第7章 計(jì)算機(jī)病毒防治

第7章計(jì)算機(jī)病毒防治信息安全技術(shù)與應(yīng)用第七章計(jì)算機(jī)病毒防治

計(jì)算機(jī)病毒的出現(xiàn)成為信息化社會的公害，是一種特殊的犯罪形式防治計(jì)算機(jī)病毒是一個系統(tǒng)工程，不僅要有強(qiáng)大的技術(shù)支持，而且要有完善的法律法規(guī)、嚴(yán)謹(jǐn)?shù)墓芾眢w系、科學(xué)的規(guī)章制度以及系統(tǒng)的防范措施本章介紹了計(jì)算機(jī)病毒的發(fā)展歷史、病毒特性、分類方法、傳播途徑和工作機(jī)理，列舉了典型病毒的檢查和清除方法，討論了關(guān)于防治計(jì)算機(jī)病毒的管理和技術(shù)措施。信息安全技術(shù)與應(yīng)用7.1

計(jì)算機(jī)病毒的特點(diǎn)與分類計(jì)算機(jī)病毒也是計(jì)算機(jī)程序，有著生物病毒相似的特性病毒駐留在受感染的計(jì)算機(jī)內(nèi)，并不斷傳播和感染可連接的系統(tǒng)，在滿足觸發(fā)條件時(shí)，病毒發(fā)作，破壞正常的系統(tǒng)工作，強(qiáng)占系統(tǒng)資源，甚至損壞系統(tǒng)數(shù)據(jù)。病毒不但具有普通程序存儲和運(yùn)行的特點(diǎn)，還具有傳染性、潛伏性、可觸發(fā)性、破壞性、針對性、隱蔽性和衍生性等特征。信息安全技術(shù)與應(yīng)用7.1.1

計(jì)算機(jī)病毒的發(fā)展計(jì)算機(jī)病毒是伴隨計(jì)算機(jī)的發(fā)展而不斷發(fā)展變化的。早在1949年計(jì)算機(jī)剛剛誕生時(shí)，計(jì)算機(jī)之父馮·諾依曼在《復(fù)雜自動機(jī)組織論》中便定義了病毒的基本概念“一部事實(shí)上足夠復(fù)雜的機(jī)器能夠復(fù)制自身”信息安全技術(shù)與應(yīng)用7.1.1

計(jì)算機(jī)病毒的發(fā)展（續(xù)）

時(shí)間

名稱

特點(diǎn)20世紀(jì)60年代初CoreWar通過復(fù)制自身來擺脫對方控制1981年ElkCloner通過磁盤進(jìn)行感染1986年底Brain首次使用了偽裝手段1987年Casade自我加解密1987年12月ChristmasTree第一個網(wǎng)絡(luò)病毒，在VM/CMS操作系統(tǒng)下傳播1988年“耶路撒冷”病毒文件型病毒1988年11月2日蠕蟲程序造成Internet的堵塞信息安全技術(shù)與應(yīng)用7.1.1

計(jì)算機(jī)病毒的發(fā)展（續(xù)）首例能夠破壞硬件的病毒CHI1998年6月第一個使用FTP進(jìn)行傳播Homer1997年4月第一個Linux環(huán)境下的病毒Bliss1997年2月攻擊Windows操作系統(tǒng)病毒大規(guī)模出現(xiàn)宏病毒Concept1995年8月9日感染C語言和Pascal語言感染OBJ文件SrcVirShifter1993、1994年第一個多態(tài)病毒Chameleon1990年標(biāo)志著計(jì)算機(jī)病毒開始入侵我國“小球”1989年4月格式化硬盤Yankee1989年特點(diǎn)名稱時(shí)間信息安全技術(shù)與應(yīng)用7.1.1

計(jì)算機(jī)病毒的發(fā)展（續(xù)）

時(shí)間

名稱

特點(diǎn)1999年美麗殺宏病毒和蠕蟲的混合物，通過電子郵件傳播2000年VBS/KAK使用腳本技術(shù)2001年紅色代碼利用微軟操作系統(tǒng)的緩沖區(qū)溢出的漏洞傳播2001年Nimda利用電子郵件傳播2001年網(wǎng)絡(luò)神偷木馬/黑客病毒，對本地及遠(yuǎn)程驅(qū)動器的文件進(jìn)行任何操作2002年6月Perrum第一個從程序感染轉(zhuǎn)變?yōu)閿?shù)據(jù)文件感染的病毒2003年“2003蠕蟲王”多元混合化，數(shù)小時(shí)內(nèi)使全球主干網(wǎng)陷入癱瘓2004年頻繁的變種病毒大量出現(xiàn)信息安全技術(shù)與應(yīng)用7.1.1

