计算机安全技术第7章

第七章计算机病毒及防范小到个人，大到全世界，凡是在使用计算机的人无一不在受计算机病毒的困扰。对于那些侥幸未受病毒骚扰的人，也不能麻痹大意。对于计算机病毒，最好还是能防患于未然！为了能更好地做好防范工作，我们必须了解它的工作原理、传播途径、表现形式，同时必须掌握它的检测、预防和清除方法。7-1计算机病毒基础知识7-1-1计算机病毒的定义在《条例》第二十八条中明确指出：“计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据、影响计算机使用，并能自我复制的一组计算机指令或者程序代码”。此定义具有法律性、权威性。7-1-2计算机病毒的历史1949年，距离第一部商用计算机的出现还有好几年时，计算机的先驱者冯·诺依曼在他的一篇论文《复杂自动机组织论》，提出了计算机程序能够在内存中自我复制，即已把病毒程序的蓝图勾勒出来。十年之后，在美国电话电报公司(AT&T)的贝尔实验室中，三个年轻程序员道格拉斯·麦耀莱、维特·维索斯基和罗伯·莫里斯在工作之余想出一种电子游戏叫做“磁芯大战”，而它成了计算机病毒的祖先。7-1-2计算机病毒的历史（续）1977年夏天，托马斯·捷·瑞安的科幻小说《P-1的青春》中，作者幻想了世界上第一个计算机病毒，可以从一台计算机传染到另一台计算机，最终控制了7000台计算机，酿成了一场灾难，这是计算机病毒的思想基础。1983年11月3日，弗雷德·科恩博士研制出一种在运行过程中可以复制自身的破坏性程序，伦·艾德勒曼将它命名为计算机病毒，并在每周一次的计算机安全讨论会上正式提出，8小时后专家们在VAX11/750计算机系统上运行，第一个病毒实验成功，一周后又获准进行5个实验的演示，从而在实验上验证了计算机病毒的存在。7-1-2计算机病毒的历史（续）1987年10月，在美国，世界上第一例计算机病毒（Brian）发现，这是一种系统引导型病毒。它以强劲的执着蔓延开来。世界各地的计算机用户几乎同时发现了形形色色的计算机病毒，如大麻、IBM圣诞树、黑色星期五等等。1988年11月3日，美国康乃尔大学23岁的研究生罗伯特·莫里斯将计算机病毒蠕虫投放到网络中，结果使美国6千台计算机被病毒感染，造成Internet不能正常运行。这是一次非常典型计算机病毒入侵计算机网络的事件，引起了世界范围的轰动。7-1-2计算机病毒的历史（续）1991年，在“海湾战争”中，美军第一次将计算机病毒用于实战，在空袭巴格达的战斗中，成功地破坏了对方的指挥系统，使之瘫痪，保证了战斗顺利进行，直至最后胜利。1998年，首例破坏计算机硬件的CIH病毒出现，引起人们的恐慌。1999年4月26日，CIH病毒在我国大规模爆发，造成巨大损失。7-1-3计算机病毒的结构计算机病毒的种类虽多，但对病毒代码进行分析、比较可看出，它们的主要结构是类似的，有其共同特点。整个病毒代码虽短小但也包含三部分：引导部分，传染部分，表现部分。7-1-4计算机病毒的特征在计算机病毒所具有的众多特征中，传染性、潜伏性、触发性和破坏性是它的基本特征。其次，它还有隐蔽性、衍生性和持久性等。网络时代，计算机病毒的新特点：①主动通过网络和邮件系统传播②传播速度极快③危害性极大④变种多⑤难于控制⑥难于根治、容易引起多次疫情⑦具有病毒、蠕虫和后门（黑客）程序的功能7-2计算机病毒的工作原理7-2-1计算机病毒的工作过程计算机病毒的完整工作过程一般应包括以下几个环节：1．传染源2．传染媒介3．病毒触发（激活）4．病毒表现5．传染7-2-2计算机病毒的引导机制1.计算机病毒的寄生对象2.计算机病毒的寄生方式3.计算机病毒的引导过程计算机病毒的引导过程一般包括以下三方面。(1)驻留内存(2)窃取系统控制权(3)恢复系统功能7-2-3计算机病毒的触发机制计算机病毒在传染和发作之前，往往要判断某些特定条件是否满足，满足则传染或发作，否则不传染、不发作或只传染不发作，这个条件就是计算机病毒的触发条件。实际上病毒采用的触发条件花样繁多，目前病毒采用的触发条件主要有以下几种。1.日期触发2.时间触发3.键盘触发4.感染触发5.启动触发6.访问磁盘次数触发7.调用中断功能触发7-2-4计算机病毒破坏行为根据有的病毒资料可以把病毒的破坏目标和攻击部位归纳如下：①攻击系统数据区②攻击文件③攻击内存④干扰系统运行⑤运行速度下降⑥攻击磁盘⑦攻击CMOS7-2-5计算机病毒的传播1.