第八章计算机病毒及防治详解优秀PPT.ppt

《第八章计算机病毒及防治详解优秀PPT.ppt》由会员分享，可在线阅读，更多相关《第八章计算机病毒及防治详解优秀PPT.ppt（76页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、8 8.1 1计计算算机机病病毒毒概概述述第八章计算机病毒及防治第八章计算机病毒及防治8.18.1计算机病毒概述计算机病毒概述8.28.2DOSDOS环境下的病毒环境下的病毒8.38.3宏病毒宏病毒8.48.4网络计算机病毒网络计算机病毒8.58.5反病毒技术反病毒技术8.68.6软软件防件防病毒病毒技术技术8.78.7典型病毒实例典型病毒实例CIHCIH病毒介绍病毒介绍8 8.1 1计计算算机机病病毒毒概概述述本章学习目标本章学习目标（1）了了解解计计算算机机病病毒毒的的定定义义、发发展展历历史史、分分类类、特特点点、入侵途径、流行特征、破坏行为、作用机制。入侵途径、流行特征、破坏行为、作用

2、机制。（2）了了解解DOS环环境境下下的的病病毒毒、宏宏病病毒毒和和网网络络计计算算机机病病毒的分类、传染过程、防治和清除方法。毒的分类、传染过程、防治和清除方法。（3）熟熟悉悉基基本本的的反反病病毒毒技技术术，包包括括计计算算机机病病毒毒的的检检测测、防防治治与与感感染染病病毒毒后后的的修修复复；驾驾驭驭杀杀毒毒软软件件的的选选购购指指标标、反病毒软件的原理。反病毒软件的原理。（4）驾驭如何复原被）驾驭如何复原被CIH病毒破坏的硬盘信息。病毒破坏的硬盘信息。返回本章首页8 8.1 1计计算算机机病病毒毒概概述述8.18.1计算机病毒概述计算机病毒概述计算机病毒的定义计算机病毒的定义计算机病毒

3、的发展历史计算机病毒的发展历史计算机病毒的分类计算机病毒的分类计算机病毒的特点计算机病毒的特点计算机病毒的隐藏之处和入侵途径计算机病毒的隐藏之处和入侵途径现代计算机病毒的流行特征现代计算机病毒的流行特征计算机病毒的破坏行为计算机病毒的破坏行为计算机病毒的作用机制计算机病毒的作用机制返回本章首页8 8.1 1计计算算机机病病毒毒概概述述计算机病毒的定义计算机病毒的定义 “计计算算机机病病毒毒”最最早早是是由由美美国国计计算算机机病病毒毒探探讨讨专专家家F.Cohen博博士士提提出出的的。“计计算算机机病病毒毒”有有很很多多种种定定义义，国国外外最最流流行行的的定定义义为为：计计算算机机病病毒毒，

4、是是一一段段附附着着在在其其他他程程序序上上的的可可以以实实现现自自我我繁繁殖殖的的程程序序代代码码。在在中中华华人人民民共共和和国国计计算算机机信信息息系系统统平平安安爱爱护护条条例例中中的的定定义义为为：“计计算算机机病病毒毒是是指指编编制制或或者者在在计计算算机机程程序序中中插插入入的的破破坏坏计计算算机机功功能能或或者者数数据据，影影响响计计算算机机运运用用并并且且能能够够自自我我复复制制的的一一组组计计算算机机指指令令或或者者程程序序代代码码”。返回本节8 8.1 1计计算算机机病病毒毒概概述述计算机病毒的发展历史计算机病毒的发展历史1计算机病毒发展简史计算机病毒发展简史 世界上第一

5、例被证明的计算机病毒是在世界上第一例被证明的计算机病毒是在1983年，年，出现了计算机病毒传播的探讨报告。同时有人提出出现了计算机病毒传播的探讨报告。同时有人提出了蠕虫病毒程序的设计思想；了蠕虫病毒程序的设计思想；1984年，美国人年，美国人Thompson开发出了针对开发出了针对UNIX操作系统的病毒程序。操作系统的病毒程序。1988年年11月月2日晚，美国康尔高校探讨生罗特日晚，美国康尔高校探讨生罗特莫莫里斯将计算机病毒蠕虫投放到网络中。该病毒程序里斯将计算机病毒蠕虫投放到网络中。该病毒程序快速扩展，造成了大批计算机瘫痪，甚至欧洲联网快速扩展，造成了大批计算机瘫痪，甚至欧洲联网的计算机都受

6、到影响，干脆经济损失近亿美元。的计算机都受到影响，干脆经济损失近亿美元。8 8.1 1计计算算机机病病毒毒概概述述2计算机病毒在中国的发展状况计算机病毒在中国的发展状况 在我国，在我国，80年头末，有关计算机病毒问题的年头末，有关计算机病毒问题的探讨和防范已成为计算机平安方面的重大课题。探讨和防范已成为计算机平安方面的重大课题。1982年年“黑色星期五黑色星期五”病毒侵入我国；病毒侵入我国；1985年在年在国内发觉更为危急的国内发觉更为危急的“病毒生产机病毒生产机”，生存实力和，生存实力和破坏实力极强。这类病毒有破坏实力极强。这类病毒有1537、CLME等。进入等。进入90年头，计算机病毒在国

