第1章 恶意代码概述
计算机专业论文：恶意代码分析
恶意代码分析目录摘要： (2)关键词： (2)1.概要介绍 (3)2.恶意代码综述 (3)2.1 恶意代码的特征 (4)2.2 恶意代码的传播 (4)2.2.1 恶意代码的传播手法 (4)2.2.2 恶意代码的趋势 (4)2.3 恶意代码的类型 (5)2.4 恶意代码的发展 (7)2.5 恶意代码攻击机制 (10)3. 恶意代码实例 (11)4. 恶意代码分析实验操作 (13)5. 恶意代码侦测 (19)5.1 现行恶意代码侦测情况 (19)5.2 应有恶意代码侦测机制 (21)5.2.1 恶意代码传播的不易控性 (21)5.2.2 路径跟踪的新方法：沾染图 (22)5.2.3 沾染图的基础 (23)5.2.4 Panorama (25)6. 小组感想 (28)7. 小组分工 (30)8. 参考文献 (32)摘要：恶意代码（Malicious Code）是指没有作用却会带来危险的代码，其最主要特征是目的的恶意性、程序的执行性与执行的传播性。
在探索了恶意代码的基本属性与特征后，我组进而对一个真实的恶意代码实例进行了较为详细的分为，并在真实代码旁均作了详实的批注。
除此，为了进一步跟踪恶意代码的破坏途径，我组在我们的笔记本电脑中装入了VWare虚拟机，并试图运行TEMU软件，进行此方面研究。
最后，在完成上述工作后，我们产生了这样的观点，即：仅仅了解恶意代码的实质与恶性并不足以产生对现实生活有益的效果，为了能学有所用，我们更应了解的是如何对恶意代码进行侦测和防治。
因而，我组最后的研究内容是与探索一条侦测途径，即：Panorama系统，以遍更有效地抵消恶意代码的进攻。
关键词：恶意代码（恶意软件），TEMU，恶意代码侦测，Panorama1.概要介绍生活质量的提高、信息的海量增加、科技的日益普及等无一不使电脑的泛化与网络的兴荣呈现愈演愈烈的趋势。
随着这种趋势的日益明显，人们愈发地离不开电脑的应用与网络所呈现出的便利与快捷。
信息安全领域的恶意代码分析与防范实践
信息安全领域的恶意代码分析与防范实践第一章引言在当今数字化快速发展的时代，信息安全日益受到重视。
然而，随着互联网的蓬勃发展，恶意代码越来越普遍，成为信息安全领域的一个严重问题。
恶意代码不仅对用户信息造成损失，而且可能导致系统瘫痪、数据泄露等严重后果。
因此，对恶意代码进行分析和防范显得格外重要。
第二章恶意代码概述恶意代码指攻击者制作出来的用于攻击计算机系统的一类程序。
它不仅能窃取用户信息，而且还可以通过远程控制实现恶意操作。
恶意代码的种类非常丰富，从病毒、蠕虫、木马、间谍软件到广告软件、浏览器插件等。
这些恶意代码具有一定的销售市场，黑客通过交易恶意代码来获取利润。
第三章恶意代码分析恶意代码分析是指对恶意代码进行分析和研究，找到其攻击机理和特征，从而更加有效地对其进行防范。
恶意代码分析主要有静态分析和动态分析两种方式。
静态分析是指对恶意代码文件进行逆向工程，进行二进制代码分析，并查看其模式、数据、程序、逆向指针等信息，从而发现恶意代码的特征。
而动态分析则是在虚拟环境中运行恶意代码，跟踪它的活动，并进行行为分析。
第四章恶意代码防范预防比治疗更为重要，恶意代码攻击是需要良好的预防措施的。
首先，我们需要保证系统和软件的安全性，更新操作系统、杀毒软件和防火墙程序等安全软件，并关闭系统中的不必要服务和端口。
此外，我们还应该谨慎处理邮件和附件等外部资源，以免恶意代码通过这些通道入侵系统。
最后，加强用户信息的保护与隐私，如加强密码长度，避免过度免费软件等，才能确保安全。
第五章结论总之，恶意代码是一个严峻的问题，对于信息安全提出了更高的要求，恶意代码分析与防范实践显得尤为重要。
对于企业和个人用户而言，加强对恶意代码的了解和预防，保证信息安全是必不可少的。
防御恶意代码和计算机犯罪管理规范_030328_v3_FD
操作系统 安全管理
数据和文档 安全管理
应用系统安 全管理
网 络 安 全 管 理 概 述
通 用 网 规络 范安 全 管 理
