恶意代码常见格式
恶意样本分析手册——常用方法篇
恶意样本分析⼿册——常⽤⽅法篇⼀、⽂件识别常见的可执⾏程序格式有PE，ELF，MACH-O等，不同的格式有不同的标志信息(参考理论篇)，知道了⽬标⽂件的格式后才能确定对应的分析⽅法和分析⼯具。
可以使⽤16进制解析器载⼊可执⾏程序，然后查看是哪种类型的⽂件。
图：PE⽂件格式图：ELF⽂件格式⼀般⼆进制⽂件的前四个字节为⽂件格式的magic，可以通过从⽹络搜索获得⽂件的信息，或者使⽤相关的⼯具(PEID，file)等进⾏⾃动识别。
⼆、静态分析静态分析技术通常是研究恶意代码的第⼀步。
静态分析指的是分析程序指令与结构来确定⽬标程序的功能的过程。
在这个时候，病毒本⾝并不在运⾏状态。
我们⼀般采⽤以下⼏种⽅式进⾏静态分析：1. 采⽤反病毒引擎扫描如果尚不确定⽬标程序是否为病毒程序，我们可以⾸先采⽤多个不同的反病毒软件来扫描⼀下这个⽂件，看是否有哪个引擎能够识别它。
(、 )注意：只能通过MD5值查询，不允许将样本进⾏上传。
图：VitusTotal检测结果界⾯2. 计算哈希值哈希是⼀种⽤来唯⼀标识⽬标程序的常⽤⽅法。
⽬标程序通过⼀个哈希算法，会产⽣出⼀段唯⼀的⽤于标识这个样本的哈希值，我们可以将这个值理解为是⽬标程序的指纹。
常⽤的哈希算法有MD5、Sha-1以及CRC32等。
由于仅仅采⽤⼀种算法，特别是MD5算法，有可能使得不同程序产⽣同样的哈希结果，所以⼀般会运⽤多种哈希验证⽂件的唯⼀性。
图：计算⽂件校验码3. 查找字符串程序中的字符串就是⼀串可打印的字符序列，⼀个程序通常都会包含⼀些字符串，⽐如打印输出信息、连接的URL，或者是程序所调⽤的API函数等。
从字符串中进⾏搜索是获取程序功能提⽰的⼀种简单⽅法。
(在IDA和OD中都可以查找字符串)并不是所有的字符串都是有意义的，但是利⽤这个结果，也能够给我们的静态分析带来很⼤的便利了。
图：查看字符串信息4. 查找导⼊函数如果软件被加壳的话，那么导⼊表中的函数会很少，所以可以从这⾥判断⽂件是否被加壳。
系统安全漏洞与恶意代码介绍
征
35
恶意代码分类
照恶意代码运行平台 按照恶意代码传播方式 按照恶意代码的工作机
制 按照恶意代码危害
罗伯特.莫里斯
1995年—首次发现macro virus
31
恶意代码发展
1996年—netcat的UNIX版发布（nc） 1998年—第一个Java virus(StrangeBrew) 1998年—netcat的Windows版发布（nc） 1998年—back orifice(BO)/CIH 1999年—melissa/worm(macrovirus by email) 1999年—back orifice(BO) for WIN2k 1999年—DOS/DDOS-Denial of Service TFT/
恶意代码的发展趋势?从传播速度上来看恶意代码爆发和传播速度越来越快?从攻击意图来看恶意代码的开发者越来越与业化其意图也从游戏炫耀与向为恶意牟利?从功能上来看恶意代码的分工越来越细?从实现技术来看恶意代码实现的关键技术丌断变化?从传播范围来看恶意代码呈现多平台传播的特征35恶意代码分类36?照恶意代码运行平台?按照恶意代码传播斱式?按照恶意代码的工作机制?按照恶意代码危害分类蠕虫病毒后门木马有害工具流氓软件风险程序其他恶意代码分类37?丌传染的依附型恶意代码?流氓软件逡辑炸弹恶意脚本?丌传染的独立型恶意代码?木马rootkit风险程序?传染的依附型恶意代码?传统的病毒cih等?传染的独立型恶意代码?蠕虫病毒?可以丌依附亍所谓的数组而独立存在
了解安全漏洞的静态与动态挖掘方法的基本原理 了解补丁分类及修复时应注意的问题
12
漏洞的发现
从人工发现阶段发展到了依靠自动分析工具辅助 的半自动化阶段
第九章 计算机病毒与恶意代码
外壳附加型
这类病毒通常附加在正常程序的头部或尾 部，相当于给程序添加了一个外壳，在被 感染的程序执行时，病毒代码先被执行， 然后才将正常程序调入内存。目前大多数 文件型的病毒属于这一类。
病毒破坏性的表现
占用CPU资源，额外占用或消耗内存空间，
或禁止分配内存、蚕食内存，导致一些大 型程序执行受阻，使系统性能下降。
了方便途径。
