Virus)：很小的应用程序或一串代码，能够影响主机应用。
两大特点：繁殖(propagation)和破坏(destruction)。
繁殖功能定义了病毒在系统间扩散的方式，其破坏力则体现在病毒负载中。
特洛伊木马(TrojanHorses)：可以伪装成他类的程序。
看起来像是正常程序，一旦被执行，将进行某些隐蔽的操作。
比如一个模拟登录接口的软件，它可以捕获毫无戒心的用户的口令。
可使用HIDS检查文件长度的变化内核套件（Root 工具）：是攻击者用来隐藏自己的踪迹和保留root访问权限的工具逻辑炸弹(LogicBombs)：可以由某类事件触发执行，例如某一时刻(一个时间炸弹)，或者是某些运算的结果。
软件执行的结果可以千差万别，从发送无害的消息到系统彻底崩溃。
蠕虫(Worm):像病毒那样可以扩散，但蠕虫可以自我复制，不需要借助其他宿主僵尸网络（Botnets）：是由C&C服务器以及僵尸牧人控制的僵尸网络。
间谍软件（Spyware）：间谍软件就是能偷偷安装在受害者电脑上并收集受害者的敏感信息的软件。
恶意移动代码：移动代码指可以从远程主机下载并在本地执行的轻量级程序，不需要或仅需要极少的人为干预。
移动代码通常在Web服务器端实现。
恶意移动代码是指在本地系统执行一些用户不期望的恶意动作的移动代码。
后门：指一类能够绕开正常的安全控制机制，从而为攻击者提供访问途径的一类恶意代码。
攻击者可以通过使用后门工具对目标主机进行完全控制。
第1章 恶意代码概述
Any Questions?
恶意代码与计算机病毒 -原理、技术和实践
恶意代码与计算机病毒 -原理、技术和实践
恶意代码的种类
恶意代码主要包括：
− 普通计算机病毒 − 蠕虫 − 特洛伊木马 − Rootkits工具 − 流氓软件 − 间谍软件 − 恶意广告
− 逻辑炸弹
恶意代码与计算机病毒 -原理、技术和实践
恶意代码的种类
恶意代码主要包括：
− 网络僵尸 − 网络钓鱼 − 恶意脚本 − 垃圾信息 − 智能终端恶意代码等
、打印机、文件系统等方面探查恶意代码
− 恶意代码发作前 − 恶意代码发作时 − 恶意代码发作后
与恶意代码现象类似的硬件故障 与恶意代码现象类似的软件故障
恶意代码与计算机病毒 -原理、技术和实践
恶意代码的命名规则
CARO命名规则：
− 1991年，计算机反病毒研究组织(Computer
Antivirus Researchers Organization， CARO)的一些资深成员提出。
攻击行为发起者
U盘寄生虫 Backdoor/Huigezi 熊猫烧香 木马和恶意软件 木马 Worm_Sasser Worm_MSBLAST SQL Slammer Klez RedCode Nimda Love Letter CIH
受害PC数目（万台） 损失金额 (美元)
3000 近2000 超过200 — — — 超过140 超过20 超过600 超过100 超过800 — 超过6 000 — — — — — — 9.5亿∽12亿 90亿 26亿 60亿 88亿 近100亿
恶意代码的命名包括5个部分：
1. 病毒家族名
2. 病毒组名
3. 大变种 4. 小变种
恶意代码简介
课程内容
1 2 3 4 恶意代码概述
计算机病毒
特洛伊木马 蠕虫
7
2016/9/18
17.2计算机病毒
严格地从概念上讲，计算机病毒只是恶意代码的 一种。实际上，目前发现的恶意代码几乎都是混 合型的计算机病毒 美国计算机研究专家最早提出了“计算机病毒” 的概念：计算机病毒是一段人为编制的计算机程 序代码。 1994年2月28日，我国出台的《中华人民共和国计 算机安全保护条例》对病毒的定义如下：“计算 机病毒是指编制或者在计算机程序中插入的、破 坏数据、影响计算机使用，并能自我复制的一组 计算机指令或者程序代码”
