防病毒复习资料.docVIP

计算机病毒组成部分：感染标志、引导模块、感染模块、破坏表现模块。 硬盘数据结构：主引导记录、主分区表和分区链表、分区引导记录、文件配置表、文件目录表、数据区。 MBR项：主引导记录（MBR）占用主引导山区的前446个字节，存放系统主引导程序（负责从活动分区中装载并运行系统引导程序）。 DPT项：主引导表（DPT）占用64个字节，记录了磁盘的基本分区信息。主分区表分为4个分区表项，每项16个字节，分别记录了每个分区的信息，最多可以有4个主分区。 EXE文件头格式：EXE文件由三部分构成：文件头、重定位表和二进制代码 PE文件的层次结构 病毒分类、状态 分类： 根据病毒破坏的能力可划分为：无害型、无危险型、危险型、非常危险型 按照计算机病毒的破坏情况又可分为两类：良性病毒、恶性病毒 按计算机病毒特有的算法分为：伴随型病毒、“蠕虫”型病毒、寄生型病毒、练习型病毒、诡秘型病毒、变形病毒 按计算机病毒按寄生对象分为：引导型病毒、文件型病毒、混合型病毒 按计算机病毒按是否驻留内存分为：驻留内存型、不驻留内存型 按计算机病毒的链接方式分类：源码型病毒、嵌入型病毒、外壳型病毒、操作系统型病毒 按照计算机病毒的传播媒介分类：单机病毒、网络病毒 （计算机病的产生过程分为：程序设计、传播、潜伏、触发、运行、实施攻击。） 周期：开发期、传染期、潜伏期、发作期、发现期、消化期、消亡期。 发展阶段：萌芽、滋生阶段；综合发展阶段；成熟发展阶段；Internet阶段 DOS*.exe加载过程 PE病毒的感染过程 PE病毒常见的感染其他文件的方法是在文件中添加一个新节，然后往该新节中添加病毒代码和病毒执行后反悔HOST程序的代码，并修改文件头中代码开始执行位置指向新添加的病毒节的代码入口，以便程序运行后执行病毒代码。具体步骤如下： (1)判断目标文件开始的两个字节是否为“MZ”； (2)判断PE文件标记“PE”； (3)判断感染标记，如果已被感染过则跳出继续执行HOST程序，否则继续； (4)获得Directory(数据目录)的个数，每个数据目录信息占8个字节； (5)得到节表起始位置：Directory的偏移地址+数据目录占用的字节数=节表起始位置； (6)得到目前最后节表的末尾偏移(紧接其后用于写入一个新的病毒节)： (7)开始写入节表 病毒重定位原理与实现 为什么需要重定位？答：病毒不可避免也要用到变量(常量)，当病毒感染HOST程序后，由于其依附到不同HOST程序中的位置各有不同，病毒随着HOST载入内存后，病毒中的各个变量(常量)在内存中的位置自然也会随着发生变化。因此，病毒就非常有必要对病毒代码中的所有变量（常量）进行重新定位。 实现： call delta ;这条语句执行之后，堆栈顶端为delta在内存中的真正地址 delta: pop ebp ;这条语句将delta在内存中的真正地址存放在ebp寄存器中 …… lea eax,[ebp+(offset var1-offset delta)] ;这时eax中存放着var1在内存中的真实地址 如果病毒程序中有一个变量var1，那么该变量实际在内存中的地址应该是ebp＋(offset var1－offset delta)，即参考量delta在内存中的地址＋其它变量与参考量之间的距离=其它变量在内存中的真正地址 有时候我们也采用(ebp－offset delta)＋offset var1的形式进行变量var1的重定位 清楚计算机病毒的一般方法 先升级杀毒软件病毒库至必威体育精装版，进入安全模式下全盘查杀 删除注册表中的有关可以自动启动可疑程序的键值(可以重命名，以防误删，若删除/重命名后按F5刷新，发现无法删除/重命名，则可肯定其是病毒启动键值) 若系统配置文件被更改，需先删除注册表中键值，再更改系统配置文件 断开网络连接，重启系统，进入安全模式全盘杀毒 若Windows ME/XP系统查杀病毒在系统还原区，请关闭系统还原再查杀 若查杀病毒在临时文件夹中，请清空临时文件夹再查杀 系统安全模式查杀无效，建议到DOS下查杀。