网络安全与黑客防范：计算机病毒

3) 按连接方式分为：
– 源码型病毒：较为少见，亦难以编写。因为它要攻击 高级语言编写的源程序，在源程序编译之前插入其中， 并随源程序一起编译、连接成可执行文件。此时刚刚 生成的可执行文件便已经带毒了。 – 入侵型病毒：可用自身代替正常程序中的部分模块或 堆栈区。因此这类病毒只攻击某些特定程序，针对性 强。一般情况下也难以被发现，清除起来也较困难。 – 操作系统型病毒：可用其自身部分加入或替代操作系 统的部分功能。因其直接感染操作系统，这类病毒的 危害性也较大。 – 外壳型病毒：将自身附在正常程序的开头或结尾，相 当于给正常程序加了个外壳。
2、计算机病毒的分类 1) 按破坏性可分为：
– 良性病毒：仅是为了表现自己的存在，不直接破坏计算机 的软硬件，对系统危害较小，但会消耗系统的资源。 – 恶性病毒：会对计算机的软硬件进行恶意攻击，如破坏数 据、删除文件、破坏主板导致死机或网络瘫痪等。
2) 按传染方式分为：
– 引导型病毒：攻击用于引导计算机的程序。一个引导记录 病毒可以感染软引导记录程序，活动分区引导记录或主引 导记录的自举程序。 – 文件型病毒：一般只传染磁盘上的可执行文件 (COM ， EXE)。 – 混合型病毒：兼有以上两种病毒的特点，既传染引导区又 传染文件。
Return
二. 计算机病毒的作用机理
1、计算机病毒的工作流程 计算机病毒的工作流程如图所示。从图中可以看出， 病毒通过第一次非授权加载，引导模块被执行，病 毒由静态变为动态。
2、病毒的引导 • 计算机病毒只有处在动态方式下，才具有传染和破 坏的能力。 • 病毒的引导模块具有三个功能：
– 把病毒程序代码引入内存。病毒一旦被激活．首先想方设 法窃取部分内存．使自身代码藏匿于此。 – 对内存中的病毒代码采取保护措施，使之不会被覆盖。病 毒将自身的程序代码保留在内存中的手段主要有两种： • 通过程序驻留； • 将病毒代码移到内存高端，然后修改内存大小指示单元。 – 对内存中的病毒代码设定某种激活方式。修改中断向量以 便在特定的条件下取得执行权。
• 计算机病毒的结构：三大功能模块，即引导模块， 传染模块和破坏(表现)模块。 1、引导模块 病毒程序运行时，首先运行的是病毒引导模块。 引导模块首先对运行环境进行调查，然后向系 统申请病毒运行所需的资源，接着将传染模块 和破坏(表现)模块导入内存运行。(导入、保护、 设置运行条件)
2、传染模块 • 传染模块是病毒程序的核心，是判断某个程序是否 为病毒的首要条件。传染模块由两部分组成：传染 条件判断和传染部分。 – 传染条件判断：根据预定的传染条件是否满足， 控制病毒的感染动作。传染条件有多种，如日期、 时间、特定程序、动作等，当然也可以是其他逻 辑条件。 – 传染部分：它是使病毒代码链接于宿主程序之上 的部分，即使病毒进行传染动作的部分。传染部 分首先寻找要传染的文件(如可执行文件)，接着检 查该文件是否已被感染 (一般病毒都会在已感染过 的程序中留下一些标志，避免重复感染)，若设有 被本病毒感染过．则进行感染，将病毒放入宿主 程序。
3、破坏(表现)模块 • 破坏(表现)模块也由两部分构成：病毒触发条 件判断和病毒具体表现部分。表现分为良性表 现和恶性表现。
– 病毒触发条件判断与传染模块的传染条件判断类 似，判断是否破坏以及何时破坏。 – 病毒的破坏或表现部分是病毒程序的主体，在一 定程度上反映了病毒设计者的意图。它负责实施 病毒的破坏动作，其内部是实施病毒预定动作的 代码。这些破坏活动可能是破坏文件、数据，格 式化磁盘，破坏或强占计算机存储空间、时间， 降低系统效率，或使系统崩溃之类的动作。有的 病毒不执行破坏动作，只做特定的表现，如显示 特定的信息或画面、发出特殊的声音等，因此没 有破坏模块，而只有表现模块。
