第4章计算机病毒
第4章 计算机病毒-计算机信息安全技术(第2版)-付永钢-清华大学出版社
• EXE文件病毒。
– 将自身代码添加在宿主程序中，通过修改指令指针的方 式，指向病毒起始位置来获取控制权。
• PE病毒
– 当前产生重大影响的病毒类型，如“CIH”、“尼姆达”、 “求职信”、“中国黑客”等。这类病毒主要感染 Windows系统中的PE文件格式文件(如EXE, SCR, DLL 等) 。
• (2) 传播方式多样。包括文件、电子邮件、Web服务器、网页和网络共 享等。
• (3) 制作技术不同于传统的病毒。许多蠕虫病毒是利用当前最新的编 程语言和编程技术来实现的，容易修改以产生新的变种。
• (4) 行踪隐蔽。蠕虫在传播过程中不需要像传统病毒那样要用户的辅 助工作，所以在蠕虫传播的过程第4章 计算机病毒
计算机病毒的分类
•按病毒按寄生方式分类
– 网络病毒 – 文件病毒 – 引导型病毒 – 混合型病毒
•按传播媒介分类
– 单机病毒 – 网络病毒
•按计算机病毒的链接方式分类
–源码型病毒 –嵌入型病毒 –外壳型病毒 –译码型病毒 –操作系统型病毒
第4章 计算机病毒
第4章 计算机病毒
第四章 计算机病毒
• 4.1 概述 • 4.2 计算机病毒的特征及分类 • 4.3常见的病毒类型 • 4.4计算机病毒制作与反病毒技术
4.1 概述
第4章 计算机病毒
• 带有恶意目的的破坏程序,称为恶意代码。
– 计算机病毒、木马、间谍软件、恶意广告、流 氓软件、逻辑炸弹、后门、僵尸网络、恶意脚 本等软件或代码片段。
4.1 概述
第4章 计算机病毒
计算机病毒与反病毒技术 课后习题答案
注：12.19更新第三章第2题、第5题的感染机制答案《计算机病毒》复习思考题第一章计算机病毒概述1. 简述计算机病毒的定义和特征。
计算机病毒(Computer Virus)，是一种人为制造的、能够进行自我复制的、具有对计算机资源进行破坏作用的一组程序或指令集合。
计算机病毒的可执行性(程序性)、传染性、非授权性、隐蔽性、潜伏性、可触发性、破坏性、攻击的主动性、针对性、衍生性、寄生性(依附性)、不可预见性、诱惑欺骗性、持久性。
2. 计算机病毒有哪些分类方法？根据每种分类方法，试举出一到两个病毒。
3. 为什么同一个病毒会有多个不同的名称？如何通过病毒的名称识别病毒的类型？国际上对病毒命名的一般惯例为“前缀+病毒名+后缀”，即三元组命名规则。
1、系统病毒系统病毒的前缀为：Win32、PE、Win95、W32、W95等。
2、蠕虫病毒蠕虫病毒的前缀是：Worm。
3、木马病毒、黑客病毒木马病毒其前缀是：Trojan，黑客病毒前缀名一般为Hack 。
4、脚本病毒脚本病毒的前缀是：Script。
5、宏病毒其实宏病毒是也是脚本病毒的一种，由于它的特殊性，因此在这里单独算成一类。
宏病毒的前缀是：Macro。
6、后门病毒后门病毒的前缀是：Backdoor。
7、病毒种植程序病毒后门病毒的前缀是：Dropper。
这类病毒的公有特性是运行时会从体内释放出一个或几个新的病毒到系统目录下，由释放出来的新病毒产生破坏。
8．破坏性程序病毒破坏性程序病毒的前缀是：Harm。
这类病毒的公有特性是本身具有好看的图标来诱惑用户点击，当用户点击这类病毒时，病毒便会直接对用户计算机产生破坏。
9．玩笑病毒玩笑病毒的前缀是：Joke。
10．捆绑机病毒捆绑机病毒的前缀是：Binder。
4. 简述计算机病毒产生的背景。
5. 计算机病毒有哪些传播途径？传播途径有两种，一种是通过网络传播，一种是通过硬件设备传播（软盘、U盘、光盘、硬盘、存储卡等）。
网络传播，又分为因特网传播和局域网传播两种。
计算机信息网络安全管理制度
