阳光雨露病毒防护高级课程

阳光雨露工程师认证系列教材

病毒防护高级课程

阳光雨露信息技术服务（北京）有限公司

目录

前言 (3)

第一章计算机病毒发展和防御动态 (4)

1.1计算机病毒发展新动向 (4)

1.2新型病毒传播方式 (5)

1.3病毒传播带来的威胁 (6)

1.4 企业网络全方位病毒防御策略 (7)

第二章计算机病毒的特征与结构 (9)

2.1计算机病毒的特征 (9)

2.2计算机病毒程序的结构 (10)

2.3计算机病重程序与正常程序的区别 (11)

2.4计算机病毒的分类 (11)

2.5从病毒命名识别病毒 (12)

2.6关于网页病毒 (14)

第三章网络版防病毒软件 (16)

3.1网络版防病毒技术要素 (16)

3.2目前主流的网络版防病毒软件产品概述 (17)

第四章 Symantec AntiVirus (23)

4.1网络体系结构规划 (23)

4.2安装 (25)

4．3 常见问题 (39)

前言

计算机技术的不断发展，信息技术在企业网络中的运用越来越广泛深入，信息安全问题也显得越来越紧迫。自从80年代计算机病毒出现以来，已经有数万种病毒及其变种出现，给计算机安全和数据安全造成了极大的破坏。根据ICSA 的统计报道，98% 的企业都曾遇过病毒感染的问题，63% 都曾因为病毒感染而失去文件资料，由ICSA评估每一个受电脑病毒入侵的公司电脑，平均要花约8,366美金，但更大的成本是来自修理时间及人力的费用，据统计，平均每一电脑要花费44小时的到21.7天的工作天才能完全修复。如何保证企业内部网络抵御网络外部的病毒入侵，从而保障系统的安全运行是目前企业系统管理员最为关心的问题。所以，系统安全应该包括强大的计算机病毒防护功能。

全球的病毒攻击数量继续上升，病毒本身变得越来越复杂而且更有针对性，这种新型病毒被称为混合型病毒，混合型病毒将传统病毒原理和黑客攻击原理巧妙的结合在一起，将病毒复制、蠕虫蔓延、漏洞扫描、漏洞攻击、DDOS攻击、遗留后门等等攻击技术综合在一起。而最近对互联网威胁很大的间谍软件和广告软件，给企业不仅造成网络管理的复杂，同时可能会带给企业无法估计得损失。混合型病毒的传播速度非常快，其造成的破坏程度也要比以前的计算机病毒所造成的破坏大得多，混合型病毒的出现使人们意识必须设计一个有效的保护战略来在病毒爆发之前进行遏制。这个保护战略必须是主动式的，而不是等到事件发生后才作出反应，需要针对网络中所有可能的病毒攻击设置对应的防毒软件，建立全方位、多层次的立体防毒系统配置，通过在桌面和企业网络等级集成来提供病毒保护。

现代的病毒防护产品一般都会包含：病毒防护、风险管理、互联网安全、电子邮件过滤、远程管理和移动代码侦测等技术。

第一章计算机病毒发展和防御动态

1.1计算机病毒发展新动向

传统病毒，简单来讲，就是一种可执行的精练的小程序，和生物界的病毒类似，会寻找寄主将自身附着到寄主身上实现传播，例如把自己的病毒代码插入到一个用户文件中，当用户传递此文件时就不知情的将病毒传播出去了，传播到一个新的目标时，病毒执行恶作剧活动或采取毁坏程序、删除文件甚至重新格式化硬盘的破坏行为。传统病毒包括文件型、引导型、多态型、隐藏型、宏病毒等。

但是现在，企业网络面临的威胁已经由传统的病毒威胁转化为现在的还包括了蠕虫、木马和恶意代码等与传统病毒截然不同的新类型。这些新类型的威胁业界称之为混合型威胁。混合型威胁整合了病毒传播和黑客攻击的技术，以多种方式进行传播和攻击。不需要人工干预，能够自动发现和利用系统漏洞，并自动对有系统漏洞的计算机进行传播和攻击。同时，混合型威胁传播速度极快，通常在几个小时甚至几分钟就可以导致整个网络瘫痪。攻击程序的破坏性更强，受感染的系统通常伴随着木马程序种植除了破坏被感染的机器，在传播过程中会形成DDoS攻击，阻塞网络。混合型威胁的典型代表为——红色代码（Code Red）。2001年7月红色代码（Code Red）的出现震撼了整个Internet世界，不仅仅因为它给广大Internet用户造成了非常巨大的直接经济损失，更可怕的是它将传统病毒原理和传统黑客攻击原理巧妙的结合在一起，将病毒复制、蠕虫蔓延、漏洞扫描、漏洞攻击、DDOS攻击、遗留后门等等攻击技术综合在一起，形成了最新的混合型威胁，标志了网络威胁发展的新方向。在红色代码（Code Red）的启发和指引下，近几年持续不断出现各种破坏能力强大的混合型威胁，例如：尼姆达（Nimda）、求职信（Klez）、蠕虫王（SQLexp）、妖怪（Bugbear）、无极大（Sobig）、爱情后门（Lovgate）、冲击波（Blaster）、Slammer、网络天空（Netsky）等等，而这些混合型威胁正是近几年企业所面临的主要威胁。大量的间谍软件和广告软件不仅为企业带来网络管理成本的增加，同时可能会带来无法估计的损失。毫无疑问，包括间谍软件和广告软件在内的混合型威胁已经成为全球互联网和企业网络的首要威胁，危险级别最高的病毒几乎全部属于具有混合型威胁特征的混合型

