病毒的传播原理2

各種儲存媒體

–磁碟片、行動碟、拇指碟

• 透過Internet

–電子郵件、網頁瀏覽、即時應用程式

• 區域網路

–網路芳鄰、檔案共享、文件傳播

懷疑中毒的處理方式

• 電腦上的防毒軟體，平時應該注意：

–定期更新的動作是否完整

–排程(預約)掃毒與即時防護的機制

–相關日誌檔案的內容是否有所異常

–做好備份動作(記錄管理員帳號名稱與密碼) • 日誌異常或防毒軟體發出通知時，應該注意：–立即向上回報狀態，避免狀況蔓延擴散

–執行：即時掃毒或即時防護程式並確定生效運作–不幸中毒檔案應直接解毒或是執行相關隔離

中毒後的解決方法

• 先行參考各家防毒軟體公司的產品說明或教育

訓練介紹

• 檢查感染何種病毒與病毒相關資訊

–迅速地隔離受感染的網路區段、抑制疫情擴散• 進行救援動作

–報請專業人員尋找源頭並正確清除相關病毒程式• 使用系統還原功能

–格式化硬碟(包含MBR啟動磁區)

• 中毒後使用平時備份資料回復

平日應做好的救援準備

• 養成良好的備份習慣，可使用光碟燒錄片或

是其它種類的儲存媒體將資料備份

• 準備救援磁片，例如：原版產品光碟(序號)

與修補檔(Servise Pack) 、正版應用程式、

開機片、Ghost等軟體

• 格式化硬碟的準備，整體重新安裝的準備，

系統片、驅動程式以及應用軟體等

防範電腦中毒的原則

• 不使用盜版軟體或來路不明的軟體

• 避免使用在公共電腦用過的儲存媒體

• 沒有存取網路的時候離線

• 檢視副檔名

• 安裝一套合法的防毒軟體, 並時常更新病毒碼

• 開啟電子郵件的附加檔案前, 可開啟防毒軟體

的掃描功能掃描

• 關閉電子郵件軟體的預覽郵件功能

• 利用瀏覽器的安全設定功能來防範

一、病毒定义所谓病毒就是一段代码，其本质和大家使用的QQ、WORD什么的程序没有区别，只不过制作者令其具有了自我复制和定时发作进行破坏功能。一般病毒都在1K到数K大小。二、病毒种类我们所遇到的病毒可分引导型（感染磁盘引导区）程序型（感染可执行文件）宏病毒（感染WORD文档）等。三、病毒工作原理计算机系统的内存是一个非常重要的资源，我们可以认为所有的工作都需要在内存中运行（相当与人的大脑），所以控制了内存就相当于控制了人的大脑，病毒一般都是通过各种方式把自己植入内存，获取系统最高控制权，然后感染在内存中运行的程序。（注意，所有的程序都在内存中运行，也就是说，在感染了病毒后，你所有运行过的程序都有可能被传染上，感染那些文件这由病毒的特性所决定）1、程序型病毒的工作原理。这是目前最多的一类病毒，主要感染.exe 和.dll 等可执行文件和动态连接库文件，比如很多的蠕虫病毒都是这样。注意蠕虫病毒不是一个病毒，而是一个种类。他的特点是针对目前INTERNET高速发展，主要在网络上传播，当他感染了一台计算机之后，可以自动的把自己通过网络发送出去，比如发送给同一居欲网的用户或者自动读取你的EMAIL列表，自动给你的朋友发EMAIL等等。感染了蠕虫病毒的机器一秒种可能会发送几百个包来探测起周围的机器。会造成网络资源的巨大浪费。所以这次我们杀毒主要是针对这种病毒。那么病毒是怎么传染的那？切记：病毒传染的前提就是，他必须把自己复制到内存中，硬盘中的带毒文件如果没有被读入内寸，是不会传染的，这在杀毒中非常重要。而且，计算机断电后内存内容会丢失这我想大家都知道。所以：病毒和杀毒软件斗争的焦点就在于争夺启动后的内存控制权。2、程序型病毒是怎么传播的。病毒传播最主要的途径是网络，还有软盘和光盘。比如，我正在工作时，朋友拿来一个带病毒的软盘，比如，该病毒感染了磁盘里的A文件，我运行了一下这个A文件，病毒就被读如内存，如果你不运行染毒文件，程序型病毒是不会感染你的机器的（不要骂，我这里说的是程序型病毒，后面我会说引导型病毒，他只要打开软盘就会感染）当染毒文件被运行，病毒就进入内存，并获取了内存控制权，开始感染所有之后运行的文件。比如我运行了WORD。EXE ，则该文件被感染，病毒把自己复制一份，加在WORD.EXE文件的后面，会使该文件长度增加1到几个K。（不是所有病毒都这样，我举这个离子只是想介绍病毒感染过程）好，接下来，比如说我关机了，则内存中的病毒被清除，我机子中所有的染毒文件只有WORD.exe。第二天，我又开机时，内存是干净的。比如我需要用WORD，于是，该染毒文件中的病毒被读如内存，继续感染下面运行的程序，周而复始，时间越长，染毒文件越多。到了一定时间，病毒开始发作（根据病毒作者定义的条件，有的是时间，比如CIH，有的是感染规模等等）执行病毒作者定义的操作，比如无限复制，占用系统资源、删除文件、将自己向网络传播甚至格式化磁盘等等。但是，无论如何，病毒只不过是一段代码，他不可能破坏硬件（欢迎和我讨论），就算是CIH也不是破坏硬件，他只是改写了BIOS中的数据，实际上还是软破坏。什么叫破坏硬件？就是病毒发作时，你的硬盘啪的一下裂成两半，可能吗？所以，完全不必惧怕病毒，他不会让我门受到太大的经济损失，如果我们养成良好的工作习惯的话（比如自己的文档不要保存在C盘等，后面我会细说）3、引导型病毒的