7、内的泛滥更为严峻。年头，计算机病毒在国内的泛滥更为严峻。CIH病毒是首例攻击计算机硬件的病毒，它可攻击计算病毒是首例攻击计算机硬件的病毒，它可攻击计算机的主板，并可造成网络的瘫痪。机的主板，并可造成网络的瘫痪。8 8.1 1计计算算机机病病毒毒概概述述3计算机病毒发展的计算机病毒发展的10个阶段个阶段（1）DOS引导阶段引导阶段（2）DOS可执行文件阶段可执行文件阶段（3）混合型阶段）混合型阶段（4）伴随型阶段）伴随型阶段（5）多形型阶段）多形型阶段（6）生成器，变体机阶段）生成器，变体机阶段（7）网络，蠕虫阶段）网络，蠕虫阶段（8）Windows阶段阶段（9）宏病毒阶段）宏病毒阶段（10）I

8、nternet阶段阶段 返回本节8 8.1 1计计算算机机病病毒毒概概述述计算机病毒的分类计算机病毒的分类病毒种类众多，分类如下：病毒种类众多，分类如下：1按按传传染染方方式式分分为为引引导导型型、文文件件型型和和混混合合型型病病毒毒2按按连连接接方方式式分分为为源源码码型型、入入侵侵型型、操操作作系系统统型和外壳型病毒型和外壳型病毒3按破坏性可分为良性病毒和恶性病毒按破坏性可分为良性病毒和恶性病毒4网络病毒网络病毒返回本节8 8.1 1计计算算机机病病毒毒概概述述计算机病毒的特点计算机病毒的特点（1）刻意编写，人为破坏）刻意编写，人为破坏（2）自我复制实力）自我复制实力（3）夺取系统限制权）

9、夺取系统限制权（4）隐藏性）隐藏性（5）潜藏性）潜藏性（6）不行预见性）不行预见性 返回本节8 8.1 1计计算算机机病病毒毒概概述述计算机病毒的隐藏之处和入侵途径计算机病毒的隐藏之处和入侵途径1病毒的隐藏之处病毒的隐藏之处（1）可执行文件。）可执行文件。（2）引导扇区。）引导扇区。（3）表格和文档。）表格和文档。（4）Java小程序和小程序和ActiveX控件。控件。2病毒的入侵途径病毒的入侵途径（1）传统方法）传统方法（2）Internet 返回本节8 8.1 1计计算算机机病病毒毒概概述述现代计算机病毒的流行特征现代计算机病毒的流行特征1攻击对象趋于混合型攻击对象趋于混合型 2反跟踪技术

10、反跟踪技术 3增加隐藏性增加隐藏性 4加密技术处理加密技术处理 5病毒繁衍不同变种病毒繁衍不同变种 8 8.1 1计计算算机机病病毒毒概概述述增加隐藏性：增加隐藏性：（1）避开修改中断向量值）避开修改中断向量值（2）恳求在内存中的合法身份）恳求在内存中的合法身份（3）维持宿主程序的外部特性）维持宿主程序的外部特性（4）不运用明显的感染标记）不运用明显的感染标记 8 8.1 1计计算算机机病病毒毒概概述述加密技术处理加密技术处理：（1）对程序段动态加密）对程序段动态加密（2）对显示信息加密）对显示信息加密（3）对宿主程序段加密）对宿主程序段加密 返回本节8 8.1 1计计算算机机病病毒毒概概述述

11、计算机病毒的破坏行为计算机病毒的破坏行为（1）攻击系统数据区）攻击系统数据区（2）攻击文件）攻击文件（3）攻击内存）攻击内存（4）干扰系统运行，使运行速度下降）干扰系统运行，使运行速度下降（5）干扰键盘、喇叭或屏幕）干扰键盘、喇叭或屏幕（6）攻击）攻击CMOS（7）干扰打印机）干扰打印机（8）网络病毒破坏网络系统）网络病毒破坏网络系统 返回本节8 8.1 1计计算算机机病病毒毒概概述述计算机病毒的作用机制计算机病毒的作用机制1计算机病毒的一般构成计算机病毒的一般构成 2计算机病毒的引导机制计算机病毒的引导机制 3计算机病毒的传染机制计算机病毒的传染机制 4计算机病毒的破坏机制计算机病毒的破坏机

12、制 8 8.1 1计计算算机机病病毒毒概概述述一个引导病毒传染的实例一个引导病毒传染的实例 假假定定用用硬硬盘盘启启动动，且且该该硬硬盘盘已已染染上上了了小小球球病病毒毒，那那么么加加电电自自举举以以后后，小小球球病病毒毒的的引引导导模模块块就就把把全全部部病病毒毒代代码码1024字字节节爱爱护护到到了了内内存存的的最最高高段段，即即97C0：7C00处处；然然后后修修改改INT 13H的的中中断断向向量量，使使之之指指向向病病毒毒的的传传染染模模块块。以以后后，一一旦旦读读写写软软磁磁盘盘的的操操作作通通过过INT 13H的的作作用用，计计算算机机病病毒毒的的传传染染块块便便领领先先取取得得