病毒。因此，病毒防范的重点将集中于混合型威胁。

1.2新型病毒传播方式

计算机病毒具有自我复制和传播的特点，从计算机病毒的传播机理分析可知，只要是能够进行数据交换的介质，都可能成为计算机病毒传播途径。随着Internet技术的发展和企业网络应用的增多，网络成为病毒感染、传播的第一途径。病毒传播呈现出如下的途径：

1.互联网浏览。内网用户浏览Internet上的文件和网页，下载资料时，

Internet上的大量恶意JAVA ACTIVE病毒和程序，下载文件中包含的各

类宏病毒，文件病毒都有可能对内网进行传染。

2.电子邮件。电子邮件已成为许多新型恶意病毒攻击所选择的传输机制。

电子邮件可以很容易地传送到几十万人，而恶意代码制造者又可以无须

留下自己的计算机，这使得电子邮件成为一种非常有效的传输方式。

3.企业网络互联。一旦为计算机提供了通过网络彼此直接连接的机制，就

会为病毒提供另一个传输机制，由于在网络共享上实现的安全性级别很

低，因此会产生这样一种环境，其中新型的混合型病毒可以复制到大量

与网络连接的计算机上。企业内部内联网以及和协作单位或合作伙伴网

络的文件共享传输有可能造成病毒在整个网络中传播。

4.可移动媒体。计算机病毒和其他恶意软件最初的、并且可能也是最多产

的传送器（至少到当前为止）是文件传输。此机制开始于软盘，然后移

动到网络，目前正在寻找新的媒体，例如，通用串行总线 (USB) 设备和

火线。感染速度并不像基于网络的病毒那样快，但安全威胁却始终存在，而且难以完全消除，因为系统之间需要交换数据。

5.对等 (P2P) 网络。要实现 P2P 文件传输，用户必须先安装 P2P 应用程

序的客户端组件，该应用程序将使用一个可以通过组织防火墙的网络端

口，例如，端口 80。应用程序使用此端口通过防火墙，并直接将文件从

一台计算机传输到另一台。这些应用程序很容易在 Internet 上获取，

并且恶意软件编写者可以直接使用它们提供的传输机制，将受感染的文

件传播到客户端硬盘上。

6.即时通讯（Instant Messenger，简称IM）软件即时通讯软件已经从

原来纯娱乐休闲工具变成生活工作的必备利器。无论是老牌的ICQ，还

是国内的腾讯QQ，以及微软的MSN Messenger，都是大众关注的焦点。

由于用户数量众多，再加上即时通讯软件本身的安全缺陷，导致其成为

病毒的攻击目标。

1.3病毒传播带来的威胁

计算机病毒的爆发对企业的安全构成了极大的威胁。尤其近几年混合型病毒所造成的破坏非常巨大。新型病毒的大规模传播，给企业信息资源带来如下威胁：

1.数据损坏或删除。一种最具破坏性的威胁类型应该是损坏或删除数据的恶意代码，

它可以使用户计算机上的信息变得无用。这类威胁编写者具有两个选项：第一个选

项是将程序设计为快速执行。对于它所感染的计算机而言极具潜在破坏性。另一个

选项是驻留在本地系统上（以特洛伊木马的形式）保留一段时间，这样会使恶意软

件在破坏之前可能就进行传播。

2.后门。这种类型的威胁允许对计算机进行未经授权的访问。它可能提供完全访问权

限，但也可能仅限于某些访问权限，例如，通过计算机上的端口 21 启用文件传输

协议 (FTP) 访问。如果攻击可以启用 Telnet，黑客则可以将已感染计算机用作

Telnet 攻击在其他计算机上的临时区域。

3.信息窃取。一种特别令人担心的恶意威胁是窃取信息。如果会损害计算机的安全，

则它可能会提供一种将信息传回作恶者的机制。这种情况可以多种形式发生；例如，

传输可以自动进行，从而使恶意软件可以很容易地获取本地文件或信息，例如，用

户所按的键（以便获取用户名和密码）。另一种机制是在本地机器上提供一种环境，使攻击者可以远程控制该机器，或直接获取对系统上文件的访问权限。

4.垃圾邮件。邮件服务器承担公司内部所有的邮件交换和外部邮件转发，邮件是新型

病毒传播的主要方式，邮件病毒如“I LOVE YOU”“SirCAM”“红色代码”“尼姆

达”等类型的病毒存在邮箱中，在客户机邮件发送程序中自动进行垃圾邮件的发送，为企业和客户带来大量的垃圾邮件，而且会造成网络流量过载，极大影响正常通信

工作。

5.拒绝服务(DoS)。可以传递的一种最简单的类型是拒绝服务攻击。DoS 攻击是由攻

击者发起的一种计算机化的袭击，它使网络服务超负荷或停止网络服务，如Web 服

务器、文件服务器、邮件服务器等。

6.分布式拒绝服务(DDoS)。DDoS 攻击是一种拒绝服务攻击，其中攻击者使用各

种计算机上安装的恶意代码来攻击单个目标。攻击者使用此方法对目标造成的影响