計(jì)算機(jī)病毒的發(fā)展（續(xù)）

時(shí)間

名稱

特點(diǎn)2005年我的照片特洛伊木馬，竊取銀行的賬號和密碼2006年“威金”病毒具備了木馬和蠕蟲的雙重特征2007年“熊貓燒香”藍(lán)屏、頻繁重啟以及系統(tǒng)硬盤中數(shù)據(jù)文件被破壞,最終導(dǎo)致企業(yè)局域網(wǎng)癱瘓2008年獲利已經(jīng)成為黑客傳播病毒的唯一目標(biāo)2009年U盤等移動存儲介質(zhì)成為病毒傳播的主要途徑之一2010年為了對抗“云安全”反病毒技術(shù)，許多病毒開始紛紛給自身“增肥”；網(wǎng)購木馬初露端倪2011年“變形金剛”網(wǎng)購木馬更加活躍、變種繁多，多個網(wǎng)購木馬成功突破安全軟件的防御，盜竊用戶信息財(cái)產(chǎn)。2012年彩票類釣魚網(wǎng)站成為黑客新寵，同時(shí)節(jié)假日及熱點(diǎn)事件成為黑客們關(guān)注的焦點(diǎn)。信息安全技術(shù)與應(yīng)用7.1.2

計(jì)算機(jī)病毒的特性

1.

傳染性

2.

潛伏性

3.

可觸發(fā)性

4.

破壞性

5.

針對性

6.

隱蔽性

7.

衍生性信息安全技術(shù)與應(yīng)用傳染性病毒通過修改磁盤扇區(qū)信息或文件內(nèi)容，并把自身嵌入到一切符合其傳染條件的未受到傳染的程序之上，實(shí)現(xiàn)自我復(fù)制和自我繁殖，達(dá)到傳染和擴(kuò)散的目的。被感染的程序和系統(tǒng)將成為新的傳染源，在與其它系統(tǒng)和設(shè)備接觸時(shí)繼續(xù)進(jìn)行傳播。被嵌入的程序叫做宿主程序。信息安全技術(shù)與應(yīng)用潛伏性病毒在進(jìn)入系統(tǒng)之后通常不會馬上發(fā)作，可長期隱藏在系統(tǒng)中，除了傳染外不做什么破壞，以提供足夠的時(shí)間繁殖擴(kuò)散。病毒在潛伏期，不破壞系統(tǒng)，因而不易被用戶發(fā)現(xiàn)。潛伏性越好，其在系統(tǒng)中的存在時(shí)間就會越長，病毒的傳染范圍就會越大。信息安全技術(shù)與應(yīng)用可觸發(fā)性病毒因某個事件或數(shù)值的出現(xiàn)，激發(fā)其進(jìn)行傳染，或者激活病毒的表現(xiàn)部分或破壞部分的特性稱為可觸發(fā)性。計(jì)算機(jī)病毒一般都有一個或者多個觸發(fā)條件，病毒的觸發(fā)機(jī)制用來控制感染和破壞動作的頻率。病毒運(yùn)行時(shí)，觸發(fā)機(jī)制檢查預(yù)定條件是否滿足，滿足條件時(shí)，病毒觸發(fā)感染或破壞動作，否則繼續(xù)潛伏。信息安全技術(shù)與應(yīng)用破壞性病毒是一種可執(zhí)行程序，病毒的運(yùn)行必然要占用系統(tǒng)資源，如占用內(nèi)存空間，占用磁盤存儲空間以及系統(tǒng)運(yùn)行時(shí)間等。病毒的破壞性主要取決于病毒設(shè)計(jì)者的目的。良性病毒：干擾顯示屏幕，顯示亂碼，占用系統(tǒng)資源惡性病毒：有明確的目的，破壞數(shù)據(jù)、刪除文件、加密磁盤甚至格式化磁盤、破壞硬件，對數(shù)據(jù)造成不可挽回的破壞。信息安全技術(shù)與應(yīng)用針對性病毒是針對特定的計(jì)算機(jī)、操作系統(tǒng)、服務(wù)軟件、甚至特定的版本和特定模版而設(shè)計(jì)的。小球病毒是針對IBMPC機(jī)及其兼容機(jī)上的DOS操作系統(tǒng)的?！癈odeBlue（藍(lán)色代碼）”專門攻擊WINDOWS2000操作系統(tǒng)。英文Word中的宏病毒模板在同一版本的中文Word中無法打開而自動失效。2002年1月8日出現(xiàn)的感染SWF文件的SWF.LFM.926病毒由于依賴Macro-media獨(dú)立運(yùn)行的Flash播放器，而不是依靠安裝在瀏覽器中插件，使其傳播受到限制。信息安全技術(shù)與應(yīng)用隱蔽性大部分病毒都設(shè)計(jì)得短小精悍病毒通常都附在正常程序中或磁盤較隱蔽的地方病毒程序與正常程序是不容易區(qū)別開的病毒在潛伏期并不惡意破壞系統(tǒng)工作傳染的隱蔽性存在的隱蔽性信息安全技術(shù)與應(yīng)用衍生性很多病毒使用高級語言編寫，通過分析計(jì)算機(jī)病毒的結(jié)構(gòu)可以了解設(shè)計(jì)者的設(shè)計(jì)思想，從而衍生出各種新的計(jì)算機(jī)病毒，稱為病毒變種。變種的主要傳染和破壞的機(jī)理與母體病毒基本一致，只是改變了病毒的外部表象。變種病毒造成的后果可能比原版病毒更為嚴(yán)重。信息安全技術(shù)與應(yīng)用7.1.3

