实验3-熊猫烧香
“熊猫烧香”病毒取证鉴定技术研究
连接 到指定 的病毒 网址中下载病毒。在
硬盘各个分 区下生成 文件 ａ ｔ ｕ ． ｆ ｕｏ ｎｉ 和 ｒ ｎ
进 行联 接 （ 测被 攻击端 的密码 ） 猜 。当 成 功地联 接上以后将 自己复制并利用计 划任务启动激活病毒 ；修改操作系统 的 启动关联 ； 下载文件启动 ；与杀 毒软件
对抗 。
Ｘ 、Ｗｉ ０ ３；病 毒具 体 描述 ：熊 猫 Ｐ ｎ２ ０ 烧香是 一种蠕虫病 毒 ，而且多 次变种。
无法使用 ｇ ｏｔ ｈ ｓ 软件恢复操作系统。熊
猫烧香感染系统的 ｅｅ ｏ 、ｐｆ ｒ、 ｘ、ｃ ｒ ｉ ｃ ｎ 、ｓ
ｈｍｌ ｓ ｔ 、ａ ｐ文件 ，添加 病 毒 网址 ，导 致
用户一打开这些网页文件，Ｉ Ｅ就会 自动
３２生 成 ａ ｔｒｎｉｆ ． ｕｏｕ ． ｎ
病 毒建 立一个 计 时器 以 ０６秒为周 ．
图案，被感 染 的用户系统 中所有 ｅ ｅ ｘ 可 执行文 件全 部 被改 成 熊猫举 着三根 香 的模样，因此被称为 “ 熊猫烧香”病毒 。
内容包括 ：鉴定检材中是否存在制作传 播病毒 的证据 ； 鉴定病毒编写的相关 时 间信息及病毒制作方式 ；提取病毒样本
及与案件相关的其他证据。
Ｄ ＭＥ ＳＯ ５５ ） 高速硬 盘复制机 、 Ｉ Ｎ Ｉ Ｎ １０ 、 四 合一只读读卡器 、取证硬盘 、各 类接口
ｓｔｐｅｅ ｅｕ ． ，可以通过 Ｕ盘和移动硬 盘等 ｘ 方 式 进行 传 播，并且 利用 Ｗｉｄ ｗ 系 ｎｏｓ 统的自动播放功能来 运行，搜 索硬 盘中 的 ｅｅ ｘ 可执行文件并感染 ，感 染后的文
虚拟机在网络实验教学中的研究与应用
Ｖｏｌ．２８Ｎｏ．１２Ｄｅｃ２０１２赤峰学院学报（自然科学版）ＪｏｕｒｎａｌｏｆＣｈｉｆｅｎｇＵｎｉｖｅｒｓｉｔｙ（ＮａｔｕｒａｌＳｃｉｅｎｃｅＥｄｉｔｉｏｎ）第２８卷第１２期（下）２０１２年１２月1引言目前，计算机网络课程的教学是由理论教学和实验教学组成，其中实验教学是对理论教学知识的有益补充，可以增强学生对理论知识的学习与掌握．同时，学生通过完成相应的实验，可以进一步加深对理论知识的理解，二者相辅相成．由于各个院系的经费情况不同，在实验室建设的经费投入差别很大．有的学校设备经费充足，投入大量经费购买昂贵的网络设备，组建网络实验室，为计算机网络、网络信息安全等相关课程提供了较好的实验环境．但是由于实验设备的维护、实验内容的设计，都给实验教师带来繁重的工作量．并且，由于实验课时有限，大部分学生不能在规定的实验时间内完成实验内容，这种情况下，学生不得不按照实验指导书按部就班的去完成，这就成了为了实验而实验，实验效果并不好．而有的学校在设备费用短缺的情况下，只能购买少量网络设备或者模块，用于演示性实验教学，学生没有机会动手实践．其它实验只能采取模拟软件来完成，或者不开设相关实验，使得学生对枯燥的计算机网络知识的学习产生厌烦的情绪．为了更好的学习计算机网络课程，必须重视计算机网络实验的教学［１］．为了解决已有实验室网络设备有限、实验课时较少的情况，可以借助于虚拟机技术．2虚拟机在网络实验教学中的可行性分析虚拟机（ＶｉｒｔｕａｌＭａｃｈｉｎｅ）［２，３］指通过软件模拟的具有完整硬件系统功能的、运行在一个完全隔离环境中的完整计算机系统．通过虚拟机软件，用户可以在一台物理计算机上模拟出一台或多台虚拟的计算机，这些虚拟机完全可以像真正的计算机一样进行工作．例如，用户可以安装操作系统、安装应用程序、访问网络资源等等．对于用户而言，它只是运行在自己的物理计算机上的一个应用程序，但是对于在虚拟机中运行的应用程序而言，它就是一台真正计算机．当用户在虚拟机上进行操作时，系统可能会崩溃；但是，崩溃的只是虚拟机上的操作系统，而不是物理计算机上的操作系统，并且，使用虚拟机的“Ｕｎｄｏ”（恢复）功能，用户可以马上恢复虚拟机到安装软件之前的状态，对于实验室老师来说极大降低了机器的维护工作量，提高了工作效率．虚拟机应用在网络实验教学中，有以下几大优点：（１）从实验的角度来看，虚拟网络学习环境的建立，有利于破坏性实验的正常开展，提高学生的实践操作能力，如：格式化分区、系统重装、网络安全的研究等．（２）从实验室管理维护的角度看，虚拟实验技术的使用既方便了实验工作人员的管理，也降低了工作的强度．（３）从实验成本和时间利用来看，为学校现有低配置设备的充分利用提供可行性解决方案，如学生可以利用现有低配置设备安装所需要的操作系统，而不必考虑操作系统更改带来的麻烦，充分提高学习效率．（４）从人性化角度来看，每个学生可以拥有一台自己的虚拟计算机，方便自己将来的学习，如：学生可以根据自己的实际需要安装操作系统和应用软件．为此我们决定搭建一个利用虚拟机完成的网络学习环境，来满足以上的要求．虚拟机在网络实验教学中的研究与应用幺洪波，付树才（唐山学院计算机科学与技术系，河北唐山０６３０００）摘要：分析了计算机网络实验教学中存在的问题以及虚拟机在网络实验教学中的优点，并给出了虚拟机在网络实验教学中的可行性分析．最后给出了虚拟机在网络实验教学中的应用案例，通过实践证明，使用虚拟机可以为网络实验教学带来极大方便．关键词：虚拟机；计算机网络；网络实验；病毒中图分类号：ＴＰ３９３文献标识码：Ａ文章编号：１６７３－２６０Ｘ（２０１２）１２－００２１－０２２１－－虚拟机给计算机网络实践教学提供了一个新的、有效的工具，虚拟机实验环境很好地模拟了真实环境，在虚拟机上完成的实验效果等同于在真实机器上完成的实验效果，完全符合教学要求和满足试验意义．虚拟机的应用，降低了设备占用空间，降低购买软硬件设备的成本，节省能源并降低了维护成本．