很可能会大于使用单个攻击计算机造成的影响。关于攻击怎样发生根据攻击的不同

而不尽相同，但是它们通常都涉及将大量数据发送到特定的机器或网站，使其停止

对合法通信的响应（或者无法响应）。这样会完全占用受害站点的可用带宽，并且

会有效地使此站点脱机。

1.4 企业网络全方位病毒防御策略

随着新型混合型威胁的大规模传播，一个实用可行的企业级网络防病毒解决方案显然需要一个面向所有网络用户、各级文件服务器、邮件服务器和Internet网关服务器的全方位防毒解决方案。应该在整个网络中，只要有可能感染和传播病毒的地方都应该有相应的解决方案，防止病毒的入侵和传播，确保网络的安全，保证能在本网络中实现多层最大限度的防护

能力。

1.系统外部（Internet或外网）的病毒入侵：网关是目前病毒进入最多的

途径。采用网关部署防病毒的措施。可以保护和Internet、Intranet相联的内部计算机网络免受来自外部病毒的攻击，能断绝来自外网络JAVA，ACTIVEX病毒对内部网的入侵。

2. 网络邮件系统：保护系统内的邮件服务器中邮件的安全，避免病毒引起

的网络过载情况出现。如果邮件服务器感染了病毒，通过邮件方式该病毒将以几何级数在网络内迅速传播，并且很快会导致邮件系统负荷过大而瘫痪。因此在邮件系统上部署防病毒显得尤为重要。

3. 文件服务器：文件资源共享是网络提供的基本功能，而且大大提高了

资源的重复利用率，但是一旦服务器本身感染了病毒，就会对所有的访问者构成威胁。因此文件服务器必须设置防病毒保护。

4. 针对客户端：病毒最后的入侵途径就是最终的桌面用户。由于网络共享

的便利性，某个感染病毒的桌面机可能随时会感染其它的机器。因此在网络内对所有的客户机进行防毒控制也很有必要。

5. 集中管理：由于混合病毒广泛的感染范围和为抵挡这些病毒所采用的分

布式解决方案等因素，需要对网络的所有方面有完全的了解，并能及时作出反应。所选的防病毒方案必须能够提供对网络活动的集中管理，提供详细的报告功能，来检查某些服务器和桌面机，将网络事件与这些组件的状态相关联。

第二章计算机病毒的特征与结构

2.1计算机病毒的特征

计算机病毒的基本特征是具有传染性、破坏性、潜伏性和诱发因素。从本质上讲，任何一种计算机病毒均是一段较小的可执行的程序。这类病毒程序一般都隐蔽在合法程序中，当计算机程序运行时，与合法程序争夺系统控制权，对计算机系统实施干扰和破坏作用。从第一例计算机病毒的发现，至今计算机病毒的流传、繁殖非常迅猛，形成了形形色色的、各种类型的病毒。计算机病毒具有以下一些共同特征。

(1)非授权可执行性

用户通常调用执行一个程序时,把系统控制交给这个程序,并分配给他相应系统资源,如内存,从而使之能够运行完成用户的需求。因此程序执行的过程对用户是透明的。而计算机病毒是非法程序,正常用户是不会明知是病毒程序,而故意调用执行。但由于计算机病毒具有正常程序的一切特性:可存储性、可执行性。它隐藏在合法的程序或数据中,当用户运行正常程序时,病毒伺机窃取到系统的控制权,得以抢先运行,然而此时用户还认为在执行正常程序。

(2)隐蔽性

计算机病毒是一种具有很高编程技巧、短小精悍的可执行程序。它通常粘附在正常程序之中或磁盘引导扇区中,或者磁盘上标为坏簇的扇区中,以及一些空闲概率较大的扇区中,这是它的非法可存储性。病毒想方设法隐藏自身,就是为了防止用户察觉。

(3)传染性

传染性是计算机病毒最重要的特征,是判断一段程序代码是否为计算机病毒的依据。病毒程序一旦侵入计算机系统就开始搜索可以传染的程序或者磁介质,然后通过自我复制迅速传播。由于目前计算机网络日益发达,计算机病毒可以在极短的时间内,通过像Internet这样的网络传遍世界。

(4)潜伏性

计算机病毒具有依附于其他媒体而寄生的能力,这种媒体我们称之为计算机病毒的宿主。依靠病毒的寄生能力,病毒传染合法的程序和系统后,不立即发作,而是悄悄隐藏起来,然后在用户不察觉的情况下进行传染。这样,病毒的潜伏性越好,它在系统中存在的时间也就越长,病毒传染的范围也越广,其危害性也越大。

(5)表现性或破坏性

无论何种病毒程序一旦侵入系统都会对操作系统的运行造成不同程度的影响。即使不直接产生破坏作用的病毒程序也要占用系统资源(如占用内存空间,占

用磁盘存储空间以及系统运行时间等)。而绝大多数病毒程序要显示一些文字或图像,影响系统的正常运行,还有一些病毒程序删除文件,加密磁盘中的数据,甚至摧毁整个系统和数据,使之无法恢复,造成无可挽回的损失。因此,病毒程序的副作用轻者降低系统工作效率,重者导致系统崩溃、数据丢失。病毒程序的表现性或破坏性体现了病毒设计者的真正意图。