内 部 网 规络 范安 全 管 理
外 部 网 规络 范安 全 管 理
通 用 安 概全 述管 理 标 准
认 证 管 理 通 用 标 准
授 权 管 理 通 用 标 准
加 固 管 理 通 用 标 准
2.3
2.3.1 2.3.2 2.3.3 2.3.4 2.3.5
防御恶意代码管理规范 ........................................................... 20
防御恶意代码的员工职责和行为规范 ............................................................................................20 防御恶意代码防范员工培训规范 ....................................................................................................24
加 密 管 理 通 用 标 准
日 志 管 理 通 用 标 准
系 统 登 标陆 准管 理 通 用
1） 整体信息技术安全架构从逻辑上共分为 7 个部分，分别为：物理环境、硬件设备、网络、操作 系统、数据和文档、应用系统和通用安全管理标准。图中带阴影的方框中带书名号的为单独成 册的部分，共有 13 本《规范》和 1 本《通用标准》 。
随着信息技术的发展， 企业对于信息系统的依赖程度日益增大， 随之而来的很多通过计算机进行犯 罪的现象也与日俱增。 目前计算机犯罪的手法和方式多种多样， 但为人们广为认识的主要是计算机恶意 代码的攻击，目前几乎所有的计算机使用者都或多或少的接触到计算机恶意代码的危害。因此，为防御
_恶意代码1
14
蠕虫需要利用漏洞进行传播
蠕虫王-slammer（2003年1月25日） MS02-039 冲击波-msblast（2003年8月11日） MS03-026 震荡波-sasser（2004年5月1日） MS04-011 极速波-Zotob（2005年8月14日） MS05-039 魔波-MocBot（2006年8月13日 ） MS06-040 扫荡波-saodangbo（2008年11月7日） MS08-067
30
宏病毒
– 2, 宏病毒感染的目标是文档，而不是可执行的 代码段。 而实际上，传入计算机系统中的大部分 信息都以文档而非程序的方式保存。 – 3, 宏病毒易于传播。 一个非常普遍的传播媒介 是电子邮件。
31
电子邮件病毒
• 电子邮件病毒是一种最近发展起来的恶意 软件。 第一个广泛传播的电子邮件病毒是 Melissa病毒，它利用 Microsoft Word 的 宏，嵌入到电子邮件的附件中。 如果收件 人打开该附件，就会激活Word的宏。 之后：
15
2.流行的网络恶意代码
3. 特洛伊木马：是指一类看起来具有正常功能，但实际上隐 藏着很多用户不希望功能的程序。通常由控制端和被控制 端两端组成。 如冰河、网络神偷、灰鸽子、上兴…… 4. 后门：使得攻击者可以对系统进行非授权访问的一类程序。 如WinEggDrop 5. RootKit：是黑客用来掩饰自己的入侵并获得一台计算 RootKit： 机或计算机网络管理员级访问权的一套工具（程序）。
3 33Biblioteka 41 25
6
公钥加密的六个部分
4
RSA 公钥加密算法
• 密钥产生算法： 密钥产生算法：
– 1, 生成两个随机的大的素数p和q， 它们的 大小近似相等； – 2, 计算n = pq and φ(n) = (p-1)(q-1); – 3, 选择一个整数e，其中1 < e < φ(n)，使得 gcd (e, φ(n) ) = 1（即e与φ(n)互素 ）； – 4, 计算秘密的指数d，其中1 < d < φ(n) ， 使得ed ≡ 1 (mod φ(n) ) ; – 5, 则公钥为(n, e)，私钥为(n, d)。其中p、 q和φ(n)的值必须保密。
恶意代码一般原理及分析简介.
