信息安全与计算机病毒……毕业论文

题目：信息安全与计算机病毒

信息安全与计算机病毒

摘要：……

本篇论文研究了信息安全的实现目标、安全威胁以及威胁的主要来源、并研究信息安全的策略以及当前条件下保护信息安全的主要技术。并对计算机病毒的由来、发展、特征、分类、危害、防治进行了初步分析。

本篇论文的主要侧重点在于对当前条件下，计算机病毒对信息安全产生的威胁进行研究，分析研究了目前新信息时代下几种反病毒技术，并且对这集中新技术进行了简要的分析，本文针对目前信息安全的现状提出初步的解决方案，以及对防治计算机病毒、保护计算机信息安全的技术方面提出改进意见。希望通过本文尽可能的提出在计算机病毒防治方面自己的研究结论和观点。

关键词：信息安全、病毒防治、主动防御

Information security and computer viruses

Abstract: In this thesis,we study the information security goals, security threats and the main source of threat and to study the information security policy and the current information security under the protection of the main technology. The origin of the computer virus, development, characteristics, classification, hazards, prevention and control conducted a preliminary analysis.

The main focus of this paper is on the current conditions, the computer virus on the information security threats arising from research, analysis of the current era of new information on several anti-virus technology, and new technologies in this Jizhong a brief analysis.In this paper, the status of the current preliminary information security solutions, as well as the prevention of computer viruses, protecting the technical aspects of computer information security advice for improvement. Hope that through this as much as possible in the computer virus prevention and control presented their resear ch findings and perspectives.

Keywords: Information Security、Virus Prevention、Active defense

目录

1 综述 (1)

1.1信息安全的重要性 (1)

1.1.1 社会信息化提升了信息的地位 (1)

1.1.2 社会对信息技术的依赖性逐渐增强 (1)

1.1.3 虚拟的网络财富日益增长 (2)

1.1.4 信息安全已经成为社会的焦点问题 (2)

1.2信息安全的严峻性 (2)

1.2.1 网络安全事件接收和处理情况 (3)

1.2.2 信息系统安全漏洞公告及处理情况 (3)

1.2.3 木马与僵尸网络监测情况 (4)

1.2.4 被篡改网站监测情况 (5)

1.2.5 网页仿冒事件情况 (5)

1.3信息安全相关研究 (6)

1.3.1 密码理论和技术 (6)

1.3.2 安全协议理论和技术 (6)

1.3.3 安全体系结构理论与技术 (6)

1.3.4 信息对抗理论与技术； (6)

1.3.5 网络安全与安全产品。 (6)

2 计算机病毒 (7)

2.1计算机病毒的定义 (7)

2.2计算机病毒的基本特征 (7)

2.2.1 感染性 (8)

2.2.2 潜伏性（隐藏性） (8)

2.2.3 可触发性 (8)

2.2.4 破坏性 (8)

2.2.5 非授权可执行性 (8)

2.3计算机病毒的分类 (8)

2.3.1 按计算机病毒攻击的机型分类 (8)

2.3.2 按计算机病毒攻击的操作系统分类 (9)

2.3.3 按传播媒介分类 (9)

2.3.4 按计算机病毒的寄生方式分类 (9)

2.3.5 按病毒的表现（破坏）情况分类 (10)

2.3.6 按计算机病毒寄生方式和感染途径分类 (10)

2.4计算机病毒发展简史 (11)

2.5计算机病毒分析 (13)

2.5.1 DOS病毒分析 (13)

2.5.2 Windows病毒分析 (15)

3 反病毒技术研究 (19)

3.1CPU反病毒技术 (19)

3.1.1 CPU硬件防毒原理 (19)

3.1.2 防毒CPU家族展示 (19)

3.2实时反病毒技术 (21)

3.1.1 实时反病毒技术简介 (21)

3.1.2 实时反病毒技术具体应用 (22)

3.3虚拟机反病毒技术 (22)

3.4主动防御反病毒技术 (23)

3.4.1 主动防御简介 (23)

3.4.2 基于SSDT的病毒主动防御技术研究 (23)

3.4.3 基于行为分析的病毒主动防御技术研究 (23)

4 总结与展望 (25)

4.1总结 (25)

4.2展望 (25)

毕业论文体会与致谢 (27)

1 综述

信息科学技术的快速发展使人类步入了信息化、网络化的时代，大大促进了社会的繁荣与进步，给我们的学习、工作、生活带来了很大的方便，也使我们对以计算机为核心的信息系统的依赖性日渐增强。

1946年，世界第一台电子计算机ENIAC在美国诞生后，经过近60年的发展，作为社会发展三要素的物质、能源和信息的关系发生了深刻的变化。在计算机技术和通信技术的推动下，信息要素已成为支配人类社会发展进程的决定性力量之一，信息关系到一个人的成长、一个单位的业务发展，甚至一个国家的生死存亡。可以这么说，我们的社会已经开始从工业化社会逐渐进入到信息化社会。

1.1 信息安全的重要性

微型计算机和大容量存储技术的发展和应用，推动了信息处理的电子化；通信技术和通信协议的发展推动了信息的高速传输和信息资源的广泛共享。20世纪80年代，特别是90年代中后期开始的互联网狂潮，彻底改变了人们获取知识、了解信息的习惯，互联网已经成为了一个继电视、电台、报刊之后的第四媒体，是我们获取信息、传播信息的重要载体，互联网的使用已经深入到政治、军事、文化、商务、学习和日常生活等各个领域和方面，深刻影响着社会各阶层、个人、政体，甚至国家内部及相互之间关系的思维方式、行为方式和观念的变化。