计算机信息网络安全管理制度XXXXX计算机信息网络安全管理制度第一章总则第一条为规范XXXXX系统信息化及计算机网络安全管理，促进信息化建设，提高工作效率，确保信息化网络、计算机设备安全、有效运行，特制定本制度。
第二条XXXXX信息化及计算机网络管理工作在XXX的统一领导下，由XXXXX计算机信息网络安全管理领导小组所有成员负责具体组织实施。
第三条本单位计算机信息网络安全管理工作实行“一把手”负责制。
第四条本制度所称计算机信息安全网络管理工作包括信息化网络及设备管理、安全保密管理、计算机病毒防治、资料管理、培训等内容。
第二章信息化网络及设备管理第五条信息化网络及设备按个人分配使用。
分配到个人的设备由单位的工作人员负责，单位应指定一名熟悉计算机技术的人员负责日常管理和维护工作。
第六条凡使用信息化网络及设备的工作人员应自觉遵守相关法律法规和制度规定。
对违反规定使信息化网络及设备不能正常工作和造成重大事故者，追究其相应责任，后果严重的，依法追究法律责任。
第七条严禁在信息化设备上安装与工作无关的、未经广泛验证为安全的软件程序。
严禁带电拔插计算机内部配件。
移动非便携式信息网络设备应断电后进行。
离开工作场所前，须关闭计算机，切断电源。
如有特殊情况不能关闭的，须征得本部门负责人同意。
第八条非指定的技术人员不得擅自打开信息化网络设备外壳，进行任何配置和检测。
不得擅自将信息网络设备（包括报废设备）的配件私自拆卸，移植到其它设备。
第九条未经单元卖力人批准，任何人不得随意更换信息化网络设备，不得随意外借、处置信息网络设备。
外部人员如需使用本单元的信息网络设备，需经本单元主管领导赞成，并在现场监督的情况下进行。
第十条对计算机进行硬盘格式化和删除操纵系统文件，须事先做好数据备份工作，并由本单元信息化管理员进行操纵。
第十一条各单位信息化网络设备的使用人、保管人、责任人等情况的变更，应及时报办公室和财务部门登记备案。
第十二条重要的信息化网络设备，由本单位办公室集中统一管理。
计算机病毒课后题
第一章计算机病毒概述1、什么是计算机病毒？计算机病毒包括哪几类程序？答编制者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码被称为计算机病毒（Computer Virus）。
具有破坏性，复制性和传染性。
(一)文件类病毒。
该病毒在操作系统执行文件时取得控制权并把自己依附在可执行文件上，然后利用这些指令来调用附在文件中某处的病毒代码。
当文件执行时，病毒会调出自己的代码来执行，接着又返回到正常的执行序列。
通常，这些病毒发作迅速且隐蔽性强，以至于用户并不知道病毒代码已被执行。
(二)引导扇区病毒。
它会潜伏在硬盘的引导扇区或主引导记录中。
触发引导区病毒的典型事件是系统日期和时间被篡改。
(三)多裂变病毒。
多裂变病毒是文件和引导扇区病毒的混合，它能感染可执行文件，从而能在网上迅速传播蔓延。
(四)隐蔽病毒。
这种病毒通过挂接中断修改和隐藏真面目，具有很大的欺骗性。
因此，当某系统函数被调用时，这些病毒便“伪造”结果，使一切看起来正常。
秘密病毒摧毁文件的方式是伪造文件大小和日期，隐藏对引导区的修改，而且使大多数操作重定向。
(五)异形病毒。
这是一种能变异的病毒，随着感染时间的不同，改变其不同的形式。
不同的感染操作会使病毒在文件中以不同的方式出现，使传统的模式匹配法失效。
(六)宏病毒。
宏病毒不只是感染可执行文件，还可感染一般应用软件程序。
它会影响系统的性能以及用户的工作效率。
宏病毒是利用宏语言编写的，不面向操作系统，所以它不受操作平台的约束，可以在DOS、Win-dows,Unix、Mac甚至在0S／2系统中传播。
宏病毒能被传到任何可运行编写宏病毒应用程序的机器中。
现在随着E-mail、WWW等强大的互联能力及宏语言的进一步强化，极大地增强了它的传播力。
