第8章 计算机病毒及防范技术

据1998年CSI/FBI计算机犯罪和安全调查报告中对攻击的分类调查显示， 计算机病毒占所有攻击类型的首位.
第八章 计算机病毒及防范技术
12
2012-5-20
8.1 计算机病毒概念
8.1.4 计算机病毒的危害
1.计算机病毒对独立计算机系统的危害 （1）破坏磁盘文件分配表或目录区，使用户磁盘上的 信息丢失。 （2）删除软盘或硬盘上的可执行文件或系统文件，使 系统无法启动。 （3）修改或破坏文件的数据。 （4）病毒程序自身在计算机系统中多次复制，使系统 的存储空间减少，造成正常的文件不能存储。 （5）删除或改写磁盘上的特定扇区。 （6）对系统中用户存储的特定文件进行非法加密或解 密。 （7）感染和破坏压缩文件，使其在解压时失败。 （8）改写BIOS中内容，使主板遭到毁灭性的破坏。
第八章 计算机病毒及防范技术
13 2012-5-20
8.1 计算机病毒概念Fra bibliotek8.1.4 计算机病毒的危害
2.计算机病毒对网络的危害 病毒对网络的危害远比对独立计算机系统危害大得多。 据国外有关调查表明，1998年底，90％的Internet用户都 遭受过来自Internet网上的病毒的侵扰。病毒对网络的危 害主要有： （1）病毒通过“自我复制”传染正在运行的系统，与 正 常的运行程序争夺系统资源，造成系统瘫痪，并通过网络 系统侵害与之联网的其他计算机。 （2）病毒会导致计算机控制的失灵。 （3）病毒会导致电子邮件传递混乱或Email系统关闭。 （4）病毒程序在激活时，能冲毁系统存取器中的大量 数据，使与之相联的计算机用户的程序和数据丢失。
第八章 计算机病毒及防范技术
10
2012-5-20
8.1 计算机病毒概念
8.1.3 恶意程序
4.细菌 细菌是一些并不明显破坏文件的程序，它们的惟一 目的就是繁殖自己。一个典型的细菌程序可能不做什么 其他的事情。除了在多进程系统中同时执行自己的两个 副本，或者可能创建两个新的文件外，每一个都是细菌 程序原始源文件的一个复制品。那些程序然后又可能将 自己两次复制，依次类推．细菌以指数级地再复制，最 终耗尽了所有的处理机能力、存储器或磁盘空间，从而 拒绝用户访问这些资源。
第八章 计算机病毒及防范技术
6
2012-5-20
8.1 计算机病毒概念
8.1.3 恶意程序
恶意程序是指一类特殊的程序，它们通常在用户不知晓 恶意程序是指一类特殊的程序，它们通常在用户不知晓 也未授权的情况下潜入进来，具有用户不知道（一般也不 许可）的特性，激活后将影响系统或应用的正常功能，甚 至危害或破坏系统。恶意程序的表现形式多种多样。有的 是将合法程序进行改动，让它含有并执行某种破坏功能， 如程序自毁或磁盘自毁。有的是利用合法程序的功能和权 限，非法获取或篡改系统资源和敏感数据，进行系统入侵。
信息安全
第八章 计算机病毒及防范技术
第八章 计算机病毒及防范技术
1
2012-5-20
本章主要内容
8.1 计算机病毒概念 8.2 计算机病毒原理 8.3 反病毒技术
第八章 计算机病毒及防范技术
2
2012-5-20
本章学习目标
本章介绍计算机病毒的定义、由来、特征、分类、传 播及工作方式、破坏行为、作用机制；分析一些病毒的 原理，介绍病毒检测、清除、预防等原理，最后介绍一 些防病毒软件的使用。 通过本章的学习，学生应该掌握以下内容： （1）了解计算机病毒的定义、由来、特征、分类传播 及工作方式、破坏行为、作用机制； （2）理解病毒预防、检测、清除、等原理。 （3）掌握KV3000杀毒软件的使用。
第八章 计算机病毒及防范技术
15 2012-5-20
8.2 计算机病毒原理
8.2.2 计算机病毒的分类
1. 按感染形式分类 文件病毒： 文件病毒 ： 通过在执行系列中插入指令把自己依附在可 执行文件上，此种病毒感染文件，并寄生在文件中，进 而造成文件损坏。 引导区病毒： 引导区病毒 ： 潜伏在软盘的引导扇区，或在硬盘的引导 区，或主引导纪录（分区扇区）中插入指令。如果计算 机用被感染的软盘引导时，病毒就会感染到引导硬盘， 并把自己的代码调入内存。 混合型病毒： 混合型病毒：具有引导型和文件型两种病毒的特性。CIH 病毒就是这种混合型病毒。 宏病毒： 宏病毒 ： 即感染可执行文件和一般文件。虽无严重的危 害，但对系统的性能及用户工作效率有影响，在网络中 进行交叉感染。“美丽杀手” 就是一种宏病毒，
第八章 计算机病毒及防范技术
11
2012-5-20
8.1 计算机病毒概念
8.1.4 计算机病毒的危害
病毒 内部人员对网络的滥用 笔记本电脑盗窃 未授权的内部访问 系统入侵 偷窥私人信息 电信欺骗 金融欺骗 破坏 被动搭线窃听 主动搭线窃听 0 1％ ％ 10％ ％ 20％ ％ 30％ ％ 40％ ％ 50％ ％ 60％ ％ 70％ ％ 80％ ％ 9％ ％ 16％ ％ 14％ ％ 13％ ％ 13％ ％ 21％ ％ 39％ ％ 57％ ％ 68％ ％ ％ 73％
18 2012-5-20
