【网络安全原理与应用】计算机病毒与反病毒.pptVIP

第8章 计算机病毒与反病毒技术 学习目标 l???????? 计算机病毒的发展历史及危害 l???????? 计算机病毒的基本特征及传播方式 l???????? 病毒的结构 l???????? 常用的反病毒技术 l???????? 常用的病毒防范方法 8.1 计算机病毒 8.1.1 计算机病毒的历史 1983年11月3日，弗雷德·科恩（Fred Cohen）博士研制出一种在运行过程中可以复制自身的破坏性程序，伦·艾德勒曼（Len Adleman）将它命名为计算机病毒（computer virus），并在每周一次的计算机安全讨论会上正式提出，8小时后专家们在VAX11/750计算机系统上运行，第一个病毒实验成功，一周后又获准进行5个实验的演示，从而在实验上验证了计算机病毒的存在。 1986年初，巴基斯坦的巴锡特（Basit）和阿姆杰德（Amjad）两兄弟编写了Pakistan病毒（即Brain病毒），该病毒在一年内流传到了世界各地。 1988年11月2日，美国6000多台计算机被病毒感染，造成Internet不能正常运行 据瑞星公司的不完全统计，2004年国内共发现新病毒26025个，比2003年增加了20%。其中，木马13132个，后门程序6351个，蠕虫3154个，脚本病毒481个，宏病毒258个，其余类病毒2649个。由此可见，病毒的泛滥和危害已经到了十分危险的程度。 8.1.2 病毒的本质 1．病毒的定义 在《中华人民共和国计算机信息系统安全保护条例》中对计算机病毒进行了明确定义：“计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码”。 2．病毒的生命周期 隐藏阶段：处于这个阶段的病毒不进行操作，而是等待事件触发，触发事件包括时间、其它程序或文件的出现、磁盘容量超过某个限度等。但这个周期不是必要的，有的病毒没有隐藏期，而是无条件地传播和感染。 传播阶段：在这一阶段的病毒会把自身的一个副本传播到未感染这种病毒的程序或磁盘的某个扇区中去。每个被感染的程序将包含一个该病毒的副本，并且这些副本也可以向其它未感染的程序继续传播病毒的副本。 触发阶段：这个阶段病毒将被激活去执行病毒设计者预先设计好的功能。病毒进入这一阶段也需要一些系统事件的触发，比如：病毒本身进行复制的副本数达到了某个数量。 执行阶段：这一阶段病毒将执行预先设计的功能直至执行完毕。这些功能可能是无害的，比如：向屏幕发送一条消息；也可能是有害的，比如：删除程序或文件、强行关机等。 3．病毒的一般结构 8.1.3 病毒的发展阶段与特征 1．病毒的发展阶段 （1）DOS引导阶段 （2）DOS可执行阶段 （3）伴随型阶段 （4）幽灵、多形阶段 （5）生成器、变体机阶段 （6）网络、蠕虫阶段 （7）Windows阶段 （8）宏病毒阶段 （9）因特网阶段 （10）Java、邮件炸弹阶段 2．病毒的特征 2．病毒的特征 （1）传染性 （2）破坏性 （3）潜伏性 （4）可执行性 （5）可触发性 （6）隐蔽性 病毒的具体危害主要表现在以下几个方面 （1）病毒发作对计算机数据信息的直接破坏 （2）占用磁盘空间和对信息的破坏 （3）抢占系统资源 （4）影响计算机运行速度 （5）计算机病毒错误与不可预见的危害 （6）计算机病毒给用户造成严重的心理压力 病毒的命名 病毒前缀.病毒名.病毒后缀。 病毒前缀是指一个病毒的种类，不同的种类的病毒，其前缀不相同。比如我们常见的木马的前缀是Trojan，蠕虫的前缀是Worm。 病毒名是指一个病毒的家族特征，是用来区别和标识病毒家族的，如著名的CIH病毒的家族名都是统一的CIH，振荡波蠕虫病毒的家族名是Sasser。 病毒后缀是指一个病毒的变种特征，是用来区别具体某个家族病毒的某个变种的。一般都采用英文中的26个字母来表示，如：Worm.Sasser.b就是指振荡波蠕虫病毒的变种b。如果病毒变种非常多，可以采用数字与字母混合表示变种标识。 8.2 几种典型病毒的分析 8.2.1 CIH病毒 CIH病毒，属于文件型病毒，主要感染Windows 9x下的可执行文件。CIH病毒使用了面向Windows的VxD技术，使得这种病毒传播的实时性和隐蔽性都特别强. 发作日是每年4月26日。v1.3版本发作日是每年6月26日。v1.4版本发作日为每月26日。 。 2．CIH病毒的破坏性 CIH病毒感染Windows可执行文件，却不感染Word和Excel文档；感染Windows 9x系统，却不感染windows NT系统。 CIH病毒采取一种特殊的方式对可执行文件进行感染，感染后的文件大小根本没有变化，病毒代码