第1章 恶意代码概述
计算机专业论文：恶意代码分析
恶意代码分析目录摘要： (2)关键词： (2)1.概要介绍 (3)2.恶意代码综述 (3)2.1 恶意代码的特征 (4)2.2 恶意代码的传播 (4)2.2.1 恶意代码的传播手法 (4)2.2.2 恶意代码的趋势 (4)2.3 恶意代码的类型 (5)2.4 恶意代码的发展 (7)2.5 恶意代码攻击机制 (10)3. 恶意代码实例 (11)4. 恶意代码分析实验操作 (13)5. 恶意代码侦测 (19)5.1 现行恶意代码侦测情况 (19)5.2 应有恶意代码侦测机制 (21)5.2.1 恶意代码传播的不易控性 (21)5.2.2 路径跟踪的新方法：沾染图 (22)5.2.3 沾染图的基础 (23)5.2.4 Panorama (25)6. 小组感想 (28)7. 小组分工 (30)8. 参考文献 (32)摘要：恶意代码（Malicious Code）是指没有作用却会带来危险的代码，其最主要特征是目的的恶意性、程序的执行性与执行的传播性。
在探索了恶意代码的基本属性与特征后，我组进而对一个真实的恶意代码实例进行了较为详细的分为，并在真实代码旁均作了详实的批注。
除此，为了进一步跟踪恶意代码的破坏途径，我组在我们的笔记本电脑中装入了VWare虚拟机，并试图运行TEMU软件，进行此方面研究。
最后，在完成上述工作后，我们产生了这样的观点，即：仅仅了解恶意代码的实质与恶性并不足以产生对现实生活有益的效果，为了能学有所用，我们更应了解的是如何对恶意代码进行侦测和防治。
因而，我组最后的研究内容是与探索一条侦测途径，即：Panorama系统，以遍更有效地抵消恶意代码的进攻。
关键词：恶意代码（恶意软件），TEMU，恶意代码侦测，Panorama1.概要介绍生活质量的提高、信息的海量增加、科技的日益普及等无一不使电脑的泛化与网络的兴荣呈现愈演愈烈的趋势。
随着这种趋势的日益明显，人们愈发地离不开电脑的应用与网络所呈现出的便利与快捷。
信息安全领域的恶意代码分析与防范实践
信息安全领域的恶意代码分析与防范实践第一章引言在当今数字化快速发展的时代，信息安全日益受到重视。
然而，随着互联网的蓬勃发展，恶意代码越来越普遍，成为信息安全领域的一个严重问题。
恶意代码不仅对用户信息造成损失，而且可能导致系统瘫痪、数据泄露等严重后果。
因此，对恶意代码进行分析和防范显得格外重要。
第二章恶意代码概述恶意代码指攻击者制作出来的用于攻击计算机系统的一类程序。
它不仅能窃取用户信息，而且还可以通过远程控制实现恶意操作。
恶意代码的种类非常丰富，从病毒、蠕虫、木马、间谍软件到广告软件、浏览器插件等。
这些恶意代码具有一定的销售市场，黑客通过交易恶意代码来获取利润。
第三章恶意代码分析恶意代码分析是指对恶意代码进行分析和研究，找到其攻击机理和特征，从而更加有效地对其进行防范。
恶意代码分析主要有静态分析和动态分析两种方式。
静态分析是指对恶意代码文件进行逆向工程，进行二进制代码分析，并查看其模式、数据、程序、逆向指针等信息，从而发现恶意代码的特征。
而动态分析则是在虚拟环境中运行恶意代码，跟踪它的活动，并进行行为分析。
第四章恶意代码防范预防比治疗更为重要，恶意代码攻击是需要良好的预防措施的。
首先，我们需要保证系统和软件的安全性，更新操作系统、杀毒软件和防火墙程序等安全软件，并关闭系统中的不必要服务和端口。
此外，我们还应该谨慎处理邮件和附件等外部资源，以免恶意代码通过这些通道入侵系统。
最后，加强用户信息的保护与隐私，如加强密码长度，避免过度免费软件等，才能确保安全。
第五章结论总之，恶意代码是一个严峻的问题，对于信息安全提出了更高的要求，恶意代码分析与防范实践显得尤为重要。
对于企业和个人用户而言，加强对恶意代码的了解和预防，保证信息安全是必不可少的。
防御恶意代码和计算机犯罪管理规范_030328_v3_FD
操作系统 安全管理
数据和文档 安全管理
应用系统安 全管理
网 络 安 全 管 理 概 述
通 用 网 规络 范安 全 管 理