1.1.1 社会信息化提升了信息的地位

当今社会，在国民经济和社会各个领域，由于不断推广和应用计算机、通信、网络等信息技术和其他相关性的智能技术，目前已基本达到全面提高经济运行效率、劳动生产率、企业核心竞争力和人民生活质量的目的。信息化是工业社会向信息社会的动态发展过程。在这一过程中，信息产业在国民经济中所占比例上升，工业化与信息化的结合日益密切，信息资源成为重要的生产要素。

1.1.2 社会对信息技术的依赖性逐渐增强

信息化已经成为当今世界经济和社会发展的趋势，这种趋势主要表现在以下三个方面：一是信息技术突飞猛进，成为新技术革命的领头羊；二是信息产业高速发展，成为经济发展的强大推动力；三是信息网络迅速崛起，成为社会和经济活动的重要依托。

因特网目前已成为信息获取、交流的主要平台，世界各国网民人数急剧增加。

图1.1 各国网民数量增长图

表1.1各国网民数量增长表

各国网民数量增长表

美国中国日本德国英国

1998年700 21 88 103 89

2002年1550 660 230 330 233

2010年15200 7200 5200 3200 3000

1.1.3 虚拟的网络财富日益增长

因特网的普及，使得财产的概念除金钱、实物外，又增加了虚拟的网络财富，网络账号、各种游戏装备、游戏积分、游戏币等，这些都是都是人们的财产体现，而这些虚拟财产都以信息的形式在网络中流通并使用，因此网络信息安全直接关系到这些财产的安全。

1.1.4 信息安全已经成为社会的焦点问题

信息比例的加大使得社会对信息的真实程度、保密程度的要求不断提高，而网络化又使因虚假、泄密引起的信息危害程度呈指数增大。如近几年的大学英语四、六级考题，高考试题的泄漏事件，影响都是全国性的。针对信息的有意刺探、攻击行为更是国家、单位重点防护的事件。

虽然计算机网络给人们带来了巨大的便利，但互联网是一个面向大众的开放系统，对信息的保密和系统的安全考虑得并不完备，存在着安全隐患，网络的安全形势日趋严峻。加强网络安全建设，是关系到单位整体形象和利益的大问题。目前在各单位的网络中都存储着大量的信息资料，许多方面的工作也越来越依赖网络，一旦网络安全方面出现问题，造成信息的丢失或不能及时流通，或者被篡改、增删、破坏或窃用，都将带来难以弥补的巨大损失。而对于政府等许多单位来讲，加强网络安全建设的意义甚至关系到国家的安全、利益和发展。

表1.2 网络安全组成部分

运行系统的安全保证信息处理和传输系统的安全，它侧重于保证系统正常运行，避免因为系统的崩溃和损坏而对系统存贮、处理和传输的信息造成破坏和损失，避免由于电磁泄漏产生信息泄露

系统信息的安全包括用户口令鉴别，用户存取权限控制，数据存取权限、方式控制，安全审计，安全问题跟踪，计算机病毒防治，数据加密

信息传播的安全指可对信息的传播后果进行控制，包括信息过滤等，对非法、有害的信息传播后造成的后果，能进行防止和控制，避免公用网络上大量自由传输的信息失控

信息内容的安全侧重于保护信息的保密性、真实性和完整性，避免攻击者利用系统的安全漏洞进行窃听、冒充、诈骗等有损于合法用户的行为

1.2 信息安全的严峻性

针对信息的保护与反保护等行为一直伴随着信息的整个发展历程。进入21世纪后，信息安全面临着更严峻的考验。

对此国家特别于1999年9月成立了国家互联网应急中心（全称为国家计算机网络应急技术处理协调中学，英文简称为CNCERT或CNCERT/CC），这是在工业和信息化部领导下的国家急网络安全应急机构，致力于建设国家级的网络安全监测中心、预警中心和应急中心，以支撑政府主要主管部门履行网络安全相关的社会管理和公共服务职能，支持基础信息网络的安全防护和安全运行，支援重要信息系统的网络安全监测、预警和处理。

1.2.1 网络安全事件接收和处理情况

2010年上半年中国计算机网络应急技术处理协调中心（CNCERT）共接收4780次网络安全事件报告（不包括扫描和垃圾邮件等事件），与2009年上半年相比增长105%。其中，恶意代码、漏洞和网页仿冒事件报告次数居前三位，所占比例分别为：57.57%，25.96%和15.48。

2010年上半年CNCERT 国家中心和各分中心处理各类网络安全事件共784件，与2009年上半年相比增长92.2%。其中，恶意代码、网页仿冒、网页篡改是事件处理的重点。

图1.2 网络安全事件报告数量月度统计

图1.3 网络安全事件报告类型统计

总体看来网络安全事件报告是逐年大量增加，恶意代码、漏洞仍然是影响企业和用户网络安全的主要威胁。

1.2.2 信息系统安全漏洞公告及处理情况

2010年上半年国家信息安全漏洞共享平台（CNVD）共收录信息安全漏洞1241个，其中高危、中危、低危漏洞分别占19.34%、23.93%和56.73%。

2010年上半年国家信息安全漏洞共享平台（CNVD）收录的信息安全漏洞中，可用于实施远程网络攻击的漏洞有1076个，占总收录漏洞总数的86.70%。0day漏洞[1]107个。