木马的分类
远程控制型木马 可以让攻击者完全控制被感染的计算机 密码发送型木马 专门为了盗取被感染主机上的密码 破坏型木马 破坏被感染主机上的文件系统 键盘记录型木马 记录受害者的键盘敲击 拒绝服务攻击木马 反弹端口型木马 服务端（被控制端）使用主动端口，客户端(控制端)使用被动端口 代理木马 变为攻击者发动攻击的跳板
计算机病毒的特点
传染性 通过各种渠道从已被感染的计算机扩散到未被感染的计 算机。 隐蔽性 病毒一般是具有很高编程技巧的、短小精悍的一段代码， 躲在合法程序当中。 潜伏性 病毒进入系统之后一般不会马上发作 多态性 病毒试图在每一次感染时改变它的形态 破坏性 造成系统或数据的损伤甚至毁灭
木马植入手段
下载植入木马 木马程序通常伪装成优秀的工具或游戏 通过电子邮件来传播 木马程序隐藏在一些具有恶意目的的网站中 利用系统的一些漏洞植入 如微软著名的IIS漏洞 攻击者成功入侵目标系统后，把木马植入目标系 统
木马的特点
隐蔽性。隐蔽性是木马程序与远程控制程序的主 要区别 欺骗性。为了达到隐蔽目的，木马常常使用和系 统相关的一些文件名来隐蔽自身。 顽固性。很多木马的功能模块已不再是由单一的 文件组成，而是具有多重备份 危害性。攻击者可以通过客户端强大的控制和破 坏力对主机进行操作。 潜伏性。木马种植到系统后一般不会马上发作， 而是要等到与控制端连接之后才会接受指令而动 作。
恶意代码 分类 国标 19327
在这篇文章中，我将为您深入探讨恶意代码的分类，并重点介绍国标xxx，以帮助您更全面地了解这一主题。
## 第一部分：恶意代码概述恶意代码是指一类被设计用来在未经用户许可的情况下对计算机系统、网络或用户数据造成破坏、盗窃或间谍活动的软件。
恶意代码的危害性日益严重，给个人、企业乃至国家安全带来了巨大的威胁。
## 第二部分：恶意代码的分类### 1. 病毒病毒是一种依附于可执行文件或文档中的恶意代码，通过感染其他程序来传播和破坏目标系统。
### 2. 蠕虫蠕虫是一种独立的恶意代码程序，能够自我复制，并通过网络传播到其他计算机系统，对系统资源和网络造成破坏。
### 3. 木马木马是指伪装成正常程序的恶意软件，一旦被用户下载或安装，就会给攻击者远程控制目标系统的权限，从而实施非法活动。
### 4. 后门程序后门程序是指攻击者通过在系统中植入的留有暗门的程序，来绕过系统认证机制，实现对系统的控制和监控。
### 5. 特洛伊木马特洛伊木马是一种通过伪装成合法软件隐藏在系统中，然后在用户不知情的情况下实施攻击的恶意程序。
## 第三部分：国标xxx国家标准《信息技术网络安全个人信息安全分类及分级》（GB/Txxx-2003）是我国针对个人信息安全的国家标准，包含了个人信息安全的基本概念、分类等内容。
在该标准中，对恶意代码的分类是以其对个人信息安全的威胁程度为依据的。
这种分类方式可以更有针对性地帮助用户了解恶意代码的性质，从而采取有效的防范措施。
## 第四部分：我的观点和理解在我看来，恶意代码的分类对于用户和企业来说至关重要。
只有全面了解各类恶意代码的特点和传播方式，才能更好地保护个人信息安全，预防各类网络攻击。
国标xxx为我们提供了一个更加系统和有序的视角来理解和管理个人信息安全，不仅可以帮助我们更好地认识恶意代码的威胁，还可以指导我们在日常生活和工作中采取有效的保护措施。
我建议大家在日常使用网络和计算机时，要对各类恶意代码有所了解，并且遵循国标的指导来保护个人信息安全。
网络安全中的恶意代码分析与防范
网络安全中的恶意代码分析与防范恶意代码（Malware）是指故意编写的、以非法方式获取用户计算机上数据、控制计算机或者传播恶意软件的软件程序或脚本。
随着互联网的发展，恶意代码的数量和种类不断增加，给用户计算机带来了巨大风险。