内 部 网 规络 范安 全 管 理
外 部 网 规络 范安 全 管 理
通 用 安 概全 述管 理 标 准
认 证 管 理 通 用 标 准
授 权 管 理 通 用 标 准
加 固 管 理 通 用 标 准
2.3
2.3.1 2.3.2 2.3.3 2.3.4 2.3.5
防御恶意代码管理规范 ........................................................... 20
防御恶意代码的员工职责和行为规范 ............................................................................................20 防御恶意代码防范员工培训规范 ....................................................................................................24
加 密 管 理 通 用 标 准
日 志 管 理 通 用 标 准
系 统 登 标陆 准管 理 通 用
1） 整体信息技术安全架构从逻辑上共分为 7 个部分，分别为：物理环境、硬件设备、网络、操作 系统、数据和文档、应用系统和通用安全管理标准。图中带阴影的方框中带书名号的为单独成 册的部分，共有 13 本《规范》和 1 本《通用标准》 。
随着信息技术的发展， 企业对于信息系统的依赖程度日益增大， 随之而来的很多通过计算机进行犯 罪的现象也与日俱增。 目前计算机犯罪的手法和方式多种多样， 但为人们广为认识的主要是计算机恶意 代码的攻击，目前几乎所有的计算机使用者都或多或少的接触到计算机恶意代码的危害。因此，为防御
_恶意代码1
14
蠕虫需要利用漏洞进行传播
蠕虫王-slammer（2003年1月25日） MS02-039 冲击波-msblast（2003年8月11日） MS03-026 震荡波-sasser（2004年5月1日） MS04-011 极速波-Zotob（2005年8月14日） MS05-039 魔波-MocBot（2006年8月13日 ） MS06-040 扫荡波-saodangbo（2008年11月7日） MS08-067
30
宏病毒
– 2, 宏病毒感染的目标是文档，而不是可执行的 代码段。 而实际上，传入计算机系统中的大部分 信息都以文档而非程序的方式保存。 – 3, 宏病毒易于传播。 一个非常普遍的传播媒介 是电子邮件。
31
电子邮件病毒
• 电子邮件病毒是一种最近发展起来的恶意 软件。 第一个广泛传播的电子邮件病毒是 Melissa病毒，它利用 Microsoft Word 的 宏，嵌入到电子邮件的附件中。 如果收件 人打开该附件，就会激活Word的宏。 之后：
15
2.流行的网络恶意代码
3. 特洛伊木马：是指一类看起来具有正常功能，但实际上隐 藏着很多用户不希望功能的程序。通常由控制端和被控制 端两端组成。 如冰河、网络神偷、灰鸽子、上兴…… 4. 后门：使得攻击者可以对系统进行非授权访问的一类程序。 如WinEggDrop 5. RootKit：是黑客用来掩饰自己的入侵并获得一台计算 RootKit： 机或计算机网络管理员级访问权的一套工具（程序）。
3 33Biblioteka 41 25
6
公钥加密的六个部分
4
RSA 公钥加密算法
• 密钥产生算法： 密钥产生算法：
– 1, 生成两个随机的大的素数p和q， 它们的 大小近似相等； – 2, 计算n = pq and φ(n) = (p-1)(q-1); – 3, 选择一个整数e，其中1 < e < φ(n)，使得 gcd (e, φ(n) ) = 1（即e与φ(n)互素 ）； – 4, 计算秘密的指数d，其中1 < d < φ(n) ， 使得ed ≡ 1 (mod φ(n) ) ; – 5, 则公钥为(n, e)，私钥为(n, d)。其中p、 q和φ(n)的值必须保密。
恶意代码一般原理及分析简介.
