【计算机系统安全】26恶意代码
网络安全中的恶意代码检测与防范方法
网络安全中的恶意代码检测与防范方法恶意代码（Malware）是指用于攻击计算机系统、窃取用户信息、传播病毒等恶意行为的计算机程序。
随着网络的普及和应用的广泛，恶意代码的威胁日益严重，对网络安全造成了巨大的风险。
为了保护用户信息和计算机系统的安全，网络安全专家们积极研发并应用恶意代码检测与防范方法。
恶意代码的检测方法主要包括特征检测、行为检测和机器学习检测。
特征检测是一种常见而有效的方法，它利用已知的恶意代码特征来识别和分类恶意代码。
这些特征可以是恶意代码的特定字符串、文件结构或者函数调用等。
特征检测不依赖于恶意代码的行为，而是依赖于恶意代码的特定特征。
然而，特征检测的局限在于对已知特征的依赖，新型的恶意代码可能会使用新的特征，从而逃避检测。
行为检测是通过观察恶意代码的行为来判断其是否为恶意代码。
这种方法不依赖于恶意代码的特定特征，而是关注其对计算机系统的影响和操作。
行为检测可以监控恶意代码执行的系统调用、网络通信等行为，从而及时发现和阻止恶意代码的活动。
然而，行为检测也有其局限性，因为某些新型的恶意代码可以通过伪装、加密等手段来隐藏其行为特征，使得其难以被检测。
机器学习是一种基于样本数据的自动学习方法，其在恶意代码检测中也得到了广泛应用。
机器学习方法通过分析已有的恶意代码数据和非恶意代码数据，学习生成一个分类模型。
这个模型可以对新的恶意代码进行预测和分类。
机器学习方法能够自动学习具有较强泛化能力的特征，对于新型的恶意代码也能较好地进行检测。
但是，机器学习方法也存在着过拟合、样本不平衡等问题，需要针对这些问题进行优化。
除了恶意代码的检测方法，防范恶意代码也是非常重要的。
下面我来介绍几种常用的防范恶意代码的方法。
首先是使用杀毒软件。
杀毒软件是一种能够检测和消除计算机病毒的软件。
它通过对病毒特征的识别和监听计算机的活动，及时发现和清除恶意代码。
用户可以定期更新杀毒软件的病毒库，确保其具备最新的恶意代码识别能力。
网络信息安全中的恶意代码检测与防御技术
网络信息安全中的恶意代码检测与防御技术在当今数字化时代，我们越来越依赖互联网来进行日常活动，这也使得网络安全成为一个焦点。
恶意代码是网络安全的一个主要威胁，它可能引起数据泄露、系统崩溃、身份盗窃等问题。
为了保护网络安全，恶意代码的检测与防御技术变得至关重要。
恶意代码是指具有恶意目的的计算机程序，它们可能被用于破坏、窃取或者干扰计算机系统的正常运行。
恶意代码分为多种类型，包括病毒、蠕虫、木马、间谍软件等等。
恶意代码检测是指通过不同的技术手段来发现计算机系统中存在的恶意代码。
常见的检测技术包括特征匹配、行为分析和启发式分析。
特征匹配是一种常用的恶意代码检测技术，它通过比对恶意代码样本与系统中的文件进行匹配来发现恶意代码。
这种技术依赖于已知的恶意代码样本库，它会将系统中的文件与已知的病毒特征进行比对，如果存在匹配，就表明系统中存在恶意代码。
行为分析是另一种常见的恶意代码检测技术。
它通过监视计算机系统的行为来发现潜在的恶意活动。
例如，行为分析可以检测到一个程序试图在后台下载其他可疑文件的行为，这可能是一个恶意代码的迹象。
启发式分析是一种相对复杂的恶意代码检测技术。
它通过建立一个恶意代码行为模型来识别潜在的恶意代码。
启发式分析不依赖于已知的恶意代码库，而是根据恶意代码的典型行为和特征来判断一个程序是否是恶意代码。
恶意代码防御技术则是指通过不同的方式来保护计算机系统免受恶意代码的攻击。
常见的恶意代码防御技术包括网络防火墙、入侵检测系统和反病毒软件等。