因此，对于网络安全中的恶意代码分析与防范成为了一个重要的议题。
一、恶意代码的类型恶意代码的类型繁多，常见的恶意代码包括病毒、蠕虫、木马、间谍软件等。
这些恶意代码以不同的方式侵入到用户计算机中，对用户的信息和系统安全构成威胁。
1.病毒（Virus）：病毒是一种能够通过自我复制和植入到其他可执行文件中来传播的恶意代码。
病毒可以破坏或删除文件，感染其他文件并传播到其他计算机上。
2.蠕虫（Worm）：蠕虫是一种无需依赖其他程序传播的恶意代码。
蠕虫可以通过网络连接和传播自己，感染其他计算机并利用系统漏洞获取权限，从而对计算机进行攻击。
3.木马（Trojan）：木马是一种将恶意功能隐藏在看似有用的程序中的恶意代码。
用户在下载和安装这些程序时，木马就会获取系统权限，窃取用户的敏感信息或者控制系统进行攻击。
4.间谍软件（Spyware）：间谍软件是一种用于窃取用户个人信息并未用户做出批准的恶意代码。
间谍软件可以记录用户的浏览记录、键盘输入、窃取敏感信息等。
二、恶意代码的分析恶意代码分析是指对恶意代码进行研究和解剖，以了解其行为特征、传播方式和攻击手段，为后续的防范提供依据。
恶意代码分析主要包括静态分析和动态分析。
1.静态分析：静态分析是通过对恶意代码的静态特征进行分析，如文件大小、文件结构、代码特征等。
静态分析可以帮助分析人员了解恶意代码的基本功能和执行路径，但无法获取其具体行为和产生的动态效果。
2.动态分析：动态分析是通过在受控环境中进行恶意代码的执行并观察其行为。
动态分析可以获取恶意代码的运行轨迹、网络连接、系统变化等信息。
这可以帮助分析人员深入了解恶意代码的具体行为和对计算机系统的威胁程度。
恶意代码 分类 国标 19327
恶意代码分类国标19327摘要：一、恶意代码概述1.恶意代码的定义2.恶意代码对计算机系统的影响二、恶意代码的分类1.国标19327 对恶意代码的分类2.各类恶意代码的特点和实例三、恶意代码的防护措施1.防病毒软件的使用2.系统更新和补丁的安装3.用户的安全意识和行为规范四、总结1.恶意代码对计算机系统的危害2.国标19327 对恶意代码分类的意义3.提高防护意识，共同抵御恶意代码的侵害正文：恶意代码是指那些对计算机系统及用户数据造成破坏、泄露、篡改等负面影响的程序或脚本。
随着互联网的普及，恶意代码的传播途径也日益多样化，这使得个人和企业的信息安全面临着越来越大的威胁。
为了更好地应对恶意代码带来的挑战，我国制定了国标19327，对恶意代码进行了详细的分类。
根据国标19327，恶意代码可分为以下几类：病毒、木马、蠕虫、后门、逻辑炸弹、网络钓鱼等。
这些恶意代码具有不同的传播途径、行为特点和危害程度。
例如，病毒和木马通常通过邮件、聊天软件等传播，利用系统的漏洞进行繁殖和破坏；蠕虫则通过网络传播，自我复制并占用大量系统资源；后门和逻辑炸弹则潜伏在系统中，等待特定条件触发以实施破坏行为。
面对这些恶意代码，我们应采取有效的防护措施。
首先，使用防病毒软件是基本手段，可以有效阻止病毒、木马等恶意代码的入侵。
其次，定期更新操作系统及软件的补丁，修复已知的安全漏洞，也是十分重要的。
此外，用户的安全意识和行为规范也对防范恶意代码起着关键作用。
用户应避免访问不明来源的网站和下载不明来源的软件，不轻信邮件和聊天软件中的陌生人发来的链接和附件，提高自身的安全防护能力。
总结起来，恶意代码对计算机系统的安全造成了严重威胁。
国标19327 对恶意代码的分类有助于我们更好地理解和防范这些威胁。
恶意代码简介精讲
计算机病毒的特点
传染性 通过各种渠道从已被感染的计算机扩散到未被感染的计 算机。 隐蔽性 病毒一般是具有很高编程技巧的、短小精悍的一段代码， 躲在合法程序当中。 潜伏性 病毒进入系统之后一般不会马上发作 多态性 病毒试图在每一次感染时改变它的形态 破坏性 造成系统或数据的损伤甚至毁灭