计算机病毒
§计算机病毒概述 ★ § 病毒的结构与作用机理★ § 计算机病毒的防范 ★ §几种常见的计算机病毒
§ 计算机病毒概述
• 一. 病毒的概念与特征 • 二. 病毒的起源与分类
Return
一 病毒的概念与特征
1、什么是计算机病毒 • 计算机病毒与医学上的“病毒”不同：它不是天然 存在的，是某些人根据计算机软、硬件所固有的弱 点，而编制出的具有特殊功能的程序。 • 与生物医学上的"病毒"在很多方面都很相似，由于 这种程序具有传染和破坏的特征，因此习惯上将这 些“具有特殊功能的程序”称为"计算机病毒"。 • 从广义上讲，凡能够引起计算机故障，破坏计算机 数据的程序统称为计算机病毒。依据此定义，诸如 逻辑炸弹，蠕虫等均可称为计算机病毒。在国内， 专家和研究者对计算机病毒也做过不尽相同的定义， 但一直没有公认的明确定义。
4、计算机病毒的破坏机制 • 病毒可在第一次加载时只把引导模块引入内存，以 后受到某些中断机制的触发，如小球病毒的破坏模 块一般不会在启动系统时就发作，它必须等整点或 半点时，再由INT 13H激活发作。 • 结构上，破坏模块类似于传染模块，分为两个部分， 一部分判断破坏的条件是否满足，另一部分执行破 坏功能。执行破坏所要求的条件一般会与时钟和时 间有关，因而病毒程序最常修改的中断除了诸如病 毒传染利用的INT 13H、INT 21H外，还有诸如破坏 模块利用的INT 71H(硬时钟中断)、INT 1CH(软时钟 中断)及INT 1AH(读取/设立系统时间、日期中断)， 如黑色星期五(某月的13号正好是星期五)；当前时间 是整点或半点；病毒进入内存已半小时了等等。
2)隐蔽性。 病毒为了保护自己，一般采用以下方法隐藏自 己：
– 短小精悍(病毒一般只有几百或1k字节) – 附在正常程序中或磁盘较隐蔽的地方(以隐含文件 形式出现) – 分散和多处隐藏 (而当有病毒程序潜伏的程序体被 合法调用时，病毒程序也合法进入，并可将分散 的程序部分在所非法占用的存储空间进行重新装 配，构成一个完整的病毒体投入运行。) – 加密 – 变体
5)不可预见性。从对病毒的检测方面来看，病毒有不可 预见性。 – 病毒的代码千差万别。 – 传染条件，传染方式，传染对象不同。 – 破坏条件，破坏方式，破坏对象不同。 – 以上情况处于变化之中。病毒的制作技术在不断 的提高，病毒对反病毒软件永远是超前的。 – 某些正常程序使用了类似病毒的操作甚至借鉴了 某些病毒的技术。 6)触发性。满足传染触发条件时，病毒的传染模块会被 激活，实施传染操作。满足表现触发条件时，病毒 的表现模块会被激活，实施表现或破坏操作。 7)针对性。有一定的环境要求，并不一定对任何系统都 能感染。 Return 8)依附性。病毒依附在合法的可执行程序上。
2、计算机病毒的基本特征 1)传染性。这是病毒的基本特征，是否具有传染 性是判别一个程序是否为计算机病毒的最重要 条件。 计算机病毒会通过各种渠道从已被感染的计算 机扩散到未被感染的计算机 ( 软盘、光盘、计 算机网络等 ) 。病毒程序代码一旦进入计算机 并得以执行，它会搜寻其他符合其传染条件的 程序或存储介质，将自身代码插入其中，达到 自我繁殖的目的。