(6)可触发性

计算机病毒一般都有一个或者几个触发条件。满足其触发条件或者激活病毒的传染机制,使之进行传染;或者激活病毒的表现部分或破坏部分。触发的实质是一种条件的控制,病毒程序可以依据设计者的要求,在一定条件下实施攻击。这个条件可以是敲入特定字符,使用特定文件,某个特定日期或特定时刻,或者是病毒内置的计数器达到一定次数等。

2.2计算机病毒程序的结构

从目前已出现的汁算机病毒来看，计算机病毒—般包括三大功能模块，即引导模块、传染模块和表现/破坏模块。其中后两个模块各包括一段触发条件检查程序段，它们分别检查是否满足触发条件和是否满足表现/破坏触发的条件。只有在相应的条件满足时，病毒才会进行传染或表现/破坏。当然，并不是所有的计算机病毒都包含广这三个模块。例如，维也纳病毒没有引导模块，巴基斯坦病毒没有表现/破坏模块。

引导模块的作用是将病毒由外存引入内存，将静态病毒激活，使之成为动态病毒。静态病毒是指存储介质上如软盘、硬盘等的计算机病毒。静态病毒没有处于加载状态，不能执行病毒的传染或表现/破坏作用。动态病毒是指已进入内存处于活动状态的计算机病毒。动态病毒要么正处于运行状态，要么能通过调用某些中断而获得运行权。正是活动病毒时刻在监视着系统的运行，一旦传染条件或表现/破坏条件成熟，即调用其传染程序段或破坏程序段，使病毒进行扩散，系统蒙受损失。动态病毒在内存中存在的时间称为动态病毒的生命期。动态病毒的生命期有长有短，有些动态病毒只在运行宿主程序(即已被该病毒传染的程序)期间存在，宿主程序运行完毕即退出内存，例如维也纳病毒。大多数病毒则是从第一次被运行后即保留在内存中，一直延续到下一次重新启动计算机或关机。

计算机病毒的传染模块是计算机病毒的运载工具，其作用是在计算机系统内搜寻目标，并将病毒传染到条件判断允许传染的对象上去。

表现/破坏模块的作用是实施病毒的破坏作用，如删除文件，格式化磁盘等。由于有些病毒的该模块没有明显的恶意破坏作用，而只是进行一些视屏显示或发声方面的自我表现作用，故该模块有时又称表现模块。至于称为破坏模块还是表现模块，将根据具体病毒中该模块的作用而定。

2.3计算机病重程序与正常程序的区别

（1）正常程序是具有应用功能的完整程序，以文件形式存在，具有合法文件名；而病毒程序不以文件的形式独立存在，它没有文件名，隐蔽在正常程序和数据文件中(寄生性)，是一种非完整的程序。

（2）正常程序依照用户的命令执行，以完成某种操作(算法执行步骤)，决不会自身复制；而病毒程序是在用户完全不知的倩况下直接或间接的运行，与合法程序争夺系统的控制权。病毒程序都有传染性，能将自身复制到其他正常程序中，使正常程序感染病毒。

（3）正常程序对系统的正常运行不应也不会有破坏作用．而病毒程序在一定触发条件下，会表现出对计算机系统的破坏作用。

2.4计算机病毒的分类

目前全球有20多万种病毒，按照基本类型划分，可归结为6种类型：

（1）、引导型病毒

引导型病毒主要是感染软盘、硬盘的引导扇区或主引导扇区。在用户对软盘、硬盘进行读写动作时进行感染活动。在我国流行的引导型病毒有Anti－CMOS、GENP/GENB、Stone、6.4、Torch、Monkey等。

引导型病毒感染软盘时并不理会该软盘是否为可启动的系统盘，因此一般的数据盘也会被感染。在系统重新启动时首先尝试读A：盘，当染有引导区病毒的软盘插在A：驱动器中，只要软盘的引导扇区内容被读进PC机，即使启动不成功，病毒也已经驻留在内存中，可以继续去感染硬盘和其他未染病毒的软盘了。

（2）、可执行文件病毒

可执行文件病毒主要是感染可执行文件(对于DOS或Windows来说是感染COM和EXE等可执行文件)。被感染的可执行文件在执行的同时，病毒被加载并向其他正常的可执行文件传染。像在我国流行的Die_Hard、DIR Ⅱ和感染Windows 95/98操作系统的CIH、HPS、Murburg，以及感染NT操作系统的Infis、RE等病毒都属此列。

文件型病毒与引导型病毒工作的方式是完全不同的，在各种PC机病毒中，文件型病毒占的数目最大，传播最广，采用的技巧也多。而且，各种文件型病毒的破坏性也各不相同，如令中国用户大受损失的CIH病毒，是通过感染系统的可执行文件，同时利用Windows系统的VxD技术，破坏计算机BIOS，使计算机无法启动。