13、限限制制权权，它它就就进行如下操作：进行如下操作：8 8.1 1计计算算机机病病毒毒概概述述1）读入目标软磁盘的自举扇区（）读入目标软磁盘的自举扇区（BOOT扇区）。扇区）。2）推断是否满足传染条件。）推断是否满足传染条件。3）假假如如满满足足传传染染条条件件（即即目目标标盘盘BOOT区区的的01FCH偏偏移移位位置置为为5713H标标记记），则则将将病病毒毒代代码码的的前前512字字节节写写入入BOOT引引导导程程序序，将将其其后后512字字节节写写入入该该簇簇，随随后后将将该该簇簇标标以以坏坏簇簇标标记记，以爱护该簇不被重写。以爱护该簇不被重写。4）跳跳转转到到原原INT 13H的的入入口

14、口执执行行正正常常的的磁磁盘盘系系统操作。统操作。8 8.1 1计计算算机机病病毒毒概概述述一个文件病毒传染的实例一个文件病毒传染的实例 假假如如VVV.COM（或或.EXE）文文件件已已染染有有耶耶路路撒撒冷冷病病毒毒，那那么么运运行行该该文文件件后后，耶耶路路撒撒冷冷病病毒毒的的引引导导模模块块会会修修改改INT 21H的的中中断断向向量量，使使之之指指向向病病毒毒传传染染模模块块，并并将将病病毒毒代代码码驻驻留留内内存存，此此后后退退回回操操作作系系统统。以以后后再再有有任任何何加加载载执执行行文文件件的的操操作作，病病毒毒的的传传染染模模块块将将通通过过INT 21H的的调用领先获得限

15、制权，并进行以下操作：调用领先获得限制权，并进行以下操作：8 8.1 1计计算算机机病病毒毒概概述述1）读出该文件特定部分。）读出该文件特定部分。2）推断是否传染。）推断是否传染。3）假假如如满满足足条条件件，则则用用某某种种方方式式将将病病毒毒代代码码与与该该可可执执行行文文件件链链接接，再再将将链链接接后后的的文文件件重重新新写写入磁盘。入磁盘。4）转转回回原原INT 21H入入口口，对对该该执执行行文文件件进进行行正正常加载。常加载。8 8.1 1计计算算机机病病毒毒概概述述计算机病毒的传染过程计算机病毒的传染过程计算机病毒的传染过程计算机病毒的传染过程1）驻入内存。）驻入内存。2）推断

16、传染条件。）推断传染条件。3）传染。）传染。返回本节8 8.1 1计计算算机机病病毒毒概概述述8.28.2DOSDOS环境下的病毒环境下的病毒8.2.18.2.1DOSDOS基本学问介绍基本学问介绍8.2.28.2.2常见常见DOSDOS病毒分析病毒分析返回本章首页8 8.1 1计计算算机机病病毒毒概概述述8.2.18.2.1DOSDOS基本学问介绍基本学问介绍1DOS的基本结构的基本结构 2DOS启动过程启动过程 3DOS的程序加载过程的程序加载过程 4DOS的中断系统的中断系统 8 8.1 1计计算算机机病病毒毒概概述述1DOS的基本结构的基本结构（1）引导记录模块）引导记录模块（2）基本

17、输入输出管理模块）基本输入输出管理模块（3）核心模块）核心模块（4）SHELL模块模块 8 8.1 1计计算算机机病病毒毒概概述述2DOS启动过程启动过程 PC X86系系列列计计算算机机设设计计时时，都都使使地地址址0FFFF0H处处于于ROM区区中中，并并将将该该地地址址的的内内容容设设计计为为一一条条跳跳转转指指令令并并首首先先执执行行它它，这这样样就就将将限限制制权权交交给给了了自自检检程程序序和和ROM引引导导装装入入程程序序。启启动动过过程程为为：硬硬件件自自检检自自举举系系统统初初始始化化内内 核核 初初 始始 化化 建建 立立 系系 统统 运运 行行 环环 境境COMMAND.

18、COM初始化。初始化。8 8.1 1计计算算机机病病毒毒概概述述3DOS的程序加载过程的程序加载过程（1）COMMAND处理吩咐的过程处理吩咐的过程（2）.EXE文件的加载文件的加载（3）.COM文件的加载文件的加载 8 8.1 1计计算算机机病病毒毒概概述述4DOS的中断系统的中断系统（1）中断向量表）中断向量表（2）中断响应过程）中断响应过程（3）计算机病毒常常运用的中断）计算机病毒常常运用的中断 8 8.1 1计计算算机机病病毒毒概概述述多数病毒常常运用磁盘服务中断和时钟中断。多数病毒常常运用磁盘服务中断和时钟中断。1）ROM BIOS软中断软中断INT 13H。2）磁盘逻辑扇区读）磁盘