网络防火墙是一种用于保护计算机网络免受未经授权访问和恶意攻击的技术。
它通过监控网络传输数据来过滤恶意流量，并根据事先设定的规则来允许或拦截特定类型的数据包。
网络防火墙可以有效地防止网络中的恶意代码扩散。
入侵检测系统是一种用于监视计算机网络或系统的安全性的技术。
它可以检测到异常行为或者已知的攻击模式，并在发现异常时发出警报，以便及时采取措施。
入侵检测系统可以帮助防御恶意代码的攻击，提高系统的安全性。
信息安全中的恶意代码检测与防护方法
信息安全中的恶意代码检测与防护方法恶意代码是指那些有意引起计算机系统破坏、扩散、窃取信息以及干扰正常运行的程序或脚本。
随着技术的不断发展，恶意代码的种类和形式也在不断增多，因此对于恶意代码的检测与防护显得尤为重要。
本文将介绍信息安全中恶意代码检测与防护的方法和措施。
一、恶意代码的类型恶意代码包括病毒、蠕虫、木马、间谍软件、广告软件等。
病毒以复制自身的方式感染文件、系统和网络，对系统造成破坏；蠕虫则通过网络传播自己，对系统和网络安全构成威胁；木马躲藏在合法软件中，获取用户的敏感信息或者对系统进行控制；间谍软件则通过获取用户的信息，窃取敏感数据，广告软件则以广告为手段，通过弹窗或者插件形式对用户实施骚扰。
了解不同类型的恶意代码，对于选择适合的防护方法至关重要。
二、恶意代码检测方法1. 病毒库检测病毒库检测是目前最常用的恶意代码检测方法之一，它建立在静态分析的基础上。
病毒库中收录了已知病毒的特征码，当系统中的文件或者程序与病毒库中的特征码相匹配时，就会被判定为病毒。
这种方法检测速度快，准确率高，但无法应对未知病毒，因此需要不断更新病毒库以保持检测能力。
2. 行为检测行为检测是一种动态的恶意代码检测方法。
它通过监控程序的行为和活动，对异常行为进行判定。
例如，如果一个程序在无权限的情况下试图修改系统文件，那么就可以判定为恶意代码。
行为检测准确率高，可以应对未知病毒，但对计算机性能有一定的影响。
3. 壳层检测壳层是恶意代码为了对抗防火墙和病毒扫描器而使用的技术手段。
壳层检测通过识别恶意代码的壳层来判定其恶意性。
壳层的特点是对代码进行加密或混淆，使其难以被检测。
因此，壳层检测需要研究壳层技术，识别病毒的壳层并对其进行解析。
三、恶意代码防护方法1. 安全意识培养恶意代码的传播往往是通过用户的不慎点击或下载恶意软件而实现的。
因此，培养用户的安全意识至关重要。
用户应该了解常见的恶意代码形式和传播方式，并学习如何判断和避免恶意代码的攻击。
计算机安全中的恶意代码检测与防范
计算机安全中的恶意代码检测与防范随着计算机技术的不断发展，人们的生活也越来越依赖于计算机。
但是，随着计算机应用的广泛化，计算机安全问题也变得更加重要。
其中，恶意代码检测与防范是计算机安全领域的重要领域之一。
本文将从恶意代码检测与防范的基本概念、常见恶意代码及其工作原理等方面进行介绍和分析。
一、基本概念恶意代码（Malware）是指一类针对计算机系统的恶意软件，其目的是破坏计算机系统的正常工作、窃取用户敏感信息、利用计算机系统进行网络攻击以及其他非法行为。
恶意代码通常包括病毒、木马、蠕虫、间谍软件、广告软件等。
恶意代码检测与防范是指通过各种手段，来检测和防范计算机系统中的恶意代码，保护计算机系统的安全和稳定。
检测和防范恶意代码是计算机安全工作的重中之重，因为恶意代码往往会给用户的个人资料、财产和机密信息造成极大的损失，同时也会对社会带来一定的负面影响。
二、常见恶意代码及其工作原理1. 病毒病毒是一种常见的恶意代码，它以文件、程序为载体，通过感染其他文件或程序来进行传播和破坏。