2.1 病毒的传播方式
• 传播方式主要有：
• • • • 电子邮件 网络共享 P2P 共享 系统漏洞
2.1 病毒的传播方式
电子邮件
• • • • HTML正文可能被嵌入恶意脚本， 邮件附件携带病毒压缩文件 利用社会工程学进行伪装，增大病毒传播机会 快捷传播特性
• 例子，WORM_MYTOB等病毒
• 4.典型的病毒案例分析 • 5.防病毒现场演练
3.1 疑似病毒现象
• • • • • • 经常出现系统错误或系统崩溃 系统反应变慢，网络拥塞 陌生进程或服务 可疑的打开端口 可疑的自启动程序 病毒邮件
3.2 进行系统诊断
• 趋势科技提供SIC 工具
(system information collector)
1.2 当前病毒流行的趋势
范围：全球性， 如WORM_MOFEI.B等病毒
速度：越来接近零日攻击， 如worm_zotob.a等病毒 方式：蠕虫、木马、间谍软件联合， 如Lovgate等病毒
课程进度
• 1.病毒概述
1.1 当前面临的威胁 1.2 当前病毒流行的趋势
• 2.病毒感染过程和行为
2.1 病毒的传播方式 2.2 病毒自启动方式
3.3 病毒清除方法
• 恢复注册表的设定
根据病毒修改的具体情况，删除或还原相应的注册表项。
您可以从趋势科技网站的以下链接中查找病毒相关的信息： /vinfo/virusencyclo/default.asp
工具：注册表编辑器 regedit.exe
恶意代码一般原理及分析简介
目标
• 掌握反病毒知识 • 熟悉反病毒工具的使用 • 培养现场反病毒应急响应能力
课程进度
• 1.病毒概述
第1章 恶意代码概述
• （3）强行弹出广告，或者其他干扰用户并占用系统资源行为； • （4）有侵害用户信息和财产安全的潜在因素或者隐患； • （5）未经用户许可，或者利用用户疏忽，或者利用用户缺乏相关知识，
秘密收集用户个人信息、秘密和隐私。
6 间谍软件
• 间谍软件（Spyware）是一种能够在计算机使用者无法察觉或给 计算机使用者造成安全假相的情况下，秘密收集计算机信息的并 把它们传给广告商或其他相关人的程序。
• 记忆犹新的3年（2003 - 2005）
• 2004年是蠕虫泛滥的一年，大流行病毒：
• 网络天空(sky) • 高波(Worm.Agobot) • 爱情后门(Worm.Lovgate) • 震荡波(Worm.Sasser) • SCO炸弹(Worm.Novarg) • 冲击波(Worm.Blaster) • 恶鹰(Worm.Bbeagle) • 小邮差(Worm.Mimail) • 求职信(Worm.Klez) • 大无极(Worm.SoBig)
为什么提出恶意代码的概念？
过时的计算机病毒定义
• 国务院颁布的《中华人民共和国计算机信息系统安全保护条例》， 以及公安部出台的《计算机病毒防治管理办法》将计算机病毒均 定义如下：
• 计算机病毒是指，编制或者在计算机程序中插入的破坏计算机功 能或者破坏数据，影响计算机使用并且能够自我复制的一组计算 机指令或者程序代码。
• 博士论文的主题是计算机病毒 • 1983年11月3日，Fred Cohen博士研制出第一个计算机病毒
（Unix）。
• 1986年初，巴基斯坦的拉合尔，巴锡特和阿姆杰德两兄弟编写 了 Pakistan病毒，即Brain，其目的是为了防范盗版软件。
• Dos – PC – 引导区
网络安全中的恶意代码分析与防范手段
网络安全中的恶意代码分析与防范手段恶意代码是指通过计算机网络对用户或者系统造成危害的一种程序代码，常见的恶意代码包括病毒、蠕虫、木马、间谍软件等。
随着网络的普及和应用的广泛，网络安全问题变得愈发突出。
本文将对网络安全中的恶意代码进行分析，并提供相应的防范手段。
一、恶意代码的分析恶意代码的形式多种多样，具有隐蔽性和破坏性。
下面将介绍几种常见的恶意代码及其分析方法。
1. 病毒病毒是一种能够自我复制并传播的恶意代码。
它通常通过文件的共享或者下载、运行来感染目标计算机。
病毒可以对系统文件进行修改、删除或者破坏，导致计算机系统崩溃。
分析病毒需要使用杀毒软件，对潜在的病毒样本进行扫描和分析，从而识别病毒的特征。
2. 蠕虫蠕虫是一种能够自动复制并在网络中传播的恶意代码。
蠕虫可以通过漏洞来感染系统，并在系统中运行。
它们常常通过邮件、用户点击等方式传播。