影响比较严重的蠕虫病毒
莫里斯蠕虫：1988年，22岁的康奈尔大学研究生罗伯特莫 里斯通过网络发送了一种专为攻击UNIX系统缺陷、名为莫 里斯蠕虫的病毒。蠕虫造成了6000个系统瘫痪，直接经济 损失达9600万美元； 美丽杀手：1999年 政府部门和一些大公司紧急关闭了网络 服务器，经济损失超过12亿美元； 爱虫病毒：2000年5月至今 众多用户计算机被感染，损失 超过100亿美元以上； 红色代码：2001年7月网络瘫痪，直接经济损失很大； 求职信：2001年12月大量病毒邮件堵塞服务器，损失达数 百亿美元； SQL蠕虫王：2003年1月 26日，一种名为“2003蠕虫王”的 蠕虫病毒迅速传播并袭击了全球，致使互联网严重堵塞
木马的防范技术
利用工具查杀木马 查看系统注册表 检查网络通信状态 查看目前的运行任务 查看系统启动项 使用内存检测工具检查 用户安全意识策略 纵深防御保护系统安全
课程内容
1马 蠕虫
23
2018/10/10
17.4蠕虫
蠕虫病毒是一种常见的计算机病毒。它的传染机 理是利用网络进行复制和传播，传染途径是通过 网络和电子邮件。 最初的蠕虫病毒定义是因为在DOS环境下，病毒发 作时会在屏幕上出现一条类似虫子的东西，胡乱 吞吃屏幕上的字母并将其改形 蠕虫具有病毒的一些共性，如传染性、隐蔽性和 破坏性等 蠕虫与病毒的区别在于“附着”。蠕虫不需要宿 主，是一段完整的独立代码
网络安全恶意代码
网络安全恶意代码恶意代码是指以非法、危害电脑系统、网络信息安全和用户数据隐私为目的而编写的软件程序。
随着互联网的快速发展，恶意代码已成为网络安全领域的重要威胁之一。
本文将从网络安全恶意代码的定义、分类、传播途径以及防范措施等方面进行讨论。
一、恶意代码的定义恶意代码（Malicious Code）是一种通过各种方法传播和执行的有害程序，旨在危害计算机系统和用户数据。
恶意代码可以是病毒、蠕虫、木马、间谍软件等多种形式，其危害程度和攻击目标各不相同。
二、恶意代码的分类1. 病毒（Virus）：病毒是一种依靠宿主程序复制自身并感染其他合法程序的恶意代码。
病毒通过侵入宿主程序，向用户电脑系统或网络传播，并在感染的计算机上进行破坏或盗取用户信息。
2. 蠕虫（Worm）：蠕虫是一种无需宿主程序即可自我复制和传播的恶意代码。
蠕虫通过利用网络漏洞或传播工具进行传播，并通过破坏文件、占用网络带宽等方式引发各种安全问题。
3. 木马（Trojan Horse）：木马是一种伪装成合法程序并隐藏在其中的恶意代码。
一旦用户运行木马程序，它就会偷偷地为黑客提供远程操作权限，使黑客能够控制被感染的计算机并进行各种非法活动。
4. 间谍软件（Spyware）：间谍软件是一种秘密搜集用户信息和网络活动的恶意代码。
间谍软件通常隐藏在合法软件中，并在用户不知情的情况下记录个人隐私，如浏览习惯、登录信息等，并将这些信息发送给黑客。
三、恶意代码的传播途径1. 邮件附件：黑客通过发送带有恶意代码的电子邮件附件来传播恶意代码。
一旦用户打开附件，恶意代码就会被激活，并感染用户的电脑系统或网络。
2. 不安全的网站：黑客会利用漏洞或弱密码来攻击网站，将恶意代码嵌入其中。
当用户访问这些被感染的网站时，恶意代码就会被下载到用户的计算机上。
3. 可移动存储设备：黑客将恶意代码植入USB闪存驱动器、移动硬盘等可移动存储设备中，当用户将这些设备连接到自己的电脑上时，恶意代码就会自动传播到用户的电脑系统中。
第4章 恶意代码
第4章 恶意代码
4.1.3恶意代码长期存在的原因
系统漏洞层出不穷 AT&T 实验室的S. Bellovin曾经对美国CERT （Computer Emergency Response Team）提供的 安全报告进行过分析，分析结果表明，大约50%的 计算机网络安全问题是由软件工程中产生的安全缺 陷引起的