图1.4 2010年上半年CNVD收录漏洞按等级分布

图1.5 2010年上半年CNVD收录漏洞数量情况

1.2.3 木马与僵尸网络监测情况

2010年上半年中国大陆地区有近124万个IP地址对应的主机被木马程序控制；参与控制中国大陆计算机的境外木马控制服务器IP有12.8万个，主要来自美国、印度和中国台湾。

2010年上半年中国大陆地区有23.3万个IP地址对应主机被僵尸程序控制；参与控制中国大陆计算机的境外僵尸网络控制服务器IP有4584个，主要来自美国、土耳其和印度。

根据CNCERT抽样监测结果，中国大陆木马受控主机最多的地区分别为广东省（15.12%）、江苏省（7.25%）、浙江省（7.18%）、山东省（6.67%）和河南省（5.81%），如图1.6所示。

图1.6 中国大陆木马受控主机IP按地区分布

1.2.4 被篡改网站监测情况

2010年上半年中国大陆被篡改网站总数为14907个，比2009年上半年下降21.8%。

2010年上半年中国大陆地区政府网站被篡改数量为2574个，比2009年上半年增长了222.56%。被篡改的政府网站占整个大陆地区被篡改网站的17.27%。

表1.3 2010年上半年篡改中国大陆网站黑客排名

2010年上半年篡改中国大陆网站的黑客按攻击次数排名前10位排名黑客名称数量

1 Timeless 454

2 By_aGReSiF 352

3 Joker 242

4 iskorpitx 205

5 Link 196

6 Hmei

7 176

7 冰鱼155

8 aGReSiF 148

9 HEXB00T3R 145

10 Cracker-Mr.X 140

1.2.5 网页仿冒事件情况

2010年上半年CNCERT共接到网页仿冒事件报告740次，经归类合并后具体成功处理了308件。被仿冒的网站大多是国外的著名金融交易机构。

表1.4 2010年上半年被仿冒网站按次数排行

2010年上半年被仿冒网站按次数排行前10名

被仿冒网站次数

BANCO BRADESCO S.A.(巴西巴拉德斯科银行) 72

BBVA(毕尓巴鄂比斯开银行) 72 ALLIANCE LEICESTER BANK(英国联合莱斯特银行) 49

HSBC(中国香港汇丰银行) 49

CCTV(中国中央电视台) 41

Ebay(美国网上交易站) 32

PNC(美国PNC金融服务集团) 25 Internal Revenue Service(美国国家税务局) 22

CECA(西班牙储蓄银行联盟) 17

Twitter(美国社交及微博服务网站) 12

1.3 信息安全相关研究

信息安全学科是一门交叉性、综合性都比较强的学科，信息安全要综合运用数学、物理、通信和计算机等诸多学科的长期知识积累和许多最新的研究发展成果，并对这些积累和成果进行自主创新研究，加强顶层设计，以便提出系统的、完整的、协同的解决方案。

1.3.1 密码理论和技术

密码理论与技术主要包括两方面的内容，一是基于数学的密码理论与技术（包括公钥密码、分组密码、序列密码、认证码、数字签名、Hash函数、身份识别、密钥管理、PKI技术等）；二是非数学的密码理论与技术（包括信息隐形、量子密码、基于生物特性的识别理论与技术）。

1.3.2 安全协议理论和技术

安全协议的研究主要包括：安全协议的安全性分析方法研究、实用安全协议的设计与分析研究。

目前，国际国内已经提出了不少实用的安全协议，比较具有代表性的有：电子商务协议、IPSec协议、TLS协议、简单网络管理协议（SNMP）、PGP协议、PEM协议、S-HTTP 协议、S/MIME协议等。其中电子商务协议、IPSec协议和TLS协议是当前研究的一个热点。

1.3.3 安全体系结构理论与技术

安全体系结构理论与技术主要包括安全体系模型的建立及其形式化描述与分析、安全策略和机制的研究、检验和评估系统安全性的科学方法和准则的简历、符合这些模型、策略和准则的系统的研制（比如安全操作系统、安全数据库系统等）。

1.3.4 信息对抗理论与技术；

信息对抗理论与技术主要包括黑客防范体系、信息伪装理论与技术、信息分析与监控、入侵检测原理与技术、反击方法、应急响应系统、计算机病毒、人工免疫系统在反病毒以及抗入侵系统中的应用等。

1.3.5 网络安全与安全产品。

网络安全是信息安全中的重要研究内容之一，也是当前信息安全领域中的研究热点。

研究的内容主要包括以下两个方面：

（1）网络安全整体解决方案的设计与分析，网络安全产品的研发

（2）网络安全包括物理安全和逻辑安全。它是一个涉及网络、操作系统、数据库、应用系统、人员管理等的事情，应该综合起来考虑。

因此，网络安全的解决是一个综合性的问题，涉及了诸多的元素，包括技术、产品和管理等，目前国际上已经有众多的网络安全解决方案和产品，但是由于出口政策和自主性的问题，不能直接用于解决我们国家自己的网络问题，因此，我国的网络安全只能借鉴这些先进的技术和产品，自己解决问题。

2 计算机病毒

计算机技术的迅猛发展，给人们的工作和生活带来了前所未有的便利和效率，随着计算机走进社会的各个领域，走进千家万户，计算机系统已经能实现生活、管理、办公的自动化，成为人类社会不可或缺的一部分。

与此同时，计算机安全的重要性也被越来越多的人认识到，商业界、金融银行界主要依靠计算机处理事务，政府的行政管理要依靠计算机信息系统和数据库，医疗卫生要依靠计算机技术，整个社会对计算机系统的依赖程度越来越大，甚至离不开他。然而，计算机系统并不安全，并不安全的因素有计算机信息系统自身的、自然的，也有人为的。

