计算机病毒与防御技术课后习题

第一章计算机病毒概述

1、什么是计算机病毒？计算机病毒包括哪几类程序？

答编制者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码被称为计算机病毒（Computer Virus）。具有破坏性，复制性和传染性。

(一)文件类病毒。该病毒在操作系统执行文件时取得控制权并把自己依附在可执行文件上，然后利用这些指令来调用附在文件中某处的病毒代码。当文件执行时，病毒会调出自己的代码来执行，接着又返回到正常的执行序列。通常，这些病毒发作迅速且隐蔽性强，以至于用户并不知道病毒代码已被执行。

(二)引导扇区病毒。它会潜伏在硬盘的引导扇区或主引导记录中。触发引导区病毒的典型事件是系统日期和时间被篡改。

(三)多裂变病毒。多裂变病毒是文件和引导扇区病毒的混合，它能感染可执行文件，从而能在网上迅速传播蔓延。

(四)隐蔽病毒。这种病毒通过挂接中断修改和隐藏真面目，具有很大的欺骗性。因此，当某系统函数被调用时，这些病毒便“伪造”结果，使一切看起来正常。秘密病毒摧毁文件的方式是伪造文件大小和日期，隐藏对引导区的修改，而且使大多数操作重定向。

(五)异形病毒。这是一种能变异的病毒，随着感染时间的不同，改变其不同的形式。不同的感染操作会使病毒在文件中以不同的方式出现，使传统的模式匹配法失效。

(六)宏病毒。宏病毒不只是感染可执行文件，还可感染一般应用软件程序。它会影响系统的性能以及用户的工作效率。宏病毒是利用宏语言编写的，不面向操作系统，所以它不受操作平台的约束，可以在DOS、Win-dows,Unix、Mac甚至在0S／2系统中传播。宏病毒能被传到任何可运行编写宏病毒应用程序的机器中。现在随着E-mail、WWW等强大的互联能力及宏语言的进一步强化，极大地增强了它的传播力。

2 、计算机病毒的发展可以大致划分为几个过程？每个过程的特点？

答在病毒的发展史上，病毒的出现是有规律的，一般情况下一种新的病毒技术出现后，病毒迅速发展，接着反病毒技术的发展会抑制其流传。操作系统升级后，病毒也会调整为新的方式，产生新的病毒技术。它可划分为：

DOS引导阶段

1987年，计算机病毒主要是引导型病毒，具有代表性的是“小球”和“石头”病毒。当时的计算机硬件较少，功能简单，一般需要通过软盘启动后使用.引导型病毒利用软盘的启动原理工作，它们修改系统启动扇区，在计算机启动时首先取得控制权，减少系统内存，修改磁盘读写中断，影响系统工作效率，在系统存取磁盘时进行传播。

1989年，引导型病毒发展为可以感染硬盘，典型的代表有“石头2”。

我国最早出现的计算机病毒是1988年在财政部的计算机上发现的。

DOS可执行阶段

1989年，可执行文件型病毒出现，它们利用DOS系统加载执行文件的机制工作，代表为“耶路撒冷”、“星期天”病毒。病毒代码在系统执行文件时取得控制权，修改DOS中断，在系统调用时进行传染，并将自己附加在可执行文件中，使文件长度增加。

1990年，发展为复合型病毒，可感染COM和EXE文件。

伴随批次阶段

1992年，伴随型病毒出现，它们利用DOS加载文件的优先顺序进行工作，具有代表性的是“金蝉”病毒，它感染EXE文件时生成一个和EXE同名但扩展名为COM的伴随体；它感染文件时,改原来的COM文件为同名的EXE文件，再产生一个原名的伴随体，文件扩展名为COM，这样，在DOS加载文件时，病毒就取得控制权.这类病毒的特点是不改变原来的

文件内容，日期及属性，解除病毒时只要将其伴随体删除即可。在非DOS操作系统中，一些伴随型病毒利用操作系统的描述语言进行工作，具有典型代表的是“海盗旗”病毒，它在得到执行时，询问用户名称和口令，然后返回一个出错信息，将自身删除。批次型病毒是工作在DOS下的和“海盗旗”病毒类似的一类病毒。

3、计算机病毒特征

答1）寄生性：计算机病毒寄生在其他程序之中，当执行这个程序时，病毒就起破坏作用，而在未启动这个程序之前，它是不易被人发觉的。

（2）传染性：计算机病毒不但本身具有破坏性，更有害的是具有传染性，一旦病毒被复制或产生变种，其速度之快令人难以预防。

（3）潜伏性

有些病毒像定时炸弹一样，让它什么时间发作是预先设计好的。比如黑色星期五病毒，不到预定时间一点都觉察不出来，等到条件具备的时候一下子就爆炸开来，对系统进行破坏。（4）隐蔽性