分析蠕虫需要借助网络监控系统，对网络流量进行监测和分析，从而发现异常的数据包和行为。
3. 木马木马是一种通过伪装成合法程序隐藏在计算机系统中的恶意代码。
它可以远程控制受感染的计算机，进行非法操作，如窃取个人信息、植入其他恶意程序等。
分析木马需要使用流量分析工具，监控计算机与外部的网络连接，识别异常连接和传输的数据包。
4. 间谍软件间谍软件是一种潜伏在计算机中的恶意程序，用于收集用户的个人信息，并将其发送给第三方。
间谍软件通常通过下载和安装一些看似正常的软件而进入系统。
分析间谍软件可以使用反间谍软件进行扫描和识别，同时注意检查系统中的异常行为和网络连接。
二、恶意代码的防范手段针对恶意代码的分析结果，我们需要采取相应的防范措施，并提高网络安全的水平。
以下是几种常用的防范手段。
1. 使用杀毒软件和防火墙杀毒软件和防火墙是防范恶意代码的第一道防线。
及时更新病毒库和漏洞补丁，可以有效阻止恶意代码的感染。
同时，配置合适的防火墙策略，对网络连接和传输进行监控和过滤，保护系统安全。
网络恶意代码的介绍与分类
网络恶意代码的介绍与分类网络恶意代码（Malware）是指恶意软件或恶意脚本，用于侵入计算机、服务器或网络系统，并破坏、窃取、删除或修改数据以及干扰正常系统运行。
网络恶意代码多种多样，每种恶意代码都有不同的特征和目的。
本文将介绍网络恶意代码的常见类型和分类方法。
1. 病毒（Virus）病毒是一种能够自我复制并传播的恶意代码。
它将自己附加到其他程序或文件中，并在用户执行这些程序或文件时激活。
病毒可以对系统造成很大的破坏，例如删除或修改文件、操纵系统功能等。
常见的病毒类型包括文件病毒、宏病毒、脚本病毒等。
2. 蠕虫（Worm）蠕虫是自主传播的恶意代码，与病毒不同，蠕虫不需要附加到其他程序或文件中就能够通过网络进行传播。
蠕虫常常利用系统的漏洞进行传播，并通过网络共享、电子邮件等方式传播给其他计算机。
蠕虫可以快速传播并对网络造成大规模破坏，例如拒绝服务攻击（DDoS）。
3. 木马（Trojan Horse）木马是一种伪装成合法程序的恶意代码。
用户在执行木马程序时，木马会执行恶意操作而不被察觉。
与病毒和蠕虫不同，木马通常不会自我复制或传播，它主要通过用户下载或安装来传播。
木马可以用于远程控制系统、窃取用户信息、记录键盘输入等恶意活动。
4. 广告软件（Adware）广告软件是一种常见的恶意代码，其主要目的是在用户浏览器中显示广告以获取利润。
广告软件通常通过捆绑到其他免费软件中进行传播，用户在安装软件时常常会不知情地同意安装广告软件。
广告软件不仅会干扰用户的浏览体验，还可能收集用户的浏览历史和个人信息。
5. 间谍软件（Spyware）间谍软件是一种用于监视用户活动、窃取个人信息并发送给第三方的恶意代码。
间谍软件通常通过下载或安装伪装成合法程序的方式传播。
一旦感染，间谍软件会记录用户敏感信息、浏览历史等，并将这些信息发送给攻击者。
间谍软件对用户的隐私构成严重威胁。
6. 勒索软件（Ransomware）勒索软件是一种恶意代码，它通过加密或锁定用户文件，然后要求用户支付赎金以解锁文件。
《恶意代码》课件
实际案例分析
WannaCry勒索软件
WannaCry勒索软件于2017年肆虐全球，通过利用系统漏洞进行传播，并勒索用户的数据。
NotPetya病毒攻击
NotPetya病毒于2017年造成了广泛的破坏，瘫痪了许多企业和机构的计算机系统。
Mirai僵尸网络攻击
Mirai僵尸网络攻击于2016年发生，通过攻击物联网设备形成大规模的攻击力。
恶意代码的传播途径
恶意代码可以通过电子邮件、网络下载、恶意 链接等多种途径传播。
恶意代码的种类
恶意代码的种类多种多样，包括病毒、蠕虫、 木马、间谍软件等。
恶意代码的危害
恶意代码可能导致数据丢失、系统崩溃、个人 隐私泄露等严重后果。
常见恶意代码
病毒
病毒是一种可以自我复制和传播的恶意代码，可以 通过感染文件、网络或外部存储设备传播。
蠕虫
蠕虫是一种能够自动复制和传播的恶意代码，可以 通过网络和系统漏洞进行传播。
木马
木马是一种表面上看起来无害的程序，但实际上会 在用户不知情的情况下执行恶意操作。
间谍软件
间谍软件是一种能够搜集用户个人信息并发送给攻 击者的恶意代码。
恶意代码的防范措施
1 安装杀毒软件