计算机病毒就是最不安全的因素之一。计算机病毒是现代信息化社会的公害，是计算机犯罪的一种特殊形式。各种计算机病毒的产生和全球性蔓延已经给计算机系统的安全造成了巨大的威胁和损害，其造成的计算机资源的损失和破坏，不但会造成资源和财富的巨大浪费，而且有可能造成社会性的灾难，正由于此，人们开始了反计算机病毒的研究。

随着信息化社会的发展，计算机病毒的威胁日益严重，迄今为止，已发现的病毒种类很多，且以相当惊人的速度递增，人们“谈病毒色变”。人们把计算机病毒称为“21世纪最大的隐患”、“不流血的致命武器”，它的出现完全有可能改变人类的未来，因此反病毒的任务更加艰巨了。

2.1 计算机病毒的定义

计算机病毒是一个程序，一段可执行代码。像生物病毒一样，计算机病毒有其独特的复制能力，可以很快蔓延，又常常难以根除，他们能把自身附着在各种类型的文件上，当文件被复制或在从一个用户传送到另一个用户时，他们就随从文件一起蔓延开来。现在，随着计算机网络的发展，计算机病毒和计算机网络技术相结合，蔓延的速度更加迅速。

1983年，美国计算机安全专家Frederick Cohen博士首次提出计算机病毒的存在，他认为：计算机病毒是一个能感染其他程序的程序，它靠修改其他程序，并把自身的拷贝嵌入其他程序而实现病毒的传染。1989年，他进一步将计算机病毒定义为：“病毒程序通过修改其他程序的方法将自己的精确拷贝或可能演化的形式放入其他程序中，从而感染它们。”所谓感染，是指病毒将自身嵌入到指令序列中，致使执行合法程序的操作招致病毒程序的共同运行（或是以病毒程序的执行取而代之）。

1994年《中华人民共和国计算机安全保护条例》定义：“计算机病毒是指编制或者在计算机程序中插入的，破坏计算机功能或者数据、影响计算机使用，并能自我复制的一组计算机指令或者程序代码”。

2.2 计算机病毒的基本特征

计算机病毒是一段特殊的程序，它与生物学病毒有着十分相似的特征。除了与其他

程序一样，可以存储和运行外，计算机病毒还有感染性、潜伏性、可触发性、破坏性、衍生性等特征。它一般都隐藏在合法程序（被感染的合法程序称作宿主程序）中，当计算机运行时，它与合法的程序争夺系统的控制权，从而对计算机系统实施干扰和破坏作用。

2.2.1 感染性

计算机病毒的感染性是指计算机病毒具有把自身复制到其他程序中的特性。感染性是病毒的根本属性，是判断一个程序是否为病毒程序的主要依据。病毒程序一旦侵入计算机系统就开始搜索可以传染的程序或者磁介质,然后通过自我复制迅速传播。由于目前计算机网络日益发达,计算机病毒可以在极短的时间内,通过像 Internet这样的网络传遍世界。

2.2.2 潜伏性（隐藏性）

计算机病毒具有依附于其他媒体而寄生的能力,这种媒体我们称之为计算机病毒的宿主。依靠病毒的寄生能力,病毒传染合法的程序和系统后,不立即发作,而是悄悄隐藏起来,然后在用户不察觉的情况下进行传染。这样,病毒的潜伏性越好,它在系统中存在的时间也就越长,病毒传染的范围也越广,其危害性也越大。

2.2.3 可触发性

计算机病毒一般都有一个或者几个触发条件。满足其触发条件或者激活病毒的传染机制,使之进行传染;或者激活病毒的表现部分或破坏部分。触发的实质是一种条件的控制,病毒程序可以依据设计者的要求,在一定条件下实施攻击。这个条件可以是敲入特定字符,使用特定文件,某个特定日期或特定时刻,或者是病毒内置的计数器达到一定次数等。

2.2.4 破坏性

无论何种病毒程序一旦侵入系统都会对操作系统的运行造成不同程度的影响。即使不直接产生破坏作用的病毒程序也要占用系统资源(如占用内存空间,占用磁盘存储空间以及系统运行时间等)。而绝大多数病毒程序要显示一些文字或图像,影响系统的正常运行,还有一些病毒程序删除文件,加密磁盘中的数据,甚至摧毁整个系统和数据,使之无法恢复,造成无可挽回的损失。因此,病毒程序的副作用轻者降低系统工作效率,重者导致系统崩溃、数据丢失。病毒程序的表现性或破坏性体现了病毒设计者的真正意图。

2.2.5 非授权可执行性

用户通常调用执行一个程序时,把系统控制交给这个程序,并分配给他相应系统资源,如内存,从而使之能够运行完成用户的需求。因此程序执行的过程对用户是透明的。而计算机病毒是非法程序,正常用户是不会明知是病毒程序,而故意调用执行。但由于计算机病毒具有正常程序的一切特性:可存储性、可执行性。它隐藏在合法的程序或数据中,当用户运行正常程序时,病毒伺机窃取到系统的控制权,得以抢先运行,然而此时用户还认为在执行正常程序。

2.3 计算机病毒的分类

2.3.1 按计算机病毒攻击的机型分类

（1）攻击微型机的病毒

微型机可以说是世界上使用最多的计算机类型，目前超过几亿台，这些机器广泛渗透到各个国家的政治、军事、经济以及人们日常生活的各个方面。而病毒的设计者总是希望病毒的传播范围越广越好，所以，这类病毒出现的最多，其变种也最多，版本的更新也最快，感染的范围也最为广泛。