计算机病毒的特征
传染性
病毒通过各种渠道从已被感染的计算机扩散到 未被感染的计算机。病毒程序一旦进入计算机 并得以执行，就会寻找符合感染条件的目标， 将其感染，达到自我繁殖的目的。所谓“感 染”，就是病毒将自身嵌入到合法程序的指令 序列中，致使执行合法程序的操作会招致病毒 程序的共同执行或以病毒程序的执行取而代之。 传染性是病毒的基本特征。
计算机病毒的发展
20 世纪 60 年代初，美国贝尔实验室里，三个
年轻的程序员编写了一个名为“磁芯大战” 的游戏，游戏中通过复制自身来摆脱对方的 控制，这就是计算机“病毒”的雏形。
1983年美国计算机专家Fred Cohen博士研制
出一种在运行过程中可以自我复制的具有破 坏性的程序，并在同年11月召开的国际计算 机安全学术研讨会，首次将病毒程序在 VAX/750计算机上进行了实验。世界上第一个 计算机病毒就这样出生在实验室中。
多态性 病毒试图在每一次感染时改变它的形态，使对它 的检测变得更困难。一个多态病毒还是原来的病
毒，但不能通过扫描特征字符串来发现。病毒代 码的主要部分相同，但表达方式发生了变化，也 就是同一程序由不同的字节序列表示。
破坏性 病毒一旦被触发而发作就会造成系统或数据的损 伤甚至毁灭。病毒都是可执行程序，而且又必然
第九章 计算机病毒与恶意代码
必须知道：危险的文件扩展名及如何避免它们(六)
危险的文件扩展名及如何避免它们随着科技的不断进步，我们在日常生活中越来越依赖电脑和互联网来完成不同的任务。
然而，我们也必须警惕电子设备中存在的潜在威胁，特别是那些可能危害到我们数据安全的文件扩展名。
本文将简要介绍一些危险的文件扩展名，并探讨如何避免它们对我们的电脑造成损害。
1. exe文件扩展名：行动前必看可执行文件，也就是以.exe为扩展名的文件，是最常见的计算机病毒传播方式之一。
这些文件装载了病毒代码，一旦被执行，病毒就会在你的电脑中活跃起来，可能导致数据丧失或机器崩溃。
为了避免这种危险，我们需要增强对文件来源的警惕性，并使用权威的杀毒软件进行扫描。
2. zip压缩文件扩展名：隐藏的惊喜？许多人在日常工作中经常使用ZIP压缩文件进行文件传输和存储。
然而，一些恶意人士也利用ZIP文件来隐藏恶意代码和病毒。
当我们接收到ZIP压缩文件时，除非我们确切知道发送者的身份和意图，否则不应轻率地解压文件。
使用杀毒软件检测压缩文件中的潜在威胁是个明智的选择。
3. doc和docx文档扩展名：文档的暗影.doc和.docx是常见的Microsoft Word文档扩展名，它们被广泛用于办公和学习。
然而，一些恶意软件利用文档的格式漏洞感染用户的电脑。
要保护我们的设备不受损害，最好禁止打开来路不明的文档。
此外，我们也可以对文档进行转换，将其保存为PDF或其他格式，以减少被潜在威胁感染的风险。
4. jpg和jpeg图像扩展名：欺骗的方式图像文件应该是无害的，但一些黑客利用了一些安全漏洞，将恶意代码嵌入这些文件中。
这种情况发生的几率较低，但仍然需要警惕。
当我们浏览网络时，不要下载来路不明的图片，以减少暴露于潜在威胁的风险。
5. pdf文件扩展名：难以置信的威胁PDF文件是另一个常见的文件格式，经常用于共享文档。
然而，一些恶意软件也会滥用PDF格式来传播病毒。
为了避免被感染，我们应该只从可信的来源下载PDF文件，并在打开之前使用杀毒软件进行扫描。
危险的文件格式 -回复
危险的文件格式-回复标题：危险的文件格式：识别与防护在数字化的世界中，我们每天都会接触到各种各样的文件格式，如PDF、DOCX、JPEG等。
然而，并非所有的文件格式都是安全无害的。
一些特定的文件格式可能隐藏着恶意代码或病毒，一旦打开，可能会对我们的电脑系统造成严重损害。
本文将深入探讨这些危险的文件格式，如何识别它们，以及如何进行有效的防护。
一、识别危险的文件格式1. 可执行文件格式：如EXE、COM、BAT等。
这些文件格式可以直接在操作系统上运行，因此常常被黑客利用来植入恶意代码。
如果你收到一个来自不明来源的可执行文件，应极度警惕。
2. 脚本文件格式：如VBS、JS、PHP等。
这些文件包含可以被执行的代码，如果代码中包含恶意指令，那么在执行脚本时就可能导致系统感染病毒。