2.1 病毒的传播方式
• 传播方式主要有：
• • • • 电子邮件 网络共享 P2P 共享 系统漏洞
2.1 病毒的传播方式
电子邮件
• • • • HTML正文可能被嵌入恶意脚本， 邮件附件携带病毒压缩文件 利用社会工程学进行伪装，增大病毒传播机会 快捷传播特性
• 例子，WORM_MYTOB等病毒
• 4.典型的病毒案例分析 • 5.防病毒现场演练
3.1 疑似病毒现象
• • • • • • 经常出现系统错误或系统崩溃 系统反应变慢，网络拥塞 陌生进程或服务 可疑的打开端口 可疑的自启动程序 病毒邮件
3.2 进行系统诊断
• 趋势科技提供SIC 工具
(system information collector)
1.2 当前病毒流行的趋势
范围：全球性， 如WORM_MOFEI.B等病毒
速度：越来接近零日攻击， 如worm_zotob.a等病毒 方式：蠕虫、木马、间谍软件联合， 如Lovgate等病毒
课程进度
• 1.病毒概述
1.1 当前面临的威胁 1.2 当前病毒流行的趋势
• 2.病毒感染过程和行为
2.1 病毒的传播方式 2.2 病毒自启动方式
3.3 病毒清除方法
• 恢复注册表的设定
根据病毒修改的具体情况，删除或还原相应的注册表项。
您可以从趋势科技网站的以下链接中查找病毒相关的信息： /vinfo/virusencyclo/default.asp
工具：注册表编辑器 regedit.exe
恶意代码一般原理及分析简介
目标
• 掌握反病毒知识 • 熟悉反病毒工具的使用 • 培养现场反病毒应急响应能力
课程进度
• 1.病毒概述
第1章 恶意代码概述
• （3）强行弹出广告，或者其他干扰用户并占用系统资源行为； • （4）有侵害用户信息和财产安全的潜在因素或者隐患； • （5）未经用户许可，或者利用用户疏忽，或者利用用户缺乏相关知识，
秘密收集用户个人信息、秘密和隐私。
6 间谍软件
• 间谍软件（Spyware）是一种能够在计算机使用者无法察觉或给 计算机使用者造成安全假相的情况下，秘密收集计算机信息的并 把它们传给广告商或其他相关人的程序。
• 记忆犹新的3年（2003 - 2005）
• 2004年是蠕虫泛滥的一年，大流行病毒：
• 网络天空(sky) • 高波(Worm.Agobot) • 爱情后门(Worm.Lovgate) • 震荡波(Worm.Sasser) • SCO炸弹(Worm.Novarg) • 冲击波(Worm.Blaster) • 恶鹰(Worm.Bbeagle) • 小邮差(Worm.Mimail) • 求职信(Worm.Klez) • 大无极(Worm.SoBig)
为什么提出恶意代码的概念？
过时的计算机病毒定义
• 国务院颁布的《中华人民共和国计算机信息系统安全保护条例》， 以及公安部出台的《计算机病毒防治管理办法》将计算机病毒均 定义如下：
• 计算机病毒是指，编制或者在计算机程序中插入的破坏计算机功 能或者破坏数据，影响计算机使用并且能够自我复制的一组计算 机指令或者程序代码。
• 博士论文的主题是计算机病毒 • 1983年11月3日，Fred Cohen博士研制出第一个计算机病毒
（Unix）。
• 1986年初，巴基斯坦的拉合尔，巴锡特和阿姆杰德两兄弟编写 了 Pakistan病毒，即Brain，其目的是为了防范盗版软件。
• Dos – PC – 引导区
网络安全中的恶意代码分析与防范手段
网络安全中的恶意代码分析与防范手段恶意代码是指通过计算机网络对用户或者系统造成危害的一种程序代码，常见的恶意代码包括病毒、蠕虫、木马、间谍软件等。
随着网络的普及和应用的广泛，网络安全问题变得愈发突出。
本文将对网络安全中的恶意代码进行分析，并提供相应的防范手段。
一、恶意代码的分析恶意代码的形式多种多样，具有隐蔽性和破坏性。