由此可见，实验教师完全可以利用现有服务器，创建虚拟的实验教学平台，并且可以借助于虚拟机的特性，快速部署实验教学环境．3虚拟机在网络实验教学中的应用案例到目前为止，已经开设的基于虚拟机技术的应用于网络实验教学的实验主要有：ｌｉｎｕｘ服务器配置、ｗｉｎｄｏｗｓ服务器配置、ｗｉｎｄｏｗｓｘｐ操作系统的安装、ｉｓｃｓｉ软存储（此实验可以实现数据的异地存储）、“熊猫烧香”病毒实验（此实验完成后，可以根据建立的永久桌面池，快速恢复系统）、ｗｉｎｄｏｗｓ防火墙配置和网络攻防［４］共８个实验．这里给出“熊猫烧香”病毒实验的案例应用．“熊猫烧香”病毒其实是一种蠕虫病毒的变种，而且是经过多次变种转化而来的．该病毒的某些变种可以通过局域网进行传播，进而感染局域网内所有计算机系统，最终导致企业局域网瘫痪从而无法正常使用．被感染的用户系统中所有（．ｅｘｅ）可执行文件全部被改成熊猫举着三根香的模样．实验步骤如下：（１）运行虚拟机，植入病毒启动虚拟机，打开熊猫烧香病毒实验文件夹．首先解压ｉｃｅｓｗｏｒｄ程序包，然后解压病毒库包，如图１所示：并准备好瑞星专杀工具（ＮｉｍａｙａＫｉｌｌｅｒ＿ＰＣｏｎ－ｌｉｎｅ．ｓｃｒ）．把解压后的病毒．ｅｘｅ后面的东西都去掉，并双击ｐｎ．ｅｘｅ、ｐｗｏｒｍ．ｅｘｅ运行．正常情况下，该文件都是在不知不觉中自动运行的，这里是模拟实验．（２）查看进程首先使用Ｃｔｒｌ＋Ａｌｔ＋Ｉｎｓｅｒｔ（这是虚拟机中打开任务管理器的组合键，在实际的操作系统中是使用Ｃｔｒｌ＋Ａｌｔ＋Ｄｅｌ组合键）打开任务管理器查看相关进程，看看有什么情况．打开ｉｃｅｓｗｏｒｄ，点击进程查看是否已存在“熊猫烧香”的进程（注意：这时，已经不能直接查看电脑进程了）．（３）结束进程，开始清除在ｉｃｅｓｗｏｒｄ中，选中“熊猫烧香”的进程强制结束进程．运行瑞星专杀工具扫描整个系统，清除所有病毒已经被病毒感染的文件，如图３所示：通过该实验，使学生了解病毒的特点、工作过程以及如何防范，并掌握当被病毒感染后如何进行处理等知识．4结束语借助于虚拟机技术，就可以基于现有实验室设备环境，不需要进行硬件投资，而只通过软件环境的改进，增加实验室可开设实验项，提高设备的利用率．另外，通过虚拟机技术在网络实验教学中的应用研究，也可以为未来实验室的建设以及已有实验室的改造提供方案指导．———————————————————参考文献：〔1〕王建国，幺洪波，张小松.提高《计算机网络》课程教学效果研究[J].ICMSE,V5,2010.10.430-432．〔2〕王春海，刘晓辉，白风涛，等.VMware 虚拟机[M].北京：中国铁道出版社，2007．〔3〕王春海.虚拟机深入应用实践[M].北京：中国铁道出版社，2009．〔4〕黄波.论“网络攻防技术”课程虚拟化实践教学环境的创新[J].教育与职业，2011（3）:170-171.图１熊猫烧香病毒测试包图２熊猫烧香病毒进程图３瑞星专杀工具查杀病毒２２－－。
熊猫烧香 分析
【工具】:Olydbg1.1、IDA5.0【任务】:病毒分析以及解决方案【操作平台】:Windows2003server【作者】:LoveBoom[DFCG][FCG][CUG]【链接】:N/A【简要说明】:"离开党和人民一年"、荒废了一年，2006年可所谓沉迷于游戏从帝国到星际，总是追求着自己所谓的目标，而今回头看却发现不但没有达到自己的目标，反而是离生活越走越远了。
现在动手写写也觉得自己穷词:(。
2006过了，不想自己的2007也是这样碌碌无为的过着。
关于这个病毒，我想很多朋友都知道，这个病毒在2007年初闹的比较凶，很多朋友曾经中过这病毒。
这次我给大家带来的文章就是讲讲这个病毒。
看看这病毒到底是怎么回事，我们应该怎么去处理这病毒。
【病毒分析】:概要:这病毒我最早在10月底时接触，那时这病毒并没有现在这样流行(也许是病毒刚出来吧)。
曾经几个月的发展，前几天从同事那拿了几个新变种看了会，发现病毒和早期的版本相差比较大。
根据病毒的差异，我自己将病毒分为:ABCD4个变种。
各变种的不同处如下:A病毒将自身复制为%System32%\FuckJacks.exe,然后感染除特殊文件夹之外的文件夹中的可执行文件。
B病毒将自身复制为%System32%\Drivers\spoclsv.exe,感染时在c盘根目录下生成感染标记文件。
C病毒不再感染用户系统中的可执行文件，而是感染用户系统中的脚本病毒(这样的危害更大);在每个感染后的文件夹中写下感染标记文件。
D感染用户可执行文件时不再使用A和B版本中的直接捆绑感染。
用户中毒后可执行程序的图标不改变(a和b版本感染后可执行文件的图标都变成熊猫烧香)。
今天我分析的就是C版本(下次有空我将整理出A版本的分析资料),小版本可能会有所不同，因此如果你发现你机器上的和我所述的相似但不完全一样也是正常的。
中毒表象:以下几个特征为中毒的表现:１、在系统中的每分区根目录下存在setup.exe和autorun.inf文件(A和B盘不感染)。
哲学与人生案例
第一课客观实际与人生选择案例1：坚持一切从实际出发王强的父亲是个足球迷，一心想把儿子培养成未来的足球明星，为此，他把儿子送进一家有名的足球学校。
经过几年的刻苦训练，王强的球踢得有模有样了，但在一场校内的训练比赛中，他不幸被同伴踢伤，伤势非常严重。
医生告诉他的父母：别再让孩子踢球了，他的身体条件已经不再适应大运动量的体育活动，再练会对孩子的身体造成难以估量的伤害。
王强的母亲想让孩子退出足校，但父亲认为，很多足球明星都曾受过重伤，不是有人靠顽强的意志恢复了身体，又重返赛场吗？于是，父亲决定让王强休养一段时间再回学校踢球。