計(jì)算機(jī)病毒分類1.按照計(jì)算機(jī)病毒的危害程度分類

2.按照傳染方式分類

3.按照計(jì)算機(jī)病毒的寄生方式分類

4.其他一些分類方式信息安全技術(shù)與應(yīng)用按照計(jì)算機(jī)病毒的危害程度分類良性病毒：不對計(jì)算機(jī)系統(tǒng)和數(shù)據(jù)進(jìn)行徹底破壞的病毒占用系統(tǒng)資源，會導(dǎo)致整個系統(tǒng)運(yùn)行效率降；與操作系統(tǒng)和應(yīng)用程序爭搶CPU的控制權(quán)，導(dǎo)致整個系統(tǒng)死鎖，妨礙正常的系統(tǒng)操作在多個病毒交叉感染時(shí)也可造成系統(tǒng)崩潰。惡性病毒：能夠損傷和破壞計(jì)算機(jī)系統(tǒng)及其數(shù)據(jù)，在其傳染或發(fā)作時(shí)對系統(tǒng)產(chǎn)生徹底破壞作用的病毒目的明確，破壞數(shù)據(jù)、刪除文件、加密磁盤、甚至格式化磁盤信息安全技術(shù)與應(yīng)用按照傳染方式分類引導(dǎo)型病毒是指寄生在磁盤引導(dǎo)區(qū)或主引導(dǎo)區(qū)的計(jì)算機(jī)病毒。可細(xì)分為主引導(dǎo)記錄病毒和分區(qū)引導(dǎo)記錄病毒。文件型病毒是指能夠寄生在文件中的計(jì)算機(jī)病毒。這類病毒程序感染可執(zhí)行文件或數(shù)據(jù)文件?；旌闲筒《臼侵妇哂幸龑?dǎo)型病毒和文件型病毒兩種寄生方式的計(jì)算機(jī)病毒。這種病毒既感染磁盤的引導(dǎo)區(qū)，又感染可執(zhí)行文件，增加了病毒的傳染性及存活率信息安全技術(shù)與應(yīng)用按照計(jì)算機(jī)病毒的寄生方式分類源碼型病毒是用高級語言編寫的，攻擊用高級語言編寫的程序。這種病毒若不進(jìn)行匯編、鏈接，就無法傳染擴(kuò)散。嵌入型病毒是將自身嵌入到現(xiàn)有程序中，把計(jì)算機(jī)病毒的主體程序與其攻擊的對象以插入的方式鏈接。技術(shù)難度較大，一旦侵入后也較難消除。外殼型病毒寄生在宿主程序的前面或后面，并修改程序的第一條執(zhí)行指令，使病毒先于宿主程序執(zhí)行。易于編寫，易于發(fā)現(xiàn)，通過文件的大小判別。信息安全技術(shù)與應(yīng)用其他分類方式按照攻擊的操作系統(tǒng)可分為：攻擊DOS操作系統(tǒng)的、攻擊Windows系統(tǒng)的、攻擊UNIX系統(tǒng)的、攻擊OS/2系統(tǒng)的病毒。按照計(jì)算機(jī)病毒激活的時(shí)間可分為：定時(shí)發(fā)作的病毒和不由時(shí)鐘來激活的隨機(jī)病毒。按照傳播媒介可分為：以磁盤為載體的單機(jī)病毒和以網(wǎng)絡(luò)為載體的網(wǎng)絡(luò)病毒。按攻擊的機(jī)型還可將病毒分為：攻擊微型機(jī)的病毒、攻擊小型機(jī)的病毒和攻擊工作站的病毒。信息安全技術(shù)與應(yīng)用7.1.4