2 、计算机病毒的发展可以大致划分为几个过程？每个过程的特点？答DOS引导阶段一般需要通过软盘启动后使用.引导型病毒利用软盘的启动原理工作，它们修改系统启动扇区，在计算机启动时首先取得控制权，减少系统内存，修改磁盘读写中断，影响系统工作效率，在系统存取磁盘时进行传播。
04 郑州市 2015 网络安全员培训考试资料 技术 第四章
第四章计算机恶意代码防治恶意是一种程序，它通过把代码在不被察觉的代码情况下镶嵌到另一段程序中，从而达到破坏被感染电脑数据、运行具有入侵性或破坏性的程序、破坏被感染电脑数据的安全性和完整性的目的。
恶意代码按传播方式，可以分成以下几类：1. 计算机病毒：一组能够进行自我传播、需要用户干预来触发执行的破坏性程序或代码。
如CIH、爱虫、新欢乐时光、求职信、恶鹰、rose…2. 蠕虫: 一种可以自我复制的完全独立的程序，它的传播不需要借助被感染主机中的其他程序。
蠕虫的自我复制不像其他的病毒，它可以自动创建与它的功能完全相同的副本，并在没人干涉的情况下自动运行。
蠕虫是通过系统存在的漏洞和设置的不安全性来进行入侵的，它的自身特性可以使它以及快的速度传输。
如红色代码、SQL蠕虫王、冲击波、震荡波、熊猫烧香。
3. 特洛伊木马：是指一类看起来具有正常功能，但实际上隐藏着很多用户不希望功能的程序，通常由控制端和被控制端两端组成。
一些木马程序会通过覆盖系统中已经存在的文件的方式存在于系统之中，同时它可以携带恶意代码，还有一些木马会以一个软件的身份出现，但它实际上是一个窃取密码的工具。
这种病毒通常不容易被发现。
如冰河、网络神偷、灰鸽子……4. 后门：使得攻击者可以对系统进行非授权访问的一类程序。
5. 恶意软件：是指在未明确提示用户或未经用户许可的情况下，在用户计算机或其他终端上安装运行，侵犯用户合法权益的软件。
6. 移动代码：是指能够从主机传输到客户端计算机上并执行的代码，它通常是作为病毒，蠕虫，或是特洛伊木马的一部分被传送到客户计算机上的。
另外，移动代码可以利用系统的漏洞进行入侵，例如非法的数据访问和盗取root帐号。
通常用于编写移动代码的工具包括Java applets，ActiveX，JavaScript，和VBScript。
二、计算机病毒1. 计算机病毒概述计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。
计算机病毒防治课后答案参考
第二章一、填空：1、UltraEdit可以实现文字、Hex、ASCII的编辑；2、Doc文件的文件头信息是D0CF11E0,PowerPoint文件的文件头信息是D0CF11E0,Excel文件的文件头信息是D0CF11E0；3、单一影子模式仅为操作系统所在分区创建影像；4、影子系统分为单一影子模式和完全影子模式；5、对注册表修改前后进行对比可使用RegSnap工具软件；第三章典型计算机病毒剖析一、填空1、注册表一般Default、SAM、Security、Software、System5个文件组成。
2、注册表结构一般键、子键、分支、值项、默认值5个大类组成。
3、是否允许修改IE的主页设置的注册表表项是HKEY_CURRENT_USER\Software\Policies\Microsoft\InternetExplorer\Control Panel。
4、注册表中IE的主页设置项是“Home Page”=dword 000000015、打开注册表编辑器的命令是regedit。
6、网页脚本病毒的特点有病毒变种多、破坏力较大、感染能力强。
7、Word的模版文件是Normal.dot。
8、Office中宏使用的编程语言是VBA（Visual Basic for Application)。
9、宏可保存在当前工作表、word通用模版中。
10、蠕虫的两个特征是传染性和复制功能。