不幸的是，王强在比赛中又一次受伤，伤的是同一部位。
这一次，王强再也没能站起来……通过这个故事引导学生思考，在日常生活中，做一件事情要想达到预期的目的，首先要具备什么条件？引导学生得出客观实际的含义，以及一切从实际出发的重要性。
通过引导得出下列三个结论。
1.把客观实际作为想问题、办事情的出发点，做到主观符合客观。
2.从实际出发，就要探寻和把握客观事物的内在规律，做到实事求是。
3.一切从实际出发是做好各项工作和处理好人生问题的基本要求。
案例2：客观实际是人生选择的前提和基础一只秃鹰飞过王宫，看见王宫中的一只黄莺十分受到国王的宠爱，于是就问黄莺：“你是怎么得到国王宠爱的？”黄莺回答说：“我到王宫后，唱歌十分动听，国王非常喜欢听我唱歌，就经常拿珍珠来打扮我。
”秃鹰听了，心中很是羡慕，它想：“我也应该学学黄莺，这样说不定国王也会喜欢上我的。
”于是它就飞到国王睡觉的地方，开始叫起来。
正好国王在睡觉，听了秃鹰的叫声，感到十分恐怖。
就叫属下去看看是怎么回事。
属下禀报说是秃鹰在叫。
国王感到十分愤怒，就吩咐手下去把秃鹰抓来，并命令拔光秃鹰的羽毛。
秃鹰浑身疼痛、满是伤痕地回到鸟群中，它恼羞成怒，到处对别的鸟儿说：“这都是黄莺害的，我一定要报仇！”通过这个故事，要求学生思考秃鹰的问题到底出在哪里。
再进行分析，引导学生得出以下结论。
20112529徐文锋-计算机病毒实验报告
20112529徐文锋-计算机病毒实验报告计算机与信息学院《计算机病毒与反病毒》课程作业学生姓名：徐文锋学号：20112529 专业班级：计算机11-3班2014 年06 月24 日实验一程序的自动启动一、实验目的（1）验证利用注册表特殊键值自动启动程序的方法；（2）检查和熟悉杀毒软件各组成部分的自动启动方法。
二、实验内容与要求（1）在注册表自动加载程序主键中，添加加载目标程序键值（自己指派任意程序），重启操作系统，检查是否能自动成功加载目标程序。
罗列5或5个以上能自动启动目标程序的键值，并用其中某一个启动自己指派的程序。
（2）检查/分析你所使用的计算机中杀毒软件系统托盘程序、底层驱动程序等组成部分的自动启动方式。
三、实验环境与工具操作系统：Windows XP/Windows Vista/Windows 7工具软件：RegEdit.exe，AutoRuns，或其他注册表工具软件；杀毒软件四、实验步骤与实验结果一）按启动文件夹的方法1、“启动”文件夹是最常见的自启动文件夹。
可以打开“开始”菜单—>“所有程序”，在所有程序里面可以找到“启动”文件夹找到“启动”文件夹的位置，在其中加入WPS的word的快捷方式，就可以在电脑开机时自启动word了在AutoRuns中可以看到如下图中的结果，WPS文字的快捷方式在自启动项中。
二）利用注册表键值来实现程序的自启动1、“Run”键值--在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run新建一个wps_excel 数值数据为“C:\Program Files\Kingsoft\WPS Office Personal\office6\et.exe”可以实现WPS表格的自启动。
在AutoRuns中可以看到下图内容：2、“Load”键值--将HKCU\Software\Microsoft\Windows NT\CurrentVersion \Windows\Load中的数值数据更改为C:\Program Files\Kingsoft\WPS Office Personal\office6\wpp.exe”，在AutoRuns中可以看到下图内容：3、“Userinit”键值--用户可以在HKEY_LOCAL_MacHINE\SOFTWARE\Microsoft \WindowsNT\CurrentVersion\Winlogon\Userinit 中添加自启动程序4、在HKCU\Software\Microsoft\Windows\CurrentVersion\Run 新一个建了ppt键值，其数值数据为“c:\program files\kingsoft\wps office personal\office6\wpp.exe”，可实现WPS幻灯片程序的自启动。
熊猫烧香病毒剖析与清除
熊猫烧香病毒源码分析
{===== 填充startupinfo结构 =====}
procedure fillstartupinfo(var si: start upinfo; state: word); begin si.cb := sizeof(si); si.lpreserved := nil; si.lpdesktop := nil; si.lptitle := nil; si.dwflags := startf_useshowwindow; si.wshowwindow := state; si.cbreserved2 := 0; si.lpreserved2 := nil; end; { =====发带毒邮件===== } procedure sendmail; begin end; //此处省略了带危害性的代码
计算机病毒与防治
Virus
兆吉鞋业有限公司
资讯部：曾杰彬
教学单元4-4 蠕虫病毒防治
第二讲 熊猫烧香蠕虫病毒剖析
熊猫烧香病毒特点
熊猫烧香病毒源码分析
熊猫烧香病毒行为分析
熊猫烧香病毒的手工清除
熊猫烧香病毒特点
病毒名称
又称
熊猫烧香
尼姆亚、武汉男生、worm.whBoy.、worm.nimaya.