病毒可以在目标计算机中逐渐破坏正常程序的功能，甚至可以完全控制用户的计算机系统。
病毒的工作原理是通过感染主机文件来实现自身的复制和传播。
一旦病毒感染了计算机系统，它会开始自我复制，不断地从宿主文件、程序等中复制自身，并利用各种方式来传播，最终破坏计算机系统。
为了防范病毒，用户应该及时安装杀毒软件并且开启实时监控模式，通过杀毒软件对计算机进行全面扫描和检查，及时查杀潜在的病毒威胁。
2. 木马木马是一种通过合法的程序或文件来隐藏恶意代码的恶意软件。
木马的本质是一种后门程序，它会在用户不知情的情况下在目标计算机上植入恶意代码，以实现对目标计算机的合法控制。
木马病毒在传播时，往往伪装成有吸引力的文件或者程序，使得用户在不知情的情况下进行下载和安装。
一旦木马病毒成功感染了目标计算机，它就会悄悄地进行各种远控操作，窃取用户的隐私信息，甚至进行远程控制等非法操作。
简述清除恶意代码的方法
清除恶意代码的方法恶意代码是一种有意设计用来攻击计算机系统、窃取信息或造成其他破坏的软件程序。
它通常通过计算机网络传播，并且会在受感染的系统上自动执行恶意行为。
为了保护计算机和网络安全，我们需要及时发现和清除恶意代码。
本文将介绍清除恶意代码的方法，包括防护、检测和清除过程。
1. 防护预防恶意代码是保护计算机安全的第一步。
以下是一些常见的防护措施：使用安全软件安装和更新安全软件是防护计算机的重要步骤。
安全软件可以提供实时保护，包括查杀病毒、监测恶意行为和防火墙等功能。
常见的安全软件包括杀毒软件、防火墙和恶意软件拦截工具等。
定期更新操作系统和应用程序及时更新操作系统和应用程序是防范恶意代码的关键措施。
发布更新补丁可以解决已知漏洞，阻止黑客利用这些漏洞入侵系统。
谨慎下载和访问网站避免从不可信的网站上下载软件或访问含有恶意代码的网站，尽量下载软件和应用程序来自正规的官方网站或安全可靠的第三方网站。
不随意插入未知设备和介质不随意插入未知设备和介质，如USB和CD-ROM等。
恶意代码可能伪装成可移动设备，一旦插入计算机，就可能感染系统。
建立强密码和定期更改密码使用复杂、不易破解的密码，并定期更改密码，可以提高账户的安全性，减少恶意代码的攻击。
2. 检测尽管采取了防护措施，恶意代码可能仍然会绕过防线。
因此，及时发现和检测恶意代码至关重要。
以下是一些常见的检测方法：杀毒软件扫描启用杀毒软件的实时保护并进行定期全盘扫描是及时发现恶意代码的有效方法。
杀毒软件可以识别和查杀病毒、蠕虫、木马和间谍软件等。
安全漏洞扫描使用安全漏洞扫描工具对系统和应用程序进行扫描，以发现已知的安全漏洞。
这可以帮助修补漏洞并防止黑客利用漏洞入侵。
行为监测通过监测系统的行为，比如检测异常网络流量、不寻常的系统资源使用和进程行为等，可以及时发现恶意代码的存在。
行为监测工具可以帮助识别和阻止未知的恶意行为。
文件完整性检查采用文件完整性检查工具可以帮助监测系统文件和重要文件的完整性。
【计算机系统安全】26恶意代码
使用工具可以很容易的发现在某一端口上侦听的进 程，以及进程对应的可执行文件。
如果服务端装有防火墙，那么客户端发起的连接就 会被防火墙拦截。
如果局域网内通过代理上网的电脑，因为本机没有 独立的IP地址(只有局域网的IP地址)，所以也不能 正常使用。
如RootKit、Hkdef、ByShell…
6. 拒绝服务程序，黑客工具，广告软件，间谍 软件，恶意网页……
6
病毒发展史（续1）
引导区病毒
基于文件的病毒
邮件群发病毒
台式电脑
第1代 网络病毒
台式电脑
LAN服务器
台式电脑 台式电脑 台式电脑
第2代
互联网 防毒墙
电子邮件 服务器墙
