1. 计算机病毒定义、特征

●定义：编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能够自我复制的一组计算机指令或者程序代码。

●特征：

（1）寄生性。病毒所寄生的合法程序被称做病毒的载体，也称为病毒的宿主程序。

（2）传染性。是病毒的基本特征，是否具有传染性是判别一个程序是否为计算机病毒的首要条件。

（3）隐蔽性。计算机病毒的隐蔽性表现为存在的隐蔽性与传染的隐蔽性。

（4）潜伏性。潜伏性越好，其在系统中的存在时间就会越长，其传染范围就会越大。

（5）可触发性。因某个特征或数值的出现，诱使病毒实施感染或进行攻击的特性称为可触发性。

（6）破坏性。共同的危害：降低系统的工作效率，占用系统资源；病毒的破坏性主要取决于计算机病毒设计者的目的

2. 特洛伊木马

●攻击步骤：（1）设定好服务器程序；（2）骗取对方执行服务器程序；（3）寻找对方IP地址；（4）用客户端程序来控制对方的计算机。

●特征和行为：（1）木马本身不进行自我复制。（2）被感染的计算机系统会表现出不寻常的行为或运行变慢。

●传播途径：（1）作为电子邮件附件传播；（2）隐藏在用户与其他用户进行交流的文档和其他文件中；（3）被其他恶意代码所携带，如蠕虫；（4）会隐藏在从互联网上下载的捆绑的免费软件中。

3. 计算机蠕虫（Worm）

●特点：利用网络中软件系统的缺陷，进行自我复制和主动传播。但它与病毒在文件之间的传播不同，它们是从一台计算机传播到另一台计算机，从而感染整个系统。

●组成：主程序和引导程序

4. 计算机病毒的逻辑结构

（1）病毒的引导模块：当病毒的宿主程序开始工作时将病毒程序从外存引入内存，使其与宿主程序独立，并且使病毒的传染模块和破坏模块处于活动状态，以监视系统运行。

（2）病毒的传染模块：负责将病毒传染给其他计算机程序，使病毒向外扩散。它由两部分组成：病毒传染的条件判断部分和病毒传染程序主体部分。

（3）病毒的破坏（表现）模块：是病毒的核心部分，它体现了病毒制造者的意图。由两部分组成：病毒破坏的条件判断部分和破坏程序主体部分。

5. 引导型和文件型病毒的工作流程

(1) 引导型: 系统启动,自检à读入引导区内容(病毒进入内存)à执行引导区内容(病毒进行自身引导)à病毒处于动态à修改系统参数，设置触发条件à正常的系统引导à满足条件，进行传染à满足条件，进行破坏。

(2) 文件型: 染毒文件被执行à病毒引导模块被装入内存à引入传染及破坏模块à病毒处于动态à修改系统参数，设置触发条件à满足条件，进行传染à满足条件，进行破坏。

6. 宏病毒

●宏病毒：是一种存储于文档、模板或加载宏程序中的计算机病毒。

●特点：只感染微软数据（文档）文件

●机制：用VB高级语言编写的病毒代码，直接混杂在文件中，并加以传播。当打开受感染的文件或执行触发宏病毒的操作时，病毒就会被激活，并存储到Normal.dot模板或Personal.xls文件中，以后保存的每个文档都会自动被病毒感染。

7. 病毒技术

（1）寄生技术

病毒在感染的时候，将病毒代码加入正常程序之中，原正常程序功能的全部或者部分被保留。是文件型病毒使用最多的技术。

分类：①头寄生、尾寄生、插入寄生（病毒代码插入宿主程序位置的不同）②空洞利用（例：CIH）

（2）驻留技术

当被感染的文件执行时，病毒的一部分功能模块进入内存，即使程序执行完毕，它们仍一直驻留在内存中。（病毒需要实时地监控合适的感染对象和触发条件，它总是希望关键的代码能一直保留在内存中，得到机会就能运行。杀毒软件如果只清除文件中的病毒而没有清除内存中的病毒，则病毒在系统退出前仍有机会感染文件。）

（3）加密变形技术

是一个具有里程碑意义的病毒技术。在加密病毒的基础上改进，使解密子的代码对不同传染实例呈现多样性。

传统病毒在代码中总是具有自身的特点（如：标记已感染的字串、特殊的驻留代码、特殊的感染代码等），反病毒厂商就利用这些特点编制特征码，用于病毒的检测。

（4）隐藏技术：病毒在进入用户系统之后，会采取种种方法隐藏自己的行踪，使病毒不易被用户和反病毒软件发现。

8. 反病毒技术（计算机病毒检测技术、计算机病毒的清除、计算机病毒的免疫、计算机病毒的预防）

（1）计算机病毒检测技术

●比较法：进行原始的或正常的特征与被检测对象的特征比较。

优点：简单、方便，不需专用软件。缺点：无法确认计算机病毒的种类和名称。

●病毒校验和法：计算出正常文件的程序代码的校验和，并保存起来，可供被检测对象对照比较，以判断是否感染了病毒。

优点：可侦测到各式的计算机病毒，包括未知病毒。缺点：误判率高，无法确认病毒种类。

●分析法：该方法的使用人员主要是反计算机病毒的技术专业人员。

●搜索法：用每一种计算机病毒体含有的特定字符串对被检测对象进行扫描。（最常用）

缺点：被扫描的文件很长时，扫描所花时间也越多；不容易选出合适的特征串；计算机病毒代码库未及时更新时，无法识别出新型计算机病毒；不易识别变形计算机病毒等。

●行为监测法：由于病毒在感染及破坏时都表现出一些共同行为，而且比较特殊，这些行为在正常程序中比较罕见，因此可通过检测这些行为来检测病毒的存在与否。

优点：不仅可检测已知病毒，而且可预报未知病毒。缺点：有可能误报。

●病毒行为软件模拟法

●感染实验法

（2）计算机病毒的清除：可用专用软件杀毒或手工进行

（3）计算机病毒的免疫：

原理：根据病毒签名来实现。由于有些病毒在感染其他程序时要先判断是否已被感染过，即欲攻击的宿主程序是否已有相应病毒签名，如有则不再感染。因此，可人为地在“健康程序”中进行病毒签名，起到免疫效果。

（4）计算机病毒的预防：

①经常进行数据备份（数据、系统）；②对于新购置的计算机、硬盘、软件等，先用查毒软件检测后方可使用；③尽量避免在无防毒软件的机器上或公用机器上使用可移动磁盘；④对计算机的使用权限进行严格控制，禁止来历不明的人和软件进入系统；⑤采用一套公认最好的病毒查杀软件，以便在对文件和磁盘操作时进行实时监控，及时控制病毒的入侵，并及时可靠地升级反病毒产品。

--本资料由heki总结整理

[@more@]

ITPub博客

病毒防护技术基础

最新文章