工作原理看了前面的病毒传染过程，大家很容易想到，只要我启动计算机后不运行染毒程序，直接删除不就可以了。实际上，现在的病毒没有那么弱智的，下面我门来看看其他的几种传染机制，首先看看引导型病毒刚才说了，病毒必须进入内存才可以继续感染，只有被运行他才可以进入内存，那么与等用户来运行，如果用户长期不用这个染度文件，岂不是等的花而也谢了。引导型病毒感染的不是文件，而是磁盘引导区，他把自己写入引导区，这样，只要磁盘被读写，病毒就首先被读取入内存。这就是为什么杀毒要用干净的启动盘启动，为的就是防止引导型病毒。下面我详细的谈一下磁盘引导区，看不懂的可以跳过去。4、引导型病毒是如何传播的在计算机启动时，必须读取硬盘主引导区获得分区信息，再读取C：盘引导区获取操作系统信息，这时候任何杀毒软件都无法控制，这样我先介绍一下计算机的启动顺序，大家只要记住一点就是：任何程序都要被读入内存才会起作用。计算机加电后，内存是空的，首先从BIOS中读取一些启动参数到内存中，这些命令控制计算机去做下一步工作就是自检。（BIOS就是固化在ROM中的基本输入输出系统的意思，ROM是只读存储器，因为计算机是一个机电设备，他不会自己干什么事情，必须由软件，也就是人事先写好的程序来控制他工作，而这些程序必须被读入内存才可以控制计算机，哈哈越扯越远了，不说了，在将就变成计算机基础讲座了，哈哈）接下来，计算机自检，发现硬盘，读取硬盘主引导程序到内存中，再读取C盘的引导程序到内存中，再读取操作系统文件到内存中，然后开始由操作系统文件控制计算机开始启动。启动完毕后，读入各种自动运行的文件，比如天网放火墙、QQ、病毒监测软件、等等，前面说过，谁先进入内存，谁先占据系统控制权，从上面的启动顺序可以发现，如果病毒在引导区，那么，他被读入内存的时候，杀毒软件还不知道在那里呢。举个离子：比如我拿了一张染有引导型病毒的软盘用，当我双击A盘图标后，计算机开始读软盘，首先读入软盘引导区，病毒随之进入内存，并立即把自己写入硬盘引导区（如果开了病毒检测，则时可以检测到并杀之）。如果没有装杀毒软件，检测布道，则下次开机时，计算机自检之后，读硬盘引导区时就会同时读入病毒，接下来，病毒获得系统控制权，改写操作系统文件，隐藏自己，然后计算机继续启动进入WIN200桌面，然后病毒检测才开始运行，病毒完全可能已经把自己伪装起来，让杀毒软件找不到。所以这中病毒一定要用启动盘启动后，再杀，就是为了跳过读硬盘引导区那一段。在后面我会纤细介绍。5、病毒如何自动把自身装入内存。刚才介绍了现在的病毒不会等待用户去运行染毒文件才进驻内存，他们都有自己的办法运行自己，进驻内存，但是有一个共同的特征就是，他必须把自己放在合适的位置，让系统在启动的某个阶段自动去调用他。因为计算机刚刚加电的时候，系统控制权是在BIOS手里的（因为他最早装入内存），而BIOS是保存在只读的ROM中的，所以这时，系统是无毒的，所以引导型病毒要做的就是在BIOS向操作系统交权之前也就是读取启动盘时截取之。那么程序型病毒怎么把自身装如内存呢？他没有截取控制权的这个能力，BIOS会顺利的把控制权交给操作系统，这时，用户看到的就是开始启动WIN200，由于操作系统在启动时会读取大量的动态联结库文件，病毒就可以把自己放在一个合适的位置上，然后告诉WIN2000启动时把自己读如内存，这一步很好实现，比如大家都知道，QQ启动时会被自动运行，实际上，程序型病毒自动运行自己的办法和QQ从本质上是相同的。就是让系统在启动的某个阶段自动去调用而已。下面先介绍蠕虫病毒，用他携带的木马程序的自动运行方式来介绍一下这个过程。四、关于蠕虫病毒我们学校网络中最多的就是蠕虫病毒，所以我要单独的说一下。蠕虫病毒是在INTERNET高速发展后出现的病毒，他具有了一些新特性。大部分的蠕虫病毒是程序型的，不会感染引导区，他们一般通过邮件传播（注意，不是唯一的传播方式，所有传统的传播方式都会传播之,并且许多蠕虫病毒会自己搜索网络上没有感染的机器并感染之，他实际上是一个写的很好的以太网传输状态的检测工具^_^），并且大多携带木马程序，具有根据微软服务软件的漏洞来入侵计算机的攻击能力，大部分蠕虫病毒并不破坏计算机里的信息，只是疯狂的去感染其他