19、逻辑扇区读/写中断写中断INT 25H、INT 26H。3）间隔时钟中断）间隔时钟中断INT 1CH。4）时钟中断）时钟中断INT 8H。是。是ROM BIOS硬中断，其向量地硬中断，其向量地址为址为0000:0020H0000:0023H。5）屏幕显示中断）屏幕显示中断INT 10H。向量地址为。向量地址为0000:0040H0000:0043H。6）程序正常结束中断）程序正常结束中断INT 20H。是。是DOS软中断，其向软中断，其向量地址为量地址为0000:00800000:0083H。7）系统功能调用中断）系统功能调用中断INT 21H。返回本节8 8.1 1计计算算机机病病毒毒概概述

20、述常见常见DOSDOS病毒分析病毒分析1引导记录病毒引导记录病毒（1）引）引导导型型病毒的传播、破坏过程病毒的传播、破坏过程（2）引导型病毒实例：火炬病毒）引导型病毒实例：火炬病毒 2文件型病毒文件型病毒（1）文件型病毒的类型）文件型病毒的类型（2）文件型病毒的感染方式）文件型病毒的感染方式 （3）.COM文件的感染文件的感染（4）.EXE文件的感染文件的感染（5）.SYS文件的感染文件的感染 8 8.1 1计计算算机机病病毒毒概概述述（a）引导型病毒）引导型病毒 （b）文件型病毒）文件型病毒图图8.1病毒的传播、破坏过程病毒的传播、破坏过程返回本节8 8.1 1计计算算机机病病毒毒概概述述8

21、.38.3宏病毒宏病毒宏病毒的分类宏病毒的分类宏病毒的行为和特征宏病毒的行为和特征宏病毒的特点宏病毒的特点宏病毒的防治宏病毒的防治和清除方法和清除方法返回本章首页8 8.1 1计计算算机机病病毒毒概概述述宏病毒的分类宏病毒的分类1公（共）用宏病毒公（共）用宏病毒这这类类宏宏病病毒毒对对全全部部的的Word文文档档有有效效，其其触触发发条条件件是是在在启启动动或或调调用用Word文文档档时时，自自动动触触发发执执行行。它它有有两两个个显显著的特点：著的特点：1）只只 能能 用用“Autoxxxx”来来 命命 名名，即即 宏宏 名名 称称 是是 用用“Auto”开开头头，xxxx表表示示的的是是具

22、具体体的的一一种种宏宏文文件件名名。如如AutoOpen、AutoClose、AutoCopy等。等。2）它它们们确确定定要要附附加加在在Word共共用用模模板板上上才才有有“公公用用”作作用用。通通常常在在用用户户不不规规定定和和另另行行编编制制其其他他的的公公用用模模板板时时，它它们们应应是是附附加加在在Normal.dot模模板板上上，或或者者首首先先要要能将自己写进这样的模板才行。能将自己写进这样的模板才行。8 8.1 1计计算算机机病病毒毒概概述述2私用宏病毒私用宏病毒私私用用宏宏病病毒毒与与公公用用宏宏病病毒毒的的主主要要区区分分是是：前前者者一一般般放放在在用用户户自自定定义义的

23、的Word模模板板中中，仅仅与与运运用用这这种种模模板板的的Word文文档档有有关关，即即只只有有运运用用这这个个特特定定模模板板的的文文档档，该该宏宏病病毒毒才才有有效效，而而对对运运用用其其他模板的文档，私用宏病毒一般不起作用。他模板的文档，私用宏病毒一般不起作用。返回本节8 8.1 1计计算算机机病病毒毒概概述述宏病毒的行为和特征宏病毒的行为和特征 宏病毒是一种新形态的计算机病毒，也是宏病毒是一种新形态的计算机病毒，也是一种跨平台式计算机病毒。可以在一种跨平台式计算机病毒。可以在Windows、Windows 95/98/NT、OS/2、Macintosh System7等操作系统上执行

24、病毒行为。等操作系统上执行病毒行为。宏病毒的主要特征如下：宏病毒的主要特征如下：1）宏病毒会感染）宏病毒会感染.DOC文档和文档和.DOT模板文件。模板文件。2）宏病毒的传染通常是）宏病毒的传染通常是Word在打开一个带宏在打开一个带宏病毒的文档或模板时，激活宏病毒。病毒的文档或模板时，激活宏病毒。8 8.1 1计计算算机机病病毒毒概概述述3）多数宏病毒包含）多数宏病毒包含AutoOpen、AutoClose、AutoNew和和AutoExit等自动宏，通过这些自动等自动宏，通过这些自动宏病毒取得文档（模板）操作权。宏病毒取得文档（模板）操作权。4）宏病毒中总是含有对文档读写操作的宏吩咐。）宏

25、病毒中总是含有对文档读写操作的宏吩咐。5）宏病毒在）宏病毒在.DOC文档、文档、.DOT模板中以模板中以BFF（Binary File Format）格式存放，这是）格式存放，这是一种加密压缩格式，每个一种加密压缩格式，每个Word版本格式可能不版本格式可能不兼容。兼容。6）宏病毒具有兼容性。）宏病毒具有兼容性。返回本节8 8.1 1计计算算机机病病毒毒概概述述宏病毒的特点宏病毒的特点1传播极快传播极快 2制作、变种便利制作、变种便利3破坏可能性极大破坏可能性极大 返回本节8 8.1 1计计算算机机病病毒毒概概述述宏病毒的防治宏病毒的防治和清除方法和清除方法 Word宏病毒，是近年来被人们谈论