笔记本电脑
第3代
台式电脑
未修补漏洞的系统 已修补漏洞的系统
WORM_SASSER.A
染毒电脑
被感染
不被感染
随机攻击
不被感染
被感染 被感染
随机攻击
不被感染
Internet
随机攻击
不被感染
16
群发邮件型蠕虫
特点：种类、变种众多，是最常见的一类蠕虫病毒
求职信(I-Worm/Klez) 大无极(I-Worm/Sobig) 网络天空(I-Worm/Netsky) 雏鹰(I-Worm/BBEagle) 挪威客(I-Worm/MyDoom)
28
加载方式
开始菜单的启动项，基本上没有木马会用这种方式。 在Winstart.bat中启动。 在Autoexec.bat和Config.sys中加载运行。 win.ini/system.ini：有部分木马采用，不太隐蔽。 注册表：隐蔽性强，多数木马采用。 服务：隐蔽性强，多数木马采用。 修改文件关联。
网络安全中的恶意代码检测与防范
网络安全中的恶意代码检测与防范一、恶意代码的概念与特征恶意代码（Malware）是一种破坏性的软件，它会在用户不知情的情况下进入计算机系统，通过窃取信息、破坏文件、占用系统资源等方式对用户造成伤害。
目前常见的恶意代码包括病毒（Virus）、蠕虫（Worm）、木马（Trojan horse）、间谍软件（Spyware）等。
这些恶意软件会利用漏洞或者用户的不当行为来攻击用户的计算机系统。
例如，用户不小心点击了一个恶意链接或者下载了一个感染了病毒的程序，都有可能导致计算机系统遭到破坏。
恶意代码的特征包括潜在性、不可预测性、变异性和传染性。
其中，变异性是恶意代码最为致命的特征之一。
由于恶意代码的变异性比较强，导致传统的恶意代码检测技术失效。
因此，基于行为的恶意代码检测技术逐渐应用广泛。
二、恶意代码检测技术（一）基于签名的恶意代码检测基于签名的恶意代码检测是一种传统的检测技术，它通过比对已知的恶意代码的特征（即病毒特征库）和目标文件的特征来识别恶意代码。
如果目标文件的特征与病毒特征库中的恶意代码匹配，那么该目标文件就被认为是恶意的。
基于签名的恶意代码检测技术的优点是准确性高、误报率低，但其缺点是无法检测出新出现的恶意代码。
（二）基于行为的恶意代码检测随着恶意代码的变异性不断增强，基于签名的恶意代码检测技术的局限性日益显现。
与此同时，基于行为的恶意代码检测技术逐渐成为了主流。
基于行为的恶意代码检测技术直接针对恶意代码的行为特征进行监测，从而判断该程序是否为恶意代码。
例如，当一个程序在计算机上执行某些恶意行为，例如窃取用户的个人信息或占用计算机资源时，基于行为的恶意代码检测技术会自动识别出来。
基于行为的恶意代码检测技术的优点是可适应新兴的恶意代码，但其缺点是误报率较高。
三、恶意代码防范措施（一）注意网络安全意识有一个好的网络安全意识可以更好地保护自己的计算机系统。
用户应该牢记的是，不要轻易打开陌生邮件、不要随便点击任何链接，并且不要轻易下载未知来源的程序，以避免受到恶意代码的攻击。
网络安全中的恶意代码分析与防范手段
网络安全中的恶意代码分析与防范手段恶意代码是指通过计算机网络对用户或者系统造成危害的一种程序代码，常见的恶意代码包括病毒、蠕虫、木马、间谍软件等。
随着网络的普及和应用的广泛，网络安全问题变得愈发突出。
本文将对网络安全中的恶意代码进行分析，并提供相应的防范手段。
一、恶意代码的分析恶意代码的形式多种多样，具有隐蔽性和破坏性。
下面将介绍几种常见的恶意代码及其分析方法。
1. 病毒病毒是一种能够自我复制并传播的恶意代码。
它通常通过文件的共享或者下载、运行来感染目标计算机。
