信息安全技术 第11章 传统计算机病毒

18
11.4 文件感染病毒
文件感染或寄生病毒会感染可执行的程序，如带 有.COM、.EXE和.SYS后缀的文件。在宿主程序执行时，文 件感染病毒被激活。它们通过感染其他的可执行程序来传播。 文件感染病毒可以分为以下几类： DOS病毒：感染DOS中的可执行程序； Windows病毒：感染Windows中的可执行程序； 宏病毒：感染带有宏功能的应用文件中的宏； 脚本病毒：当它们进入一个存在着脚本宿主程序的系统时 会激活； Java病毒：嵌入在用Java编程语言编写的应用中； Shockwave病毒：感染.SWF文件。
一些引导扇区病毒在感染了计算机硬盘后不会被立刻激 活，也不一定会感染计算机中安装的所有磁盘。其他的某些 引导区病毒还可以被加密。具有这些特性的病毒很难被检测 和清除。如， 15_Year 便是一个引导扇区病毒，它可以感染 硬盘和软盘的引导扇区，改写硬盘上的部分数据。
12
引导扇区病毒具有以下的特征和特性： 引导扇区病毒通常会将原始的引导扇区以及部分病毒代 码复制到磁盘的另一个地方。对代码的重新部署通常是破坏 数据的原因。重新部署的扇区看起来像是一个坏扇区，操作 系统认为它们是不可用的。如果一个软盘在同一个位置有几 个坏扇区，就有可能是引导病毒造成的。 一些引导扇区病毒有设计缺陷，导致在读取软盘时会产
8
9
11.3 引导扇区病毒
引导扇区病毒感染硬盘的主引导记录 (MBR)。MBR在硬 盘的第一个扇区，是计算机开启后读取的第一个扇区。MBR 上的信息告诉计算机在哪里可以找到操作系统文件。通常， 当一个计算机被打开后，它会读取MBR，发现操作系统，然 后将该操作系统加载到存储器中。
提示：主引导记录(MBR)有时也被称为分区表。
它可以用无意义的代码改写硬盘上的数据扇区。 Tequila 是
另一种隐秘型引导扇区病毒， Bladerunner 是一系列可以感 染COM和EXE文件的加密病毒。
26
11.6 Windows病毒
Windows病毒与DOS病毒在攻击和传播方式上相似。不同 之处在于， Windows 病毒攻击的是 Windows 操作系统而不是 DOS。通过DOS病毒相比，他们攻击不同的可执行文件，同时 所附着的代码也略有不同。 Windows 病毒通常向宿主程序附 着一个以上的拷贝，将其代码隐藏在程序代码的开始、中间 或末尾。 下面以 Windows cavity 为例进行说明：该病毒具有很长
的代码，为避免被检测到，它在可执行的文件中寻找可用的
空间，并将病毒代码拷贝放入这些位置，见下图。
19