3. 宏文件格式：如DOC、XLS等带有宏的Office文档。
宏是一种可以在文档中嵌入并自动执行的命令序列，黑客可以通过创建包含恶意宏的文档来传播病毒。
4. 压缩文件格式：如RAR、ZIP等。
虽然压缩文件本身并不危险，但如果其中包含了恶意软件或者被病毒感染的文件，那么解压后就可能导致系统感染。
二、如何防护危险的文件格式1. 更新和安装防病毒软件：防病毒软件是防范危险文件格式的第一道防线。
定期更新防病毒软件可以确保其病毒库是最新的，能够识别和拦截最新的恶意文件。
2. 不随意打开未知来源的文件：对于来自不明来源的文件，尤其是可执行文件和带有宏的Office文档，应谨慎对待。
在确定文件来源可靠之前，最好不要轻易打开。
3. 使用防火墙：防火墙可以阻止未经授权的访问和数据传输，防止恶意软件通过网络进入你的电脑系统。
4. 定期备份重要数据：即使采取了所有防护措施，也不能完全排除系统被病毒感染的可能性。
因此，定期备份重要数据是非常必要的，以防万一。
5. 提高网络安全意识：了解常见的网络威胁和攻击手段，提高自我保护意识，不轻易点击未知链接，不下载不明来源的文件，这些都是避免危险文件格式的有效方法。
计算机病毒与防治1-3计算机病毒分类
计算机病毒与防治课程小组
常见的恶意代码的命名规则
恶意代码的一般命名格式为：
<恶意代码前缀>.<恶意代码名称>.<恶意代码后缀> 举例：Backdoor.Agobot.frt，Backdoor.HacDef.ays。
恶意代码前缀是指一个恶意代码的种类，它是用来区别恶意代码的种族和分类的， 不同种类的恶意代码，其前缀也是不同的。例如，常见的木马程序的前缀是Trojan、 网络蠕虫的前缀是Worm等。前缀也可能代表了该病毒发作的操作平台或者病毒的类型 ，如宏病毒是Macro、文件病毒是PE、Windows 3.2系统的病毒是Win32、Widows 95系 统的病毒是Win95、VB脚本病毒是VBS等。
计算机病毒的影响
计算机病毒的影响
破坏数据 占用磁盘存储空间占用磁盘存储空间 抢占系统资源 影响计算机运行速度 计算机病毒错误与不可预见的危险
计算机病毒与防治课程小组
Virus
（3）特洛伊木马程序。
木马病毒的前缀是Trojan。如Trojan.QQ3344、hief.10、 her.Client、hief.yi、和hief.10.a。
计算机病毒与防治课程小组
（4）脚本病毒。
脚本病毒的前缀是Script。如红色代码（Script.Redlof）。脚本病毒还会有如下前缀： VBS、JS（表明是何种脚本本编写的），如欢乐时光（VBS.Happytime）、十四日（ Js.Fortnight.c.s）。
计算机病毒与防治课程小组
计算机病毒和恶意软件的区别
病毒：是能自我复制的一段恶意代码。现在每天都能发现很多病毒，只是简 单地复制自己。
蠕虫：与病毒极为相似，也能复制自己。但其主要区别是蠕虫 长驻内存，并且隐蔽性很强，不容易被发觉。 特洛伊木马：其得名于古希腊神话中特洛伊木马的故事。木马程序不想 病毒一样复制自己，但其可以随邮件附件进行传播。 其他恶意软件还包括间谍软件和广告软件。间谍软件会记录用户使用的 记录，包括你的击键动作从而记录您的登陆密码。广告软件会在您浏览 网络的时候跳出广告。有些广告软件的代码可以使广告商获取用户的私 人信息。
[重点]java脚本病毒
![[重点]java脚本病毒](https://img.taocdn.com/s3/m/516e769603d276a20029bd64783e0912a2167c25.png)
一．网页恶意代码病毒网页中的恶意代码一般分为如下几种：（1）消耗系统资源通过不断消耗本机系统资源，使计算机不能处理其它进程，导致系统与网络瘫痪。
这类病毒大都是使用JavaScript产生一个死循环，它可以在有恶意的网站中出现，也可以被当做邮件的附件发给用户，当用户打开HTML、VBS附件时，屏幕出现无数个浏览器窗口，最后不得不重启计算机。
（2）非法向用户的硬盘写入文件有些个人主页或邮件含有可以格式化本地硬盘的恶意代码，主要利用和deltree.exe命令实现。