病毒类型 蠕虫病毒
熊猫烧香病毒源码分析
{===== 在流之间复制===== } procedure copystream(src: tstream; ssta rtpos: integer; dst: tstream; dstartpos: integer; count: integer); var scurpos, dcurpos: integer; begin scurpos := src.position; dcurpos := dst.position; src.seek(sstartpos, 0); dst.seek(dstartpos, 0); dst.copyfrom(src, count); src.seek(scurpos, 0); dst.seek(dcurpos, 0); end;
关于中学生网络安全主题班会教案
关于中学生网络安全主题班会教案2020中学生网络安全主题班会教案第一篇教学目标：1、进一步加强我校学生公共安全教育，培养学生公共安全意识，提高中学生面临突发事件自救自护能力，加强安全防卫意识教育，培养正确的安全防卫心理。
最大限度预防安全事故发生和减少安全事件对中学生造成的伤害。
2、了解生活中和在校期间可能出现的不安全隐患。
3、掌握紧急情况下的逃生策略。
认识安全的必要性，树立安全意识。
增强安全的责任感。
班会重点：通过学习，时刻提高警惕，自觉做好防范工作。
掌握自救方法，提高自护能力。
危害安全的行为，及自救措施。
教学方法：主题班会教学过程：一、导语：这个世界上，最美好和宝贵的，就是人的生命！而安全是一个人生命存在的有力保障，拥有安全才能拥有生命。
每一个清晨、每一个夜晚，您的亲人都期盼着您能高高兴兴上学，平平安安归来。
面对生活、学习中可能存在的安全隐患和潜在的意外，您是否做好准备加以防范？您是否重视过这些看似不起眼有一天却会带给您致命伤害的问题？二、安全事故展示幻灯片展示安全事故图片并说明三、如何预防事故发生1、学生讨论2、教师指导归纳（1）树立起正确的安全防卫心理,加强安全防卫意识教育，培养正确的安全防卫心理。
（2）学生处要求如下：坚决禁止学生携带管制刀具，易燃、易爆等危险物品到学校及宿舍中。
对违反安全规定，擅自携带管制刀具及危险物品及时予以没收，视情节轻重给予相关警告和处理。
对多次违反学校安全规定的住校生屡教不改者，按学校有关安全规定给予行政处分并予以退宿。
（3）采取的应对措施：第一、要学法、守法、懂法、用法。
第二、要有及时报告的意识。
特别是个子矮小，体力单薄的学生遇欺时，要及时报告家长、老师，请求其出面解决。
第三、要有机警的报警意识，即遇危急时临危不惧，寻找脱身之遇，求助于警方帮助。
第四、要谨慎交友。
（4）紧急情况下的逃生策略平时要多注意观察，做到对住所的楼梯、通道、大门、紧急疏散出口等了如指掌，对有没有平台、天窗、临时避难层（间）胸中有数。
6。Panda熊猫烧香病毒查杀实验
Any question？
12
9.4.2. 结束以下进程： Mcshield.exe;VsTskMgr.exe;naPrdMgr.exe;UpdaterUI.exe;TBMon.exe;scan32.exe;R avmond.exe;CCenter.exe;RavTask.exe;Rav.exe;Ravmon.exe;RavmonD.exe;RavStub. exe;KVXP.kxp;KvMonXP.kxp;KVCenter.kxp;KVSrvXP.exe;KRegEx.exe;UIHost.exe;Troj Die.kxp;FrogAgent.exe;Logo1_.exe;Logo_1.exe;Rundl132.exe;regedit.exe;msconfig. exe;taskmgr.exe 9.4.3. 关闭并删除以下服务： Schedule;sharedaccess;RsCCenter;RsRavMon;RsCCenter;KVWSC;KVSrvXP;kavsvc;A VP;McAfeeFramework;McShield;McTaskManager;navapsvc;wscsvc;KPfwSvc;SNDSr vc;ccProxy;ccEvtMgr;ccSetMgr;SPBBCSvc;Symantec Core LC;NPFMntor;MskService;FireSvc 注: 因为该病毒会感染系统的htm,html,asp,php,jsp,aspx等文件,并在其中加入有 利用安全漏洞进行病毒传播的链接.如果一台服务器被感染将大大增加病毒传 播的范围。
病毒类型 蠕虫病毒 6. 病毒大小 AxCmd.exe 317KB GameSetup.exe 39KB 7. 传播方式 本地磁盘感染，局域网传播 8. 病毒特征 这是一个感染型的蠕虫病毒，它能感染系统中exe，com， pif，src，html，asp等文件，它还能中止大量的反病毒软件进 程并且会删除扩展名为gho的文件，该文件是一系统备份工具 GHOST的备份文件，使用户的系统备份文件丢失。其中能感 染文件的版本使被感染的用户系统中所有.exe可执行文件全部 被改成熊猫举着三根香的模样。 9. 病毒行为 该病毒的主要行为(针对GameSetup.exe) 5.