第4章 恶意代码
4.1.1 研究恶意代码的必要性
在Internet安全事件中，恶意代码造成的经济损失占有最 大的比例。恶意代码主要包括计算机病毒（Virus）、蠕 虫（Worm）、木马程序（Trojan Horse）、后门程序 （Backdoor）、逻辑炸弹（Logic Bomb）等等。 恶意代码问题，不仅使企业和用户蒙受了巨大的经济损失， 而且使国家的安全面临着严重威胁。 据报道，1991年的海湾战争，美国在伊拉克从第三方国 家购买的打印机里植入了可远程控制的恶意代码，在战争 打响前，使伊拉克整个计算机网络管理的雷达预警系统全 部瘫痪，这是美国第一次公开在实战中使用恶意代码攻击 技术取得的重大军事利益。
第4章 恶意代码
4.3.1PE病毒
计算机病毒发展初期因为个人操作系统大多为DOS系统， 这一时期大多为DOS病毒。由于Windows的广泛使用， DOS病毒几乎绝迹。但DOS病毒在Win9X环境中仍可以发 生感染，因此若执行染毒文件，Windows用户也会被感染。 DOS系统病毒主要分成三类：引导型病毒，文件型病毒， 以及混合引导型和文件型的病毒。 Win32指的是32位Windows操作系统，Win32的可执行文件， 如*.exe、*.dll、*.ocx等，都是PE(Portable Executable)格 式文件，意思是可移植的执行体。感染PE格式文件的 Win32病毒，简称为PE病毒。它感染Windows下所有PE格 式文件，因为它通常采用Win32汇编编写，而且格式为PE， 因此得名。
恶意代码
1.禁止使用电脑
现象描述:尽管网络流氓们用这一招的不多，但是一旦你中招 了，后果真是不堪设想!浏览了含有这种恶意代码的网页其后 果是:“关闭系统”、“运行”、“注销”、注册表编辑器、DOS程 序、运行任何程序被禁止，系统无法进入“实码的特征就是利用IE执行 ActiveX的功能，让你无意中格式化自己的硬盘。只 要你浏览了含有它的网页，浏览器就会弹出一个警 告说“当前的页面含有不安全的ctiveX，可能会对你 造成危害”，问你是否执行。如果你选择“是”的话， 硬盘就会被快速格式化，因为格式化时窗口是最小 化的，你可能根本就没注意，等发现时已为时已晚。
3.下载运行木马程序
现象描述:由于IE5.0本身的漏洞，使这样的新式入侵手法成为可能，方法就 是利用了微软的可以嵌入exe文件的eml文件的漏洞，将木马放在eml文件 里，然后用一段恶意代码指向它。上网者浏览到该恶意网页，就会在不知 不觉中下载了木马并执行，其间居然没有任何提示和警告!
4. 注册表的锁定
6.篡改IE标题栏
现象描述:在系统默认状态下，由应用程序本身来提供标 题栏的信息。但是，有些网络流氓为了达到广告宣传的 目的，将串值“Windows Title”下的键值改为其网站名或 更多的广告信息，从而达到改变IE标题栏的目的。
现象描述:有时浏览了恶意网页后系统被修改，想要用Regedit更 改时，却发现系统提示你没有权限运行该程序，然后让你联系管 理员。
5.默认主页修改
现象描述:一些网站为了提高自己的访问量和做广告宣传， 利用IE的 漏洞，将访问者的IE进行修改。一般改掉你的 起始页和默认主页，为了不让你改回去，甚至将IE选项中 的默认主页按钮变为失效的灰色。
制作：第十小组
1
什么是恶意代码
第1章 恶意代码概述
• （3）强行弹出广告，或者其他干扰用户并占用系统资源行为； • （4）有侵害用户信息和财产安全的潜在因素或者隐患； • （5）未经用户许可，或者利用用户疏忽，或者利用用户缺乏相关知识，
秘密收集用户个人信息、秘密和隐私。
6 间谍软件
