电子科技大学计算机系统与网络安全技术课件第8章 计算机系统安全（计算机病毒）.ppt

计算系统与网络安全Computer System and Network Security 电子科技大学 计算机科学与工程学院 第8章 计算机系统安全 计算机病毒的概念 计算机病毒的概念（续） 病毒产生的原因： 计算机病毒是高技术犯罪，具有瞬时性、动态性和随机性。不易取证，风险小破坏大。 1）寻求刺激：自我表现；恶作剧； 2）出于报复心理。 病毒的特征： 传染性；寄生性；衍生性； 隐蔽性；潜伏性； 可触发性；夺取控制权； 破坏性与危害性； 计算机病毒的分类 按破坏性分为：良性；恶性。 按激活时间分为：定时；随机 按传染方式分为： 引导型：当系统引导时进入内存，控制系统； 文件型：病毒一般附着在可执行文件上 ； 混合型：既可感染引导区，又可感染文件。 按连接方式分为： OS型：替换OS的部分功能，危害较大； 源码型：要在源程序编译之前插入病毒代码；较少； 外壳型：附在正常程序的开头或末尾；最常见； 入侵型：病毒取代特定程序的某些模块；难发现。 计算机病毒的分类（续） 按照病毒特有的算法分为： 伴随型病毒：产生EXE文件的伴随体COM，病毒把自身写入COM文件并不改变EXE文件，当DOS加载文件时，伴随体优先被执行到，再由伴随体加载执行原来的EXE文件。 “蠕虫”型病毒：只占用内存，不改变文件，通过网络有哪些信誉好的足球投注网站传播病毒。 寄生型病毒：除了伴随和“蠕虫”型以外的病毒，它们依附在系统的引导扇区或文件中。 变型病毒（幽灵病毒）：使用复杂算法，每传播一次都具有不同内容和长度。一般的作法是一段混有无关指令的解码算法和被变化过的病毒体组成。 计算机病毒的组成 病毒的组成： 安装模块：提供潜伏机制； 传播模块：提供传染机制； 触发模块：提供触发机制； 其中，传染机制是病毒的本质特征，防治、检测及 杀毒都是从分析病毒传染机制入手的。 计算机病毒的症状 病毒的症状： 启动或运行速度明显变慢； 文件大小、日期变化； 死机增多； 莫名其妙地丢失文件； 磁盘空间不应有的减少； 有规律地出现异常信息； 自动生成一些特殊文件； 无缘无故地出现打印故障。 计算机病毒的传播途径 1）通过不可移动的设备进行传播 较少见，但破坏力很强。 2）通过移动存储设备进行传播 最广泛的传播途径 3）通过网络进行传播 反病毒所面临的新课题 4）通过点对点通讯系统和无线通道传播 预计将来会成为两大传播渠道 病毒的破坏行为 攻击系统数据区：主引导区、Boot区、FAT区、文件目录 攻击文件、内存、CMOS；干扰系统运行，使速度下降；干扰屏幕、键盘、喇叭、打印机； 破坏网络资源。 病毒的发展趋势 攻击对象趋于混合型； 反跟踪技术； 增强隐蔽性： 避开修改中断向量值； 请求在内存中的合法身份； 维持宿主程序外部特征； 不用明显感染标志 采用加密技术，使得对病毒的跟踪、判断更困难； 繁衍不同的变种。 第8章 计算机系统安全 几种常见的病毒 宏病毒 宏(Macro)：为避免重复操作而设计的一组命令。 在打开文件时，先执行“宏”，然后载入文件内容。因此如果“宏”带有病毒，则在编辑文件时病毒自动载入。 宏病毒的症状： 1）用Word或Excel打开文件时，出现“文档未打开”、“内存不够”、“WordBasic Err=514”等； 2）保存文件时，强制将文件按“.dot”类型存储，或强制在指定目录存放。 3）宏病毒的版本兼容问题 宏病毒 几种宏病毒： AAAZAO Macro：Concept病毒，第一个宏病毒； Taiwan NO.1：第一个中文word病毒； Rainbow Macro：能改变桌面颜色； FormatC：格式化C盘，第一个木马型宏病毒； Hot Macro：第一个调用Windows API的宏病毒； Nuclear Macro:第一个干扰打印机、硬盘的宏病毒。 宏病毒分类： 公用宏病毒：以Auto开头的宏，附在normal.dot或Personal.xls 等模板上。 私用宏病毒： 宏病毒（续） 宏病毒的危害 1）传播迅速：因为文件交流频繁； 2）制造及变种方便：Word Basic编程容易 3）危害大： Word Basic可调用Windows API、DLL、DDE 宏病毒的防治 除杀毒软件以外，还可尝试下列方法： 1）按住Shift键再启动Word，禁止宏自动运行； 2）工具?宏，检查并删除所有可能带病毒的宏； 3）使用Disable AutoMacros宏 4）将模板文件如normal.dot的属性设为只读。 CIH病毒 台湾陈盈豪编写，一般每月26日发作。 不仅破坏硬盘的引导扇区和分区表，还破坏系统Flash BIOS芯片中的系统程序，导致主板损坏。病毒长1KB，由于使用V