（3）IE泄密利用IE浏览器的漏洞，网页可以读取客户机的文件，攻击者获取用户账号与密码。
（4）利用邮件非法安装木马二．JavaScript简介众所周知，HTML网页在互动性方面能力较弱，例如下拉菜单，用户点击某一菜单项时，自动出现该菜单项的所有子菜单，用纯HTML网页无法实现；又如验证HTML表单提交信息的有效性，用户名不能为空，密码不能少于4位，输入字符只能是数字之类，用纯HTML网页也无法实现。
要实现这些功能，就需要用到JavaScript。
JavaScript是一种解释性的、基于对象的脚本语言，比HTML要复杂。
使用JavaScript编写的程序都是以源代码的形式出现的，也就是说在一个网页里看到一段比较好的JavaScript代码，可以直接拷贝到其它网页中去。
也正是因为可以借鉴、参考优秀网页的代码，所以让JavaScript本身变得非常受欢迎，从而被广泛使用。
JavaScript主要是基于客户端运行的，用户点击带有JavaScript的网页，网页里的JavaScript就传到浏览器，由浏览器对此作处理。
前面提到的下拉菜单、验证表单有效性等大量互动性功能，都是在客户完成的，不需要和Web服务器发生任何数据交换，因此，不会增加Web服务器的负担。
几乎所有浏览器都支持JavaScript，如Internet Explorer（IE）、Firefox、Netscape、Mozilla、Chrome等。
2022年职业考证-软考-信息安全工程师考试全真模拟全知识点汇编押题第五期(含答案)试卷号：70
2022年职业考证-软考-信息安全工程师考试全真模拟全知识点汇编押题第五期（含答案）一.综合题(共15题)1.单选题2001年11月26日，美国政府正式颁布AES为美国国家标准。
AES算法的分组长度为128位，其可选的密钥长度不包括（）。
问题1选项A.256位B.192位C.128位D.64位【答案】D【解析】本题考查分组加密AES密码算法方面的基础知识。
AES的密钥长度可以为16、24或者32字节，也就是128、192、 256 位。
2.单选题对于提高人员安全意识和安全操作技能来说，以下所列的安全管理方法最有效的是（）。
问题1选项A.安全检查B.安全教育和安全培训C.安全责任追究D.安全制度约束【答案】B【解析】本题考查网络安全能力提升和安全意识的相关知识。
由于题目要求的是提高人员安全意识和安全操作技能，从安全管理角度来说，最有效的方法是进行安全教育和安全培训，其余三项皆是通过外力对人员进行相关约束。
只有通过安全教育和安全培训，提高了人员自身的信息安全素养，才能实现最高效的“管理”。
故本题选B。
点播：此类题型主要从提高自身信息安全素养方面进行考查。
3.单选题基于公开密钥的数字签名算法对消息进行签名和验证时，正确的签名和验证方式是（）。
问题1选项A.发送方用自己的公开密钥签名，接收方用发送方的公开密钥验证B.发送方用自己的私有密钥签名，接收方用自己的私有密钥验证C.发送方用接收方的公开密钥签名，接收方用自己的私有密钥验证D.发送方用自己的私有密钥签名，接收方用发送方的公开密钥验证【答案】D【解析】本题考查数字签名相关知识。
根据数字签名工作的基本流程，假设Alice需要签名发送一份电子合同文件给Bob。
Alice的签名步骤如下：第一步，Alice使用Hash函数将电子合同文件生成一个消息摘要；第二步，Alice使用自己的私钥，把消息摘要加密处理，形成一个数字签名；第三步，Alice把电子文件合同和数字签名一同发送给Bob。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
恶意代码常见格式
恶意代码(maliciouscode)又称为恶意软件(malicioussoftware，Malware)，是能够在计算机系统中进行非授权操作，以实施破坏或窃取信息的代码。
恶意代码范围很广，包括利用各种网络、操作系统、软件和物理安全漏洞来向计算机系统传播恶意负载的程序性的计算机安全威胁。
也就是说，我们可以把常说的病毒、木马、后门、垃圾软件等一切有害程序和应用都可以统称为恶意代码。
一、恶意代码分类
病毒(Virus)：很小的应用程序或一串代码，能够影响主机应用。