11、蠕虫病毒的攻击方式有随机探测方式、基于列表的随机探测方式、基于DNS 探测方式、基于路由的探测方式、蠕虫攻击模块。
12、windows32/Baby.worm病毒主要攻击服务器。
13、木马分为远程访问型木马、密码发送型木马、键盘记录型木马、毁坏型木马、FTP型木马。
14、木马程序自动启动的方式利用INI文件、注册表的先关程序启动，加入系统启动组，利用系统启动配置文件和与其他程序捆绑执行。
二、选择1、寄存在Office文档中，用VB语言编写的病毒程序属于（ D ）A、引导区型病毒 B文件型病毒C、混合型病毒D、宏病毒2、注册表备份文件的扩展名是（ C ）。
计算机病毒工作原理
计算机病毒工作原理条件成熟病毒就开始自我复制到传染对象中，进行各种破坏活动等。
病毒的传染是病毒性能的一个重要标志。
在传染环节中，病毒复制一个自身副本到传染对象中去。
计算机病毒二、计算机病毒的简单介绍：计算机病毒(Computer Virus)是编制者在计算机程序中插入的破坏计算机功能或者数据的代码，能影响计算机使用，能自我复制的一组计算机指令或者程序代码。
计算机病毒具有传播性、隐蔽性、感染性、潜伏性、可激发性、表现性或破坏性。
计算机病毒的生命周期：开发期→传染期→潜伏期→发作期→发现期→消化期→消亡期。
计算机病毒是一个程序，一段可执行码。
就像生物病毒一样，具有自我繁殖、互相传染以及激活再生等生物病毒特征。
计算机病毒有独特的复制能力，它们能够快速蔓延，又常常难以根除。
它们能把自身附着在各种类型的文件上，当文件被复制或从一个用户传送到另一个用户时，它们就随同文件一起蔓延开来。
举一个“hello word例子。
下面是一个简单的DOS批处理病毒源程序autoexec.bat(假设从A盘启动)：程序语句程序注解IF exist c:\\autoexec.bat goto Virus REM 首先检查时机Goto No_Virus REM 若时机不成熟则潜伏:Virus REM 时机成熟时(子程序)c: REM 转到C盘ren autoexec.bat auto.bat REM 将正常文件改名，准备冒名顶替copy a:\\autoexec.bat c:\\ REM 自我复制，开始繁殖echo Hello Word! REM 病毒发作，表现症状:No_Virus REM 正常程序入口a: REM 转回A盘/auto REM 执行正常程序pause REM 暂停等待按任意键继续这个程序非常简单，但却包含了计算机病毒的典型结构，引导部分、传染部分、激发部分等五脏俱全。
其触发机制是：C盘存在autoexec.bat文件，当我们用带有此病毒的启动软盘启动微机时若C盘也有autoexec.bat文件，则病毒将C盘原autoexec.bat文件改名为auto.bat，把自身复制到C盘并显示“Hello Word!。
计算机病毒防治考试重点
第一章计算机病毒概述1.※计算机病毒定义计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据,影响计算机使用，并能自我复制的一组计算机指令或者程序代码。
2.※计算机病毒的特性破坏性传染性寄生性隐蔽性触发（潜伏）性3.※计算机病毒的发展趋势是什么？哪些病毒代表了这些趋势？病毒发展趋势：网络化专业化简单化多样化自动化犯罪化代表病毒：蠕虫、木马4. ※计算机病毒的主要危害直接危害：（1）病毒激发对计算机数据信息的直接破坏作用（2）占用磁盘空间和对信息的破坏（3）抢占系统资源（4）影响计算机运行速度（5）计算机病毒错误与不可预见的危害（6）计算机病毒的兼容性对系统运行的影响间接危害：（1）计算机病毒给用户造成严重的心理压力（2）造成业务上的损失（3）法律上的问题5. ※计算机病毒和医学上的病毒相似之处是什么？区别又是什么？相似之处：与生物医学上的病毒同样有寄生、传染和破坏的特性，因此这一名词是由生物医学上的“病毒”概念引申而来区别：不是天然存在，是某些人利用计算机软、硬件所固有的脆弱性，编制的具有特殊功能的程序。