（3）、宏病毒

宏病毒是利用宏语言编制的病毒，与前两种病毒存在很大的区别。宏病毒充分利用宏命令的强大系统调用功能，实现某些涉及系统底层操作的破坏。宏病毒仅向Word、Excel和Access、PowerPoint、Project等办公自动化程序编制的文档

进行传染，而不会传染给可执行文件。在我国流行的宏病毒有：TaiWan1、Concept、Simple2、ethan、“7月杀手”等，我们所说的蠕虫病毒也应纳入宏病毒范围。蠕虫病毒能通过网络邮件系统快速自动扩散传播，在短时间内造成大面积网络阻塞。今年的“美丽杀手”之类蠕虫病毒及其变种就曾造成轰动世界的互联网络瘫痪事件。

（4）、混合型病毒

混合型病毒是以上几种病毒的混合。混合型病毒的目的是为了综合利用以上3种病毒的传染渠道进行破坏。在我国流行的混合型病毒有One_half、Casper、Natas、Flip等。

混合型病毒不仅传染可执行文件而且还传染硬盘引导区，被这种病毒传染的系统用Format命令格式化硬盘都不能消除病毒。

（5）、特洛伊木马型病毒

特洛伊木马型病毒也叫“黑客程序”或后门病毒，应该属于文件型病毒的一种。但是由于我国公安部门已于1998年底向全国发出通告，提醒广大计算机用户注意防范此类特洛伊木马病毒，所以在此我们将其单独列为一种。一般此种病毒分成服务器端和客户端两部分，如计算机网络中服务器端被此程序感染，别人可通过网络任意控制此计算机，并获得重要文件。在我国流行的此类病毒有BO、Netspy等。

（6）、Internet语言病毒

随着Internet的发展，Java、VB和ActiveX的网页技术逐渐被广泛使用，某些不良用心的人便利用Java、VB和ActiveX的特性来撰写病毒。这些病毒虽然从现在的发展情况来看并不能破坏硬盘上的资料，但是如果用户使用浏览器来浏览含有这些病毒的网页，使用者就在神不知鬼不觉的状态下，让病毒进入机器进行复制，并通过网络窃取宝贵的个人秘密信息或使计算机系统资源利用率下降，造成死机等现象。

2.5从病毒命名识别病毒

在用杀毒软件查杀病毒的时候，经常会从自己的电脑中找出一些病毒，它们都有一串很长的名字，如Worm.Padobot.u、Backdoor.RBot.abc等，根本看不懂是什么意思，也不知道是一种什么病毒？其实病毒的名称中就已经包含了这个病毒类型和特点。

病毒的命名规则

病毒的命名并没有一个统一的规定，每个反病毒公司的命名规则都不太一样，但基本都是采用前、后缀法来进行命名的，可以是多个前缀、后缀组合，中间以小数点分隔，一般格式为：［前缀］．［病毒名］．［后缀］

1、病毒前缀

病毒前缀是指一个病毒的种类，我们常见的木马病毒的前缀是“Trojan”，蠕虫病毒的前缀是“Worm”，其他前缀还有如“Macro”、“Backdoor”、“Script”等。

2、病毒名

病毒名是指一个病毒名称，如以前很有名的CIH病毒，它和它的一些变种都是统一的“CIH”，还有振荡波蠕虫病毒，它的病毒名则是“Sasser”。

3、病毒后缀

病毒后缀是指一个病毒的变种特征，一般是采用英文中的26个字母来表示的，如“Worm.Sasser.c”是指振荡波蠕虫病毒的变种c。如果病毒的变种太多了，那也可以采用数字和字母混合的方法来表示病毒的变种。

病毒的命名解释

1、木马病毒

木马病毒的前缀是：Trojan。木马病毒的特点就是通过网络或者系统漏洞进入用户的系统并隐藏，然后再向外界泄露用户的信息。一般的木马如QQ消息尾巴Trojan.QQPSW.r，网络游戏木马病毒Trojan.StartPage.FH等。病毒名中有PSW 或者什么PWD之类的是表示这个病毒有盗取密码的功能，所有这类病毒特别需要注意。

2、脚本病毒

脚本病毒的前缀是：Script。脚本病毒是用脚本语言编写，通过网页进行的传播的病毒，如红色代码Script.Redlof等。有些脚本病毒还会有VBS、HTML 之类的前缀，是表示用何种脚本编写的，如欢乐时光VBS.Happytime、HTML.Reality.D等。

3、系统病毒

系统病毒的前缀为：Win32、PE、Win95、W32、W95等。这些病毒的特点是可以感染Windows操作系统的*.exe 和*.dll 文件，并通过这些文件进行传播，如以前有名的CIH病毒就属于系统病毒。

4、宏病毒

宏病毒也可以算是脚本病毒的一种，由于它的特殊性，因此就单独算成一类。宏病毒的前缀是：Macro，第二前缀有Word、Word97、Excel、Excel97等，根据感染的文档类型来选择相应的第二前缀。该类病毒的特点就是能感染OFFICE系列的文档，然后通过OFFICE通用模板进行传播，如以前著名的美丽莎病毒Macro.Melissa。

5、蠕虫病毒

蠕虫病毒的前缀是：Worm。这种病毒的特点是可以通过网络或者系统漏洞来进行传播，很大部分的蠕虫病毒都有向外发送带毒邮件，阻塞网络的特性，大家比较熟悉的这类病毒有冲击波、震荡波等。