26、得最宏病毒，是近年来被人们谈论得最多的一种计算机病毒。与那些用困难的计算机多的一种计算机病毒。与那些用困难的计算机编程语言编制的病毒相比，宏病毒的防治要简编程语言编制的病毒相比，宏病毒的防治要简洁得多！在了解了洁得多！在了解了Word宏病毒的编制、发作过宏病毒的编制、发作过程之后，即使是一般的计算机用户，不借助任程之后，即使是一般的计算机用户，不借助任何杀毒软件，就可以较好地对其进行防冶。何杀毒软件，就可以较好地对其进行防冶。1查看查看“可疑可疑”的宏的宏 2按运用习惯编制宏按运用习惯编制宏 3防备防备Autoxxxx宏宏 8 8.1 1计计算算机机病病毒毒概概述述4当心运用外来的当心运用外来

27、的Word文档文档 5运用选项运用选项“Prompt to Save Normal Template”6通过通过Shift键来禁止运行自动宏键来禁止运行自动宏 7查看宏代码并删除查看宏代码并删除 8运用运用Disable Auto Marcros宏宏 9运用运用OFFICE 97的报警设置的报警设置 10设置设置Normal.dot的只读属性的只读属性 11Normal.dot的密码爱护的密码爱护 12创建创建Payload宏宏 13运用运用Word Viewer或或Word Pad 14将文档存储为将文档存储为RTF格式格式 返回本节8 8.1 1计计算算机机病病毒毒概概述述8.48.4网络

28、计算机病毒网络计算机病毒网络计算机病毒的特点网络计算机病毒的特点网络对病毒的敏感性网络对病毒的敏感性网络病毒实例网络病毒实例电子邮件病毒电子邮件病毒返回本章首页8 8.1 1计计算算机机病病毒毒概概述述网络计算机病毒的特点网络计算机病毒的特点在在网网络络环环境境中中，计计算算机机病病毒毒具具有如下一些新的特点：有如下一些新的特点：（1）传染方式多）传染方式多（2）传传染速度快染速度快（3）清除难度大）清除难度大（4）破坏性强）破坏性强（5）可激发性）可激发性（6）潜潜在性在性 返回本节8 8.1 1计计算算机机病病毒毒概概述述网络对病毒的敏感性网络对病毒的敏感性1网络对文件病毒的敏感性网络对文

29、件病毒的敏感性2网络对引导病毒的敏感性网络对引导病毒的敏感性 3网络对宏病毒的敏感性网络对宏病毒的敏感性 8 8.1 1计计算算机机病病毒毒概概述述1网络对文件病毒的敏感性网络对文件病毒的敏感性（1）网络服务器上的文件病毒）网络服务器上的文件病毒（2）端到端网络上的文件病毒）端到端网络上的文件病毒（3）Internet上的文件病毒上的文件病毒 8 8.1 1计计算算机机病病毒毒概概述述2网络对引导病毒的敏感性网络对引导病毒的敏感性（1）网络服务器上的引导病毒）网络服务器上的引导病毒（2）端到端网络上的引导病毒）端到端网络上的引导病毒（3）Internet上的引导病毒上的引导病毒 8 8.1 1

30、计计算算机机病病毒毒概概述述3网络对宏病毒的敏感性网络对宏病毒的敏感性（1）网络服务器上的宏病毒）网络服务器上的宏病毒（2）端到端网络上的宏病毒）端到端网络上的宏病毒（3）Internet上的宏病毒上的宏病毒 返回本节8 8.1 1计计算算机机病病毒毒概概述述网络病毒实例网络病毒实例电子邮件病毒电子邮件病毒1电子邮件病毒的特点电子邮件病毒的特点（1）邮件格式不统一，杀毒困难）邮件格式不统一，杀毒困难（2）传播速度快，传播范围广，破坏力大）传播速度快，传播范围广，破坏力大 2电子邮件病毒的防范措施电子邮件病毒的防范措施 1）首首先先，不不要要轻轻易易打打开开生生疏疏人人来来信信中中的的附附件件文

31、文件。件。2）对对于于比比较较熟熟悉悉、了了解解的的挚挚友友们们寄寄来来的的信信件件，假假如如其其信信中中夹夹带带了了程程序序附附件件，但但是是他他却却没没有有在在信中提及或是说明，也不要轻易运行。信中提及或是说明，也不要轻易运行。8 8.1 1计计算算机机病病毒毒概概述述3）给别人发送程序文件甚至包括电子贺卡时，）给别人发送程序文件甚至包括电子贺卡时，确定要先在自己的计算机中试试，确认没有问确定要先在自己的计算机中试试，确认没有问题后再发，以免好心办了坏事。题后再发，以免好心办了坏事。4）不断完善）不断完善“网关网关”软件及病毒防火墙软件，软件及病毒防火墙软件，加强对整个网络入口点的防范。加