计算机病毒具有很强的隐蔽性，有的可以通过病毒软件检查出来，有的根本就查不出来，有的时隐时现、变化无常，这类病毒处理起来通常很困难。

（5）破坏性

计算机中毒后，可能会导致正常的程序无法运行，把计算机内的文件删除或受到不同程度的损坏

4、根据寄生的数据存储方式，计算机病毒可以划分为哪三个类型

按寄生方式分为引导型、文件型和复合型病毒

<1>引导型病毒又称操作系统型病毒，其病毒隐藏在操作系统的引导区，在系统启动时进入内存，监视系统运行，待机传染和破坏。常见的有“大麻”，“小球”和“火炬”病毒等。

<2>文件型病毒是寄生在文件中的计算机病毒，这种病毒感染可执行文件或数据文件。常见的有“CIH”，“DIR-2”等。影响Word文档(.doc）和Excle工作簿（.xls）进行打开、存储、关闭和清除等操作的宏病毒也是一种文件型病毒，它目前占全部病毒的80%,是病毒历史上发展最快的病毒。

<3>复合型病毒同时具有引导型和文件型病毒寄生方式的计算机病毒。它既感染磁盘的引导区又感染可执行文件。常见的有“Filp”，“One-half”等病毒.

第二章Windows文件型病毒

1、简述文件型病毒的特点

文件型病毒是主要感染可执行文件的病毒，它通常隐藏在宿主程序中，执行宿主程序时，将会先执行病毒程序再执行宿主程序。

传播方式

当宿主程序运行时，病毒程序首先运行，然后驻留在内存中，再伺机感染其它的可执行程序，达到传播的目的。

感染对象

扩展名是COM或者EXE的文件是文件型病毒感染的主要对象。

2、PE文件中的引入表和引出表的作用有哪些？

加载器首先要知道所加载的程序调用了哪些DLL的哪些函数，然后找出这些函数的地址，把他们添入到.idata 的那些DWORD 之中。那么加载器如何知道所加载的程序调用了哪些DLL的哪些函数，这就是Import Table的作用；加载器又是如何找出这些函数的地址呢，这又是Export Table的作用。

寻找引入函数的真实地址，那么去哪里找呢？当PE装载器执行一个程序，它将相关DLL

都装入该进程的地址空间。然后根据主程序的引入函数信息，查找相关DLL中的真实函数地址来修正主程序。PE装载器搜寻的是DLL中的引出函数，这些引出函数的信息正是放在Exprot Table(引出表)中。

3、如何校验指定文件是否为一个有效的PE文件/？

1. 首先检验文件头部第一个字的值是否等于 IMAGE_DOS_SIGNATURE，是则 DOS MZ header 有效。

2. 一旦证明文件的 DOS header 有效后，就可用e_lfanew来定位 PE header 了。

3. 比较 PE header 的第一个字的值是否等于 IMAGE_NT_HEADER。如果前后两个值都

匹配，那我们就认为该文件是一个有效的PE文件。

4、Windows系统使用了几级代码保护？操作系统代码和驱动程序代码运行在那个级别？

两级、Ring 0级

第三章木马病毒分析

略

第四章蠕虫病毒分析

略

第五章其他恶意代码分析

1、脚本病毒的传播方式有哪几种

通过E-mail附件、通过局域网共享、通过感染.htm、。Asp、。Jsp、.php等网页文件传播、通过IRC聊天通道传播。

2、注册表中的5个主要键项是什么

HKEY-CLASSES-ROOT

HKEY-CURRENT-USER

HKEY-LOCAL-MACHINE

HKEY-USERS

HKEY-CURRENT-CONFIG

3、简述脚本病毒的特点

编写简单：

一个以前对病毒一无所知的病毒爱好者可以在很短的时间里编出一个新型病毒来。

破坏力大：

其破坏力不仅表现在对用户系统文件及性能的破坏。他还可以使邮件服务器崩溃，网络发生严重阻塞。

感染力强：

由于脚本是直接解释执行，并且它不需要像PE病毒那样，需要做复杂的PE文件格式处理，因此这类病毒可以直接通过自我复制的方式感染其他同类文件，并且自我的异常处理变得非常容易。

传播范围大：

这类病毒通过htm文档，Email附件或其它方式，可以在很短时间内传遍世界各地。

病毒源码容易被获取变种多

由于VBS病毒解释执行，其源代码可读性非常强，即使病毒源码经过加密处理后，其源代码的获取还是比较简单。因此，这类病毒变种比较多，稍微改变一下病毒的结构，或者修改一下特征值，很多杀毒软件可能就无能为力。