第八章 计算机病毒及防范技术
8.2 计算机病毒原理
8.2.2 计算机病毒的分类
4．根据病毒操作的方式或使用的编程技术分类 隐蔽病毒：使用某种技术来隐蔽程序被感染的事实。例 隐蔽病毒： 如当操作系统发出调用要得到的某些信息时，它记录下 必要的信息，以便于以后欺骗操作系统和病毒程序的扫 描。 变形病毒：变形病毒能变化，使得它们更难被鉴别出来。 变形病毒： 如有一种使用高级加密技术的多态病毒。其使用了可变 化的签名。变化过程称为变异。变异中，病毒改变它的 大小和构成。通常，病毒扫描程序通过搜索已知的模式 （大小、校验码、日期等）来检测病毒，一个经巧妙设 计的变形病毒则可逃脱这些固定模式的检测，是传统的 模式匹配法对此显得软弱无力。
第八章 计算机病毒及防范技术
7
2012-5-20
8.1 计算机病毒概念
8.1.3 恶意程序
1.逻辑炸弹 在病毒和蠕虫之前， 在病毒和蠕虫之前，最古老的软件威胁之一就是逻辑 炸弹。逻辑炸弹是嵌入在某个合法程序里面的一段代码， 炸弹。逻辑炸弹是嵌入在某个合法程序里面的一段代码， 被设置成当满足特定条件时就会“爆炸” 被设置成当满足特定条件时就会“爆炸”：执行一个有害 行 为的程序，如改变、删除数据或整个文件，引起机器关机， 为的程序，如改变 、删除数据或整个文件，引起机器关机， 甚至破坏整个系统等破坏活动。 甚至破坏整个系统等破坏活动。
第八章 计算机病毒及防范技术
17 2012-5-20
8.2 计算机病毒原理
8.2.2 计算机病毒的分类
3．按攻击方式分类 这种方法划分有利于分析病毒的攻击对象和传染范围。 源码病毒 存在的形式为源码。可细分为Shell型和语 言型。 Shell（命令解释程序），一般指接收标准输入并将命 令转交给系统的命令解释器或程序，Shell型病毒包括各种 操作系统的Shell程序。如Unix的B Shell、C Shell，DOS ，Windows NT的cmd.exe 等。 语言型包括汇编、C、B、Fortran语言和微软的VC、VB， VJ等。 机器码病毒 指各种处理器的机器码构成的病毒，如 Intel86系列病毒、Motorola的68000，系列病毒、Zilog系 列病毒和Macintosh系列病毒等。 混合码病毒 两种形式都有则称为混合码病毒。
第八章 计算机病毒及防范技术
4
2012-5-20
8.1 计算机病毒概念
8.1.2 计算机病毒产生和发展
1949年计算机的创始人冯·诺依曼的《复杂自动机器的理 论和结构》论文，提出计算机程序可以在内存中进行自 我复制和变异的理论。 1959年AT&TBell实验室的3位成员设计出具有自我复制能 力、并能探测到别的程序在运行时能将其销毁的程序。 1983年Fred Cohen博士研制出一种在运行过程中可以复 制自身破坏性程序。并在全美计算机安全会议上提出， 在VAXll／150机上演示，从而证实计算机病毒的存在， 这也是公认的第一个计算机病毒程序的出现。 1988年罗伯特·莫里斯（Rober Moms）制造的蠕虫病毒首 次通过网络传播病毒，是一起震撼世界的“计算机病毒 侵入网络的案件”。
第八章 计算机病毒及防范技术
16 2012-5-20
8.2 计算机病毒原理
8.2.2 计算机病毒的分类
2. 按寄生方式分类 代替式计算机病毒：计算机病毒用自身代码的部分或全 代替式计算机病毒：计算机病毒用自身代码的部分或全 部替代常规程序的部分或全部， 部替代常规程序的部分或全部，且替代后依然能完成被 替代的合法程序的功能。 替代的合法程序的功能。 连接式计算机病毒：这种方式一般以传染文件为主， 连接式计算机病毒：这种方式一般以传染文件为主，即 病毒与宿主文件相连接时宿主文件的字节长度增加， 病毒与宿主文件相连接时宿主文件的字节长度增加，但 不破坏原合法程序的代码。 不破坏原合法程序的代码。 转储式计算机病毒：病毒将原合法的程序代码转储到存 转储式计算机病毒：病毒将原合法的程序代码转储到存 储介质的其他部位， 储介质的其他部位，而用病毒代码占据原合法程序的位 置。 充式计算机病毒：这种病毒有的传染引导程序， 充式计算机病毒：这种病毒有的传染引导程序，有的传 染文件，病毒一般侵入宿的空闲存储空间， 染文件，病毒一般侵入宿的空闲存储空间，这样就不会 改变宿主程序的字节长度。 改变宿主程序的字节长度。
第八章 计算机病毒及防范技术
9
2012-5-20
8.1 计算机病毒概念
8.1.3 恶意程序
3.蠕虫 计算机蠕虫是一种可以通过网络（永久性网络连接 或拨号网络）进行自身复制的病毒程序。一旦在系统中激 活，蠕虫可以表现得像计算机病毒或细菌。可以向系统注 入特洛伊木马程序，或者进行任何次数的破坏或毁灭行动。 普通计算机病毒需要在计算机的硬盘或文件系统中繁殖， 而典型的蠕虫程序则不同，只会在内存中维持一个活动副 本，甚至根本不向硬盘中写入任何信息。此外，蠕虫是一 个独立运行的程序，自身不改变其他的程序，但可携带一 个具有改变其他程序功能的病毒。