6．（了解）木马病毒（闪盘窃密者、证券大盗、外挂陷阱、我的照片我正向外闪）7．※计算机病毒的命名规则1991年计算机反病毒组织(CARO)提出了一套命名规则，病毒的命名包括五个部分：•家族名•组名•大变种•小变种•修改者CARO规则的一些附加规则包括：•不用地点命名•不用公司或商标命名•如果已经有了名字就不再另起别名•变种病毒是原病毒的子类举例说明：精灵（Cunning）是瀑布（Cascade）的变种，它在发作时能奏乐，因此被命名为Cascade.1701.A。
Cascade是家族名，1701是组名。
因为Cascade病毒的变种的大小不一（1701, 1704, 1621等），所以用大小来表示组名。
A 表示该病毒是某个组中的第一个变种。
业界补充：反病毒软件商们通常在CARO命名的前面加一个前缀来标明病毒类型。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
• 发作时轻则占用系统资源，影响计算机运行速度， 降低计算机工作效率，使用户不能正常使用计算 机；重则破坏用户计算机的数据，甚至破坏计算 机硬件，给用户带来巨大的损失。
• 病毒的破坏程度取决于病毒制造者的目的和技术 水平。
4.隐蔽性
• 一般情况下，计算机病毒都不是独立存在的，而是嵌入其他的某 个程序中，把被嵌入的程序称为宿主程序。当执行宿主程序时， 病毒代码就会被执行。 • 一般在没有防护措施的情况下，计算机病毒程序取得系统控制权 后，可以在很短的时间内感染大量程序。而且受到传染后，计算 机系统通常仍能正常运行，使用户不会感到任何异常，好像不曾 在计算机内发生过什么。正是由于这种隐蔽性，计算机病毒得以 在用户没有察觉的情况下扩散并游荡于世界上的无数计算机中。
4.1.2 计算机病毒的特点
• 计算机病毒是一种特殊的程序，除与其他正常 程序一样可以存储和执行之外，还具有以下几 个与众不同的特点。
• 1.传染性（感染性） • 2.非授权性
• 3.破坏性
• 4.隐蔽性 • 5.可触发性 • 6.针对性
1.传染性（感染性）
• 传染性是病毒的基本特征。
• 是否具有传染性是判别一个程序是否为计算机
• （1）日期触发 • （2）时间触发 • （3）键盘触发 • （4）感染触发 • （5）启动触发
• （6）访问磁盘次数触发
• （7）CPU型号/主板型号触发
4.破坏模块
• 破坏模块在触发条件满足的情况下，病毒对系统或磁盘 上的文件进行破坏。 • 计算机病毒破坏行为的激烈程度取决于病毒作者的主观 愿望和他所具有的技术含量。数以万计、不断发展扩张 的病毒，其破坏行为千奇百怪。病毒破坏目标和攻击的 部位主要有：系统数据区、文件、内存、系统运行速度、 磁盘、CMOS、主板和网络等。
• • • • • • • • • • • • 1）平时运行正常的计算机突然无缘无故地死机 2）操作系统无法正常启动 3）运行速度明显变慢 4）以前能正常运行的软件经常发生内存不足的错误 5）打印和通信发生异常 6）自动对移动存储设备进行写操作 7）以前能正常运行的应用程序经常发生死机或者非法错误 8）系统文件的时间、日期、大小发生变化 9）Word文档打开后，只能以模板方式保存 10）磁盘空间迅速减少 11）网络驱动器卷或共享目录无法调用 13）陌生人发来的电子邮件
4.1.4 计算机病毒的表现
• 根据计算机病毒感染和发作的阶段，可以将计算 机病毒的表现分为三大类，即计算机病毒发作前、 发作时和发作后。需要注意的是，这些表现也并 非一定由计算机病毒引起，有时候，操作不慎或 者软、硬件本身存在的问题也会导致部分现象的 发生，需要根据实际情况进一步分析。