及时安装并定期更新杀毒 软件是防范恶意代码的基 本措施。
总结
恶意代码的威胁
恶意代码对个人和组织的信息安全和网络安全构成了严重威胁。
增强网络安全意识的必要性
加强网络安全教育，提高用户和企业的安全意识，是防范恶意代码的重要手段。
恶意代码防范的重要性
采取有效的恶意代码防范措施，可以避免数据损失、系统崩溃和个人隐私泄露。
《恶意代码》PPT课件
在这个《恶意代码》PPT课件中，我们将介绍恶意代码的概念、种类、传播途 径和危害，以及常见恶意代码如病毒、蠕虫、木马和间谍软件的特点和危害。 我们还会讨论恶意代码的防范措施和一些实际案例分析。
网络安全06 - 恶意代码
不进行复制的和进行复制的
恶意代码的特征
恶意代码日趋复杂和完善。 恶意代码编制方法和发布速度更快。 利用系统和网络漏洞及脆弱性进行传播和 感染的恶意代码急剧增加，开创了恶意代 码发展的新时期。
恶意代码的发展趋势
传播方式不再以存储介质为主要的传播载 体，网络成为计算机病毒传播的主要载体。 传统病毒日益减少，网络蠕虫成为最主要 和破坏力最大的恶意代码类型。 传统病毒与木马技术相结合，出现带有明 显病毒特征的木马或者带木马特征的病毒。
按连接方式的不同
计算机病毒的分类 - 2
良性病毒
只是为了表现自身，并不彻底破坏系统和数据，但会 占用大量CPU时间，增加系统开销，降低系统工作效 率的一类计算机病毒 该类病毒多为恶作剧者的产物
一旦发作，就会破坏系统或数据，造成计算机系统瘫 痪的一类计算机病毒 该类病毒危害极大，有些病毒发作后可能给用户造成 不可挽回的损失 如“黑色星期五” 、木马、蠕虫病毒等
潜伏寄宿传染木马有隐藏性的可与远程计算机建立连接使远程计算机能够通过网络控制本地计算机的恶意程序隐藏信息窃取控制蠕虫通过计算机网络自我复制消耗系统资源和网络资源的程独立复制扩散逻辑炸弹嵌入计算机系统的有特定触发条件试图进行破坏的计算机程序潜伏破坏条件触发脚本病毒能够从主机传送到客户计算机上执行破坏功能的代码移动漏洞用户级rootkit通过替代或者修改应用程序进入系统从而实现隐藏和创建后门的程序隐蔽潜伏核心级rootkit嵌入操作系统内核进行隐藏和创建后门的程序隐蔽潜伏恶意代码分类前者本质上来说是不能独立于应用程序或系统程序的程序段例如病毒逻辑炸弹和后门
传播方式：文件感染、Email、WWW、局域网
恶意代码简介
课程内容
1 2 3 4 恶意代码概述
计算机病毒
特洛伊木马 蠕虫
7
2016/9/18
17.2计算机病毒
严格地从概念上讲，计算机病毒只是恶意代码的 一种。实际上，目前发现的恶意代码几乎都是混 合型的计算机病毒 美国计算机研究专家最早提出了“计算机病毒” 的概念：计算机病毒是一段人为编制的计算机程 序代码。 1994年2月28日，我国出台的《中华人民共和国计 算机安全保护条例》对病毒的定义如下：“计算 机病毒是指编制或者在计算机程序中插入的、破 坏数据、影响计算机使用，并能自我复制的一组 计算机指令或者程序代码”
木马的分类
远程控制型木马 可以让攻击者完全控制被感染的计算机 密码发送型木马 专门为了盗取被感染主机上的密码 破坏型木马 破坏被感染主机上的文件系统 键盘记录型木马 记录受害者的键盘敲击 拒绝服务攻击木马 反弹端口型木马 服务端（被控制端）使用主动端口，客户端(控制端)使用被动端口 代理木马 变为攻击者发动攻击的跳板
计算机病毒的特点
传染性 通过各种渠道从已被感染的计算机扩散到未被感染的计 算机。 隐蔽性 病毒一般是具有很高编程技巧的、短小精悍的一段代码， 躲在合法程序当中。 潜伏性 病毒进入系统之后一般不会马上发作 多态性 病毒试图在每一次感染时改变它的形态 破坏性 造成系统或数据的损伤甚至毁灭
木马植入手段
下载植入木马 木马程序通常伪装成优秀的工具或游戏 通过电子邮件来传播 木马程序隐藏在一些具有恶意目的的网站中 利用系统的一些漏洞植入 如微软著名的IIS漏洞 攻击者成功入侵目标系统后，把木马植入目标系 统
木马的特点
隐蔽性。隐蔽性是木马程序与远程控制程序的主 要区别 欺骗性。为了达到隐蔽目的，木马常常使用和系 统相关的一些文件名来隐蔽自身。 顽固性。很多木马的功能模块已不再是由单一的 文件组成，而是具有多重备份 危害性。攻击者可以通过客户端强大的控制和破 坏力对主机进行操作。 潜伏性。木马种植到系统后一般不会马上发作， 而是要等到与控制端连接之后才会接受指令而动 作。