6、捆绑机病毒

捆绑机病毒的前缀是：Binder。病毒作者会使用特定的捆绑程序把病毒与一些应用程序（如QQ等大家常用的软件）捆绑起来，表面上看去是个正常的文件，但当用户运行这些应用程序时，也同时运行了被捆绑在一起的病毒文件，从而给用户造成危害。如系统杀手Binder.killsys。

7、后门病毒

后门病毒的前缀是：Backdoor。该类病毒的特点就是通过网络传播来给中毒系统开后门，给用户电脑带来安全隐患。如爱情后门病毒Worm.Lovgate.a/b/c。

2.6关于网页病毒

概念

网页病毒主要是利用软件或系统操作平台等的安全漏洞，通过执行嵌入在网页HTML超文本标记语言内的Java Applet小应用程序，javascript脚本语言程序，ActiveX软件部件网络交互技术支持可自动执行的代码程序，以强行修改用户操作系统的注册表设置及系统实用配置程序，或非法控制系统资源盗取用户文件，或恶意删除硬盘文件、格式化硬盘为行为目标的非法恶意程序。

网页病毒的性质及特点

这种非法恶意程序能够得以被自动执行，在于它完全不受用户的控制。你一旦浏览含有该病毒的网页，即可以在你不知不觉的情况下马上中招，给用户的系统带来一般性的、轻度性的、严重恶性等不同程度的破坏。令你苦不堪言，甚至损失惨重无法弥补。

网页病毒的种类

根据目前互联网上流行的常见网页病毒的作用对象及表现特征，归纳为以下两大种类：

一、通过Java Script、Applet、ActiveX编辑的脚本程序修改IE浏览器：

1、默认主页被修改；

2、.默认首页被修改；

3、默认的微软主页被修改；

4、主页设置被屏蔽锁定，且设置选项无效不可改回；

5、默认的IE搜索引擎被修改；

6、IE标题栏被添加非法信息

7、OE标题栏被添加非法信息；

8、鼠标右键菜单被添加非法网站广告链接；

9、鼠标右键弹出菜单功能被禁用失常；

10、IE收藏夹被强行添加非法网站的地址链接；

11、在IE工具栏非法添加按钮；

12、锁定地址下拉菜单及其添加文字信息；

13、IE菜单“查看”下的“源文件”被禁用；

二、通过Java Script、Applet、ActiveX编辑的脚本程序修改用户操作系统：

1、开机出现对话框；

2、系统正常启动后，但IE被锁定网址自动调用打开；

3、格式化硬盘

4、暗藏“万花谷”蛤蟆病毒，全方位侵害封杀系统，最后导致瘫痪崩溃；

5、非法读取或盗取用户文件；

6、锁定禁用注册表；

7、注册表被锁定禁用之后，编辑*.reg注册表文件打开方式错乱；

8、时间前面加广告；

9、启动后首页被再次修改；

10、更改“我的电脑”下的一系列文件夹名称

第三章网络版防病毒软件

3.1网络版防病毒技术要素

1、病毒查杀能力

病毒查杀能力是衡量网络版杀毒软件性能的重要因素。用户在选择软件的时候不仅要考虑可查杀病毒的种类数量，更应该注重其对流行病毒的查杀能力。很多厂商都以拥有大病毒库而自豪，但其实很多恶意攻击是针对政府、金融机构、门户网站的，而并不对普通用户的计算机构成危害。过于庞大的病毒库，一方面会降低杀毒软件的工作效率，同是也会增大误报、误杀的可能性。

2、对新病毒的反应能力

对新病毒的反应能力也是考察防病毒软件查杀病毒能力的一个重要方面。通常，防病毒软件供应商都会在全国甚至全世界建立一个病毒信息收集、分析和预测的网络，使其软件能更加及时、有效地查杀新出现的病毒。这一搜集网络体现了软件商对新病毒的反应能力。

3、病毒实时监测能力

对网络驱动器的实时监控是网络版杀毒软件的一个重要功能。很多企业中，特别是网吧、学校、机关中有一些老式机器因为资源、系统等问题不能安装杀毒软件时，就需要用该功能进行实时监控。同时，实时监控还应识别尽可能多的邮件格式，具备对网页的监控和从端口进行拦截病毒邮件的功能。

4、快速、方便的升级能力

和个人版杀毒软件一样，只有不断更新病毒数据库，才能保证网络版防病毒软件对新病毒的查杀能力。升级的方式应该多样化，防病毒软件厂商必须提供多种升级方式，特别是对于公安、医院、金融等不能连接到公共互联网络的用户，必须要求厂商提供除Internet以外的本地服务器、本机等升级方式。自动升级的设置也应该多样。

5、智能安装、远程识别

对于中小企业用户，由于网络结构相对简单，网络管理员可以手工安装相应软件，只需要明确各种设备的防护需求即可。但对于计算机网络应用复杂的用户(跨国机构、国内连锁机构、大型企业等)选择软件时，应该考虑到各种情况，要求能提供多种安装方式，如域用户的安装、普通非域用户的安装、未连网用户的安装和移动客户的安装等。