病毒可以对系统文件进行修改、删除或者破坏，导致计算机系统崩溃。
分析病毒需要使用杀毒软件，对潜在的病毒样本进行扫描和分析，从而识别病毒的特征。
2. 蠕虫蠕虫是一种能够自动复制并在网络中传播的恶意代码。
蠕虫可以通过漏洞来感染系统，并在系统中运行。
它们常常通过邮件、用户点击等方式传播。
分析蠕虫需要借助网络监控系统，对网络流量进行监测和分析，从而发现异常的数据包和行为。
3. 木马木马是一种通过伪装成合法程序隐藏在计算机系统中的恶意代码。
它可以远程控制受感染的计算机，进行非法操作，如窃取个人信息、植入其他恶意程序等。
分析木马需要使用流量分析工具，监控计算机与外部的网络连接，识别异常连接和传输的数据包。
4. 间谍软件间谍软件是一种潜伏在计算机中的恶意程序，用于收集用户的个人信息，并将其发送给第三方。
间谍软件通常通过下载和安装一些看似正常的软件而进入系统。
分析间谍软件可以使用反间谍软件进行扫描和识别，同时注意检查系统中的异常行为和网络连接。
二、恶意代码的防范手段针对恶意代码的分析结果，我们需要采取相应的防范措施，并提高网络安全的水平。
以下是几种常用的防范手段。
1. 使用杀毒软件和防火墙杀毒软件和防火墙是防范恶意代码的第一道防线。
及时更新病毒库和漏洞补丁，可以有效阻止恶意代码的感染。
同时，配置合适的防火墙策略，对网络连接和传输进行监控和过滤，保护系统安全。
恶意代码防范与排查
恶意代码防范与排查恶意代码是指具有破坏性或非法目的的计算机程序或脚本，它们可以对用户信息、系统安全和网络稳定造成严重威胁。
为了确保计算机和网络的安全，我们需要采取一系列的措施来防范和排查恶意代码。
本文将探讨恶意代码的种类、防范策略以及排查工具的使用。
一、恶意代码的种类恶意代码的种类多种多样，每种恶意代码都有其特定的功能和攻击手段。
以下是一些常见的恶意代码类型：1. 病毒：病毒是一种能够通过复制自身来感染其他文件或程序的恶意代码。
它可以破坏文件、系统、甚至整个网络。
2. 木马：木马是一种隐藏在正常程序中的恶意代码，它可以在用户不知情的情况下获取用户的敏感信息、控制用户的计算机或者安装其他恶意软件。
3. 蠕虫：蠕虫是一种能够自我复制并通过网络传播的恶意代码。
它可以快速传播，并根据自身的设计目标执行特定的攻击。
4. 特洛伊木马：特洛伊木马是一类具有隐藏功能的恶意代码，它通常包装成吸引人的程序或文件，但实际上会在用户不知情的情况下执行破坏性的操作。
二、恶意代码的防范策略为了防止恶意代码的感染和传播，我们可以采取以下防范策略：1. 安装防病毒软件：选择信誉良好的安全软件，并保持其及时更新。
这样可以及时发现并清除计算机中的病毒和恶意软件。
2. 慎重打开附件和链接：不要随意打开来自陌生人或者不可信来源的附件和链接，这很可能是恶意代码的传播途径之一。
3. 更新系统和软件：及时安装系统和软件的更新补丁，这些补丁通常会修复已知的漏洞，防止恶意代码利用这些漏洞进行攻击。
4. 配置防火墙和安全策略：通过配置防火墙和安全策略，可以限制程序和数据的访问权限，减少受到恶意代码攻击的风险。
5. 定期备份数据：定期进行数据备份，可以在恶意代码感染或系统崩溃时恢复数据，减少数据损失。
三、恶意代码的排查工具除了采取防范策略，我们还可以借助专业的恶意代码排查工具来检测和清除已感染的计算机。
1. 杀毒软件：杀毒软件是一种常用的恶意代码排查工具，它可以扫描计算机中的文件和系统，检测是否存在恶意代码，并提供清除和修复功能。
恶意代码的检测与防御
恶意代码的检测与防御随着互联网的飞速发展，网络安全问题愈加突出。
恶意代码攻击是其中之一，它可以造成极大的危害。
