1计算机病毒的概念.ppt

病毒的防治;一、计算机病毒的概念;病毒产生的原因： 计算机病毒是高技术犯罪，具有瞬时性、动态性和随机性。不易取证，风险小破坏大。 1）寻求刺激：自我表现；恶作剧； 2）出于报复心理。 病毒的特征： 传染性；寄生性；衍生性； 隐蔽性；潜伏性； 可触发性；夺取控制权； 破坏性与危害性；;病毒的分类： 按破坏性分为：良性；恶性。 按激活时间分为：定时；随机 按传染方式分为： 引导型：当系统引导时进入内存，控制系统； 文件型：病毒一般附着在可执行文件上 ； 混合型：既可感染引导区，又可感染文件。 按连接方式分为： OS型：替换OS的部分功能，危害较大； 源码型：要在源程序编译之前插入病毒代码；较少； 外壳型：附在正常程序的开头或末尾；最常见； 入侵型：病毒取代特定程序的某些模块；难发现。;按照病毒特有的算法分为： 伴随型病毒：产生EXE文件的伴随体COM，病毒把自身写入COM文件并不改变EXE文件，当DOS加载文件时，伴随体优先被执行到，再由伴随体加载执行原来的EXE文件。 “蠕虫”型病毒：只占用内存，不改变文件，通过网络有哪些信誉好的足球投注网站传播病毒。 寄生型病毒：除了伴随和“蠕虫”型以外的病毒，它们依附在系统的引导扇区或文件中。 变型病毒（幽灵病毒）：使用复杂算法，每传播一次都具有不同内容和长度。一般的作法是一段混有无关指令的解码算法和被变化过的病毒体组成。;病毒的组成： 安装模块：提供潜伏机制； 传播模块：提供传染机制； 触发模块：提供触发机制； 其中，传染机制是病毒的本质特征，防治、检测及 杀毒都是从分析病毒传染机制入手的。 病毒的症状： 启动或运行速度明显变慢；文件大小、日期变化；死机增多；莫名其妙地丢失文件；磁盘空间不应有的减少；有规律地出现异常信息；自动生成一些特殊文件；无缘无故地出现打印故障。;计算机病毒的传播途径 1）通过不可移动的设备进行传播 较少见，但破坏力很强。 2）通过移动存储设备进行传播 最广泛的传播途径 3）通过网络进行传播 反病毒所面临的新课题 4）通过点对点通讯系统和无线通道传播 预计将来会成为两大传播渠道;病毒的破坏行为 攻击系统数据区：主引导区、Boot区、FAT区、文件目录 攻击文件、内存、CMOS；干扰系统运行，使速度下降；干扰屏幕、键盘、喇叭、打印机； 破坏网络资源。 病毒的发展趋势 攻击对象趋于混合型； 反跟踪技术； 增强隐蔽性：避开修改中断向量值；请求在内存中的合法身份；维持宿主程序外部特征；不用明显感染标志 采用加密技术，使得对病毒的跟踪、判断更困难； 繁衍不同的变种。;二、病毒的防治;二、病毒的防治;校验和法： 根据文件内容计算的校验和与以前的作比较。 优点：能判断文件细微变化，发现未知病毒。 缺点：当软件升级、改口令时会产生误报；不能识别病毒名称；对隐蔽性病毒无效。 行为监测法： 基于对病毒异常行为的判断 特点：发现许多未知病毒；可能误报，实施难 软件模拟法：一种软件分析器，用软件方法来模拟和分析程序的运行。 特点：可用于对付多态病毒。;反病毒软件的选择 1）扫描速度 30秒能扫描1000个以上文件 2）识别率 3）病毒清除测试 著名杀毒软件公司 冠群金辰 KILL 瑞星 RAV 北京江民 KV3000 信源 LAN VRV 赛门铁克 Norton Anti Virus 时代先锋（行天98） ;反病毒软件工作原理 1）病毒扫描程序 串扫描算法:与已知病毒特征匹配；文件头、尾部 入口扫描算法：模拟跟踪目标程序的执行 类属解密法：对付多态、加密病毒 2）内存扫描程序：有哪些信誉好的足球投注网站内存驻留文件和引导记录病毒 3）完整性检查器：能发现新的病毒；但对于已被感染的系统使用此方法，可能会受到欺骗。 4）行为监测器：是内存驻留程序，监视病毒对可执行文件的修改。防止未知的病毒;三、几种常见的病毒;几种宏病毒： AAAZAO Macro：Concept病毒，第一个宏病毒； Taiwan NO.1：第一个中文word病毒； Rainbow Macro：能改变桌面颜色； FormatC：格式化C盘，第一个木马型宏病毒； Hot Macro：第一个调用Windows API的宏病毒； Nuclear Macro:第一个干扰打印机、硬盘的宏病毒。 宏病毒分类： 公用宏病毒：以Auto开头的宏，附在normal.dot或Personal.xls 等模板上。 私用宏病毒：;宏病毒的危害 1）传播迅速：因为文件交流频繁； 2）制造及变种方便：Word Basic编程容易 3）危害大： Word Basic可调用Windows API、