6、管理方便，易于操作

系统的可管理性是系统管理员尤其需要注意的问题，对于那些多数员工对计算机知识不是很了解的单位，应该限制客户端对软件参数的修改权限；对于软件开发、系统集成等科技企业，根据员工对网络安全知识的了解情况以及工作需要，可适当开放部分参数设置的权限，但必须做到可集中控管。对于网络管理技术薄弱的企业，可以考虑采用远程管理的措施，把企业用户的防病毒管理交给专业防病毒厂商的控制中心专门管理，从而降低用户企业的管理难度。

7、对资源的占用情况

防病毒程序进行实时监控都或多或少地要占用部分系统资源，这就不可避免地要带来系统性能的降低。如一些单位上网速度太慢，有一部分原因是防病毒程序对文件过滤带来的影响。企业应该根据自身网络的特点，灵活配置网络版防病毒软件的相关设置。

8、系统兼容性与可融合性

系统兼容性是选购防病毒软件时需要考虑的事。防病毒软件的一部分常驻程序如果跟其它软件不兼容将会带来很多问题，比如说引起某些第三方控件的无法使用，影响系统的运行。在选购安装时，应该经过严密的测试，以免影响正常系统的运行。对于机器操作系统千差万别的企业，还应该要求网络版防病毒能适应不同的操作系统平台。

3.2目前主流的网络版防病毒软件产品概述

1、赛门铁克

性能评述

Symantec的Norton(网络版Norton就是我们常说的SA V系列)更新时间比较固定，一周保证两次，属于中等水准。

对于Symantec，其最大的优势在于对新病毒的反应能力很快，查杀能力与其它几家不相伯仲。尤其对于国际上流行的病毒来说，SA V查杀起来比别家更得心应手，正常模式下能检测出来，安全模式下则可以彻底查杀。

与其它的产品相比，Symantec在于智能安装、识别能力和对资源占用这三个性能上都略有不足。比如，在安装配置这一点上，国内的几家公司做得比Symantec要好，可能是因为语言等方面的原因，使用瑞星、江民、金山等都可以很轻松的在服务器或客户机上安装server端，配置简单、使用灵活。而SA V 系列需要我们在杀毒服务器上安装很多个组件，安装完毕后还要进行繁琐的配置，为用户带来不便。而且如果客户机或服务器上安装了Norton或以往版本的

SA V还需要先删除旧版才能安装新的网络版杀毒软件，就有人因为老版Norton 文件损坏无法卸载而无法升级新的SA V，最后只能重装系统来解决。

在病毒实施监控能力、可管理性、兼容性三方面，Symantec都属于“模范生”的代表。

使用技巧

如果你曾安装过Norton SystemWorks旧版本软件或某一组件，那么应该首先卸载然后再安装Norton SystemWorks 2005，如果由于某些原因卸载失败，那么可以在安装过程中选择不安装这一组件，当然你也可以通过某些注册表工具将注册表中关于Norton SystemWorks 2005的键值清理干净。

2、McAfee

性能评述

在用户的回馈中，McAfee网络版防病毒软件的使用效果被描述为四平八稳。其中，在查杀病毒能力、对新病毒反应能力和兼容性这三个方面上，McAfee都有不俗的表现。它能在你从磁盘、网络上、E-mail夹文件中开启文件时自动侦测文件的安全性，若文件内含病毒，便会立即警告，并作适当的处理，而且支持鼠标右键的快速选单功能，并可使用密码将个人的设定锁住让别人无法乱改你的设定。

但是，和所有国外品牌的杀毒软件产品一样，McAfee也在一定程度上存在了水土不服的现象。其按照国外用户使用习惯设计的操作界面，让很多国内网管员觉得不是很适应，对控制中心的使用方面，感觉配置有点复杂。同时，在系统升级、资源占用以及和智能安装等方面，给人的感觉也是差强人意。希望其在软件的本土化方面再多做一些工作。

使用技巧

目前，3721、网络猪、中文邮、百度搜霸、一搜经常偷偷溜进您的电脑，而且难以卸载干净。用咖啡杀软可以阻止它们进入。打开咖啡杀软访问保护，创建如下几个规则：1、禁止在本地创建、写入、执行、读取3721任何内容；2、禁止在本地创建、写入、执行、读取网络猪、中文邮、百度搜霸、一搜任何内容。3721、网络猪、中文邮、百度搜霸、一搜等流氓软件再没理由呆在您的电脑里了。附上部分设置方法。比如，防止3721的方法：咖啡控制台——访问保护——文件夹保护——添加规则名称：禁止在本地创建、写入、执行、读取3721任何内容阻挡对象：*要阻挡的文件或文件名：**\\3721*\\**要阻止的文件操作：在创建文件、写入文件、执行文件、读取文件前全部打勾响应方式：阻止并报告访问尝试。

3、冠群金辰

性能评述

各个厂商的产品都有其不同的特色和侧重点。国内的防病毒软件通常具有运行迅速、资源占用低的特点，查毒能力和杀毒能力也都表现良好，只是在病毒处

理方面还有待提高。国际厂商的产品在技术处理方面仍旧保有优势，但其并非完美无缺，一些处理策略和产品理念并不适合国内市场，比较明显一点的就是国际厂商一般对仅在国内流行的QQ病毒无法查杀，这也是应继续努力改进的。冠群金辰基本符合这一规律。