计算机病毒传播的一般过程在系统运行时，计算机病毒通过病毒载体即系统的外存储器进入系统的内存储器，常驻内存。该病毒在系统内存中监视系统的运行，当它发现有攻击的目标存在并满足条件时，便从内存中将自身存入被攻击的目标，从而将病毒进行传播。而病毒利用系统INT13H读写磁盘的中断又将其写入系统的外存储器软盘或硬盘中，再感染其他系统。7-2-5计算机病毒的传播（续）2.计算机病毒的传播途径①移动存储设备（包括软盘、磁带等）②网络和电子邮件③通信系统和通道7-2-6计算机病毒与故障、黑客软件的区别1.计算机病毒与计算机故障的区别(1)计算机病毒表现现象计算机在感染病毒后，总是有一定规律地出现异常现象：①屏幕显示异常，屏幕显示出不是由正常程序产生的画面或字符串，屏幕显示混乱。②程序装入时间增长，文件运行速度下降。③丢失数据或程序，文件字节数发生变化。④内存空间、磁盘空间减小。⑤异常死机。⑥系统引导时间增长，磁盘访问时间比平时增长7-2-6计算机病毒与故障、黑客软件的区别（续）(2)与病毒现象类似的硬件故障硬件的故障范围不太广泛，但是很容易被确认。在处理计算机的异常现象时很容易被忽略，只有先排除硬件故障，才是解决问题的根本。①电源电压不稳定②插件接触不良③软驱故障7-2-6计算机病毒与故障、黑客软件的区别（续）(3)与病毒现象类似的软件故障①出现“Invalid；drive；specification”(非法驱动器号)②引导过程故障7-2-6计算机病毒与故障、黑客软件的区别（续）２．计算机病毒与黑客软件的区别计算机病毒与黑客软件都有隐藏性、潜伏性、可触发性、破坏性和持久性等基本特点。它们的不同之处在于：病毒是寄生在其他的文件中，可以自我复制，可以感染其他文件，其目的是破坏文件或系统。而黑客软件，它不能寄生，不可复制和感染文件，其目的是盗取密码和远程监控系统。7-3计算机病毒的分类１．按照寄生方式和传染途径分类计算机病毒按其寄生方式大致可分为两类：一是引导型病毒，二是文件型病毒；它们再按其传染途径又可分为驻留内存型和不驻留内存型，驻留内存型按其驻留内存方式又可细分。7-3计算机病毒的分类（续）2．按照传播媒介分类按照计算机病毒的传播媒介来分类，可分为单机病毒和网络病毒。（1）单机病毒（2）网络病毒7-4计算机病毒的发展趋势随着因特网的普及和广泛应用，计算机病毒在传播形式、病毒制作技术和病毒的形式方面有了根本的改变。在此通过对近年来计算机病毒的疫情特点分析，将计算机病毒的发展趋势归纳如下：1．高频度2．传播速度快，危害面广3．病毒制作技术新4.病毒形式多样化5．病毒生成工具7-5计算机病毒的检测、防范和清除7-5-1计算机病毒的检测如何能够及早地发现新病毒呢？用户可做以下简单判断：首先应注意内存情况；其次应注意常用的可执行文件（如command.com）的字节数。检测病毒方法有：特征代码法、校验和法、行为监测法、软件模拟法，这些方法依据的原理不同，实现时所需开销不同，检测范围不同，各有所长。7-5-2计算机病毒的防范防范是对付计算机病毒的积极而又有效的措施，比等待计算机病毒出现之后再去扫描和清除能更有效地保护计算机系统。要做好计算机病毒的防范工作，首先是防范体系和制度的建立。其次，利用反病毒软件及时发现计算机病毒侵入，对它进行监视、跟踪等操作，并采取有效的手段阻止它的传播和破坏。7-5-2计算机病毒的防范（续）反病毒软件常用以下几种反病毒技术来对病毒进行预防和彻底杀除：①实时监视技术②全平台反病毒技术7-5-.3计算机病毒的清除及常用反病毒软件计算机病毒的清除：(1)文件型病毒清除(2)引导型病毒的清除(3)内存解毒常用的反病毒软件：KV3000瑞星杀毒软件2003版NortonAntivirus20037-6计算机染毒以后的危害修复措施对病毒造成的危害进行修复，不论是手工修复还是用专用工具修复，都是危险操作，有可能不仅修不好，反而彻底破坏。因此，为了修复病毒危害，用户应采取以下措施：１．重要数据必须备份２．立刻切断电源关机，提高修复成功率３．备份染毒信息，以防不测４．修复病毒危害7-7计算机病毒实例目前病毒的种类很多，本节主要举几个著名的病毒来说明如何检测、防范和消除网络蠕虫病毒和宏病毒等。１．“2003蠕虫王（Worm.NetKiller2003）”病毒2．“硬盘杀手”病毒３．“好大（I-Worm/Sobig）”病毒4．“美丽杀手（W97M/Melissa）”病毒