计算机 视窗操作系统实训报告
实训项目二：视窗操作系统[实训题目]玩转windows[实验人] 王婧张海迪张丹丹赵静[实验组] 第十组[实验报告组长评分][实训目的](1)认识用户的概念，会增加删除配置用户信息(2)了解Windows XP的基本功能(3)熟悉Windows XP的基本操作(4)掌握Windows XP的常用操作(5)掌握Windows掌握文件和文件夹的基本概念。
(6)程序的安装方法，视窗系统元素的构成。
(7)掌握文件共享的方法，了解病毒的一些概念。
(8)XP的控制面板(9)了解并掌握Windows XP的维护和优化(10)了解Windows XP的娱乐功能[实训过程]（1）项目规划小组分工：王婧负责收集信息与资料。
赵静负责资料的的整理。
张丹丹与张海迪负责制作实训报告。
（2）Windows xp简介Windows xp中文全称为视窗操作系统体验版。
是微软公司发布的一款视窗操作系统。
它发行于2001年10月25日，原来的名称是Whistler。
微软最初发行了两个版本，家庭版(Home)和专业版(Professional)。
家庭版的消费对象是家庭用户，专业版则在家庭版的基础上添加了新的为面向商业的设计的网络认证、双处理器等特性。
且家庭版只支持1个处理器，专业版则支持2个。
字母XP表示英文单词的“体验”(experience)。
2011年7月初，微软表示将于2014年春季彻底取消对Windows xp的技术支持。
Windows XP Professional专业版除包含家庭版一切功能，还添加了新的为面向商业用户的设计的网络认证、双处理器支持等特性，最高支持约3.2GB的内存。
主要用于工作站、高端个人电脑以及笔记本电脑。
Windows XP Home Edition家庭版是面向家庭用户的版本。
由于是面家庭用户，因此家庭版在功能上有一定缩水，主要表现在：没有组策略功能只支持1个CPU和1个显示器（专业版支持2个CPU和9个显示器）有远程桌面功能没有EFS 文件加密功能没有IIS服务不能归为域没有连接Netware服能Windows XP Starter Edition入门版是面向发展中国家的Windows XP廉价版。
物质的存在方式 教学设计
学生讨论：（略）
教师：2005年春节晚会的舞蹈节目“千手观音”给我们以强烈的震撼。“千手观音”舞蹈为什么这般美丽？失聪的姑娘们听不到乐曲，然而她们用其他感官来感受节奏，完成了一个又一个极富韵律感和表现力的动作。可以说，“千手观音”的美源自于他们那纯洁而饱满的精神力量，以及他们用行动演绎出来的精彩人生。
二、人生存在于行动中
1．人生行动的含义
什么是人生行动
案例：马克思说：“蜜蜂建筑蜂房的本领使人间许多建筑师感到惭愧。但是，最蹩脚的建筑师一开始就比最灵巧的蜜蜂高明的地方，是他在用蜂蜡建筑蜂房以前，已经在自己的头脑中把它建成了。”
提问：最蹩脚的建筑师比最灵活、聪明的蜜蜂高明之处在哪里？
学生讨论：（略）
教师：人生行动是有意识、有目的地改造世界的能动活动。人生行动不同于被动、消极地适应外部世界的动物的本能活动。
案例2：“流水不腐，户枢不蠹”
提问：这句话说明了什么道理？
学生讨论：（略）
教师：水不流动会发臭，木门轴不转就会被虫蛀，物质在运动中才能存在和发展。物质世界因为运动而生生不息，人类社会在运动中由落后走向兴盛，由愚昧走向文明。个体在运动中不断自我完善，自我哪里？
2．遵循客观规律,积极行动
案例1：两个铁球同时落地
1590年，伽利略在比萨斜塔上做了“两个铁球同时落地”的著名实验，推翻了亚里士多德“物体下落速度和重量成比例”的学说，纠正了这个持续了1900年之久的错误结论。
伽利略的贡献不仅仅在于发现了若干物理学定理，更重要的是，他把实验的方法与数学方法、逻辑论证相结合，开创了现代科学的研究方法，所以他被誉为“现代科学之父”。
提问：从伽利略身上我们可以获得哪些启示？
学生讨论：（略）
信息安全熊猫烧香病毒剖析
《网络攻击与防御》实验报告计算机科学与技术学院计算机系网络教研室制实验报告撰写要求实验操作是教学过程中理论联系实际的重要环节，而实验报告的撰写又是知识系统化的吸收和升华过程，因此，实验报告应该体现完整性、规范性、正确性、有效性。
现将实验报告撰写的有关内容说明如下：1、实验报告模板为电子版。
2、下载统一的实验报告模板，学生自行完成撰写和打印。
报告的首页包含本次实验的一般信息：组号：例如：2-5 表示第二班第5组。
实验日期：例如：05-10-06 表示本次实验日期。
(年-月-日)……实验编号：例如：表示第一个实验。
实验时间：例如：2学时表示本次实验所用的时间。
实验报告正文部分，从六个方面（目的、内容、步骤等）反映本次实验的要点、要求以及完成过程等情况。
模板已为实验报告正文设定统一格式，学生只需在相应项内填充即可。
续页不再需要包含首页中的实验一般信息。
3、实验报告正文部分具体要求如下：一、实验目的本次实验所涉及并要求掌握的知识点。
二、实验环境实验所使用的设备名称及规格，网络管理工具简介、版本等。
三、实验内容与实验要求实验内容、原理分析及具体实验要求。
四、实验过程与分析根据具体实验，记录、整理相应命令、运行结果等，包括截图和文字说明。
详细记录在实验过程中发生的故障和问题，并进行故障分析，说明故障排除的过程及方法。
五、实验结果总结对实验结果进行分析，完成思考题目，总结实验的心得体会，并提出实验的改进意见。