下面将介绍几种常见的恶意代码及其分析方法。
1. 病毒病毒是一种能够自我复制并传播的恶意代码。
它通常通过文件的共享或者下载、运行来感染目标计算机。
病毒可以对系统文件进行修改、删除或者破坏，导致计算机系统崩溃。
分析病毒需要使用杀毒软件，对潜在的病毒样本进行扫描和分析，从而识别病毒的特征。
2. 蠕虫蠕虫是一种能够自动复制并在网络中传播的恶意代码。
蠕虫可以通过漏洞来感染系统，并在系统中运行。
它们常常通过邮件、用户点击等方式传播。
分析蠕虫需要借助网络监控系统，对网络流量进行监测和分析，从而发现异常的数据包和行为。
3. 木马木马是一种通过伪装成合法程序隐藏在计算机系统中的恶意代码。
它可以远程控制受感染的计算机，进行非法操作，如窃取个人信息、植入其他恶意程序等。
分析木马需要使用流量分析工具，监控计算机与外部的网络连接，识别异常连接和传输的数据包。
4. 间谍软件间谍软件是一种潜伏在计算机中的恶意程序，用于收集用户的个人信息，并将其发送给第三方。
间谍软件通常通过下载和安装一些看似正常的软件而进入系统。
分析间谍软件可以使用反间谍软件进行扫描和识别，同时注意检查系统中的异常行为和网络连接。
二、恶意代码的防范手段针对恶意代码的分析结果，我们需要采取相应的防范措施，并提高网络安全的水平。
以下是几种常用的防范手段。
1. 使用杀毒软件和防火墙杀毒软件和防火墙是防范恶意代码的第一道防线。
及时更新病毒库和漏洞补丁，可以有效阻止恶意代码的感染。
同时，配置合适的防火墙策略，对网络连接和传输进行监控和过滤，保护系统安全。
网络恶意代码的介绍与分类
网络恶意代码的介绍与分类网络恶意代码（Malware）是指恶意软件或恶意脚本，用于侵入计算机、服务器或网络系统，并破坏、窃取、删除或修改数据以及干扰正常系统运行。
网络恶意代码多种多样，每种恶意代码都有不同的特征和目的。
本文将介绍网络恶意代码的常见类型和分类方法。
1. 病毒（Virus）病毒是一种能够自我复制并传播的恶意代码。
它将自己附加到其他程序或文件中，并在用户执行这些程序或文件时激活。
病毒可以对系统造成很大的破坏，例如删除或修改文件、操纵系统功能等。
常见的病毒类型包括文件病毒、宏病毒、脚本病毒等。
2. 蠕虫（Worm）蠕虫是自主传播的恶意代码，与病毒不同，蠕虫不需要附加到其他程序或文件中就能够通过网络进行传播。
蠕虫常常利用系统的漏洞进行传播，并通过网络共享、电子邮件等方式传播给其他计算机。
蠕虫可以快速传播并对网络造成大规模破坏，例如拒绝服务攻击（DDoS）。
3. 木马（Trojan Horse）木马是一种伪装成合法程序的恶意代码。
用户在执行木马程序时，木马会执行恶意操作而不被察觉。
与病毒和蠕虫不同，木马通常不会自我复制或传播，它主要通过用户下载或安装来传播。
木马可以用于远程控制系统、窃取用户信息、记录键盘输入等恶意活动。
4. 广告软件（Adware）广告软件是一种常见的恶意代码，其主要目的是在用户浏览器中显示广告以获取利润。
广告软件通常通过捆绑到其他免费软件中进行传播，用户在安装软件时常常会不知情地同意安装广告软件。
广告软件不仅会干扰用户的浏览体验，还可能收集用户的浏览历史和个人信息。
5. 间谍软件（Spyware）间谍软件是一种用于监视用户活动、窃取个人信息并发送给第三方的恶意代码。
间谍软件通常通过下载或安装伪装成合法程序的方式传播。
一旦感染，间谍软件会记录用户敏感信息、浏览历史等，并将这些信息发送给攻击者。
间谍软件对用户的隐私构成严重威胁。
6. 勒索软件（Ransomware）勒索软件是一种恶意代码，它通过加密或锁定用户文件，然后要求用户支付赎金以解锁文件。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Any Questions?