32、强对整个网络入口点的防范。5）运用优秀的防毒软件对电子邮件进行特地的）运用优秀的防毒软件对电子邮件进行特地的爱护。爱护。6）运用防毒软件同时爱护客户机和服务器。）运用防毒软件同时爱护客户机和服务器。7）运用特定的）运用特定的SMTP杀毒软件。杀毒软件。返回本节8 8.1 1计计算算机机病病毒毒概概述述8.58.5反病毒技术反病毒技术计算机病毒的检测计算机病毒的检测计算计算机病毒的防治机病毒的防治计算机感染病毒后的修复计算机感染病毒后的修复返回本章首页8 8.1 1计计算算机机病病毒毒概概述述计算机病毒的检测计算机病毒的检测1异样状况推断异样状况推断2计算机病毒的检查计算机病毒的检查8 8.1

33、1计计算算机机病病毒毒概概述述1异样状况推断异样状况推断计算机工作出现下列异样现象，则有可能感染了病毒：计算机工作出现下列异样现象，则有可能感染了病毒：1）屏屏幕幕出出现现异异样样图图形形或或画画面面，这这些些画画面面可可能能是是一一些些鬼鬼怪怪，也也可可能能是是一一些些下下落落的的雨雨点点、字字符符、树树叶叶等等，并并且且系统很难退出或复原。系统很难退出或复原。2）扬扬声声器器发发出出与与正正常常操操作作无无关关的的声声音音，如如演演奏奏乐乐曲曲或或是随意组合的、杂乱的声音。是随意组合的、杂乱的声音。3）磁磁盘盘可可用用空空间间削削减减，出出现现大大量量坏坏簇簇，且且坏坏簇簇数数目目不不断增

34、多，直到无法接着工作。断增多，直到无法接着工作。4）硬盘不能引导系统。）硬盘不能引导系统。5）磁盘上的文件或程序丢失。）磁盘上的文件或程序丢失。8 8.1 1计计算算机机病病毒毒概概述述6）磁盘读）磁盘读/写文件明显变慢，访问的时间加长。写文件明显变慢，访问的时间加长。7）系系统统引引导导变变慢慢或或出出现现问问题题，有有时时出出现现“写写爱爱护错护错”提示。提示。8）系统常常死机或出现异样的重启动现象。）系统常常死机或出现异样的重启动现象。9）原原来来运运行行的的程程序序突突然然不不能能运运行行，总总是是出出现现出出错提示。错提示。10）打印机不能正常启动。）打印机不能正常启动。8 8.1

35、1计计算算机机病病毒毒概概述述2计算机病毒的检查计算机病毒的检查（1）检查磁盘主引导扇区）检查磁盘主引导扇区（2）检查）检查FAT表表（3）检查中断向量）检查中断向量（4）检查可执行文件）检查可执行文件（5）检查内存空间）检查内存空间（6）依据特征查找）依据特征查找返回本节8 8.1 1计计算算机机病病毒毒概概述述计算计算机病毒的防治机病毒的防治1建立、健全法律和管理制度建立、健全法律和管理制度 2加强教化和宣扬加强教化和宣扬 3实行更有效的技术措施实行更有效的技术措施 4网络计算机病毒的防治网络计算机病毒的防治 8 8.1 1计计算算机机病病毒毒概概述述实行更有效的技术措施实行更有效的技术措

36、施（1）系统平安）系统平安（2）软件过滤）软件过滤（3）文件加密）文件加密（4）生产过程限制）生产过程限制（5）后备复原）后备复原（6）其他有效措施）其他有效措施 8 8.1 1计计算算机机病病毒毒概概述述其他有效措施其他有效措施 1）重要的磁盘和重要的带后缀）重要的磁盘和重要的带后缀.COM和和.EXE的文件赐予的文件赐予只读功能，避开病毒写到磁盘上或可执行文件中。只读功能，避开病毒写到磁盘上或可执行文件中。2）歼灭传染源。）歼灭传染源。3）建立程序的特征值档案。）建立程序的特征值档案。4）严格内存管理。）严格内存管理。5）严格中断向量的管理。）严格中断向量的管理。6）强化物理访问限制措施）

37、强化物理访问限制措施 7）一旦发觉病毒扩散，要接受牢靠的杀毒软件和请）一旦发觉病毒扩散，要接受牢靠的杀毒软件和请有阅历的专家处理，必要时需报告计算机平安监察部有阅历的专家处理，必要时需报告计算机平安监察部门，特殊要留意不要使其接着扩散。门，特殊要留意不要使其接着扩散。8 8.1 1计计算算机机病病毒毒概概述述防范计算机网络病毒的一些措施：防范计算机网络病毒的一些措施：1）在网络中，尽量多用无盘工作站，不用或少用有软）在网络中，尽量多用无盘工作站，不用或少用有软驱的工作站。驱的工作站。2）在网络中，要保证系统管理员有最高的访问权限，）在网络中，要保证系统管理员有最高的访问权限，避开过多地出现超级