計(jì)算機(jī)病毒的傳播第一種途徑:通過不可移動的計(jì)算機(jī)硬件設(shè)備進(jìn)行傳播。設(shè)備中有計(jì)算機(jī)的專用ASIC（ApplicationSpecificIntegratedCircuit，特定用途集成電路）芯片和硬盤等。這種病毒極少，破壞力極強(qiáng)。第二種途徑：通過移動存儲設(shè)備傳染。如軟盤、U盤、可擦寫光盤、MP3、存儲卡、記憶棒等。第三種途徑：通過計(jì)算機(jī)網(wǎng)絡(luò)傳播，是傳播的主流途徑，也是危害最大的傳播途徑。第四種途徑：通過點(diǎn)對點(diǎn)通信系統(tǒng)和無線通道傳播。信息安全技術(shù)與應(yīng)用7.1.5計(jì)算機(jī)病毒機(jī)理下面通過例1介紹計(jì)算機(jī)病毒的結(jié)構(gòu)。文件名為：autoexec.bat，其內(nèi)容如下：

@echooff #關(guān)閉回顯功能

echoThisisavirusdemonstrationprogram. #病毒示例程序

ifexistb:\autoexec.batgotovirus #檢查時(shí)機(jī)

gotono-virus #時(shí)機(jī)不成熟則繼續(xù)潛伏

:virus #時(shí)機(jī)成熟

b: #到b:盤

renameautoexec.batauto.bat #修改原文件名字

copya:\autoexec.batb: #復(fù)制自身

echoYouhaveavirus! #表現(xiàn)癥狀

:no-virus #正常程序入口

a:\auto.bat #執(zhí)行正常程序信息安全技術(shù)與應(yīng)用7.1.5計(jì)算機(jī)病毒機(jī)理病毒一般包含3個模塊：引導(dǎo)模塊將病毒程序引入內(nèi)存并使其后面的兩個模塊處于激活狀態(tài)；感染模塊在感染條件滿足時(shí)把病毒感染到所攻擊的對象上；表現(xiàn)模塊（破壞模塊）在病毒發(fā)作條件滿足時(shí)，實(shí)施對系統(tǒng)的干擾和破壞活動。并不是所有計(jì)算機(jī)病毒都由這3大模塊組成，病毒在3個模塊之間可能沒有明顯的界限。信息安全技術(shù)與應(yīng)用7.1.5計(jì)算機(jī)病毒機(jī)理1.引導(dǎo)型病毒