（2）攻击小型计算机的病毒

小型机的应用范围也是极为广泛的，它既可以作为网络的一个节点机，也可以作为小型计算机网络的主机。一般来说，小型机的操作系统比较复杂，而且小型机一般都采用了一定的安全保护措施，所以，过去人们认为小型机不会受到计算机病毒的攻击。但是1988年11月，Internet上的小型机受到了Worm程序的攻击，证明了小型机同样不能免遭计算机病毒的攻击。

（3）攻击工作站的病毒

随着计算机技术的进一步发展，计算机工作站不断得到普及应用，工作站的性能已经超过了微型计算机的性能，而且应用范围也越来越大，响应的也就出现了攻击计算机工作站的病毒，这类病毒对信息系统的威胁更大，往往会破坏整个网络。

2.3.2 按计算机病毒攻击的操作系统分类

（1）攻击DOS系统的病毒

这种病毒也称作DOS病毒，出现最早、最多，变种最多，传播也非常广泛，如“小球”病毒等。

（2）攻击Windows系统的病毒

这种病毒也称作Windows病毒，随着Windows系统取代DOS系统成为PC机的主流平台，Windows系统也成为病毒攻击的主要对象。攻击Windows的病毒主要是宏病毒，有感染Word的宏病毒，有感染Excel的宏病毒，还有感染Access的宏病毒，其中感染Word 的宏病毒最多。Concept病毒是首类Word宏病毒。

（3）攻击Unix或者OS/2系统的病毒

现在，Unix操作系统的应用非常广泛，许多大型操作系统均采用Unix作为主要操作系统，所以攻击Unix大家族的病毒对人类的信息处理是一个严重的威胁。目前世界上也已经发现了攻击OS/2系统的病毒。

2.3.3 按传播媒介分类

（1）单机病毒

单机病毒的载体是磁盘，常见的是病毒从软盘传入硬盘，感染系统，然后再感染其他软盘，进而再感染其他系统。早期的病毒都是属于此类。

（2）网络病毒

网络病毒的传播媒介是网络。当前，Internet在世界上发展迅速，上网已成为计算机使用者的时尚，随着网上用户的增加，网络病毒的传播速度更快，范围更广，造成的危害更大。网络病毒往往造成网络堵塞，修改网页，甚至与其他病毒结合修改或破坏文件。如GPI病毒是世界上第一个专门攻击计算机网络的病毒。

2.3.4 按计算机病毒的寄生方式分类

计算机病毒需要进入系统，从而进行感染和破坏，因此，病毒必须与计算机系统内可能被执行的文件简历链接。这些被链接的文件可能是操作系统文件，可能是以各种程序设计语言编写的应用程序，也有可能是应用程序所用到的数据文件。根据病毒对这些文件的链接形式不同来分，可以分为以下几个类别：

（1）源码型病毒

这类病毒在高级语言编写的程序被编译之前，插入到源程序中，经过编译成为合法程序的一部分。这类病毒程序一般寄生在编译处理程序或链接程序中。目前，这类病毒并不多见。

（2）入侵型病毒

入侵型病毒也叫嵌入式病毒，在感染时往往对宿主程序进行一定的修改，通常是寻

找宿主程序的空隙将自己嵌入进去，并变成合法程序的一部分，使病毒程序与目标程序成为一体，这类病毒编写起来很困难，要求病毒能够自动在感染目标中寻找合适的位置，把自己插入，同时还要保证病毒能正常实施攻击，并且还要保证感染的目标程序能够正常运行。一旦病毒侵入宿主程序，杀毒是十分困难的，清除这类病毒时往往会破坏合法程序。这类病毒数量不多，但破坏力极大，而且很难检测，有时即使检查出病毒并将其清除了，被感染的合法程序也已经被破坏，无法使用了。

（3）外壳型病毒

这类病毒程序一般链接在宿主程序的首尾，对原来的主程序不作修改或仅作简单修改。当宿主程序执行时首先激活病毒程序，使病毒得以传染、繁衍和发作。这类病毒易于编写，数量也最多。

（4）操作系统型病毒

这类病毒程序用自己的逻辑部分取代一部分操作系统中的合法程序模块,从而寄生在计算机磁盘的操作系统区，在启动计算机时，能够先运行病毒程序，然后再运行启动程序，这类病毒可表现出很强的破坏力，可以使系统瘫痪，无法启动。

2.3.5 按病毒的表现（破坏）情况分类

（1）良性病毒

良性病毒是指那些只是为了表现自身,并不彻底破坏系统和数据,但会大量占用CPU 时间,增加系统开销,降低系统工作效率的一类计算机病毒。这种病毒多数是恶作剧者的产物,他们的目的不是为了破坏系统和数据,而是为了让使用染有病毒的计算机用户通过显示器或扬声器看到或听到病毒设计者的编程技术。这类病毒有小球病毒、575/1591病毒、救护车病毒、扬基病毒、Dabi病毒、Rose病毒等等。还有一些人利用病毒的这些特点宣传自己的政治观点和主张。也有一些病毒设计者在其编制的病毒发作时进行人身攻击。

（2）恶性病毒

恶性病毒是指那些一旦发作后,就会破坏系统或数据,造成计算机系统瘫痪的一类计算机病毒。这类病毒有黑色星期五病毒、火炬病毒、米开朗·基罗病毒等。这种病毒危害性极大,有些病毒发作后可以给用户造成不可挽回的损失。