两大特点：繁殖(propagation)和破坏(destruction)。
繁殖功能定义了病毒在系统间扩散的方式，其破坏力则体现在病毒负载中。
特洛伊木马(TrojanHorses)：可以伪装成他类的程序。
看起来像是正常程序，一旦被执行，将进行某些隐蔽的操作。
比如一个模拟登录接口的软件，它可以捕获毫无戒心的用户的口令。
可使用HIDS检查文件长度的变化内核套件（Root 工具）：是攻击者用来隐藏自己的踪迹和保留root访问权限的工具逻辑炸弹(LogicBombs)：可以由某类事件触发执行，例如某一时刻(一个时间炸弹)，或者是某些运算的结果。
软件执行的结果可以千差万别，从发送无害的消息到系统彻底崩溃。
蠕虫(Worm):像病毒那样可以扩散，但蠕虫可以自我复
制，不需要借助其他宿主僵尸网络（Botnets）：是由C&C服务器以及僵尸牧人控制的僵尸网络。
间谍软件（Spyware）：间谍软件就是能偷偷安装在受害者电脑上并收集受害者的敏感信息的软件。
恶意移动代码：移动代码指可以从远程主机下载并在本地执行的轻量级程序，不需要或仅需要极少的人为干预。
移动代码通常在Web服务器端实现。
恶意移动代码是指在本地系统执行一些用户不期望的恶意动作的移动代码。
后门：指一类能够绕开正常的安全控制机制，从而为攻击者提供访问途径的一类恶意代码。
攻击者可以通过使用后门工具对目标主机进行完全控制。
广告软件（Adware）：自动生成（呈现）广告的软件。
上述分类只是个大概，各种恶意代码常常是你中有我，我中有你。
而且在实际中，攻击者经常会将多种恶意代码组合起来使用。
二、病毒类型功能
病毒前缀：前缀一般为恶意代码的类型，有些病毒也会添加平台作为前缀，在这种情况下，类型作为恶意代码命名的第一前缀，平台作为第二前缀。
类型：依据恶意代码传播方式或恶意功能的分类类别。
病毒：通过对系统和共享目录中文件进行感染，以实现自身复制并执行功能的恶意代码。
蠕虫：通过网络使恶意代码在不同设备中进行复制、传播和运行的恶意代码。
木马：攻击者通过欺骗方法在用户不知情的情况下安装到系统中的恶意代码。
后门：绕过系统安全性控制而具有操作权限的恶意代码。
勒索：通过加密用户文件使用户数据无法正常使用，并以此为条件向用户勒索赎金的恶意代码。
挖矿：攻击者通过向被感染设备植入挖矿工具，消耗被感染设备的计算资源进行挖矿，以获取数字货币收益的恶意代码。
广告：广告是一种附带广告功能，以流量作为盈利来源的恶意代码，其往往会强制安装并无法卸卸载。
平台：恶意代码执行需要的系统环境。
Win32：运行在Win32平台下的恶意代码
OSX：运行在Mac平台下的恶意代码
Linux：运行在Linux平台下的恶意代码
Java：运行在Java虚拟机下的恶意代码
Android：运行在安卓平台下的恶意代码
PHP：PHP开发的恶意代码
W97M：微软Office97的word恶意代码
病毒名：病毒名一般用恶意代码家族命名，恶意代码家族是指具有相似功能、相同来源、不同演进程度的恶意代码集合。
常见恶意代码家族如下。
Fujacks：熊猫烧香病毒家族，爆发于2006年，具有感染和蠕虫多种传播方式。
LoveLetter：爱虫蠕虫家族，爆发于2010年，通过群发告白邮件传播。
OnlineGames：盗号木马家族，爆发于2007年，通过配置可盗取多种游戏帐号密码。
Gpigeon：灰鸽子后门家族，可对被感染设备进行远程控制。
Wannacry：Wanacry勒索家族，爆发于2017年，可对磁盘文件进行加密，并在局域网传播，勒索用户提供比特比赎金进行解密。
BitcoinMiner：比特比挖矿家族，通过向设备植入比特比挖矿工具，实现后台比特比挖矿。
IeSearchBar：IE搜索工具条广告家族，可在用户IE浏览器地址栏处安装搜索工具条，主要通过捆绑安装。
病毒后缀：病毒后缀一般是指恶意代码的变种。
变种是指恶意代码家族演进过程中捕获分析后的标号。
病毒变种使用小写英文字母表示
a为恶意代码家族第一次发现的恶意代码。
b为恶意代码家族第一次发现的恶意代码变种。
z为恶意代码家族第二十五次发现的恶意代码变种。
病毒变种采用26进制
aa为恶意代码家族第二十六次发现的恶意代码变种。