网络安全课件-恶意代码及应对策略
在这个网络安全课件中，我们将深入讨论恶意代码的种类、危害以及如何应 对的策略，帮助您更好地保护自己和您的组织。让我们开始吧！
什么是恶意代码？
1 恶意软件
2 病毒
恶意软件是一种被设计用来 窃取信息、破坏系统或者危 害用户安全的软件。
3 蠕虫
病毒是一种依附于其他程序 的恶意代码，它可以自我复 制，并在被启动时执行恶意 操作。
加强员工对钓鱼攻击、下载 附件和点击链接的警惕性。
强化安全措施
使用有效的防火墙、反病毒 软件和反垃圾邮件工具来阻 止恶意代码的传播。
定期更新软件和操作系统， 修补已知漏洞。
数据备份和恢复
定期备份数据，确保在恶意 代码感染或数据丢失时能够 恢复。
测试和验证备份数据的完整 性和可用性。
实时监测和响应
1 安全事件监测
恶意代码的危害
1
经济损失
2
恶意代码可以导致数据丢失、系统瘫
痪和服务中断，给组织和个人带来巨
大的经济损失。
3
数据泄露恶ຫໍສະໝຸດ 代码可以窃取个人、商业和政府 数据，造成隐私泄露和知识产权损失。
声誉损害
数据泄露、系统漏洞和被黑客攻击的 事件会对组织的声誉和可信度造成负 面影响。
恶意代码防御策略
网络安全教育
提供员工网络安全培训以增 强其识别和防范恶意代码的 能力。
使用入侵检测系统和日 志分析工具实时监测网 络活动以识别潜在的攻 击。
2 响应计划
制定灵活的安全响应计 划来快速应对和恢复恶 意代码感染事件。
3 取证和调查
在遭受恶意代码攻击后， 进行取证和调查以了解 攻击的来源和方式。
总结
了解不同类型的恶意代码和其危害，制定针对性的防御策略，强化安全意识 和措施，并保持实时监测和响应，是有效应对恶意代码的关键。
恶意代码 分类 国标 19327
恶意代码分类国标19327摘要：一、恶意代码概述二、国标19327 对恶意代码的分类三、各类恶意代码的特点及实例四、国标19327 对网络安全的重要性正文：恶意代码是指一类具有恶意目的或对计算机系统及用户造成潜在威胁的程序代码。
这类代码往往会在用户不知情的情况下，窃取用户信息、破坏系统功能或传播给其他用户。
为了更好地识别和防范恶意代码，我国制定了国标19327，对恶意代码进行了详细的分类。
根据国标19327，恶意代码可分为以下几类：1.病毒：一种自我复制并传播的程序，能够在计算机系统中自动执行，对系统资源造成占用和破坏。
例如，熊猫烧香病毒。
2.木马：一种隐藏在正常程序中的恶意代码，能够在用户不知情的情况下，窃取用户信息或远程控制用户计算机。
例如，灰鸽子木马。
3.蠕虫：一种能够独立传播的恶意代码，能够在计算机网络中自动传播，占用网络资源，对网络造成拥堵和破坏。
例如，SQL Slammer 蠕虫。
4.后门：一种为攻击者提供非法访问权限的程序，攻击者可以利用后门，绕过系统的安全防护措施，对系统进行控制和破坏。
例如，Backdoor.WinShell 后门。
5.僵尸程序：一种能够在计算机系统中自动执行的恶意代码，主要用于攻击其他计算机系统或参与网络犯罪活动。
例如，Botnet 僵尸网络。
6.间谍软件：一种能够在用户不知情的情况下，窃取用户信息的程序。
例如，Spybot 间谍软件。
7.广告软件：一种能够在计算机系统中自动显示广告信息的程序。
例如，Adware 广告软件。
国标19327 对恶意代码的分类具有重要的实际意义。
首先，各类恶意代码的特点和实例有助于用户了解和识别各种恶意代码，提高网络安全意识。
其次，通过对恶意代码进行分类，网络安全防护产品可以针对不同类型的恶意代码采取相应的防范措施，提高防护效果。
最后，国标19327 为我国网络安全法律法规的制定和实施提供了技术依据，有利于完善我国网络安全体系。
总之，国标19327 对恶意代码的分类为我国网络安全提供了有力的技术支持。
补充-恶意代码防护技术
5
1 恶意代码概述
恶意代码的发展史
