239-网络信息安全.pptVIP

网络信息安全 ——计算机病毒 什么是计算机病毒？ 计算机病毒是某些人利用计算机软、硬件所固有的脆弱性，编制具有特殊功能的程序。 从广义上定义，凡能够引起计算机故障，破坏计算机数据的程序统称为计算机病毒。依据此定义，诸如逻辑炸弹，蠕虫等均可称为计算机病毒。 我国正式颁布实施的《中华人民共和国计算机信息系统安全保护条例》第二十八条中明确指出：“计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。”此定义具有法律性、权威性。 什么是计算机病毒？ 计算机病毒就是一种附加到计算机内部重要区域（例如可执行文件以及硬盘和软盘的引导区）的恶意代码。病毒通过将其自身复制到其他宿主文件或磁盘上，可以达到破坏数据的目的。当宿主文件运行并释放恶意代码时，就传播了病毒。当计算机从受感染磁盘中引导时，病毒可以迅速地传播到内存中。 一旦病毒驻留在内存中，它就可能感染其他可执行文件或磁盘引导扇区。一般情况下，病毒保持一种静止状态，直到出现某个触发事件，例如，某个系统日期。除复制之外，计算机病毒经常还会执行某些其他活动，通常是一些破坏活动或显示一条消息。 已知的病毒已超过了 20,000 种。 病毒类型 按传染方式分类 引导型病毒、文件型病毒和混合型病毒三种。 按连接方式分类 源码型病毒、入侵型病毒、操作系统型病毒、外壳型病毒等四种 。 按破坏性分类 良性病毒和恶性病毒。 按程序运行平台分类 DOS病毒、Windows病毒、Windows NT病毒、OS/2病毒等。 新型病毒 部分新型病毒由于其独特性而暂时无法按照前面的类型进行分类，如宏病毒、黑客软件、电子邮件病毒等 病毒类型 在 Norton AntiVirus 中基本的病毒类型是按照它们感染计算机的区域定义的 引导型病毒：将指令插入到软盘的引导扇区，或者硬盘的引导扇区或主引导记录（分区表扇区）。 程序型病毒：感染可执行文件，例如，.COM、.EXE 和 .DLL 文件。 宏病毒：通过修改宏的行为方式感染文档文件，例如，Microsoft Word .DOC 文件。 其他具有破坏性的代码类型，包括蠕虫、特洛伊木马和逻辑炸弹病毒。这些具有破坏性代码的病毒类型不同于其他病毒，因为它们并不进行复制。 病毒的发展阶段 DOS引导阶段 DOS可执行阶段 伴随,批次型阶段 幽灵,多形阶段 生成器,变体机阶段 网络,蠕虫阶段 视窗阶段 宏病毒阶段 互连网阶段 Java,邮件炸弹阶段 病毒特征 传染性 未经授权而执行 隐蔽性 潜伏性 破坏性 不可预见性 病毒的传播方式 程序型病毒可以通过任何网络、调制解调器或磁盘传播。大多数引导型病毒只能通过软盘传播。复合型病毒尤其复杂，因为这种病毒按照程序型病毒传播，但感染引导扇区并可以通过软盘传播。 随着局域网、Internet 和全球性的电子邮件的大量使用，病毒传播的速度也在迅速地增加。当受感染文件通过电子邮件发送出去时，本地的病毒可能会迅速地传播到公司的其他部门甚至是世界各地。病毒感染的主要威胁来自于那些打开并使用的共享文件。 计算机病毒的触发机制 日期触发：特定日期触发、月份触发、前半年后半年触发等。 时间触发：特定的时间触发、染毒后累计工作时间触发、文件最后写入时间触发等。 键盘触发：击键次数触发、组合键触发、热启动触发等。 感染触发：运行感染文件个数触发、感染序数触发、感染磁盘数触发、感染失败触发等。 启动触发：病毒对机器的启动次数计数，并将此值作为触发条件。 访问磁盘次数触发：病毒对磁盘I/O访问的次数进行计数，以预定次数做触发条件。 调用中断功能触发：病毒对中断调用次数计数，以预定次数做触发条件。 CPU型号/主板型号触发：病毒能识别运行环境的CPU型号/主板型号，以预定CPU型号/主板型号做触发条件。 计算机病毒的破坏行为 攻击系统数据区 攻击文件 攻击内存 干扰系统运行 速度下降 攻击磁盘 扰乱屏幕显示 键盘 攻击CMOS 干扰打印机 计算机病毒发作后的现象 由于病毒本身或其复制品不断侵占系统空间，使可用系统空间变小 由于病毒程序的异常活动，造成异常的磁盘访问 由于病毒程序附加或占用引导部分，使系统引导变慢 丢失数据和程序 打印出现问题，打印速度变慢或打印异常字符 死机现象增多 系统出现异常动作，例如：突然死机，又在无任何外界介入下，自行启动，用户没有访问的设备出现工作指导 出现一些无意义的画面，问候语等 IE浏览器被修改，自动挂起特定网站 开始\运行 无法使用，无法修改注册表，目录被自动共享等······ 异常情况下不一定说明系统内肯定有病毒 反病毒必须正视如下