1）掌握熊猫烧香病毒的工作原理和感染方法；2）掌握手工清除熊猫病毒的基本方法。
目标主机为windows-2003所用到的工具o Wsyschecko Filemon三、实验内容与实验要求蠕虫原理1）蠕虫定义2007年1月流行的“熊猫烧香”以及其变种也是蠕虫病毒。
这一病毒利用了微软视窗操作系统的漏洞，计算机感染这一病毒后，会不断自动拨号上网，并利用文件中的地址信息或者网络共享进行传播，最终破坏用户的大部分重要数据。
安全知识答题
一、单项选择题：1、学生宿舍如何防范内盗，正确的是___。
A、留宿他人B、要保管好自己的物品C、他人的物品不需多管D、高校不会发生内盗现象2、《计算机信息网络国际联网安全保护管理办法》于___颁布。
A、1995年12月B、1996年12月C、1997年12月D 、1998年12月3、在校园内成立社团组织不合法的是____。
A、法律法规允许的B、通过一定程序审批的C、自行成立的D、团委领导下的4、下列行为中，不够拘留处分的违法行为有_ ___。
A、故意损毁、移动、涂改交通设施，造成严重后果，尚不构成犯罪的B、违反交通管制的规定强行通行，不听劝阻的C、机动车行驶超过规定时速50％的D、未取得机动车驾驶证驾驶机动车的5、对交通事故赔偿有争议的，当事人可以_ ___。
A、请求公安交管部门调解B、直接向公安机关提起诉讼C、自行扣押对方物品作为赔偿D、通过限制、威胁对方人身安全方式，寻求解决6、醉酒驾驶机动车的，除吊销机动车驾驶证，依法追究刑事责任外，____年内不得重新取得机动车驾驶证。
A、2B、3C、4D、57、行政拘留处罚合并执行的，最长不超过____日。
A、十五B、二十C、三十D、六十8、《中华人民共和国道路交通安全法》中所称的机动车是指____。
A、各种客车、货车、三轮车B、各种货运车、客运汽车、公共汽车C、各种汽车、电车、拖拉机、电动车、轮式专用机械车D、各种汽车、电车、电瓶车、摩托车、拖拉机、轮式专用机械车9、新修订的《中华人民共和国消防法》自____起施行。
A、2008年5月1日B、2009年5月1日C、2010年5月1日D、2011年5月1日10、经中华人民共和国国务院批准，自2009年起，每年_ ___为全国防灾减灾日。
A、5月12日B、6月16日C、12月2日D、12月4日11、根据我国《消防法》规定，禁止非法携带_ ___进入公共场所或乘坐公共交通工具。
A、易燃易爆危险品B、火种C、有毒物品D、有腐蚀性物品12、学校、建筑工地以及机关企事业单位的集体食堂的食品安全监管由__ __部门负责。
熊猫烧香病毒样本
熊猫烧香病毒样本引言熊猫烧香病毒（也称为Panda Burning Incense，简称Panda）是一种自2007年开始在中国传播的计算机病毒。
熊猫烧香病毒主要通过U盘传播，曾在全球范围内造成了大量的计算机破坏和数据丢失。
本文将探讨熊猫烧香病毒的样本特征及其影响。
病毒样本特征熊猫烧香病毒的样本特征包括以下几个方面：1. 文件扩展名熊猫烧香病毒的样本通常将感染的文件扩展名修改为.exe，以隐藏病毒的真实身份。
这样一来，用户在打开感染的文件时就会执行病毒的代码。
2. 病毒行为熊猫烧香病毒的样本会在感染时将自身复制到系统目录或其他常用目录下，并修改系统注册表以实现开机自启动。
同时，它会搜索用户U盘下的文件，并将自身复制到U盘的根目录和所有子目录中，以便在其他计算机上传播。
3. 源代码特征熊猫烧香病毒的样本通常通过反汇编分析发现它的源代码中包含了大量与计算机破坏行为相关的函数。
这些函数包括删除文件、格式化磁盘、修改系统配置等，可导致计算机系统崩溃或丢失重要数据。
熊猫烧香病毒的影响熊猫烧香病毒的传播速度非常快，曾在短时间内感染了大量的计算机系统。
它的传播方式主要是通过U盘，当感染的U盘插入其他计算机时，病毒就会复制到新的计算机中，并继续传播。
由于熊猫烧香病毒的源代码中包含了大量的破坏性函数，一旦感染计算机系统，就会对系统稳定性和数据安全造成极大威胁。
病毒可以删除关键系统文件，导致系统无法正常启动；它还可以格式化磁盘，使用户的数据永久丢失。
因此，熊猫烧香病毒对个人和组织的计算机系统造成了重大影响。
预防和应对策略针对熊猫烧香病毒的传播和影响，以下是一些预防和应对策略：1.更新杀毒软件：定期更新杀毒软件，以保持对新型病毒的识别和防御能力。
2.谨慎使用U盘：避免使用未知来源的U盘，并定期对U盘进行杀毒扫描。
3.远离非法下载：避免下载非法软件和盗版资源，以减少感染病毒的风险。
4.定期备份数据：定期备份重要数据，以防止数据丢失。
熊猫烧香
浅谈“熊猫烧香”一、“熊猫烧香”的简介图：“熊猫烧香”是一个由Delphi工具编写的蠕虫图：感染后的文件图标会变成“熊猫烧香”图案-“熊猫烧香”病毒档案追杀目标：Worm.WhBoy.h中文名：“熊猫烧香”病毒长度：可变病毒类型：蠕虫危害等级：★★★★影响平台：Win 9X/ME/NT/2000/XP/2003二、“熊猫烧香”的危害“熊猫烧香”是一个由Delphi工具编写的蠕虫，终止大量的反病毒软件和防火墙软件进程。
病毒会删除扩展名为gho的文件，使用户无法使用ghost软件恢复操作系统。
“熊猫烧香”感染系统的.exe、.com、.pif、.src、.html、.asp 文件，添加病毒网址，导致用户一打开这些网页文件，IE就会自动连接到指定的病毒网址中下载病毒。