欺骗性强：

脚本病毒为了得到运行机会，往往会采用各种让用户不大注意的手段，譬如，邮件的附件名采用双后缀，如.jpg.vbs，由于系统默认不显示后缀，这样，用户看到这个文件的时候，就会认为它是一个jpg图片文件。

病毒生产机实现起来非常容易：

所谓病毒生产机，就是可以按照用户的意愿，生产病毒的机器（当然，这里指的是程序），目前的病毒生产机，之所以大多数都为脚本病毒生产机，其中最重要的一点还是因为脚本是解释执行的，实现起来非常容易，具体将在我们后面谈及。

正因为以上几个特点，脚本病毒发展异常迅猛，特别是病毒生产机的出现，使得生成新型脚本病毒变得非常容易。

4、什么是网页挂马？网页挂马有哪几种方式？

网页挂马指的是把一个木马程序上传到一个网站里面然后用木马生成器生一个网马，再上到空间里面！再加代码使得木马在打开网页时运行！

1.将木马伪装为页面元素。木马则会被浏览器自动下载到本地。

2.利用脚本运行的漏洞下载木马

3.利用脚本运行的漏洞释放隐含在网页脚本中的木马

4.将木马伪装为缺失的组件，或和缺失的组件捆绑在一起（例如：flash播放插件）。这样既达到了下载的目的，下载的组件又会被浏览器自动执行。

5.通过脚本运行调用某些com组件，利用其漏洞下载木马。

6.在渲染页面内容的过程中利用格式溢出释放木马（例如：ani格式溢出漏洞）

7.在渲染页面内容的过程中利用格式溢出下载木马（例如：flash9.0.115的播放漏洞）

5、即时通信病毒的传播方式有哪几种

利用MSN附件进行传播、通过伪装方式进行传播、利用远程控制方式传播、伪装MSN登陆框窃取密码。

6、什么是网络钓鱼？网络钓鱼采用的主要手段有哪些？

网络钓鱼（Phishing）攻击者利用欺骗性的电子邮件和伪造的Web 站点来进行网络诈骗活动，受骗者往往会泄露自己的私人资料，如信用卡号、银行卡账户、身份证号等内容。诈骗者通常会将自己伪装成网络银行、在线零售商和信用卡公司等可信的品牌，骗取用户的私人信息

利用电子邮件钓鱼、利用木马程序钓鱼、利用虚假网址钓鱼、假冒知名网站钓鱼、其他钓鱼方式（利用即时通信消息攻击、综合钓鱼法）

7、什么是流氓软件？流氓软件行径主要有哪几种？

“流氓软件”是介于病毒和正规软件之间的软件，通俗地讲是指在使用电脑上网时，不断跳出的窗口让自己的鼠标无所适从；有时电脑浏览器被莫名修改增加了许多工作条，当用户打开网页却变成不相干的奇怪画面，甚至是黄色广告。有些流氓软件只是为了达到某种目的，比如广告宣传，这些流氓软件不会影响用户计算机的正常使用，只不过在启动浏览器的时候会多弹出来一个网页，从而达到宣传的目的。

．广告软件（Adware）2．间谍软件(Spyware) 3．浏览器劫持4．行为记录软件5．恶意共享软件6．其它

第六章计算机病毒常用技术

1、什么是花指令？花指令有什么作用？

花指令是程序中有一些指令，由设计者特别构思，希望使反汇编的时候出错，让破解者无法清楚正确地反汇编程序的内容，迷失方向。经典的是一些跳转指令，目标位置是另一条指令

的中间，这样在反汇编的时候便会出现混乱。花指令有可能利用各种指令：jmp, call, ret的一些堆栈技巧，位置运算，等等。

欺骗反汇编软件，让其显示不正确的反汇编结果、干扰病毒分析人员，给分析人员增添障碍、改变程序代码特征。

2、计算机病毒常用的隐藏技术有哪些

文件隐藏、进程隐藏、文件保护、进程保护、注册表保护。

3、计算机病毒通常采用哪种技术以避免静态分析

花指令、动态改变指令、代码隐藏技术、入口点隐藏、

4、计算机病毒如何抵制反病毒中的仿真技术

使用未公开的CPU指令、使用不被仿真器支持的系统原生API、使用多线程、多进程、使用超大的循环、检测指令运行间隔时间。

第七章计算机病毒对抗技术

1、阐述计算机病毒的检测方法？并分析哪种检测方法是最有效的？

特征码检测法、校验和检测法、感染实验法。感染实验法是一种简单实用的检测病毒方法，这种方式的原理是利用病毒的最重要的基本特征感染性，所有的病毒都会感染，如果不会感染就不成其为病毒，如果系统中有异常行为，最新版本的检测工具也是检测不出来的，就可以做感染实验。