38、用户。避开过多地出现超级用户。3）对非共享软件，将其执行文件和覆盖文件如）对非共享软件，将其执行文件和覆盖文件如*.COM、*.EXE、*.OVL等备份到文件服务器上，定期从服务器等备份到文件服务器上，定期从服务器上拷贝到本地硬盘上进行重写操作。上拷贝到本地硬盘上进行重写操作。4）接收远程文件输入时，确定不要将文件干脆写入本）接收远程文件输入时，确定不要将文件干脆写入本地硬盘，而应将远程输入文件写到软盘上，然后对其地硬盘，而应将远程输入文件写到软盘上，然后对其进行查毒，确认无毒后再拷贝到本地硬盘上。进行查毒，确认无毒后再拷贝到本地硬盘上。8 8.1 1计计算算机机病病毒毒概概述述5）工作站接受

39、防病毒芯片，这样可防止引导型病毒。）工作站接受防病毒芯片，这样可防止引导型病毒。6）正确设置文件属性，合理规范用户的访问权限。）正确设置文件属性，合理规范用户的访问权限。7）建建立立健健全全的的网网络络系系统统平平安安管管理理制制度度，严严格格操操作作规规程程和规章制度，定期作文件备份和病毒检测。和规章制度，定期作文件备份和病毒检测。8）目目前前预预防防病病毒毒最最好好的的方方法法就就是是在在计计算算机机中中安安装装防防病病毒毒软软件件，这这和和人人体体注注射射疫疫苗苗是是同同样样的的道道理理。接接受受优优秀秀的的网网络络防防病病毒毒软软件件，如如LAN Protect和和LAN Clear

40、for NetWare等。等。9）为为解解决决网网络络防防病病毒毒的的要要求求，已已出出现现了了病病毒毒防防火火墙墙，在局域网与在局域网与Internet，用户与网络之间进行隔离。，用户与网络之间进行隔离。返回本节8 8.1 1计计算算机机病病毒毒概概述述计算机感染病毒后的修复计算机感染病毒后的修复1修复引导记录病毒修复引导记录病毒（1）修复感染的软盘）修复感染的软盘（2）修复感染的主引导记录）修复感染的主引导记录（3）利用反病毒软件修复）利用反病毒软件修复8 8.1 1计计算算机机病病毒毒概概述述2修复可执行文件病毒修复可执行文件病毒 即即使使有有阅阅历历的的用用户户也也会会认认为为修修复复

41、文文件件病病毒毒感感染染很很困困难难。一一般般要要先先用用杀杀病病毒毒软软件件杀杀毒毒，再再用用未未感感染染的的备备份份拷拷贝贝代代替替它它，这这是是修修复复被被感感染染程程序序文文件件的的最最有有效效途途径径。假假如如得得不不到到备备份份，反反病病毒毒程程序序一一般般运运用用它它们们的的病病毒毒扫扫描描器器组组件件检检测测并并修修复复感感染染的的程程序序文文件件。假假如如文文件件被被非非覆覆盖盖型型病毒感染，那么这个程序很可能会被修复。病毒感染，那么这个程序很可能会被修复。返回本节8 8.1 1计计算算机机病病毒毒概概述述8.68.6软软件防件防病毒病毒技术技术防、杀毒软件的选择防、杀毒软件

42、的选择反病毒软件反病毒软件常用反病毒软件产品常用反病毒软件产品返回本章首页8 8.1 1计计算算机机病病毒毒概概述述防、杀毒软件的选择防、杀毒软件的选择1防、杀毒软件的选购指标防、杀毒软件的选购指标 2上网一族常用的防、杀毒软件上网一族常用的防、杀毒软件 3著名杀毒软件公司的站点地址著名杀毒软件公司的站点地址 8 8.1 1计计算算机机病病毒毒概概述述1防、杀毒软件的选购指标防、杀毒软件的选购指标（1）扫描速度）扫描速度（2）识别率）识别率（3）病毒清除测试）病毒清除测试 8 8.1 1计计算算机机病病毒毒概概述述2上网一族常用的防、杀毒软件上网一族常用的防、杀毒软件 Commands F P

43、ROT专专 业业 版版 For Win95。Norton AntiVirus For Win95。Norton AntiVirus For WinNT。PCCillin AntiVirus For Win95。Virus Scan For Win95。Web ScanX For Win95或或NT。eSafe Protect For Win95等等。等等。8 8.1 1计计算算机机病病毒毒概概述述3著名杀毒软件公司的站点地址著名杀毒软件公司的站点地址 表表8.1著名杀毒软件公司的网址著名杀毒软件公司的网址返回本节8 8.1 1计计算算机机病病毒毒概概述述反病毒软件反病毒软件1病毒扫描程序病毒扫

44、描程序 2内存扫描程序内存扫描程序 3完整性检查器完整性检查器 4行为监视器行为监视器 8 8.1 1计计算算机机病病毒毒概概述述1病毒扫描程序病毒扫描程序（1）串扫描算法）串扫描算法（2）入口点扫描算法）入口点扫描算法（3）类属解密法）类属解密法 8 8.1 1计计算算机机病病毒毒概概述述2内存扫描程序内存扫描程序 内内存存扫扫描描程程序序接接受受与与病病毒毒扫扫描描程程序序同同样样的的基基本本原原理理进进行行工工作作。它它的的工工作作是是扫扫描描内内存存以以搜搜寻寻内内存驻留文件和引导记录病毒。存驻留文件和引导记录病毒。尽尽管管病病毒毒可可以以毫毫无无觉觉察察的的把把自自己己隐隐藏藏在在程