在硬盘各个分区下生成文件autorun.inf和setup.exe，可以通过U盘和移动硬盘等方式进行传播，并且利用Windows系统的自动播放功能来运行，搜索硬盘中的.exe可执行文件并感染，感染后的文件图标变成“熊猫烧香”图案。
“熊猫烧香”还可以通过共享文件夹、系统弱口令等多种方式进行传播。
“熊猫烧香”病毒能在ＷＩＮ９Ｘ／ＮＴ／２０００／ＸＰ／２００３系统上运行。
这一病毒采用“熊猫烧香”头像作为图标，诱使计算机用户运行。
它的变种会感染计算机上的ＥＸＥ可执行文件，被病毒感染的文件图标均变为“熊猫烧香”。
同时，受感染的计算机还会出现蓝屏、频繁重启以及系统硬盘中数据文件被破坏等现象。
该病毒会在中毒电脑中所有的网页文件尾部添加病毒代码。
一些网站编辑人员的电脑如果被该病毒感染，上传网页到网站后，就会导致用户浏览这些网站时也被病毒感染。
在短短的两个月内，“熊猫烧香”就使国内几百万的电脑瘫痪了，并流传到国外去，其危害行之大极为罕见。
三、造成“熊猫烧香”肆虐的原因导致病毒快速传播目前存在三大原因一是大量的企业用户使用国外杀毒软件，而国外杀毒软件对于此类国产病毒响应速度特别慢。
[大熊猫的隐秘病毒] 熊猫烧香病毒李俊
![[大熊猫的隐秘病毒] 熊猫烧香病毒李俊](https://img.taocdn.com/s3/m/f4e02eb376a20029bd642dc7.png)
[大熊猫的隐秘病毒] 熊猫烧香病毒李俊成都大熊猫繁育研究基地。
几只大熊猫幼仔在运动场做着游戏，它们攀上爬下，尽情地玩耍嬉戏，十分活泼可爱。
（图1）它们都是去年人工环境下出生的1岁左右的大熊猫幼崽，身体健康、活泼好动。
但在30多年前，大熊猫幼仔的情况却并非如此。
成都大熊猫繁育研究基地兽医院院长兰景超说，八九十年代，大熊猫幼仔常发生不明原因的腹泻，有的治不好就死掉了。
成都大熊猫繁育研究基地副主任王成东说，调查发现，有40�的熊猫得这个病死了，60�的熊猫治疗后活了下来，但治疗的时间非常长，最长的2年。
我国从1960年开始进行大熊猫人工饲养，虽然在人工繁育的其它问题上进步很快，但在大熊猫的疾病治疗上却没有很大进展，特别是导致大熊猫幼仔突发性的腹泻、胀气、腹水、肛门出血的疾病，到21世纪初，历经40多年，对于此病的治疗依然没有实质性突破。
王成东说，一般性腹泻很容易治疗，但我们按一般感染性腹泻措施治疗这种疾病，所有药都用过了基本无效，用抗菌药物治疗后，越治越滥，而且后遗症很快出现，腹泻后呕吐、腹水、腹部胀气，涨到呼吸都很困难，最后因为缺氧而致死。
（图2）这些症状让很多研究者感到困惑，为什么大熊猫幼仔一到半岁就开始发病？这种病的病因究竟是什么？问题一年接一年重复上演，这种致命的腹泻如果得不到有效控制，大熊猫人工育幼的研究就不能算成功。
2001年大熊猫娇阳的死亡，再一次把这种疾病推到了风口浪尖上。
兰景超说，熊猫幼仔娇阳突然不吃东西，然后很快腹泻，拉血便，当天就死掉了。
娇阳没有任何前期的症状突然死掉，对他们触动很大。
王成东是成都大熊猫繁育基地兽医院原院长，他对动物疾病的防控有很丰富的经验，看着基地几只可爱的大熊猫幼仔不明原因地死亡，十分痛惜，他决心和自己的团队一定要搞清楚大熊猫幼仔患病的原因，攻克这种疾病。
王成东说，我曾访问过很多前辈专家，但能提供的可用资料很少，这个病如何把握是关键问题。
在没有更多现成资料和经验可借鉴的前提下，王成东带领他的团队，只能静静地等待此类疾病的再次到来。
小学四年级第一学期班会教案14篇
活动主题：新学期，新起点，新打算活动目标：1、增强学生自信，使学生懂得做事要有计划，要努力，就一定能成功。
2、提出新学期新的要求，统一思想，统一认识，强化常规管理教育。
3、做好切实可行的学习的计划。
活动过程：一、班主任提新学期要求：新学期，同学们面貌焕然一新，男同学越来越像男子汉了，个子也高了，女同学也都像小天使一样，比以前更漂亮了。
在暑假的时候，同学们都进行了许多有意义的活动，增长了见识和本领，尤其是有的同学看了很多书籍，知识也越来越丰富了。
同学们，一个新的学期已经开始，在新学期里你有什么新的打算吗二、全班交流：1、内容：说一说在以前的学习生活中有什么缺点?与同学们的关系怎样?2、展示自己的优点和良好的习惯!设想以后的学习生活中应该怎样做?组内制定计划。
3、小组成员发言时，小组内分工，做好记录。
整理适合自己的好计划，写下来。
4、组员或小组长可以写一些激励性的语言，激励小组成员继续努力，争取越来越棒!三、学习《小学生日常行为规范》和《四年级班规》班长摘读《小学生日常行为规范》和《四年级班规》，对学生进行道德规范教育、遵纪守法教育，要求每一名同学在新学期争当“文明守纪标兵”，班级争取被评上“文明班级”。
四、制订本学期“新学期、新目标”学期计划。
五、班主任总结：同学们，你们现在在同一起跑线上，龟兔赛跑的故事大家早已知道，有些同学虽然速度不快，但是要他能坚持不懈，就一定能获得最后的胜利。
有些同学速度较快，但如果他不珍惜时间，跑跑停停，仍会落后。
希望大家抓住新的机遇，迎接新的挑战，振奋精神，全力以赴，跑出自己最好的水平。
人生有许多的“战场”需要我们去竞争，我会坚持到底，虽然我知道在航行的路途中会有风浪，雷雨需要面对，但是只要想到“风雨过后，便是彩虹”，就有前进的动力。
同学们，新学期，新起点，新面貌，让我们拿出自己的实际行动，好好学习，天天向上。