2001 年，国信安办与公安部共同主办了我国首次计算机病毒疫情网 上调查工作。结果感染过计算机病毒的用户高达63％，其中，感染 三次以上的用户又占59％多，网络安全存在大量隐患。 2001 年8月，“红色代码”蠕虫利用微软Web 服务器IIS 4.0 或5.0 8 Web IIS 5.0 中Index服务的安全漏洞，攻破目标机器，并通过自动扫描方式传播 蠕虫，在互联网上大规模泛滥。 2003 年，SLammer 蠕虫在10 分钟内导致互联网90％脆弱主机受到 感染。同年8月，“冲击波”蠕虫爆发，8天内导致全球电脑用户损 失高达20亿美元之多。 2004年到2006年，振荡波蠕虫、爱情后门、波特后门等恶意代码利 用电子邮件和系统漏洞对网络主机进行疯狂传播，给国家和社会造 成了巨大的经济损失。 目前，恶意代码问题成为信息安全需要解决的，迫在眉睫的、刻不 容缓的安全问题。
9
2 恶意代码实现机理
早期恶意代码的主要形式是计算机病毒。80年 代，Cohen 设计出一种在运行过程中可以复制 自身的破坏性程序，Adleman将它命名为计算 机病毒，它是早期恶意代码的主要内容。 随后，Adleman把病毒定义为一个具有相同性 质的程序集合，只要程序具有破坏、传染或模 仿的特点，就可认为是计算机病毒。这种定义 有将病毒内涵扩大化的倾向，将任何具有破坏 作用的程序都认为是病毒，掩盖了病毒潜伏、 传染等其它重要特征。
计算机蠕虫 特洛伊木马 逻辑炸弹
病菌 用户级RootKit 核心级RootKit
传染和拒绝服务 隐蔽，潜伏 隐蔽，潜伏
12
2 恶意代码实现机理
恶意代码攻击机制
恶意代码的行为表现各异，破坏程度千差万别，但基本作用机制大体相同， 其整个作用过程分为6个部分： ①侵入系统。侵入系统是恶意代码实现其恶意目的的必要条件。恶意代码入 侵的途径很多，如：从互联网下载的程序本身就可能含有恶意代码；接收已 经感染恶意代码的电子邮件；从光盘或软盘往系统上安装软件；黑客或者攻 击者故意将恶意代码植入系统等。 ②维持或提升现有特权。恶意代码的传播与破坏必须盗用用户或者进程的合 法权限才能完成。 ③隐蔽策略。为了不让系统发现恶意代码已经侵入系统，恶意代码可能会改 名、删除源文件或者修改系统的安全策略来隐藏自己。 ④潜伏。恶意代码侵入系统后，等待一定的条件，并具有足够的权限时，就 发作并进行破坏活动。 ⑤破坏。恶意代码的本质具有破坏性，其目的是造成信息丢失、泄密，破坏 系统完整性等。 ⑥重复①至⑤对新的目标实施攻击过程。恶意代码的攻击模型如图2-1所示。
恶意代码防范
恶意代码防范恶意代码防范1 什么是恶意代码恶意代码是一种程序，它通过把代码在不被察觉的情况下镶嵌到另一段程序中，从而达到破坏被感染电脑数据、运行具有入侵性或破坏性的程序、破坏被感染电脑数据的安全性和完整性的目的。
按传播方式，恶意代码可以分成五类：病毒，木马，蠕虫，移动代码和复合型病毒.1.1 蠕虫蠕虫是目前危害最大的一种恶意代码攻击。
蠕虫是一种可以自我复制的完全独立的程序，它的传播不需要借助被感染主机中的其他程序。
蠕虫的自我复制不象其他的病毒，它可以自动创建与它的功能完全相同的副本，并在没人干涉的情况下自动运行。
蠕虫是通过系统存在的漏洞和设置的不安全性（例如：设置共享）来进行入侵的。
它的自身特性可以使它以及快的速度传输（在几秒中内从地球的一端传送到另一端）。
其中比较典型的有Blaster和SQL Slammer。
根据国家计算机病毒应急处理中心通过对2004年计算机病毒情况的传播情况的监测汇总，蠕虫在2004年占有重要的位置，蠕虫由于其主动传播的特性，往往传播时间较长、形成危害较大，并且现在的蠕虫病毒多融入了黑客、木马等功能，还会还会阻止安全软件的运行，使得病毒的功能性更加强大。
1.2 传统病毒传统病毒一般都具有自我复制的功能，同时，它们还可以把自己的副本分发到其他文件、程序或电脑中去。
病毒一般镶嵌在主机的程序中，当被感染文件执行操作的时候，病毒就会自我繁殖（例如：打开一个文件，运行一个程序，点击邮件的附件等）。
由于设计者的目的不同，病毒也拥有不同的功能，一些病毒只是用于恶作剧，而另一些则是以破坏为目的，还有一些病毒表面上看是恶作剧病毒，但实际上隐含破坏功能。
病毒可以分为以下几类：感染文件病毒、感染引导区病毒、宏病毒和恶作剧电子邮件。
感染文件病毒感染文件病毒会把自己加载到可执行文件中，例如：WORD、电子表格、电脑游戏。
当病毒感染了一个程序后，它就会自我复制去感染系统中的其他程序，或者是其他通过共享使用了被感染文件的系统。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Any Questions?