2比较行为检测技术与启发式扫描法的异同。

启发式扫描技术，实际上就是把这种经验和知识移植到一个查病毒软件中的具体程序体现。因此，在这里，启发式指的“自我发现的能力”或“运用某种方式或方法去判定事物的知识和技能。”启发式扫描技术实际上就是把这种经验和知识移植到一个查病毒软件中的具体程序体现。

因此，在这里，启发式指的“自我发现的能力”或“运用某种方式或方法去判定事物的知识和技能。”

一个运用启发式扫描技术的病毒检测软件，实际上就是以特定方式实现的动态高度器或反编译器，通过对有关指令序列的反编译逐步理解和确定其蕴藏的真正动机。例如，如果一段程序以如下序列开始：MOV AH ,5/INT,13h，即调用格式化盘操作的BIOS指令功能，那么这段程序就高度可疑值得引起警觉，尤其是假如这段指令之前不存在取得命令行关于执行的参数选项，又没有要求用户交互性输入继续进行的操作指令时，可以有把握地认为这是一个病毒或恶意破坏的程序。在具体实现上，启发式扫描技术是相当复杂的。通常这类病毒检测软件要能够识别并探测许多可疑的程序代码指令序列，如格式化磁盘类操作，搜索和定位各种可执行程序的操作，实现驻留内存的操作，发现非常的或未公开的系统功能调用的操作，等等，所有上述功能操作将被按照安全和可疑的等级可以排序，根据病毒可能使用和具备的特点而授以不同的加权值。随便举个例子，格式化磁盘的功能操作几乎从不出现在正常的应用程序中，而病毒程序中则出现的几率极高，于是这类操作指令序列可获得较高的加权值，而驻留内存的功能不仅病毒要使用，很多应用程序也要使用，于是应当给予较低的加权值。如果对于一个程序的加权值的总和超过一个事先定义的阈值，那么，病毒检测程序就可以声称“发现病毒！”仅仅一项可疑的功能操作远不足以触发“病毒报警”的装置，如果不打算上演“狼来了”的谎报和虚报来故意吓人，最好把多种可疑功能操作同时并发的情况定为发现病毒的报警标准。

启发式扫描通常应设立的标志，为了方便用户或研究人员直观地检测被测试程序中可疑功能调用的存在情况，病毒检测程序可以显示为不同的可疑功能调用设置标志。例如，TbScan （参见注释）这一病毒检测软件就为每一项它定义的可疑病毒功能调用赋予一个旗标，如

F,R,A……，这样以来可以直观地帮助我们对被检测程序进行是否染毒的主观判断。

实时监控技术也成行为检测法英文缩写：RTA，一般是指利用软件对系统运行的过程进行同步的监控，比如：杀毒软件对计算机内存监控并调用系统文件的一种操作模式。由于病毒的存在，程序将在对象访问之前对它进行扫描，如果发现病毒，应用程序会将染毒对象移除或阻止访问。（依靠用户定义设置来确定）在gis领域也有一种实时监控，它是指定时从业务系统或者gis系统中获取移动监控目标的坐标，然后展示在地图上。

3、简述计算机病毒免疫机制的工作原理

对于已知的病毒是通过检测其代码序列特征来发现的，而对于未知的病毒则是通过识别其不同寻常的行为来发现的。为了提取病毒的代码序列特征，许多诱骗程序被放置在存储器中不同的关键位置，他们负责捕获病毒样本，这些诱骗程序都被设计的足以“吸引”那些迅速蔓延的病毒，并且不断地被检查是否发生变化，一旦某个或者某些诱骗程序被修改，就表明有未知的病毒入侵。由于每一个被修改的诱骗程序中都包含一个病毒样品，所以他们都会被送到特征提取器处理。特征提取器不但负责提取病毒样本中的病毒代码特征，而且提取有关该病毒如何附着到主机程序的信息，以便为后续的修复被感染的主机工作提供参考。

4、采用一种计算机病毒检测方法，设计一个反病毒引擎的体系架构

查杀毒引擎模块

参数引擎主流控制

创建调用

文件对象压缩文件拆分模块电子邮件、待腻子邮箱拆分模块识别创建创建

参数

文件格式分析模块识别文件对象

第八章反病毒产品及解决方案

1、市场流行的5款杀毒软件

瑞星、金山、诺顿、趋势杀毒软件PC-cillin、熊猫卫士、卡巴斯基、安博士、360.

2、那款杀毒软件是最好的。

略