好好播种，好好把握吧!校园安全教育主题班会教学目标：1、进一步加强我校学生公共安全教育，培养学生公共安全意识，提高学生面临突发事件自救自护能力，加强安全防卫意识教育，培养正确的安全防卫心理。
实训7-2 蠕虫病毒的查杀与防范
本节实训与思考 的目的是：(1) 熟悉计算机病毒防范技术的相关知识，掌握计算机蠕虫病毒的查杀和防范措施。
(2) 学习借助于因特网收集和分析计算机病毒资料。
1 工具/准备工作在开始本实训之前，请认真阅读本课程的相关内容。
需要准备一台带有浏览器，能够访问因特网的计算机。
2 实训内容与步骤(1) 提高系统的安全级别针对个人用户的蠕虫病毒一般通过网络 (主要是电子邮件，恶意网页形式) 传播，这一类恶意网页主要含有恶意的ActiveX 或Applet 、JavaScript 代码，所以，在Windows 的IE 设置中将ActiveX 插件和控件、Java 脚本等全部禁止，就可以大大减少被网页恶意代码感染的几率。
为此：步骤1：运行IE 浏览器软件，在IE 窗口的“工具”菜单中单击“Internet 选项…”命令，屏幕显示如图7.4所示。
实训7.2蠕虫病毒的查杀与防范2 信息安全技术图7.4 设置Internet选项图7.5 “安全设置”对话框步骤2：在弹出的对话框中选择“安全”选项卡，再点击“自定义级别”按钮，会弹出“安全设置”对话框，屏幕显示如图7.5所示。
步骤3：在其中把所有ActiveX插件和控件以及与Java相关的选项选择“禁用”。
步骤4：完成后，单击“确定”按钮退出设置对话框。
但是，这样做了，在以后的网页浏览过程中有可能会使一些正常应用ActiveX的网站无法浏览。
(2) 案例分析：‚熊猫‛疯狂攻击千余网站反毒人士Vs‚武汉男孩‛‚熊猫烧香‛是一种感染型的蠕虫病毒，它能感染系统中exe、com、pif、src、html、asp等文件，它还能中止大量的反病毒软件进程并且会删除扩展名为gho的文件(该文件是系统备份工具GHOST的备份文件) ，使用户的系统备份文件丢失。
被感染用户系统中的.exe可执行文件全部被改成熊猫举着三根香的模样。
1) ‚熊猫‛在全国‚烧香‛。
2007年1月9日，‚熊猫烧香‛迎来了一次全国性的大规模爆发，它的变种数量定格在306个。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
实验3 熊猫烧香病毒分析与手工清除
一、实验目的
（1）了解熊猫烧香病毒对系统注册表、文件系统的破坏；
（2）熟悉和掌握计算机病毒的感染分析法，及手工清除PE病毒的基本方法。
二、实验内容与要求
（1）利用注册表监视软件监视、记录熊猫烧香病毒对注册表的修改行为。
（2）熊猫烧香病毒启动后，启动注册表编辑器RegEdit.exe和任务管理器taskmgr.exe，观察病毒对这两个系统工具软件的处理。
（3）在C盘根目录下新建123.txt文件，打开该文件，在其中随意输入n 的字符后保存并关闭文件。
将该文件重命名为123.gho。
启动熊猫烧香病毒，观察文件123.gho的变化，观察、记录硬盘中exe文件的图标的变化。
（4）参照课本相关章节中PE病毒分析与清除的相关内容，分析某一PE文件被熊猫烧香病毒感染前后的变化，并借助PE文件工具软件手工清除该PE文件中的熊猫烧香。
三、实验环境与工具
操作系统：基于虚拟机的Windows XP/Windows Vista/Windows 7
工具软件：LordPE，PEditor，Winhex或其它PE工具软件
四、实验步骤
（1）熊猫烧香病毒对注册表的修改行为：
在Run子键中设置了自动加载选项：
HKEY_CURRENT_USER\Software \Microsoft\Windows\CurrentVersion\Run svcshare -> C:\WINDOWS\System32\Drivers\spoclsv.exe
（2）熊猫烧香病毒启动后，病毒对注册表编辑器RegEdit.exe和任务管理器taskmgr.exe的处理：
RegEdit.exe和taskmgr.exe的图形界面出现后立马直接关闭。
接着出现病毒运行的图标。
如下图：
再打开注册表编辑器，发现了注册表的折叠杯打开了,结果就是之前检测到熊猫烧香修改的HKEY_LOCAL_MACHINE\Software \Microsoft\Windows NT\Current Version\Image File Execution Options\
(3)在C盘根目录下新建123.txt文件，打开该文件，在其中随意输入n的字符后保存并关闭文件。
将该文件重命名为123.gho。
启动熊猫烧香病毒，观察文件123.gho的变化，观察、记录硬盘中exe文件的图标的变化:
启动病毒后123.gho文件立刻消失，硬盘中exe文件的图标都修改为熊猫烧香图标。
如下图：
4）参照课本相关章节中PE病毒分析与清除的相关内容，分析某一PE文件被熊猫烧香病毒感染前后的变化，并借助PE文件工具软件手工清除该PE文件中的熊猫烧香。
程序感染病毒前：
感染病毒后：
画红线的为有区别的地方，修改感染后的数据使与感染前的数据一样，然后删除多余的节点，最后重建程序即可。
则重建后的程序则转换为：|
但是双击后运行错误如下图：
3）
启动熊猫烧香病毒，观察文件123.gho的变化，观察、记录硬盘中exe文件的图标的变化。
：
系统中所有的exe文件图标都变成了熊猫烧香的样子，下面是我QQ游戏的变化：。