2.3.6 按计算机病毒寄生方式和感染途径分类

（1）引导型病毒

引导型病毒指寄生在磁盘引导区或主引导区的计算机病毒。此种病毒利用系统引导时,不对主引导区的内容正确与否进行判别的缺点,在引导型系统的过程中侵入系统,驻留内存,监视系统运行,待机传染和破坏。按照引导型病毒在硬盘上的寄生位置又可细分为主引导记录病毒和分区引导记录病毒。主引导记录病毒感染硬盘的主引导区,如大麻病毒、2708病毒、火炬病毒等;分区引导记录病毒感染硬盘的活动分区引导记录,如小球病毒、Girl病毒等。

引导型病毒寄生在主引导区、引导区，病毒利用操作系统的引导模块放在某个固定的位置，并且控制权的转交方式是以物理位置为依据，而不是以操作系统引导区的内容为依据，因而病毒占据该物理位置即可获得控制权，而将真正的引导区内容搬家转移，待病毒程序执行后，将控制权交给真正的引导区内容，使得这个带病毒的系统看似正常运转，而病毒已隐藏在系统中并伺机传染、发作。

引导型病毒进入系统，一定要通过启动过程。在无病毒环境下使用的软盘或硬盘，即使它已感染引导区病毒，也不会进入系统并进行传染，但是，只要用感染引导区病毒的磁盘引导系统，就会使病毒程序进入内存，形成病毒环境。

（2）文件型病毒

文件型病毒系计算机病毒的一种，主要通过感染计算机中的可执行文（.exe）件和命令文件(.com)。文件型病毒是对计算机的源文件进行修改，使其成为新的带毒文件。一旦计算机运行该文件就会被感染，从而达到传播的目的。

文件型病毒分两类：一种是将病毒加在COM前部,一种是加在文件尾部。

文件型病毒传染的对象主要是.COM和.EXE文件。

（3）混合型病毒

指具有引导型病毒和文件型病毒寄生方式的计算机病毒，所以它的破坏性更大，传染的机会也更多，杀灭也更困难。这种病毒扩大了病毒程序的传染途径,它既感染磁盘的引导记录,又感染可执行文件。当染有此种病毒的磁盘用于引导系统或调用执行染毒文件时,病毒都会被激活。因此在检测、清除复合型病毒时,必须全面彻底地根治,如果只发现该病毒的一个特性,把它只当作引导型或文件型病毒进行清除。虽然好像是清除了,但还留有隐患,这种经过消毒后的“洁净”系统更赋有攻击性。这种病毒有Flip病毒、新世际病毒、One-half病毒等。

2.4 计算机病毒发展简史

一般意义上的病毒，一般认为是在1986年左右出现的。从那以后的15年时间里，出现了大概6万余种病毒，病毒的数量不断增大，病毒制作的技术也逐步提高。从某种意义上讲，病毒是所有软件中最先利用操作系统底层功能，以及最先采用复杂的加密和反跟踪技术之一，病毒技术发展的历史，也就是软件技术发展的历史。

20世纪60年代初期，美国贝尔实验室三个年轻的程序员编写了一个名为“磁芯大战”的游戏，游戏中通过复制自身来摆脱对方的控制，这就是所谓的“计算机病毒的第一个雏形”。

20世纪70年代，美国作家雷恩在其出版的《P1的青春》艺术中构思了以中行能够自我复制的计算机程序，并且第一次称之为“计算机病毒”。

20世纪80年代后期，巴基斯坦有两个以编软件为生的兄弟（也就是现在的程序员），他们为了打击那些盗版软件的使用者，设计出了一个名为“巴基斯坦智囊”的病毒，该病毒只传染软盘引导区。这就是最早在世界上流行的第一个真正的病毒。

1988年至1989年，我国也相继出现了能感染硬盘和软盘引导区的Stoned（石头）病毒，该病毒替代码中有明显的标志“Your Pc is now Stoned！”。

20世纪90年代以前病毒的弱点主要包括以下几个方面：①被感染的文件大小明显增加；②病毒代码主体没有加密；③访问文件的日期得到更新；④很容易被debug工具跟踪。而这些病毒中，稍微有点对抗反病毒手段的只有Yankee Doole病毒，当它发现你用Debug工具跟踪它的时候，它会自动从文件中消失。

接着，就出现了一些能对自身进行简单加密的病毒，譬如当内存有1741病毒，用DIR列目录表的时候，这个病毒就会掩盖被感染文件后增加的字节数，使人看起来文件的大小没有什么变化。

1992年以后，出现了是一种叫做DIR2的病毒，这种病毒非常典型，并且其整个程序大小只有263个字节。

20世纪内，绝大多数病毒是基于DOS系统的，有80%的病毒能在Windows中传染。

接着，宏病毒出现了，主要代表有美丽莎,台湾一号等。

1996年下半年在国内终于发现了“G2、IVP、VCL”三种“病毒生产机软件”。

1998年2月，台湾省的陈盈豪，编写出了破坏性极大的恶性病毒CIH-1.2版，并定于每年的4月26日发作破坏。

1999年2月，“美丽莎”病毒席卷了整个欧美大陆，这是世界上最大的一次病毒浩劫，也是最大的一次网络蠕虫大泛滥。

2000年5月，在欧美又爆发了“爱虫”网络蠕虫病毒，造成了比“美丽莎”病毒破坏性更大的经济损失。这个病毒属于vbs脚本病毒，可以通过html，irc，email进行大量的传播。