恶意代码与计算机病毒 -原理、技术和实践
恶意代码与计算机病毒 -原理、技术和实践
恶意代码的种类
恶意代码主要包括：
− 普通计算机病毒 − 蠕虫 − 特洛伊木马 − Rootkits工具 − 流氓软件 − 间谍软件 − 恶意广告
− 逻辑炸弹
恶意代码与计算机病毒 -原理、技术和实践
恶意代码的种类
恶意代码主要包括：
− 网络僵尸 − 网络钓鱼 − 恶意脚本 − 垃圾信息 − 智能终端恶意代码等
、打印机、文件系统等方面探查恶意代码
− 恶意代码发作前 − 恶意代码发作时 − 恶意代码发作后
与恶意代码现象类似的硬件故障 与恶意代码现象类似的软件故障
恶意代码与计算机病毒 -原理、技术和实践
恶意代码的命名规则
CARO命名规则：
− 1991年，计算机反病毒研究组织(Computer
Antivirus Researchers Organization， CARO)的一些资深成员提出。
攻击行为发起者
U盘寄生虫 Backdoor/Huigezi 熊猫烧香 木马和恶意软件 木马 Worm_Sasser Worm_MSBLAST SQL Slammer Klez RedCode Nimda Love Letter CIH
受害PC数目（万台） 损失金额 (美元)
3000 近2000 超过200 — — — 超过140 超过20 超过600 超过100 超过800 — 超过6 000 — — — — — — 9.5亿∽12亿 90亿 26亿 60亿 88亿 近100亿
恶意代码的命名包括5个部分：
1. 病毒家族名
2. 病毒组名
3. 大变种 4. 小变种
5. 修改者
恶意代码与计算机病毒 -原理、技术和实践
恶意代码的命名规则
CARO的一些附加规则包括：
− 不用地点命名 − 不用公司或商标命名 − 如果已经有了名字就不再另起别名 − 变种病毒是原病毒的子类
恶意代码与计算机病毒 -原理、技术和实践
− 编制或者在计算机程序中插入的破坏计算机功
能或者毁坏数据，影响计算机使用并且能够自 我复制的一组计算机指令或者程序代码。
计算机病毒 vs. 恶意代码
恶意代码与计算机病毒 -原理、技术和实践
恶意代码的概念
恶意代码（Malware）定义
− 运行在目标计算机上，使系统按照攻击者意愿
执行任务的一组指令 − 未被授权的情况下，以破坏软硬件设备、窃取 用户信息、扰乱用户心理、干扰用户正常使用 为目的而编制的软件或代码片段。
恶意代码与计算机病毒 -原理、技术和实践
恶意代码的概念
恶意代码的特征
− 目的性
恶意代码的基本特征。
− 传播性
恶意代码体现其生命力的重要手段。
− 破坏性
恶意代码的表现手段。
恶意代码与计算机病毒 -原理、技术和实践
恶意代码的发展历史
年份
2009 2008 2007 2006 2005 2004 2003 2003 2002 2001 2001 2000 1999
恶意代码与计算机病毒 -原理、技术和实践
恶意代码的传播途径
熟悉恶意代码的传播途径将有助于防范恶意代
码的传播 恶意代码的传播途径
− 软盘 − 光盘 − 硬盘，含移动硬盘、USB硬盘等 − Internet − 无线通信系统
恶意代码与计算机病毒 -原理、技术和实践
感染恶意代码的症状
可以从屏幕显示、系统声音、系统工作、键盘
第一章 恶意代码概述
清华大学出版社
恶意代码与计算机病毒 -原理、技术和实践
本章码的发展历史 熟悉恶意代码的分类 熟悉恶意代码的命名规则 了解恶意代码的未来发展趋势
恶意代码与计算机病毒 -原理、技术和实践
为什么提出恶意代码的概念
计算机病毒的定义：
恶意代码的最新趋势
恶意代码的发展趋势和信息技术的发展相关 当前的恶意代码发展趋势
− 网络化发展 − 专业化发展 − 简单化发展 − 多样化发展 − 自动化发展 − 犯罪化发展
恶意代码与计算机病毒 -原理、技术和实践
恶意代码的最新趋势
图1-1. 恶意代码的集团化发展（卡巴斯基实验室）
恶意代码与计算机病毒 -原理、技术和实践