1.计算机病毒发作前的表现
• 1）通过不可移动的计算机硬件设备传播 • 2）通过移动存储设备传播
2.通过网络进行传播
• 通过网络进行传播可以分为通过有线网络传播和无线 通信系统传播两种方式。 • 1）通过有线网络传播 • 电子布告栏（BBS） • 电子邮件 • 即时消息服务（QQ、ICQ、MSN等） • Web服务 • FTP服务 • 新闻组 • 2）通过无线通信系统进行传播
4.1.5 计算机病毒的起源与发展
• 计算机病毒的发展经历了以下几个主要阶段:
• 1．第一代病毒
• 2．第二代病毒
• 3．第三代病毒 • 4．第四代病毒
4.2 计算机病毒的分类
4.2.1 按攻击对象分类
• 根据病毒的攻击目标，计算机病毒可以分为DOS病 毒、Windows病毒和其他系统病毒。
1.DOS病毒
1.引导型病毒
• 引导型病毒主要是用病毒的全部或部分代码取代 正常的引导记录，而将正常的引导记录隐藏在磁 盘的其他地方。
• 引导区传染的计算机病毒较多，例如，“大麻” 和“小球”病毒就是这类病毒。
2.文件型病毒
• 文件型病毒一般只传染磁盘上的可执行文件 （后缀为COM和EXE）。在用户调用染毒的可 执行文件时，病毒首先被运行，然后病毒驻留 内存伺机传染其他文件或直接传染其他文件。
3.其他系统病毒
• 这类病毒主要攻击Linux、Unix和OS/2及 嵌入式系统。由于系统本身的复杂性， 这类病毒数量不是很多。
4.2.2 按传染对象分类
• 传染性是计算机病毒的本质属性，根据 寄生部位或传染对象分类，即根据计算 机病毒传染方式进行分类，可以分为引 导型病毒、文件型病毒、混合型病毒、 宏病毒和蠕虫病毒。
• 计算机病毒拥有一个生命周期，从生成开始到完 全根除结束，总共可以分为7个阶段。
• ቤተ መጻሕፍቲ ባይዱ.开发期
• 2.传染期 • 3.潜伏期
• 4.发作期
• 5.发现期 • 6.消化期
• 7.消亡期
4.3.2病毒的逻辑结构
• 计算机病毒一般由引导模块、感染模块、触发模 块、破坏模块四大部分组成。
• 根据是否被加载到内存，计算机病毒又有静态和 动态两种状态。
4.1 计算机病毒概述
4.1.1 计算机病毒的定义
• 计算机病毒有很多种定义。从广义上讲，凡能够引 起计算机故障，破坏计算机数据的程序统称为计算 机病毒。 • 1994年2月18日，我国正式颁布实施了《中华人民共 和国计算机信息系统安全保护条例》，在该条例第 二十八条中明确指出：“计算机病毒，是指编制或 者在计算机程序中插入的破坏计算机功能或者毁坏 数据，影响计算机使用，并能自我复制的一组计算 机指令或者程序代码。”
• 其特点是附着于正常程序文件，成为程序文件 的一个外壳或部件，这是较为常见的传染方式。
3.混合型病毒
• 混合型病毒综合了引导型病毒和文件型 病毒的特性，既感染引导区又感染文件， 更增加了病毒的传染性以及存活率，此 种病毒也是最难消灭的。
4.宏病毒
• 宏病毒一般是指寄生在Microsoft Office文档上 的病毒宏代码。它影响对文档的各种操作，如 打开、存储、关闭或清除等。当打开Office文 档时，宏病毒程序就会被执行，即宏病毒处于 激活状态，当触发条件满足时，宏病毒才会传 染、表现和进行破坏。
2.计算机病毒发作时的表现
• • • • • • • • • 1）提示一些不相干的话 2）发出一段音乐 3）产生特定的图像 4）硬盘灯不断闪烁 5）进行游戏算法 6）Windows桌面图标发生变化 7）计算机突然死机或重启 8）自动发送电子邮件 9）鼠标指针自己在动
3.计算机病毒发作后的表现