本文将从恶意代码的种类、检测方法和防御措施三个方面展开论述。
一、恶意代码的种类恶意代码是指那些具有恶意行为的计算机程序，包括病毒、蠕虫、木马、间谍软件、广告软件等。
其中，病毒是最常见的，它通过感染文件和程序，使其变成自身的复制品，通过传播让感染范围不断扩大。
蠕虫和病毒类似，也会感染文件和程序，但其传播方式只有网际网路，相对更为隐蔽。
木马是一种具有隐藏性的远程控制程序，可以在外界对计算机进行控制。
间谍软件具有隐匿性，会通过监视用户的操作、窃取个人信息等方式搜集数据并传输给攻击者。
广告软件则通过在用户的计算机屏幕上弹出广告、推广软件等方式来获取收益。
二、恶意代码的检测方法恶意代码的检测方式主要有特征检测、行为检测、深度包检测等方法。
1.特征检测特征检测是一种基于恶意代码特征匹配的检测方式，其基本原理是根据恶意代码的特征和规律，对可疑的文件进行扫描和分析。
该方法检测效果较好，但对于经过混淆的恶意代码或针对性攻击的新型恶意代码，检测效果不太理想。
2.行为检测行为检测是一种依据恶意程序的行为特征来检测的方式，它区别于传统的特征检测，通过对可疑文件在实际运行时的行为进行监视、记录与分析，从而检测是否存在恶意代码。
但该方法在恶意代码尚未发生作用时，难以对其进行判断和检测。
3.深度包检测深度包检测是利用数据流技术对网络流量进行递归分析的一种方法，可以检测出被加壳或加密的恶意代码和利用多个漏洞进行攻击的APT攻击。
但这种方法需要较高的计算能力来支持数据流分析，对系统的要求较高。
三、恶意代码的防御措施恶意代码攻击不可避免，但可以通过以下方法来降低其对计算机系统的影响和损害。
1. 操作系统和应用程序的更新由于恶意代码漏洞在不同的操作系统和应用程序中不同，因此及时更新操作系统和应用程序是防范恶意代码的重要手段。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
恶意代码的分类
1. 计算机病毒：一组能够进行自我传播、需要用户干预 来触发执行的破坏性程序或代码。
如CIH、爱虫、新欢乐时光、求职信、恶鹰、rose…
2. 网络蠕虫:一组能够进行自我传播、不需要用户干预即 可触发执行的破坏性程序或代码。
其通过不断搜索和侵入具有漏洞的主机来自动传播。 如红色代码、SQL蠕虫王、冲击波、震荡波、极速波…
自动启动：木马一般会存在三个地方:注册表、 win.ini、system.ini,因为电脑启动的时候,需要装载 这三个文件,大部分木马是使用这三种方式启动的。 捆绑方式启动：可以捆绑到一般的常用程序上。非 捆绑方式的木马因为会在注册表等位置留下痕迹,所 以,很容易被发现,而捆绑木马可以由黑客自己确定 捆绑方式、捆绑位置、捆绑程序等,位置的多变使木 马有很强的隐蔽性。
1
恶意代码危害的例子
• 用于DDoS攻击 • 破坏用户数据 • 泄漏用户秘密 • 更改手机设置 • 即时通信中插入恶意的图片和声音文件 • 弹出广告 • 更改IE设置 • ……
2
恶意代码的简单比较
传播速度
Internet 蠕虫
极快
病毒邮件 快
文件系统 病毒
一般
网页脚本 慢
木马 慢
传播方式 自动
半自动 半自动 人工
恶意代码
• 从广义上定义，恶意代码指具有在信息系统上 执行非授权进程能力的代码。 • 通常恶意代码具有各种各样的形态，能够引起 计算机不同程度的故障，破坏计算机正常运行。 早期的恶意代码主要是指计算机病毒（Virus）， 但目前，蠕虫(Worm)、恶意网页（malicious web page）、特洛伊木马（Trojan Horse）、逻 辑炸弹（Logic bombs）以及后门（backdoor） 等其他形式的恶意代码日益兴盛。