恶意代码与计算机病毒 -原理、技术和实践
恶意代码与计算机病毒 -原理、技术和实践
恶意代码的种类
恶意代码主要包括：
− 普通计算机病毒 − 蠕虫 − 特洛伊木马 − Rootkits工具 − 流氓软件 − 间谍软件 − 恶意广告
− 逻辑炸弹
恶意代码与计算机病毒 -原理、技术和实践
恶意代码的种类
恶意代码主要包括：
− 网络僵尸 − 网络钓鱼 − 恶意脚本 − 垃圾信息 − 智能终端恶意代码等
、打印机、文件系统等方面探查恶意代码
− 恶意代码发作前 − 恶意代码发作时 − 恶意代码发作后
与恶意代码现象类似的硬件故障 与恶意代码现象类似的软件故障
恶意代码与计算机病毒 -原理、技术和实践
恶意代码的命名规则
CARO命名规则：
− 1991年，计算机反病毒研究组织(Computer
Antivirus Researchers Organization， CARO)的一些资深成员提出。
攻击行为发起者
U盘寄生虫 Backdoor/Huigezi 熊猫烧香 木马和恶意软件 木马 Worm_Sasser Worm_MSBLAST SQL Slammer Klez RedCode Nimda Love Letter CIH
受害PC数目（万台） 损失金额 (美元)
3000 近2000 超过200 — — — 超过140 超过20 超过600 超过100 超过800 — 超过6 000 — — — — — — 9.5亿∽12亿 90亿 26亿 60亿 88亿 近100亿
恶意代码的命名包括5个部分：
1. 病毒家族名
2. 病毒组名
3. 大变种 4. 小变种
5. 修改者
恶意代码与计算机病毒 -原理、技术和实践
恶意代码的命名规则
CARO的一些附加规则包括：
− 不用地点命名 − 不用公司或商标命名 − 如果已经有了名字就不再另起别名 − 变种病毒是原病毒的子类
恶意代码与计算机病毒 -原理、技术和实践
− 编制或者在计算机程序中插入的破坏计算机功
能或者毁坏数据，影响计算机使用并且能够自 我复制的一组计算机指令或者程序代码。
计算机病毒 vs. 恶意代码
恶意代码与计算机病毒 -原理、技术和实践
恶意代码的概念
恶意代码（Malware）定义
− 运行在目标计算机上，使系统按照攻击者意愿
执行任务的一组指令 − 未被授权的情况下，以破坏软硬件设备、窃取 用户信息、扰乱用户心理、干扰用户正常使用 为目的而编制的软件或代码片段。
恶意代码与计算机病毒 -原理、技术和实践
恶意代码的概念
恶意代码的特征
− 目的性
恶意代码的基本特征。
− 传播性
恶意代码体现其生命力的重要手段。
− 破坏性
恶意代码的表现手段。
恶意代码与计算机病毒 -原理、技术和实践
恶意代码的发展历史
年份
2009 2008 2007 2006 2005 2004 2003 2003 2002 2001 2001 2000 1999
恶意代码与计算机病毒 -原理、技术和实践
恶意代码的传播途径
熟悉恶意代码的传播途径将有助于防范恶意代
码的传播 恶意代码的传播途径
− 软盘 − 光盘 − 硬盘，含移动硬盘、USB硬盘等 − Internet − 无线通信系统
恶意代码与计算机病毒 -原理、技术和实践
感染恶意代码的症状
可以从屏幕显示、系统声音、系统工作、键盘
第一章 恶意代码概述
清华大学出版社
恶意代码与计算机病毒 -原理、技术和实践
本章码的发展历史 熟悉恶意代码的分类 熟悉恶意代码的命名规则 了解恶意代码的未来发展趋势
恶意代码与计算机病毒 -原理、技术和实践
为什么提出恶意代码的概念
计算机病毒的定义：
恶意代码的最新趋势
恶意代码的发展趋势和信息技术的发展相关 当前的恶意代码发展趋势
− 网络化发展 − 专业化发展 − 简单化发展 − 多样化发展 − 自动化发展 − 犯罪化发展
恶意代码与计算机病毒 -原理、技术和实践
恶意代码的最新趋势
图1-1. 恶意代码的集团化发展（卡巴斯基实验室）
恶意代码与计算机病毒 -原理、技术和实践