邮件型病毒实验

邮件型病毒实验

应用场景

计算机病毒是一个程序，一段可执行码,对计算机的正常使用进行破坏，使得电脑无法正常使用甚至整个操作系统或者电脑硬盘损坏。就像生物病毒一样，计算机病毒有独特的复制能力。计算机病毒可以很快地蔓延，又常常难以根除。它们能把自身附着在各种类型的文件上。当文件被复制或从一个用户传送到另一个用户时，它们就随同文件一起蔓延开来。这种程序不是独立存在的，它隐蔽在其他可执行的程序之中，既有破坏性，又有传染性和潜伏性。轻则影响机器运行速度，使机器不能正常运行；重则使机器处于瘫痪，会给用户带来不可估量的损失。通常就把这种具有破坏作用的程序称为计算机病毒。

除复制能力外，某些计算机病毒还有其它一些共同特性：一个被污染的程序能够传送病毒载体。当你看到病毒载体似乎仅仅表现在文字和图像上时，它们可能也已毁坏了文件、再格式化了你的硬盘驱动或引发了其它类型的灾害。若是病毒并不寄生于一个污染程序，它仍然能通过占据存贮空间给你带来麻烦，并降低你的计算机的全部性能。

病毒往往会利用计算机操作系统的弱点进行传播，提高系统的安全性是防病毒的一个重要方面，但完美的系统是不存在的，过于强调提高系统的安全性将使系统多数时间用于病毒检查，系统失去了可用性、实用性和易用性，另一方面，信息保密的要求让人们在泄密和抓住病毒之间无法选择。病毒与反病毒将作为一种技术对抗长期存在，两种技术都将随计算机技术的发展而得到长期的发展。

“邮件病毒”和普通的病毒在程序上是一样，只不过由于它们的传播途径主要是通过电子邮件，所以才被称为“邮件病毒”。这些邮件一般都会使用社会工程学，在计算机中，社会工程学就是一封信，发信人自称是某某公司、银行、证券、以及一些知名或不知名的服务商的管理员，说你在某某地方注册了什么帐户，现在需要安装一个插件，或者使用软件，或者一个什么软件的。或者直接告诉你安装过程请看附件。总之就是一种以高级用户的身份欺骗刚刚入行，或者刚刚注册过什么帐户的人。这就是社会工程学，与常见的钓鱼网站有异曲同工。这样，防范的措施有以下几条。

1. 选择一款可靠的防毒软件。要对付邮件病毒，在邮件接收过程中对其进行病毒扫描过滤有害病毒是非常有效的手段。用户可以借杀毒软件中的邮件监视功能来实现,设置了邮件监视功能，可以在接收邮件过程中对病毒进行处理，有效防止邮件病毒的侵入。

2. 定期升级病毒库。特别是防病毒软件厂商提供的升级服务是非常周到的，其软件病毒库都处在时时更新状态中，厂商会根据最近流行病毒的情况，随时更新病毒代码到病毒库中，如果用户不及时升级，就很难对新病毒进行查杀，这时就不能怪杀毒软件找不到病毒了。

3. 识别邮件病毒。一些邮件病毒具有广泛的共同特征，找出它们的共同点可以防止一部份病毒的破坏。当收到邮件时，先看邮件大小，如果发现邮件中无内容，无附件，邮件自身的大小又有几十K 或者更大，那么此邮件中极有可能包含有病毒，可直接从电脑中册除，然后再清空回收站；记住，下一步的操作非常重要，在清空回收站后，一定要压缩一遍邮箱，不然杀毒软件在下次查毒时还会报有病毒；如果发现收到的邮件对方地址非常陌生，域名对

极不像正常的国内邮箱，那就很有可能是收到病毒了，这个时候，也可以选择直接删除。看附件的后缀名，如果是双后缀那么极有可能是病毒，因为邮件病毒会选择隐藏在附件中，直接删除即可。

4. 让邮件监视功能起作用。很多用户在购买了杀毒软件后，会因为一些原因而不打开实时监控防火墙，因为杀毒软件在运行中会占用一些系统资源，不过这是不可避免的，就看用户怎么调节使用了。如果不打开实时监视功能，会让邮件病毒和其他病毒趁机钻电脑的空子，没有保护措施的电脑在病毒面前几乎没有抵挡能力。因此，要安全保护电脑，病毒监视功能就一定要运行。

实验目标：

● 了解邮件型病毒的基本特征和传播途径；

● 掌握邮件型病毒的基本防范方法；

● 通过实验，对一些基本攻击方法有所了解；

实验环境：

虚拟机： windows xp/2003,OUTLOOK

实验过程指导：

启动虚拟机，并设置虚拟机的IP 地址，以虚拟机为目标主机进行攻防试验。

1. 巧装执行后缀名

（1） 收到邮件后，下载附件，得到文件。如下图

貌似为txt 文件，其实为可执行文件，仔细看收到邮件的附件,真实后缀为exe ，如下图：

主要是windows 系统默认将“隐藏已知文件类型的扩展名”选中所置。 VM Client

VM Server

（2）去掉该选项，便可，运行如下图

2. 收到可执行的vbs 脚本文件病毒

首先搭建邮件环境。保证客户端能够正常收发邮件。在服务端配置如下内容：

（1）创建DNS域名

因为使用的都是xp系统。所以我们需要使用host文件来代替dns服务。在客户端和服务端上如下修改host文件内容（host文件在windows->system32->driver-etc目录下）

设置客户端和服务端“本地连接”的DNS解析地址都为自己。

（2）配置IP地址。下图为客户端的ip设置。注意客户端地址是172.16.15.100。上面的host文件里面的解析地址是101，是服务端的地址。

（3）设置邮件服务器

在服务端，点击运行服务器

任务栏里出现一个图标，点击SHOW显示。

（2）开启SMTP服务

（3）建立帐号

点击添加用户aaa，密码为aaa。用户bbb，密码bbb。用户ccc，密码ccc。如下图所示：

（4）在客户端设置outlook账号，如下图所示。分别设置着三个用户的账号。

并互相发送邮件，保证邮件能够正常收发。如下图所示。

（5）创建VBS脚本。来使outlook自动发信。当然还有一个前提就是还要在outlook客户端配置aaa、bbb、ccc三个账户的通讯录。因为下面的VBS程序是根据outlook通讯录里面的内容进行自动发送的。

可以在桌面上新建一个文本文件。向下列代码敲入。然后保存关闭。再将扩展名改为.vbs。

这样就可以双击执行了。

如果双击执行了上述代码，会出现如下效果，如下图：

点击“是”的话，系统会自动使用outlook中通讯录的地址进行发送邮件。同时邮件中还会附带mail.vbs这个病毒本身。这里还有一个前提是你的VBS脚本要在“C:\”下。因为此VBS脚本中倒数第11行写到要附加c:\mail.vbs文件作为附件。

【实验思考】

邮件病毒一般为附着型病毒，也就是通过邮件的形式来传播，病毒内部机制还是信赖其它文件型、木马、蠕虫等病毒体来发挥作用。通常不轻易打开不明附件，便无此类事件发

生。