2.外殼型病毒

3.宏病毒信息安全技術(shù)與應(yīng)用引導(dǎo)型病毒引導(dǎo)型病毒是一種在ROMBIOS之后，系統(tǒng)引導(dǎo)時(shí)出現(xiàn)的病毒，先于操作系統(tǒng)，依托的環(huán)境是BIOS中斷服務(wù)程序引導(dǎo)型病毒利用操作系統(tǒng)的引導(dǎo)模塊放在固定的位置，并且控制權(quán)的轉(zhuǎn)交方式是以物理地址為依據(jù)，而不是以操作系統(tǒng)引導(dǎo)區(qū)的內(nèi)容為依據(jù)因而，引導(dǎo)型病毒改寫磁盤上的引導(dǎo)扇區(qū)（BOOTSECTOR）的內(nèi)容或改寫硬盤上的分區(qū)表（FAT），占據(jù)該物理位置即可獲得控制權(quán)病毒將引導(dǎo)區(qū)內(nèi)容搬家轉(zhuǎn)移或替換，待病毒程序被執(zhí)行后，再將控制權(quán)交給引導(dǎo)區(qū)內(nèi)容，使得帶病毒的系統(tǒng)看似運(yùn)轉(zhuǎn)正常，從而隱藏病毒的存在信息安全技術(shù)與應(yīng)用外殼型病毒作為典型的文件型病毒，外殼型病毒需要寄生的宿主程序，并修改宿主程序的第一條執(zhí)行指令，使病毒先于宿主程序執(zhí)行，隨著宿主程序的使用而傳染擴(kuò)散。信息安全技術(shù)與應(yīng)用

宏病毒W(wǎng)ord載入文檔時(shí)，先執(zhí)行起始的宏，再載入資料內(nèi)容，目的是使Word能夠根據(jù)資料的不同需要，使用不同的宏工作。Word為普通用戶事先定義一個共用的范本文檔Normal.dot，里面包含了基本的宏。只要一啟動Word，就會自動運(yùn)行Normal.dot文件。感染了Word宏病毒的文檔運(yùn)行時(shí)，實(shí)現(xiàn)了病毒的自動運(yùn)行，病毒把帶病毒的宏移植到通用宏的代碼段，實(shí)現(xiàn)對其它文件的感染。信息安全技術(shù)與應(yīng)用7.2

計(jì)算機(jī)病毒檢查與清除計(jì)算機(jī)病毒在感染健康程序后，會引起各種變化。每種計(jì)算機(jī)病毒所引起的癥狀都有一定的特點(diǎn)。計(jì)算機(jī)病毒的檢測原理就是根據(jù)這些特征，來判斷病毒的種類，進(jìn)而確定清除辦法。將感染計(jì)算機(jī)病毒的文件中的計(jì)算機(jī)病毒模塊摘除，并使之恢復(fù)為可以正常使用的文件的過程稱為計(jì)算機(jī)病毒清除并不是所有的染毒文件都可以安全地清除掉計(jì)算機(jī)病毒，也不是所有的文件在清除計(jì)算機(jī)病毒后都能恢復(fù)正常。信息安全技術(shù)與應(yīng)用7.2.1計(jì)算機(jī)病毒的檢測原理常用的計(jì)算機(jī)病毒檢測方法有比較法、校驗(yàn)和法、特征掃描法、行為監(jiān)測法、感染實(shí)驗(yàn)法和分析法等。計(jì)算機(jī)病毒檢測從操作上可分為手工檢測和自動檢測兩種手段。信息安全技術(shù)與應(yīng)用7.2.2計(jì)算機(jī)病毒的清除原理以文件型病毒的清除為例，若病毒為外殼型病毒，可以按照病毒傳染的逆過程，摘除病毒模塊，恢復(fù)原有文件的代碼和功能若病毒為覆蓋型病毒，由于原有宿主程序信息的丟失，無法還原原有文件的功能，摘除病毒模塊并保留剩余程序代碼已無意義，只能將感染的文件徹底刪除。信息安全技術(shù)與應(yīng)用手工清除計(jì)算機(jī)病毒使用Debug、Regedit、SoftICE和反匯編語言等工具，憑借對計(jì)算機(jī)病毒的分析和了解，從感染計(jì)算機(jī)病毒的文件中摘除計(jì)算機(jī)病毒，并復(fù)原原有文件的功能。自動清除使用查殺軟件自動清除計(jì)算機(jī)病毒并使之復(fù)原，其操作簡單、效率高、風(fēng)險(xiǎn)小。清除具有一定的風(fēng)險(xiǎn)，可能破壞原有的文件數(shù)據(jù)，也可能根本就無法還原原有的文件。頑固的惡性病毒只有通過磁盤的低級格式化進(jìn)行清理。信息安全技術(shù)與應(yīng)用7.2.3