3)潜伏性。大部分的病毒感染系统之后一般不会马上发 作，它可长期隐藏在系统中，悄悄地繁殖和扩散而 不被发觉，使得许多数据资源成为病毒的携带者而 迅速向外传播。只有在满足其特定条件时才启动其 表现(破坏)模块。潜伏的目的是为了赢得足够的时间， 充分扩散，最后造成尽可能大的破坏。 4)破坏性(表现性)。任何病毒只要侵入系统，都会对系 统及应用程序产生程度不同的影响。由此特性可将 病毒分为良性病毒与恶性病毒。良性病毒可能只显 示些画面或出点音乐、无聊的语句，或者根本没有 任何破坏动作，但会占用系统资源。这类病毒表现 较为温和。恶性病毒则有明确的目的，或破坏数据、 删除文件或加密磁盘、格式化磁盘，有的对数据造 成不可挽回的破坏。表现和破坏是病毒的最终目的。
Return
§ 计算机病毒的防范
• 一. 反病毒的一般方法 • 二. 先进的反病毒技术 • 三. 防病毒系统介绍
Return
一. 反病毒的一般方法
• 对于病毒威胁最理想的解决方法是不允许病毒进 入系统，如采用病毒防火墙。这个目标不易实现， 一旦病毒侵入系统就要进行下面的工作：
– 检测：一旦发生了感染，确定它的发生并且定位病 毒。 – 识别：检测完毕后，识别感染程序的特定病毒。 – 清除：在标识了特定病毒后，从被感染的程序中清 除病毒的所有痕迹，将程序恢复到原来的状态。从 所有被感染的系统中清除病毒使得病毒不能进一步 传播。
• 病毒的引导模块既可与其它两个模块一起运行，也可与 两个模块中的一个一起运行，甚至于独立先运行。
3、计算机病毒的传染过程 • 计算机病毒的传染途径主要有两种：一种是利 用存储介质等传染载体进行传染；另一种是以 网络作为传染载体。网络已渐渐成为病毒传染 的主要途径。 • 病毒通过引导模块驻留到内存中后，监视系统 的运行，选择机会进行传染。一旦传染条件成 立，传染模块被激活并会马上对攻击目标进行 判断，以确定是否传染。当确定对某个文件进 行传染后，要通过适当的方式把病毒写入磁盘， 同时保证被感染对象仍可正常运行，即进行的 是传染而非破坏。
• 与正常计算机程序的差异： – 病毒能使自身的代码强行传染到一切符合其传染 条件的未受到传染的程序之上。 – 未经授权而执行。一般正常的程序是由用户调用， 再由系统分配资源，完成用户交给的任务。其目 的对用户是可见的。病毒隐藏在正常程序中，当 用户调用正常程序时窃取到系统的控制权，先于 正常程序执行，病毒的动作、目的对用户是未知 的，是未经用户允许的。 • 1994年2月18日，我国正式颁布实施了《中华人民共 和国计算机信息系统安全保护条例》，在《条例》 第二十八条中明确指出：“计算机病毒，是指编制 或者在计算机程序中插入的破坏计算机功能或者毁 坏数据，影响计算机使用，并能自我复制的一组计 算机指令或者程序代码。”此定义具有法律性和权 威性。
病毒的起源与分类
1、计算机病毒的起源 • 电脑病毒的历史：磁蕊大战 – 早在1949年, 电脑的先驱者John Von Neumann在他所提出的 一篇论文 [复杂自动装置的理论及组织的进行 ]里,已把病毒 程序的蓝图勾勒出来。 – 直到十年之后 ,在美国电话电报公司(AT&T) 的贝尔(Bell)实 验室中,这些概念在一种很奇怪的电子游戏中成形了 ,这种 电子游戏叫做 “磁蕊大战” (core war)。 • 磁蕊大战是当时贝尔实验室中三个二十多岁的年轻程序员在工 余想出来的,他们中的一个是莫里斯。磁蕊大战的玩法:双方各 写一个程序,输入到电脑中,这两个程序在电脑的存储系统内互 相追杀 ,有时它们会放下一些关卡 ,有时会停下来修复 ( 重新写 ) 被对方破坏的几行指令;当它被困时,也可以把自己复制一次,逃 离险境。 游戏直到一方的程序被另一方的程序 “吃掉” 为止。