再后来就出现有更多的网络蠕虫。譬如，红色代码，蓝色代码、求职者病毒、尼姆达（Nimda）、FUN_LOVE，最近还在流行的新欢乐时光等等。

2000年7月18日午夜，红色代码大面积暴发，被攻击的电脑数量达到35.9万台。被攻击的电脑中44%位于美国，11%在韩国，5%在中国，其余分散在世界各地。

2000年7月19日，“红色代码”病毒开始疯狂攻击美国白宫网站，白宫网站管理员将白宫网站从原来的IP地址转移到另外一个地址，才幸免于难。

2000年7月31日，格林尼治时间午夜整点，“红色代码II ”爆发，在全球大面积蔓延。

2001年9月18日出现的尼姆达病毒被称为2001年最为凶猛的恶意蠕虫病毒，岂今为止已给全球带来不可估量的经济损失。该病毒不仅传播速度快、危害性强，而且自我繁殖能力更是位居各大病毒之首。

2001年9月18日，首先在美国出现，当天下午，有超过130，000台服务器和个人电脑受到感染。（北美洲）

2001年9月18日晚上，在日本、香港、南韩、新加坡和中国都收到了受到感染的报告。（亚洲）

2001年9月19日，有超过150000个公司被感染，西门子在他的网络受到渗透之后，被迫关掉服务器。（欧洲）

图2.1 尼姆达的传播方式

2002年6月6日，“中国黑客”病毒出现，它发明了全球首创的“三线程”技术。三线程主要是指：主线程：往硬盘写入病毒文件或感染其他执行文件；分线程1：监视主线程并保证主线程的运行，一旦主线程被清除，这个监视器就将主病毒体再次调入；分线程2：不断监视注册表的某个值（run项），一旦被人工或反病毒软件修改，他立即重新写入这个值，保证自己下次启动时拿到控制权。

2.5 计算机病毒分析

2.5.1 DOS病毒分析

（1）引导型病毒

病毒也是程序，一般来说在重新分区、格式化后硬盘中就没有病毒了，但是有一类病毒即使重新分区、格式化之后依然存在，这就是“主引导区病毒”。

所谓引导性病毒是指专门感染磁盘引导扇区和硬盘主引导扇区的计算机病毒程序，如果被感染的磁盘作为系统启动盘使用，则再启动系统时，病毒程序便被自动装入内存，从而使现行的系统感染上病毒。在系统带毒的情况下，如果进行磁盘输入输出操作，则病毒程序就会主动进行传染，从而感染其他磁盘。目前，国内主要发现的引导性病毒又“大麻”病毒、“小球”病毒、“巴基斯坦”病毒、“磁盘杀手”病毒等。

图2.2 引导型病毒的发作过程

引导型病毒的主要特点有以下几个方面：

①引导型病毒是在安装操作系统之前进入内存，寄生对象又相对固定，因此该类病毒基本上不得不采用减少操作系统所掌管的内存容量方法来驻留内存高端，而正常的系统引导过程一般是不减少系统内存的。

②引导型病毒需要把病毒传染给软盘，一般是通过修改INT 13H的中断向量，而新INT 13H中断向量段址必定指向内存高端的病毒程序。

③引导型病毒感染硬盘时，必定驻留硬盘的主引导扇区或引导扇区，并且只驻留一次，因此引导型病毒一般都是在软盘启动过程中把病毒传染给硬盘的。

④引导型病毒的寄生对象相对固定，把当前的系统主引导扇区和引导扇区与干净的主引导扇区和引导扇区进行比较，如果内容不一致，可以认定系统引导区异常。

（2）文件型病毒

文件型病毒的数量相当可观，无论在哪个系统环境中，这种病毒都占有非常重要的地位。我们把所有通过操作系统的文件系统进行感染的文件都称为文件病毒，所以这类病毒的数量相当惊人。理论上我们可以制造这样一个病毒：可以感染几乎所有操作系统的可执行文件。目前已经存在可以感染所有标准的DOS可执行文件的病毒，包括批处理文件、DOS下的可加载驱动程序（.sys）文件以及普通的com/exe可执行文件。

1）COM文件型病毒

COM文件中的程序代码只在一个段内运行，文件长度不超过64K字节，其结构比较简单，由于COM文件与EXE文件在结构上不同，它们在调入执行时也有很大的区别。COM 文件在调入时，DOS将全部可用内存分配给用户程序。四个寄存器DS（Data Segment 数据段），CS（Code Segment代码段），SS（Stack Segment堆栈段）和ES（Extra Segment 附加段）全部指向程序段前缀（PSP，由DoS建立，是DoS、用户程序及命令行之间的接口）的段地址。指令指针IP置为0100H，从程序的第一条指令开始执行；栈指针SP置为程序段的末尾。

①COM文件的调入执行（如下图所示）

地址内容

图2.3 COM文件的调入执行

②COM文件型病毒比较简单。病毒要感染COM文件一般采用两种方法：一是将病毒加在COM文件前部，如下图（a）所示；另一种是加在文件尾部，如下图（b）所示。

图2.4 病毒感染COM文件的两种方法

图2.4（a）中，病毒将宿主程序全部往后移，而将自己插入在了宿主程序之前。COM 文件一般从0100处开始执行，这样病毒就自然先获得控制权，病毒执行完之后，控制权自动交给宿主程序，这种方法比较容易理解。

图2.4（b）中，病毒将自身代码附加在宿主程序之后，并再0100处加入一个跳转语句（3个字节），这样COMC文件执行时，程序跳到病毒代码处执行。在病毒执行完之后，还必须跳回宿主程序执行，因此在修改0100H处3个字节时，还必须先保存原来3字节，病毒最后还要恢复那3个字节并跳回执行宿主程序。这种方法涉及到保存3个字节，并跳转回宿主程序，稍微复杂一点。