KILL安全胄甲(企业版)是北京冠群金辰软件有限公司推出的企业级网络防病毒产品，在继承了KILL系列产品全部特点的基础上，在提高病毒查杀能力和优化管理性能方面具有突破性拓展: 双引擎病毒扫描技术、自动修复病毒破坏的系统文件、自动增量升级方式、病毒特征代码签名保护等新增功在一定程度上能帮助企业用户实现全方位立体式病毒防御。

使用技巧

如上所说，KILL的在线升级功能非常有限，只能更新病毒码，而补丁文件只能通过手动进行了。官方主页说明补丁必须在安全模式下进行，难道没有更简单的方法吗？答案当然是有。

首先，启动KILL主程序，进入KILL“服务管理器”，关闭所有KILL服务进程；然后，关闭KILL实时监控，KILL服务管理器里面的进程已经被关闭，虽然防火墙已经处理停止工作状态，仍然要选择退出。第三步不用说了，把补丁文件放到指定的目录就行。最后进入KILL“服务管理器”开启所有服务，完成！

4、趋势科技

性能评述

趋势的产品体现了极高的综合素质，无论是在功能的完整性、设置的细度、信息的丰富程度、易用性以及病毒查杀能力等方面都获得了优异的成绩。其最大的优点就在于它完善的整体安全解决方案(特指病毒)，另外，其简单的界面也更加亲民，让人更易上手。而且从架构上可以看出，趋势是一款从底层就完全为企业级运算进行设计的产品。

但是趋势重要的功能缺失，一些不具备的功能通常也是由于设计上的考量使然。众多灵活的选项可以通过较为简便的方式进行设定，管理员可以获得高度的产品定制能力。在信息表现力方面也属中上，而在信息丰富程度上更是无人能出其右。在国内市场频频动作的趋势科技看来他们对自己的产品颇具信心，而我们通过评测也证实应用这一产品可以为企业网络提供高水平的防病毒保护。

使用技巧

发现病毒时提示“删除失败”，怎么办？

解决办法：出现“删除失败”的提示一般是因为要删除的染毒文件当前正在使用中，受到系统保护，无法删除。

可以重新启动计算机后，直接使用瑞星软件再杀毒。如果依然无法删除染毒文件，则可以进入操作系统的安全模式中使用瑞星杀毒，或者按照瑞星软件扫描的路径手工删除染毒文件。

发现病毒时提示“清除失败”，怎么办？

解决办法：当出现“清除失败”的提示时，可以在杀毒软件扫描结果处，鼠标右键点击病毒项，在弹出菜单中选择“删除文件”，从而将染毒文件从计算机上删除。

5、熊猫卫士

性能评述

熊猫卫士是西班牙Panda软件公司在中国推出的反病毒产品。有人说熊猫卫士系列产品的优点是友好的用户界面不会吓退初学的用户；新的个人防火墙可以阻止对个人电脑的非法登陆；可以扫描发送和接受的电子邮件。但缺点是没有电话技术支持(即使愿意多支付费用也不能获得)；在一些业界标准的杀毒测试中表现平平；相对来说价格较贵，尤其是对升级用户来说。

对于上述特征，该厂商的网络版防病毒软件似乎有“熊猫遗风”。价格、技术服务以及检测技术仍然是羁绊熊猫卫士的关键因素。

熊猫卫士在查杀病毒能力、对新病毒反应能力以及升级能力三方面都有尚佳表现。它的特点是可以保护所有电子邮件通讯，使所有接收和发送的电子邮件通讯安全并免受病毒感染；保护整个网络的边界，保护网络和Internet之间的所有连接；抵挡各种类型的攻击，包括新的瘦客户端桌面保护。

在可管理性上通过新的中央管理工具AdminSecure，可以从一台计算机进行整个网络的集中管理。这一特点与其他几家产品相比应该是在伯仲之间。此外，有用户反应熊猫卫士占用内存比较高，严重占用了资源，尤其是控制台，经常会死机。

作为一家专业的软件企业，熊猫卫士并不提供其他的网络安全硬件设备，因此，尽管其具有不错的杀毒引擎，但是从产品的兼容性方面来说，相比较其他品牌，在市场上不占优势。

使用技巧

如果在安装时选择了扫描内存或硬盘，则安装时间会长一些。从使用的角度考虑，笔者建议选择扫描内存和硬盘，因为这样可以给你更有力的保护。在安装过程中它还可以由你选择保护的类型，保护类型设置好后防火墙将被设置为使用防火墙。安装好后，重新启动一下，软件会静默地进入自动运行状态，在工作的过程，你可能会忽略它的存在。

6、瑞星

性能评述

当瑞星势头一度压过金山的时候，很多网管也转投瑞星，况且瑞星更新病毒库的速度在国内杀毒软件厂商中已拔得头筹。据很多网管员称，瑞星2005和瑞星2006相比更为实用，而且瑞星网络版防病毒软件的可管理性不错，网管员可以通过控制台完成对整个LAN的扫描参数设置，而且网络管理员对任何一台计算机的模拟扫描(Simulate Scaning)都如同对自己的机器扫描一样，能有效提高工作效率。