• 间谍软件（Spyware）是一种能够在计算机使用者无法察觉或给 计算机使用者造成安全假相的情况下，秘密收集计算机信息的并 把它们传给广告商或其他相关人的程序。
• 记忆犹新的3年（2003 - 2005）
• 2004年是蠕虫泛滥的一年，大流行病毒：
• 网络天空(sky) • 高波(Worm.Agobot) • 爱情后门(Worm.Lovgate) • 震荡波(Worm.Sasser) • SCO炸弹(Worm.Novarg) • 冲击波(Worm.Blaster) • 恶鹰(Worm.Bbeagle) • 小邮差(Worm.Mimail) • 求职信(Worm.Klez) • 大无极(Worm.SoBig)
为什么提出恶意代码的概念？
过时的计算机病毒定义
• 国务院颁布的《中华人民共和国计算机信息系统安全保护条例》， 以及公安部出台的《计算机病毒防治管理办法》将计算机病毒均 定义如下：
• 计算机病毒是指，编制或者在计算机程序中插入的破坏计算机功 能或者破坏数据，影响计算机使用并且能够自我复制的一组计算 机指令或者程序代码。
• 博士论文的主题是计算机病毒 • 1983年11月3日，Fred Cohen博士研制出第一个计算机病毒
（Unix）。
• 1986年初，巴基斯坦的拉合尔，巴锡特和阿姆杰德两兄弟编写 了 Pakistan病毒，即Brain，其目的是为了防范盗版软件。
• Dos – PC – 引导区
网络安全06 - 恶意代码
不进行复制的和进行复制的
恶意代码的特征
恶意代码日趋复杂和完善。 恶意代码编制方法和发布速度更快。 利用系统和网络漏洞及脆弱性进行传播和 感染的恶意代码急剧增加，开创了恶意代 码发展的新时期。
恶意代码的发展趋势
传播方式不再以存储介质为主要的传播载 体，网络成为计算机病毒传播的主要载体。 传统病毒日益减少，网络蠕虫成为最主要 和破坏力最大的恶意代码类型。 传统病毒与木马技术相结合，出现带有明 显病毒特征的木马或者带木马特征的病毒。
按连接方式的不同
计算机病毒的分类 - 2
良性病毒
只是为了表现自身，并不彻底破坏系统和数据，但会 占用大量CPU时间，增加系统开销，降低系统工作效 率的一类计算机病毒 该类病毒多为恶作剧者的产物
一旦发作，就会破坏系统或数据，造成计算机系统瘫 痪的一类计算机病毒 该类病毒危害极大，有些病毒发作后可能给用户造成 不可挽回的损失 如“黑色星期五” 、木马、蠕虫病毒等
潜伏寄宿传染木马有隐藏性的可与远程计算机建立连接使远程计算机能够通过网络控制本地计算机的恶意程序隐藏信息窃取控制蠕虫通过计算机网络自我复制消耗系统资源和网络资源的程独立复制扩散逻辑炸弹嵌入计算机系统的有特定触发条件试图进行破坏的计算机程序潜伏破坏条件触发脚本病毒能够从主机传送到客户计算机上执行破坏功能的代码移动漏洞用户级rootkit通过替代或者修改应用程序进入系统从而实现隐藏和创建后门的程序隐蔽潜伏核心级rootkit嵌入操作系统内核进行隐藏和创建后门的程序隐蔽潜伏恶意代码分类前者本质上来说是不能独立于应用程序或系统程序的程序段例如病毒逻辑炸弹和后门
传播方式：文件感染、Email、WWW、局域网
第九章+系统安全-恶意代码
早期病毒：具有对宿主感染能力的恶意代码 现在：一切具有主观危害和极可能客观破坏效果的恶 意代码统称病毒，而恶意代码则是对病毒的学术表达。
恶意代码通常在人们没有察觉的情况下把代码寄 宿到另一段程序中，从而达到破坏被感染计算机 的数据、运行具有入侵性或破坏性的程序、破坏 被感染系统数据的安全性和完整性的目的。
以太网嗅探器程序，用于获得网络上传输的用户名和 密码等信息。 特洛伊木马程序，例如inetd或者login，为攻击者提供 后门。 隐藏攻击者的目录和进程的程序，例如ps、netstat、 rshd和ls等。 日志清理工具.