典型病毒清除方法

1.Sircam蠕蟲病毒

2.圣誕節(jié)病毒

3.“歡樂時(shí)光”病毒

4.“冰河”木馬病毒信息安全技術(shù)與應(yīng)用7.3

計(jì)算機(jī)病毒防治措施由于網(wǎng)絡(luò)和計(jì)算機(jī)的開放性和共享性，病毒也將伴隨網(wǎng)絡(luò)和計(jì)算機(jī)的發(fā)展而不斷升級，因此，病毒和反病毒之間的對抗將是長期的。采取有效的預(yù)防措施，使病毒的波及范圍、破壞作用減到最小。信息安全技術(shù)與應(yīng)用7.3.1

計(jì)算機(jī)病毒防治管理措施1994年頒布了《中華人民共和國計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》，其中規(guī)定：故意輸入計(jì)算機(jī)病毒以及其他有害數(shù)據(jù)，危害計(jì)算機(jī)信息安全的要對個人和單位處以高額罰款，并依法追究刑事責(zé)任。1997年出臺的新《刑法》中增加了有關(guān)對制作、傳播計(jì)算機(jī)病毒進(jìn)行處罰的條款。2000年5月，公安部頒布實(shí)施了《計(jì)算機(jī)病毒防治管理辦法》。信息安全技術(shù)與應(yīng)用7.3.1

計(jì)算機(jī)病毒防治管理措施（續(xù)）備好啟動盤，并設(shè)置寫保護(hù)。盡量不用軟盤、U盤、移動硬盤或其他移動存儲設(shè)備啟動計(jì)算機(jī)，而用本地硬盤啟動。定期對重要的資料和系統(tǒng)文件進(jìn)行備份?？梢酝ㄟ^比照文件大小、檢查文件個數(shù)、核對文件名字來及時(shí)發(fā)現(xiàn)病毒。重要的系統(tǒng)文件和磁盤可以通過賦予只讀功能，避免病毒的寄生和入侵。也可以通過轉(zhuǎn)移文件位置，修改相應(yīng)的系統(tǒng)配置來保護(hù)重要的系統(tǒng)文件?！畔踩夹g(shù)與應(yīng)用7.3.2計(jì)算機(jī)病毒防治技措施1.系統(tǒng)加固2.系統(tǒng)監(jiān)控

3.軟件過濾4.文件加密5.備份恢復(fù)信息安全技術(shù)與應(yīng)用系統(tǒng)加固許多計(jì)算機(jī)病毒都是通過系統(tǒng)漏洞進(jìn)行傳播的構(gòu)造一個安全的系統(tǒng)是國內(nèi)外專家研究的熱點(diǎn)常見的系統(tǒng)加固工作主要包括：信息安全技術(shù)與應(yīng)用內(nèi)核參數(shù)及配置調(diào)整系統(tǒng)最小化處理加強(qiáng)口令管理啟動日志審計(jì)功能等。安裝最新補(bǔ)丁禁止不必要的應(yīng)用和服務(wù)禁止不必要的賬號去除后門系統(tǒng)監(jiān)控系統(tǒng)監(jiān)控技術(shù)主要指對系統(tǒng)的實(shí)時(shí)監(jiān)控，包括：注冊表監(jiān)控、腳本監(jiān)控、內(nèi)在監(jiān)控、郵件監(jiān)控、文件監(jiān)控等。實(shí)時(shí)監(jiān)控技術(shù)能夠始終作用于計(jì)算機(jī)系統(tǒng)，監(jiān)控訪問系統(tǒng)資源的一切操作，并能夠?qū)ζ渲锌赡芎械挠?jì)算機(jī)病毒進(jìn)行清除。大多數(shù)殺毒軟件和工具都具有實(shí)施監(jiān)測系統(tǒng)內(nèi)存、定期查殺系統(tǒng)磁盤的功能，并可以在文件打開前自動對文件進(jìn)行檢查。信息安全技術(shù)與應(yīng)用軟件過濾軟件過濾的目的是識別某一類特殊的病毒，以防止它們進(jìn)入系統(tǒng)和復(fù)制傳播，已被用來保護(hù)一些大、中型計(jì)算機(jī)系統(tǒng)。國外使用的一種T-cell程序集，對系統(tǒng)中的數(shù)據(jù)和程序用一種難以復(fù)制的印章加以保護(hù)，如果印章被改變，系統(tǒng)就認(rèn)為發(fā)生了非法入侵。Digital公司的一