• • • • • • • • 1）无法从硬盘启动系统，数据丢失 2）系统文件丢失或被破坏 3）文件目录发生混乱 4）部分文档丢失或被破坏 5）部分文档自动加密 6）修改Autoexec.bat文件 7）使部分BIOS程序混乱，主板被破坏 8）网络瘫痪，无法提供正常的服务
病毒的最重要条件。
2.非授权性
• 非授权性是指病毒未经授权而执行。正常的程序 是由用户调用，再由系统分配资源，完成用户交 给的任务，其目的对用户是可见的、透明的。 • 而病毒隐藏在正常程序中，窃取正常程序的系统 控制权，并先于正常程序执行，病毒的动作、目 的对用户来说是未知的，是未经用户允许的。
3.破坏性
• 1.单机病毒
• 单机病毒的载体是磁盘，常见的是病毒从软盘传入硬盘， 感染系统，然后再传染其他软盘，软盘又传染其他系统。
• 2.网络病毒
• 网络病毒的传播媒介不再是移动式载体，而是网络通道， 这种病毒的传染能力更强，破坏力更大。
4.2.4 按破坏能力分类
• 根据病毒破坏的能力，计算机病毒可划分为良性 病毒和恶性病毒。
• 而且为了更好地隐藏自己，病毒一般只有几百或上千字节，这相 对于现在动辄MB甚至GB级的程序来说，嵌入这样一个病毒，如 果不采用专门的工具，是很难被用户发现的。
5.可触发性
• 病毒因某个事件或数值的出现，诱使病毒实施感 染或进行攻击的特性称为可触发性。
• 病毒既要隐蔽又要维持杀伤力，它必须具有可触 发性。病毒的触发机制就是用来控制感染和破坏 动作的频率的。病毒具有预定的触发条件，这些 条件可能是时间、日期、文件类型或某些特定数 据等。病毒运行时，触发机制检查预定条件是否 满足，如果满足，启动感染或破坏动作，使病毒 进行感染或攻击；如果不满足，使病毒继续潜伏。
2.感染模块
• 感染是指计算机病毒由一个载体传播到另一个载体。 这种载体一般为磁盘，它是计算机病毒赖以生存和进 行传染的媒介。 • 计算机病毒的传染方式基本可以分为以下两大类：
• （1）立即传染
• （2）驻留内存并伺机传染
3.触发模块
• 计算机病毒在传染和发作之前，往往要判断某些特定条件是否满 足，满足则传染和发作，否则不传染或不发作，这个条件就是计 算机病毒的触发条件。计算机病毒频繁的破坏行为可能给用户以 重创。 • 目前病毒采用的触发条件主要有以下几种：
网络安全与管理
第4章 计算机病毒
• 知识目标
• • • • 掌握计算机病毒的定义、特点、传播途径 了解计算机病毒的表现方式 了解计算机病毒的起源和发展 掌握计算机病毒的几种分类方法
• 技能目标
• 掌握计算机病毒的工作原理 • 掌握计算机病毒的检测、清除和防范 • 了解瑞星杀毒软件和360杀毒软件的使用方法
• 1.良性病毒
• 良性病毒是指那些只是为了表现自身，并不彻底破坏系 统和数据，但会占用大量CPU时间、增加系统开销、降 低系统工作效率的一类计算机病毒。
• 2.恶性病毒
• 恶性病毒就像是计算机系统的恶性肿瘤，它们的目的就 是破坏计算机系统的信息资源。
4.3 计算机病毒的工作原理
4.3.1 病毒的生命周期
• 对于寄生在磁盘引导扇区的病毒来说，病毒引导程序占有了原系统引 导程序的位置，并把原系统引导程序搬移到一个特定的地方。这样系 统一启动，病毒引导模块就会自动装入内存并获得执行权，然后该引 导程序负责将病毒程序的传染模块和发作模块装入内存的适当位置， 并采取常驻内存技术以保证这两个模块不会被覆盖，接着对这两个模 块设定某种激活方式，使之在适当时获得执行权。完成这些工作后， 病毒引导模块将系统引导模块装入内存，使系统在带毒状态下依然可 以继续运行。 • 对于寄生在文件中的病毒来说，病毒程序一般可以通过修改原有文件， 使对该文件的操作转入病毒程序引导模块，引导模块也完成把病毒程 序的其他两个模块驻留内存及初始化的工作，然后把执行权交给原文 件，使系统及文件在带毒状态下继续运行。