11.5 DOS病毒
第一代恶意代码病毒就是以 DOS 病毒的形式出现的。 DOS病毒通过将自己的复制文件附着在宿主程序的末尾来感 染程序，称为appending infection。这通常意味着，该病毒将
自己添加到了文件的末尾。然后，该病毒会将宿主程序的原
来的文件头进行复制，并将其转移到病毒体中。在复制和存 储了文件头后，病毒会将带有一个指向病毒体的错误文件头
c.复合性病毒能够感染硬盘的MBR，软盘的引导扇区，以 及DOS中的exe和com文件。
无论是哪种类型，病毒的基本机制都是相同的。跨平台 病毒可以感染属于不同平台的文件 (如，Windows和Linux)。 然而，这些病毒很少见，也很少能获得100％的功能性。
7
11.2一般病毒术语和概念
下表中的术语和概念将帮助用户了解病毒是如何影响系统的。
保存于绝对的扇区内。由于零道零面二扇区是保留扇区，因
而通常使用它来保存。
15
需要掌握的BIOS磁盘服务功能调用 INT 13H子功能02H读扇区 其调用方法为： 入口为：
AH＝02H
AL＝读入的扇区数 CH＝磁道号 CL＝扇区号(从1开始) DH＝头号
16
DL=物理驱动器号 ES：BX-->要填充的缓冲区 返回为：当CF置位时表示调用失败 AH＝状态
替换原来文件头。这保证了该病毒代码能够在执行该程序时
首先被运行。
20
通常，当一个程序被执行时，计算机会从程序头开始读 取代码。当一个程序被感染后，计算机会读取错误的文件头 而跳过真正的程序进入病毒代码。当计算机读取病毒代码时， 病毒会被加载到内存中。在病毒代码的末尾是程序的真正的 文件头，计算机会跳回到原来程序的开始并执行。在多数情 况下，该程序会正常运行，用户并不知道已经存在病毒。这 是最常见的感染形式，因为它只需要将病毒添加到一个文件
任何提供“ DOS 窗口”或“ DOS 模拟器”来运行 DOS 程序的操 作系统都有可能会感染上DOS病毒。
25
DOS病毒范例 同引导扇区病毒一样，DOS 病毒通常是通过计算机用户 之间共享软盘时进行传播的。今天 DOS 病毒几乎已经“灭 绝”。大多数病毒已经被防毒软件消灭，剩下的拷贝版本都 存在于防毒公司的病毒研究实验室中。 一 些 仍 存 在 的 DOS 病 毒 有 DarkAvenger 、 Tequila 和 Bladerunner 。 Dark Avenger 是一个隐秘型引导扇区病毒，
14
用什么来保存原始主引导记录 众所周知的，文件型病毒用以保存被感染修改的部分是 文件。引导型病毒是否也可以使用文件存储被覆盖的引导记 录呢？答案是否定的。 由于主引导记录病毒先于操作系统执行，因而不能使用 操作系统的功能调用，而只能使用BIOS的功能调用或者使用 直接的 IO 设计。通常，使用 BIOS 的磁盘服务将主引导记录
5
所有病毒都具有以下一般特征。它们能够： 感染有可执行代码的程序或文件；
通过网络传播； 消耗内存，减缓系统运行速度； 造成引导失败或破坏扇区； 引发硬盘被重新格式化；
影响程序的运行方式；
感染防毒程序。
6
影响程序的运行方式；
感染防毒程序。
病毒不能感染只含有数据的文件，但病毒仍可以破坏或 删除这些文件。病毒大致可以被归为以下三类： a.引导扇区病毒将自己附着在软盘和硬盘的引导扇区上。 b.文件感染病毒或寄生性病毒感染其他程序或文件。
DOS 病 毒 感 染 DOS 可 执 行 程 序 ( 一 般 来 说 ， 是 具 有 .COM 和.EXE扩展名的文件 )。大多数DOS病毒会试图通过感染其他 宿主程序来进行复制和传播。在多数情况下，可以将它们从 被感染的文件中成功地删除 ( 除非它们已经改写或破坏了原 来程序的部分代码 ) 。除了感染可执行程序 (.COM 和 .EXE) ， 一 些 DOS 病 毒 还 会 感 染 带 有 以 下 扩 展 名 的 文 件：.SYS，.BIN，.BAT，.0VL和.DRV。
的末尾，并对原来主文件的代码进行修改即可。
21
图11.1 病毒的文件头跳转示意图
22
虽然大多数DOS病毒将它们的代码附着在宿主程序的末尾， 但有些病毒会将它们的代码插入在程序的开头，称作 prependinginfection 。这样的病毒会对它们的宿主程序造 成严重的破坏，而且很难清除。 DOS病毒的特征和行为
24
通常，DOS病毒不会感染 Microsoft Windows的可执行程
序。如果Windows 或其他操作系统从一个 DOS磁盘中启动并加
载一个标准的 DOS可执行程序，则DOS病毒也可以感染运行该 Windows或其他操作系统的 PC。运行基于386(或更高)系统的
NetWare或自动装载的操作系统的 PC很容易受到MBR的感染。
引导扇区病毒会用自己的代码代替MBR中的信息，因此，当计 算机读取第一个扇区时，病毒会在操作系统之前被加载到内
存中。当病毒进入内存后，它会将自己复制到计算机的每个
磁盘上。除非被清除，否则该引导扇区病毒在每次计算机被
10
启动时都会加载到存储器中。 大多数软盘只携带数据文件，但如果将一个数据磁盘插 入到一个被感染的计算机中，该病毒会将自己复制在这个磁 盘中。当病毒改写了这个数据磁盘的第一个扇区中的信息使 其成为类似于启动盘的磁盘，于是这个软盘便成为了携带病 毒的载体。如果将这个被感染的数据盘插人到未被感染的计 算机中的软驱中时，该计算机会试图从软驱中引导，并将病
生偶尔的写保护错误。这些设计缺陷还可能会将病毒的部分
放置在磁盘很少被使用的区域。当这些区域被使用时或当该 引导病毒不能够正确安装自己时，就会出现引导错误。
13
虽然引导扇区病毒曾经是最常见的病毒类型，但它们已 不再像以前那样造成严重的威胁。软盘己不再是共享文件和 信息的主要方法，而更多的是通过网络、电子邮件和基于 Web的方法。病毒程序编写者现在利用这些较新的技术更快、 更有效地传播病毒。然而，还不能断言引导扇区病毒已经就 此灭绝。只要软盘还在使用，引导扇区病毒将仍构成威胁。 编写主引导记录病毒需要了解以下几个方面的内容。
第11章 传统计算机病毒
病毒有广义和狭义上的概念，广义上的病毒包含蠕虫、
木马、后门程序等恶意代码，而狭义上的病毒需要依附于宿
主程序，本章将就狭义的病毒进行讨论。
2
课程目标
通过本章的学习，读者应能够： 掌握病毒的定义； 描述计算机病毒的种类和特征；


了解系统可能被病毒感染所表现出的常见的症状或行为；
23
当一个DOS病毒感染了一台计算机后，它通常会造成一 些可以识别的变化。大多数被感染文件的大小会变大，因为 有附加的病毒代码的加入。如果病毒存在于内存，它会减慢 系统的运行速度。当计算机内存无故下降时，或系统开始运 行缓慢，便有可能是感染了病毒(这些症状也可能由于软件原 因引起的)。如果你不能肯定你的计算机为什么出现功能异常， 你应该用病毒扫描程序检测你的计算机。如果病毒改写了宿 主程序的代码，宿主程序不能运行，用户便可以立即知道出 了问题。
现以后，我们已经辨别出成千上万种病毒。大多数病毒不是 有意具有破坏性的，有些创建病毒的人只是出于证明自己的 能力，其他病毒创建者是为了引起人们对己知应用和系统的 安全性的关注。然而，一个编写不佳的“有害”病毒可能会 破坏系统，因为病毒编程中的错误。