搜索
第十章计算机恶意程序与病毒第十章计算机恶意程序与病毒第一节恶意程序与计算机病毒一、特殊程序、恶意程序与病毒1.特殊程序在特定条件、特定时间和特定环境下才执行的程序。那些具有专门程序功能和执行结果的程序。例如：系统调试与跟踪程序、测试程序、网络分析与监察程序、安全审计程序、工具程序等；自毁程序、跟踪程序、侦察程序等。合法的程序序并不能保证不被非法的使用，合法程序的滥用，将对系统安全形成极大的威协，造成极大的破坏。第十章计算机恶意程序与病毒在已经出现的计算机恶意程序中，有的是将某个合法程序进行改动，让它含有并执行某种破坏功能，如程序自毁或磁盘自毁。有的是利用合法程序的功能和权限，非法获取系统资源和敏感数据，进行系统入侵，如利用网络协议分析程序，进行网络包伪造、通信数据替换等。合法程序的滥用是恶意程序产生的一类因素。第十章计算机恶意程序与病毒恶意程序(一类特殊程序)┌────┴────┐有宿主无宿主┌──┴──┐┌──┴──┐特洛依木马病毒细菌蠕虫(TrojanH)(Virus)(Bacteria)(Worm)复合型病毒第十章计算机恶意程序与病毒⑴“特洛依木马”(TrojanHorse)一种故意隐藏在正常程序代码中的异常特殊代码，在条件成熟时进行特殊任务的执行。“逻辑炸弹”(LogicBomb)：基于逻辑条件的满足而触发“时间炸弹”(TimeBomb)：基于时间条件的满足而激活。不自身复制、不传染、任务完成后自毁或隐藏。远程访问型特洛伊木马：这是现在最广泛的特洛伊木马。可以访问受害人的硬盘。RAT'S（一种远程访问木马）用起来是非常简单的。只需得到受害人的IP，你就会访问到他/她的电脑。他们能几乎可以在你的机器上干任何事。键盘记录，上传和下载功能等等……有不少的流行的特洛伊木马每天被发现，并且这些程序都是大同小异。如果特洛伊木马在每次的Windows重新启动时都会跟着启动，这意味着它修改了注册表或者Win.ini或其他的系统文件以便使木马可以启动。特洛伊木马会创建一些文件到Windows\System目录下。那些文件像一些Windows的正常可执行文件。大多数的特洛伊木马会在Alt+Ctrl+Del对话框中隐藏。远程访问型特洛伊木马会在你的电脑上打开一个端口让每一个人连接。一些特洛伊木马有可以改变端口的选项并且设置密码为的是只能让感染你机器的人来控制特洛伊木马密码发送型特洛伊木马这种特洛伊木马的目的是找到所有的隐藏密码并且在受害者不知道的情况下把它们发送到指定的信箱。大多数这类的特洛伊木马不会在每次的Windows重启时重启，而且它们大多数使用25号端口发送E-mail。像ICQ号码、电脑信息等。如果你有隐藏密码，这些特洛伊木马是危险的。键盘记录型这种特洛伊木马是非常简单的。它们只作一种事情，就是记录受害者的键盘敲击并且在LOG文件里查找密码。通常这种特洛伊木马随着Windows的启动而启动。它们有像在线和离线记录这样的选项。在在线选项中，它们知道受害者在线并且记录每一件事。但在离线记录时每一件事在Windows启动被记录后才被记录并且保存在受害者的磁盘上等待被移动。毁坏型这种特洛伊木马的唯一功能是毁坏并且删除文件。它们非常简单，并且很容易被使用。它们可以自动的删除你电脑上的所有的.Dll或.ini或.exe文件。这是非常危险的特洛伊木马并且一旦你被感染确信你没有杀除，则你的电脑信息会受到极大的影响。FTP型特洛伊木马这类的特洛伊木马打开你电脑的21号端口，使每一个人都可以有一个FTP客户端且不用密码连接到你的电脑并且会有完全的上传下载选项。第十章计算机恶意程序与病毒⑵“计算机病毒”(ComputerVirus)一种人为编制的特殊程序代码，可将自己附着在其他程序代码上以便传播，可自我复制、隐藏和潜伏，并带有破坏数据、文件或系统的特殊功能。特洛依木马的特例。具有宿主。第十章计算机恶意程序与病毒⑶“细菌”(Bacteria)一种简单的可自身复制的程序，一旦进入系统，该程序就连续不停地运行，尽可能地占据处理器时间和存储空间，造成系统因缺乏可用资源而不能工作。无宿主。第十章计算机恶意程序与病毒⑷“蠕虫”(Worm)一种独立运行的程序代码，在网络环境下主动传播和复制，利用系统资源侵入网络，从而阻塞和拒绝网络服务。