系统恶意程序1.ppt

第三节 计算机病毒的预防 第七章 计算机恶意程序与病毒 二、计算机病毒的入侵机制 1.直接注入 别有用心者施放，软盘、软件传播。 2.预置注入 通过固件方式和微电子方式, 利用智能型可控硬件产品、部件带入或安装在系统中, 形成所谓特洛依木马式的特殊程序。当这些部件组成的产品进入对方系统, 将形成长期的潜在威胁, 特殊工作只需依靠某种方式激发预置的程序而已。 第七章 计算机恶意程序与病毒 3.无线注入 通过无线通信方式，利用战时无线通信系统，远距离地将计算机病毒代码 发送并进入敌方接收系统，继而进入中央指挥系统或者其他子系统，完成潜伏或直接作用。这种方式的关键是收发双方的 同步，利用正常通信方式进入对方系统。 第七章 计算机恶意程序与病毒 4.有线注入 主要是经网络的病毒注入。由于网络空间是一个人人都可进入的自由流动区，具有特殊发明创造力的计算机黑客(Hacker)总会找到进入网络系统的入口。而公共信息网络与国家专用信息网络的互连, 打开了从不敏感部门进入敏感部门的大门。因此，军事系统受到入侵和进攻的可能性大大存在。 第七章 计算机恶意程序与病毒 三、计算机病毒的潜伏机制 可能的藏身之处 磁盘文件、磁盘结构(主引导、次引导、FAT、ROOT、UMB和HMA)、保留扇区、超越扇区、磁盘间隙、CMOS等。 网络文件、电子邮件、邮件附件等。 1MB 00000 0A000 常规内存 基本内存 上位 存储区 1088K 高端存储区 ETM/EPM 64K 384K 640K 实模式 显示存储器 ROMBIOS 第七章 计算机恶意程序与病毒 0A000 Top Base 640KB 00000 Top和Base是两个指针，规定了应用程序装入的存储区范围，其值存放在00413地址（0280）。如果病毒侵入，可将top指针下移至top1，该区域被病毒程序占据，并不会被新调入的程序覆盖。应用程序区域缩小。 Top1 病毒程序 操作系统 应用程序 第七章 计算机恶意程序与病毒 转移到病毒程序执行： MOV SI, 0413 ; 指向0:0413字节 XOR DI, DI ; DS:SI=0:0413 MOV DS, DI ; 0:0413中内容为0280 DEC WORD PTR [SI]；减去1K字节 LODSW ; 将027F取到 AX中 MOV CL, 06 ; CL=06 SHL AX, CL ; 左移6位=9FC0 PUSH AX ; 压入返回段地址9FC0 PUSH DI ; 压入返回位移量0000 RETF ; 转移到9FC0:0000地址 第七章 计算机恶意程序与病毒 0面0道1扇区 MBS 1面0道1扇区 DBS MBS：Main Boot Sector 主引导扇区 DBS：DOS Boot Secotor 次引导扇区 FAT FAT Root （系统保留扇区 62个） 病毒藏身之地 Data 第七章 计算机恶意程序与病毒 读MBS引导扇区：（用程序读） MOV AX, 0201 ; 读一个扇区 MOV BX, 1000 ; 读入缓冲区地址1000 MOV CX, 0001 ; 读第一扇区 MOV DX; 0080 ; 读C盘0面 INT 13 ; 读盘操作 INT 3 ; 执行终止 要读63个扇区则用023F，要写入一个扇区则用0301，读A盘为00，B盘为01，C盘为80，D盘为81，类推…... 第七章 计算机恶意程序与病毒 读DBS引导扇区：（用程序读） MOV AX, 0201 ; 读一个扇区 MOV BX, 1000 ; 读入缓冲区地址1000 MOV CX, 0001 ; 读第一扇区 MOV DX; 0180 ; 读C盘1面 INT 13 ; 读盘操作 INT 3 ; 执行终止 读DBS引导扇区：（用命令读） -L1000 2 0 1 注意：A盘为0，B盘为1，C盘为2，D盘为3，以此类推……. 第七章 计算机恶意程序与病毒 四、计算机病毒的感染机制 1.重复感染 计算机病毒的重复感染是指同