……
14
系统漏洞型病毒
• 特点：利用系统设计漏洞主动 感染传播
• 软件系统漏洞曝光数量逐年增 加，漏洞型病毒滋生环境越来 越好
5000
4129
4000
3000 2000 1000
0
262 1998
417 1999
1090 2000
2437 2001
2002
软件系统漏洞曝光表
3784
2003
15
攻击模式
虫、木马、黑客程序相互结合） • 对自身进行不断完善，形成家族 • 病毒依赖于系统，利用系统漏洞和内核 • 高级语言编写，更易于制造
26
特洛伊木马
一个特洛伊程序是：一种未经授权的程序，它包含 在一段正常的程序当中。这个未经授权的程序提供 了一些用户不知道的（也可能是不希望实现的）功 能。
27
特洛伊木马启动方式
19
混合型蠕虫
• 同时具有漏洞型、邮件型、共享型和寄生型的某 些或全部特征 • 传播能力和危害最大
求职信(I-Worm/Klez) 超级密码杀手(爱情后门，I-Worm/Supkp) 网络天空(I-Worm/Netsky) 雏鹰(I-Worm/BBEagle) ……
20
蠕虫的爆发周期越来越短…
• 漏洞公布和蠕虫爆发的间隔越来越短
未修补漏洞的系统 已修补漏洞的系统
WORM_SASSER.A
染毒电脑
被感染
不被感染
随机攻击
不被感染
被感染 被感染
随机攻击
不被感染
Internet
随机攻击
不被感染
16
群发邮件型蠕虫
特点：种类、变种众多，是最常见的一类蠕虫病毒
求职信(I-Worm/Klez) 大无极(I-Worm/Sobig) 网络天空(I-Worm/Netsky) 雏鹰(I-Worm/BBEagle) 挪威客(I-Worm/MyDoom)
如RootKit、Hkdef、ByShell…
6. 拒绝服务程序，黑客工具，广告软件，间谍 软件，恶意网页……
6
病毒发展史（续1）
引导区病毒
基于文件的病毒
邮件群发病毒
台式电脑
第1代 网络病毒
台式电脑
LAN服务器
台式电脑 台式电脑 台式电脑
第2代
互联网 防毒墙
电子邮件 服务器墙
笔记本电脑
第3代
台式电脑
• DoS（Denial of Service）攻击 I-Worm/MyDoom.a蠕虫定于爆发后1星期对发动 DoS攻击。sco网站虽积极备战，但由于感染点过多，在遭受攻击当 天即陷入瘫痪。
• 经济损失巨大 I-Worm/CodeRed: 20亿美元 I-Worm/Sobig: 26亿美元……
24
网页病毒
• 利用IE的ActiveX漏洞的病毒
• 修改用户的IE设置、注册表选项 • 下载木马、恶意程序或病毒 • 格式化用户硬盘或删除用户的文件 • 不具有传染性，更重主动攻击性 • 恶意网站（“爱情森林”）
25
特点和趋势
• 以网络环境传播为主，带有主动传播的特征 • 网络蠕虫将成为最主要和破坏性最大的病毒 • “网页病毒”将成为重要的破坏手段 • 技术上具有混合型特征（A、综合多种已有技术，B、蠕
人工
影响对象 网络
网络
主机
主机
主机
防治难度 难
难
易
易
一般
经济损失 严重
较大
较大
一般
一般
3
各种恶意代码的融合趋势
• 病毒、蠕虫、木马之间的界限已经不再明显； • 综合使用多种攻击手段：
• 传播：计算机系统的漏洞、电子邮件、文件共享、Web浏览、即时通 讯工具等
• 社会工程（social engineering )
12
计算机蠕虫的类型
• 系统漏洞型 • 群发邮件型 • 共享型 • 寄生型 • 混合型 …… ……
13
系统漏洞型病毒