15
Rootkit技术
Windows系统下的Rootkit关键技术 进程隐藏技术
能够绕过安全检查的任意机制,允许对未授权的功能访 问。 能够不变的植入各种不同平台，执行时有身份语义的软 件（如，脚本、宏或者其他可移动代码）
5
名称
利用（Exploits）
描述
针对某一漏洞或一组漏洞的代码。
下载者（downloader) 可以在遭受攻击的机器上安装其他条款的程序。通 常，下载者是通过电子邮件传递的
通常下载者是通过电子邮件传递的自动启动程序autorooter用于远程入侵到未被感染的机器中的恶意攻击工具病毒生成工具包一组用于自动生成新病毒的工具垃圾邮件程序用于发送大量不必要的电子邮件占用大量网络资源对网络计算机系统进行攻击从而实现dos攻击键盘日志捕获被感染系统中的用户按键rootkit当攻击者进入计算机系统并获得低层通路后使用的工具僵尸zombiebot活跃在被感染的机器上并向其他机器发射攻击的程间谍软件spyware从一种计算机上收集信息并发送到其他系统的软件逻辑炸弹
计算机系统安全14恶意代码
9
蠕虫的爆发周期越来越短…
• 漏洞公布和蠕虫爆发的间隔越来越短
最佳时机
及时
太晚了
漏洞发现
攻击代码
蠕虫爆发
控制
清除
越来越短
越来越长，越来越难
10
计算机病毒与蠕虫的区别
• 1、蠕虫是一个可以独立运行的程序。但病毒不 能独立存在，必须将自身的代码附着在其他程序 中，其程序的激活依赖与宿主程序的执行。 • 2、蠕虫可以自动通过传播，不需要利用文件寄 生技术；而病毒要依赖于宿主文件进行传播。因 为蠕虫程序自身包含了传播代码，这些代码会自 动将蠕虫程序从一个系统发送到另一个系统。 • 蠕虫通常感染的对象是有相应漏洞或者其他脆弱 性的计算机系统，而病毒的感染对象则是计算机 中的文件系统。
35
后门隐蔽性
• 系统遭入侵后，采取以下措施不能保障安全
• 管理员给系统打补丁 • 修改帐号、密码 • 杀毒
36
手机病毒
• 运行平台是手机。 • 手机功能越强大,一旦中毒,危害越巨大(GPS,相机,短信,电话,联系
• 网络拥挤 2004年初，I-Worm/Netsky、I-Worm/BBEagle、I-Worm/MyDoom三大 蠕虫病毒一齐爆发，蚕食25%网络带宽。
• DoS（Denial of Service）攻击 I-Worm/MyDoom.a蠕虫定于爆发后1星期对发动 DoS攻击。sco网站虽积极备战，但由于感染点过多，在遭受攻击当 天即陷入瘫痪。
恶意代码
• 恶意代码也称为恶意软件，是攻击者植入受害者 系统的一段代码，使得攻击者可以在受害者毫不 知情的状况下控制对方的系统、网络以及数据。 • 它通过把代码在不被察觉的情况下嵌入到另一段 程序中，从而达到破坏被感染电脑数据、运行具 有入侵性或破坏性的程序、破坏被感染电脑数据 的安全性和完整性的目的。
恶意代码的发展
2.5 常见的计算机病毒
PE病毒— 感染Windows 可执行文件(Portable Executable).exe 、.dll、.ocx类型的恶意程序，数量多、破坏性大、技巧性强。
脚本病毒—以VBScript和JavaScript脚本语言编写的恶意代码， 编程简单，通过点击脚本程序或嵌入到网页代码中执行。
Page 8
蠕虫病毒
蠕虫病毒—通过网络进行传播ቤተ መጻሕፍቲ ባይዱ破坏程度高于普通病毒，能够 在短时间内蔓延至整个Internet，使得大量计算机和网络瘫痪。
如2006年感染全世界的”熊猫烧香”蠕虫病毒就曾被列为”十大病 毒之首”。
蠕虫病毒是一种独立程序，不需要宿主程序。
蠕虫病毒程序构成：
主程序：扫描收集、自动入侵、建立引导程序、隐藏、控制和破坏。 引导程序：把蠕虫病毒传送到联网的计算机，进行蠕虫病毒网络复制。
Page 2
恶意代码的发展
经过30多年的发展，恶意代码种类、感染性和破坏力 都变得越来越强大！
Page 3
Page 4
2.2恶意代码类型
恶意代码通过存储介质和网络在计算机系统之 间进行传播。
恶意代码类型
定义
特性
计算机病毒
植入到计算机程序中的非法指令或者程序， 破坏计算机功能和数据，具备自我复制能力
2.提升特权：盗用用户或进程权限完成恶意代码的传播破坏。
3. 隐蔽：通过文件改名和删除、修改系统策略来隐藏恶意代码。
4. 潜伏：等待特定时间和权限条件下激活恶意程序进行破坏。
5. 破坏：恶意代码的本质就是造成信息丢失、泄密，破坏系统
机密性、完整性、可靠性。
Page 5
2.4 计算机病毒
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
1986年初，巴基斯坦的拉合尔，巴锡特和阿 姆杰德两兄弟编写了 Pakistan病毒，即Brain，其目的是为了防范 盗版软件。
• Dos – PC – 引导区
1987年世界各地的计算机用户几乎同时 发现了形形色色的计算机病毒，如大麻 、IBM圣诞树、黑色星期五等等 。
信息安全工程学院
School of Information Security Engineering
肇事者
- Robert T. Morris , 美国康奈尔大学学生，其 父是美国国家安全局安全专家。
视窗病毒 1988 年 3 月 2 日，一种苹果机的病毒发 作，这天受感染的苹果机停止工作，只显 示“向所有苹果电脑的使用者宣布和平的 信息”。以庆祝苹果机生日。