45、程序序和和文文件件中中，但但病病毒毒不不能能在在内内存存中中隐隐藏藏自自己己。因因此此内内存存扫扫描描程程序序可可以以干干脆脆搜搜寻寻内内存存，查查找找病病毒毒代代码码。假假如如一一个个反反病病毒毒产产品品不不运运用用内内存存扫扫描描，其其病病毒毒检检测测技技术术是是很很不不完完善善的的，很很可可能能漏漏查查、漏漏杀某些病毒。杀某些病毒。8 8.1 1计计算算机机病病毒毒概概述述3完整性检查器完整性检查器 完整性检查器的工作原理基于如下的假设：在正常完整性检查器的工作原理基于如下的假设：在正常的计算机操作期间，大多数程序文件和引导记录不会变的计算机操作期间，大多数程序文件和引导记录不会变更。这

46、样，计算机在未感染状态，取得每个可执行文件更。这样，计算机在未感染状态，取得每个可执行文件和引导记录的信息指纹，将这一信息存放在硬盘的数据和引导记录的信息指纹，将这一信息存放在硬盘的数据库中。库中。完整性检查器是一种强有力的防病毒爱护方式。因完整性检查器是一种强有力的防病毒爱护方式。因为几乎全部的病毒都要修改可执行文件引导记录，包括为几乎全部的病毒都要修改可执行文件引导记录，包括新的未发觉的病毒，所以它的检测率几乎百分之百。引新的未发觉的病毒，所以它的检测率几乎百分之百。引起完整性检查器失效的可能有：有些程序执行时必须要起完整性检查器失效的可能有：有些程序执行时必须要修改它自己；对已经被病毒感

47、染的系统再运用这种方法修改它自己；对已经被病毒感染的系统再运用这种方法时，可能遭到病毒的蒙骗等。时，可能遭到病毒的蒙骗等。8 8.1 1计计算算机机病病毒毒概概述述4行为监视器行为监视器 行行为为监监视视器器又又叫叫行行为为监监视视程程序序，它它是是内内存存驻驻留留程程序序，这这种种程程序序静静静静地地在在后后台台工工作作，等等待待病病毒毒或或其其他他有有恶恶意意的的损损害害活活动动。假假如如行行为为监监视视程程序序检检测测到到这这类类活活动动，它它就就会会通通知知用用户户，并并且且让用户确定这一类活动是否接着。让用户确定这一类活动是否接着。返回本节8 8.1 1计计算算机机病病毒毒概概述述常

48、用反病毒软件产品常用反病毒软件产品 随随着着世世界界范范围围内内计计算算机机病病毒毒的的大大量量流流行行，病病毒毒编编制制花花样样不不断断变变更更，反反病病毒毒软软件件也也在在经经受受一一次次又又一一次次考考验验，各各种种反反病病毒毒产产品品也也在在不不断断地地推推陈陈出出新新、更更新新换换代代。这这些些产产品品的的特特点点表表现现为为技技术术领领先先、误误报报率率低低、杀杀毒毒效效果果明明显显、界界面面友友好好、良良好好的的升升级级和和售售后后服服务务技技术术支支特特、与与各各种种软软硬硬件件平平台台兼兼容容性性好好等等方方面面。常常用用的的反反病病毒毒软软件有件有KV3000、瑞星（、瑞星

49、（2001版）等。版）等。返回本节8 8.1 1计计算算机机病病毒毒概概述述8.78.7典型病毒实例典型病毒实例CIHCIH病毒介绍病毒介绍8.7.18.7.1CIHCIH病毒简介病毒简介8.7.28.7.2复原被复原被CIHCIH病毒破坏的硬盘信息病毒破坏的硬盘信息8.7.38.7.3CIHCIH病毒的免疫病毒的免疫返回本章首页8 8.1 1计计算算机机病病毒毒概概述述CIHCIH病毒简介病毒简介1CIH病毒分析病毒分析 CIH病病毒毒是是迄迄今今为为止止发发觉觉的的最最阴阴险险、危危害害最最大大的的病病毒毒之之一一。它它发发作作时时不不仅仅破破坏坏硬硬盘盘的的引引导导扇扇区区和和分分区区表

50、表，而而且且破破坏坏计计算算机机系系统统FLASH BIOS芯芯片片中中的的系系统统程程序序，导致主板损坏。导致主板损坏。2CIH病毒发作时的现象病毒发作时的现象 CIH病病毒毒发发作作时时，将将用用凌凌乱乱的的信信息息覆覆盖盖硬硬盘盘主主引引导导区区和和系系统统BOOT区区，改改写写硬硬盘盘数数据据，破破坏坏FLASH BIOS，用用随随机机数数填填充充FLASH内内存存，导导致致机机器器无无法法运运行行。所所以该病毒发作时仅会破坏可升级主板的以该病毒发作时仅会破坏可升级主板的FLASH BIOS。返回本节8 8.1 1计计算算机机病病毒毒概概述述8.7.28.7.2复原被复原被CIHCIH