红色代码(IIS-Worm/CodeRed) 尼姆达(I-Worm/Nimda) 求职信(I-Worm/Klez) 冲击波(I-Worm/Blaster) 震荡波(I-Worm/Sasser) 安哥(Backdoor/Agobot)
29
加载方式－启动文件
➢ Win.ini: [Windows] run=c:\windows\file.exe load=c:\windows\file.exe
➢ System.ini： [boot] shell=explorer.exe file.exe
30
加载方式－注册表
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
比 如 木 马 SubSeven 1.7 版 本 的 服 务 器 文 件 名 是
c:\windows\KERNEL16.DL,而windows由一个系统
文 件 是 c:\windows\KERNEL32.DLL, 删 除
KERNEL32.DLL 会 让 机 器 瘫 痪 。 木 马 SubSeven
1.5版本服务器文件名是c:\windows\window.exe, 少
2001年9月18日
时间间隔
18 天
26 天 185 天 336 天
22
蠕虫功能结构模型
蠕虫程序功能模型
基本功能模块
扩展功能模块
信
搜
攻 传息 繁
索
击 输搜 殖
模
模 模集 模
块
块 块模 块
块
通 隐 破控 信 藏 坏制 模 模 模模 块 块 块块
23
脚本病毒
• 更甚于宏病毒－脚本病毒
• 脚本语言的广泛应用 • “爱虫”（LoveLetter） • 新的“欢乐时光”（VBS.KJ） • “中文求职信”（donghe）
31
加载方式－服务
32
加载方式－修改文件关联
正常情况下TXT文件的打开方式是启动Notepad.EXE来 打开TXT文件。关联木马通过修改关联方式来加载木马 ，则TXT文件打开方式就会被修改为用木马程序打开：
HKEY_CLASSES_ROOT\txtfile\shell\open\command %SystemRoot%\system32\NOTEPAD.EXE %1 %path%
28
加载方式
开始菜单的启动项，基本上没有木马会用这种方式。 在Winstart.bat中启动。 在Autoexec.bat和Config.sys中加载运行。 win.ini/system.ini：有部分木马采用，不太隐蔽。 注册表：隐蔽性强，多数木马采用。 服务：隐蔽性强，多数木马采用。 修改文件关联。
3. 特洛伊木马：是指一类看起来具有正常功能，但实际 上隐藏着很多用户不希望功能的程序。通常由控制端 和被控制端两端组成。
如冰河、网络神偷、灰鸽子……
5
恶意代码的分类（续）
4. 后门：使得攻击者可以对系统进行非授权访 问的一类程序。
如Bits、WinEggDrop、Tini…
5. RootKit：通过修改现有的操作系统软件，使 攻击者获得访问权并隐藏在计算机中的程序。
最佳时机 及时
太晚了
漏洞发现
攻击代码
蠕虫爆发
控制
清除
越来越短
越来越长，越来越难
21
补丁：MS04-011 2004年4月13日
震荡波
补丁：MS03-026 2003年7月16日
冲击波
补丁： MS02-039 2002年7月24日
蠕虫王
补丁： MS00-078 2000年10月17日
尼姆达
2004年5月1日 2003年8月11日 2003年1月25日
17
共享型蠕虫
• 利用局域网共享或P2P共享软件传播的蠕虫 • 通常将自身复制到局域网共享文件夹或P2P软件的共享目录 • 复本文件名通常很有诱惑力，引诱其他用户下载执行