信息安全工程学院
School of Information Security Engineering
莫里斯蠕虫（Morris Worm） 1988年
信息安全工程学院
School of Information Security Engineering
为什么提出恶意代码的概念？ 恶意代码比计算机病毒的概念更加宽泛 恶意代码更适应信息安全发展的需要 恶意代码的提出也符合法律界人士的观点
• 根据我国的法律木马不属于计算机病毒，法律界定模 糊
信息安全工程学院
信息安全工程学院
School of Information Security Engineering
博士论文的主题是计算机病毒 1983年11月3日，Fred Cohen博士研制出第一个 计算机病毒（Unix）。
信息安全工程学院
School of Information Security Engineering
在第一部商用电脑出现之前，冯·诺伊曼在他的论文《 复杂自动装置的理论及组识的进行》里，就已经勾勒出 了病毒程序的蓝图。 70年代美国作家雷恩出版的《P1的青春－The Adolescence of P1》一书中作者构思出了计算机病毒的 概念。 美国电话电报公司(AT&T)的贝尔实验室中，三个年轻程 序员道格拉斯.麦耀莱、维特.维索斯基和罗伯.莫里斯在 工作之余想出一种电子游戏叫做“磁芯大战core war”
School of Information Security Engineering
过时的计算机病毒定义
国务院颁布的《中华人民共和国计算机信息系统 安全保护条例》，以及公安部出台的《计算机病 毒防治管理办法》将计算机病毒均定义如下： 计算机病毒是指，编制或者在计算机程序中插入 的破坏计算机功能或者破坏数据，影响计算机使 用并且能够自我复制的一组计算机指令或者程序 代码。
主要内容
为什么提出恶意代码的概念？ 恶意代码定义 恶意代码的发展历史 恶意代码的种类 恶意代码传播途径 染毒计算机的症状 恶意代码的命名规则 最新发展趋势
信息安全工程学院
School of Information Security Engineering
为什么提出恶意代码的概念？
信息安全工程学院
信息安全工程学院
School of Information Security授权的情况下，以破坏软硬件设备 、窃取用户信息、扰乱用户心理、干扰用户正常使用 为目的而编制的软件或代码片断。
这个定义涵盖的范围非常广泛，它包含了所有敌 意、插入、干扰、讨厌的程序和源代码。 一个软件被看作是恶意代码主要是依据创作者的 意图，而不是恶意代码本身的特征
信息安全工程学院
School of Information Security Engineering
恶意代码的特征
目的性
• 恶意代码的基本特征。判断恶意代码的主要依据。
传播性
• 传播性是恶意代码体现其生命力的重要手段。
破坏性
• 破坏性是恶意代码的表现手段。
信息安全工程学院
School of Information Security Engineering
School of Information Security Engineering
恶意代码定义
信息安全工程学院
School of Information Security Engineering
恶意代码的概念 恶意代码 - malicious software - Malware 《Malware: Fighting Malicious Code》中，恶 意代码定义：运行在目标计算机上，使系统按照 攻击者意愿执行任务的一组指令。
信息安全工程学院
School of Information Security Engineering
恶意代码将包括计算机病毒（computer virus） ，蠕虫（worm），特洛伊木马（trojan horses ），rootkits，间谍软件（spyware），恶意广 告（dishonest adware），流氓软件（ crimeware），逻辑炸弹（logic boom），后门 （back door），僵尸网络（botnet），网络钓 鱼（phishing），恶意脚本（malice script） ，垃圾信息（spam），智能终端恶意代码（ malware in intelligent terminal device）等 恶意的或讨厌的软件。
1896
1920
1987
2006
恶意代码概述
刘功申 上海交通大学信息安全工程学院
本章学习目标
明确恶意代码的基本概念 了解恶意代码的发展历史 熟悉恶意代码的分类 熟悉恶意代码的命名规则 了解恶意代码的未来发展趋势
信息安全工程学院
School of Information Security Engineering
恶意代码的发展历史
信息安全工程学院
School of Information Security Engineering
恶意代码的发展历史 卡巴斯基实验室的高级研究师David Emm研究 获悉，到2008年底为止，全球大约存在各种恶 意代码1,400,000个。
信息安全工程学院
School of Information Security Engineering