2）EXE文件型病毒

EXE文件型病毒是将自身代码插在宿主程序中间或者前后，但是病毒代码是通过修改CS:IP指向病毒起始地址来获取控制权的。病毒还会修改文件长度信息、文件的CRC 校验值和SS、SP。有些病毒还修改文件的最后修改时间。

（3）混合病毒

混合病毒是指那些既可以对引导区进行感染，也可以对文件进行感染的病毒，但是这类病毒不是引导型病毒和文件型病毒的简单相加。

2.5.2 Windows病毒分析

（1）宏与宏病毒

计算机科学里的宏是一种抽象的,根据一系列预定义的规则替换一定的文本模式。Excel 办公软件自动集成了“VBA”高级程序语言，用此语言编制出的程序就叫“宏”。使用“VBA”需要有一定的编程基础和耗费大量的时间，因此，绝大多数的使用者仅使用了Excel的一般制表功能，很少使用到“VBA”。

解释器或编译器在遇到宏时会自动进行这一模式替换。对于编译语言，宏展开在编译时发生，进行宏展开的工具常被称为宏展开器。宏这一术语也常常被用于许多类似的环境中，它们是源自宏展开的概念，这包括键盘宏和宏语言。绝大多数情况下，使用“宏”这个词的使用暗示着将小命令或动作转化为一系列指令。

宏的用途在于自动化频繁使用的序列或者是获得一种更强大的抽象能力,但这常常是一回事。

计算机语言如C或汇编语言有简单的宏系统，由编译器或汇编器的预处理器实现。C的宏预处理器的工作只是简单的文本搜索和替换，使用附加的文本处理语言如M4，C 程序员可以获得更精巧的宏。

Lisp类语言如Common Lisp和Scheme有更精巧的宏系统: 宏的行为如同是函数对自身程序文本的变形，并且可以应用全部语言来表达这种变形。一个C宏可以定义一段语法的替换，然而一个Lisp的宏却可以控制一节代码的计算。

获得了控制代码的执行顺序（见惰性计算和非限制函数）的能力，使得新创建的语法结构与语言内建的语法结构不可区分。例如，一种Lisp 方言有 cond 而没有if ，就可以使用宏由前者定义后者。Lisp 语法的去部主要扩展，比如面向对象的CLOS 系统，可以由宏来定义。

宏病毒是一种寄存在文档或模板的宏中的计算机病毒。一旦打开这样的文档，其中的宏就会被执行，于是宏病毒就会被激活，转移到计算机上，并驻留在Normal模板上。从此以后，所有自动保存的文档都会“感染”上这种宏病毒，而且如果其他用户打开了感染病毒的文档，宏病毒又会转移到他的计算机上。

（2）脚本语言与脚本病毒

计算机语言是为了各种目的和任务而开发的，一个常见任务就是把各种不同的已有组件连接起来以完成相关任务。大多脚本语言共性是：良好的快速开发，高效率的执行，解释而非编译执行，和其它语言编写的程序组件之间通信功能很强大。

许多脚本语言用来执行一次性任务，尤其是系统管理方面。它可以把服务组件粘合起来，因此被广泛用于GUI创建或者命令行，操作系统通常提供一些默认的脚本语言，即通常所谓shell脚本语言。

脚本通常以文本(如ASCII)保存，只在被调用时进行解释或编译。

有些脚本是为了特定领域设计的，但通常脚本都可以写更通用的脚本。在大型项目中经常把脚本和其它低级编程语言一起使用，各自发挥优势解决特定问题。脚本经常用于设计互动通信，它有许多可以单独执行的命令，可以做很高级的操作，(如在传统的Unix shell (sh)中，大多操作就是程序本身。)

这些高级命令简化了代码编写过程。诸如内存自动管理和溢出检查等性能问题可以不用考虑。在更低级或非脚本语言中，内存及变量管理和数据结构等耗费人工，为解决一个给定问题需要大量代码，当然这样能够获得更为细致的控制和优化。脚本缺少优化程序以提速或者降低内存的伸缩性。

综上所述，脚本编程速度更快，且脚本文件明显小于如同类C程序文件。这种灵活性是以执行效率为代价的。脚本通常是解释执行的，速度可能很慢，且运行时更耗内存。在很多案例中，如编写一些数十行的小脚本，它所带来的编写优势就远远超过了运行时的劣势，尤其是在当前程序员工资趋高和硬件成本趋低时。

然而，在脚本和传统编程语言之间的界限越来越模糊，尤其是在一系列新语言及其集成畅出现时。在一些脚本语言中，有经验的程序员可以进行大量优化工作。在大多现代系统中通常有多种合适的脚本语言可以选择，所以推荐使用多种语言(包括C或汇编语言)编写一种脚本。

脚本病毒通常是JavaScript代码编写的恶意代码，一般带有广告性质，会修改您的IE首页、修改注册表等信息，造成用户使用计算机不方便.

脚本病毒的前缀是：Script。脚本病毒的公有特性是使用脚本语言编写，通过网页进行的传播的病毒，如红色代码（Script.Redlof）脚本病毒通常有如下前缀：VBS、JS （表明是何种脚本编写的），如欢乐时光（VBS.Happytime）、十四日（Js.Fortnight.c.s）等。

防止恶意脚本的一些通用的方法如下：

①可以通过打开“我的电脑”，依次点击[查看]→[文件夹选项]→[文件类型]在文件类型中将后缀名为“VBS、VBE、JS、JSE、WSH、WSF”的所有针对脚本文件的操作均