无宿主、不驻留、仅存在于内存，可经网络传播。第十章计算机恶意程序与病毒二、计算机病毒的特性所有计算机病毒都具有(或者部分具有)下述的特性，这些特性是病毒赖以生存的手段和机制。①传染性(propagation)。感染病毒的程序一旦运行，就会感染其他的程序，并且一直保持这种传染性，进行再传染。特洛依木马型特殊程序以预施方式发布。第十章计算机恶意程序与病毒②持久性(persistence)。带毒程序可以再传染，带毒程序的检测和清除、带毒环境的清洗、系统和数据的恢复是十分困难和费时的，甚至是不可能的。尤其在网络环境下，病毒的跟踪检测是很困难的。反病毒软件及硬件本身所具有的副作用,使系统恢复不稳定和困难。③多能性(versatility)。计算机病毒具有各种类型，变化各异,攻击目标不同,可以针对和攻击各个应用领域，甚至无需任何预先信息。第十章计算机恶意程序与病毒④潜伏性(conceality)。绝大多数病毒代码量少、体积小，附加于其他程序之上,隐藏于系统之中而不易查觉，以便长期潜伏。程序固化和病毒码的微电子化,也从另一途径使得病毒具有长期存在性和潜伏性。潜伏期的病毒由专门事件触发，受害者很难早期发现。部分病毒具有伪装性，难以识别。第十章计算机恶意程序与病毒⑤影响性(effectiveness)。计算机病毒既可以对数据、程序、以及整个系统带来灾难性和深远的影响，也可以对操作员、程序员、以及决策者的心理产生极大影响，造成平时和战时,军事与民事的双重压力。第十章计算机恶意程序与病毒三、计算机病毒的分类，不同的分类方式：功能性、进展分类：四类（四代）驻留和感染机制分类：文件驻留型、系统驻留型、混合驻留型、宏病毒。宿主机不同分类：PC型病毒、Mac病毒、UNIX病毒、网络病毒等。第十章计算机恶意程序与病毒1.计算机病毒进展分类第一代：良性和准恶性表现第二代：恶性、破坏性、复合性机制第三代：变异性、欺骗性、反跟踪性第四代：交叉、融合、隐形和多形性早期病毒与合法的特殊程序间区别模糊，这类病毒程序的表现形式是良性的，例如：占据和消耗时间和空间、修改中断矢量，改动文件指针，改动并增加文件长度，感染指定文件，破坏有限，病毒程序代码基本不变，驻留环境单一，检测消除较容易，系统恢复较好。第十章计算机恶意程序与病毒目前病毒新进展：不修改中断矢量，采用插入或补丁方式，不改动、也不增加文件长度，潜伏在保留区中，感染文件类型增加，甚至全盘感染；恶性破坏增多，物理性、复盖性破坏增加；病毒程序代码改变或部分改变，反跟踪、反分析技术采用，潜伏性强；变异型病毒增多，修改已知病毒，增加反侦破技术。检测消除困难，系统恢复困难；多机系统、多用户系统和网络上的病毒开始出现。第十章计算机恶意程序与病毒2.计算机病毒的驻留方式分类1)文件驻留型病毒病毒附着在可执行文件中。2)系统驻留型病毒病毒程序驻留在系统保留区、参数区、磁盘。3)双重驻留型病毒兼具上述两种情况。4)宏病毒利用WordBASIC宏语言，驻留在Word文档字模板文档，并进行感染传播，原文件病毒。第十章计算机恶意程序与病毒宏病毒特征：①与操纵系统平台无关它可以感染DOS,Windows,Win95,WinNT,MAC等系统下的文档和模板。②利用文档自动装载利用MSWord字处理软件特性自动装载病毒宏代码，其他Office文档也受影响。③感染数据文件宏病毒可以感染DOC,DOT,XLS等类型的数据文件。④检测消除困难与传统病毒机理不同，消除困难。第十章计算机恶意程序与病毒第二节计算机病毒的攻击技术一、计算机病毒的传染途径注入(侵入)--传染(驻留)--替换(修改)--潜伏(等待)--表现(破坏)--结束(自毁)在其上任何一个环节都可以阻止病毒传染、设立警戒标志和防护栏。第十章计算机恶意程序与病毒二、计算机病毒的入侵机制1.直接注入别有用心者施放，软盘、软件传播。2.预置注入通过固件方式和微电子方式,利用智能型可控硬件产品、部件带入或安装在系统中,形成所谓特洛依木马式的特殊程序。当这些部件组成的产品进入对方系统,将形成长期的潜在威胁,特殊工作只需依靠某种方式激发预置的程序而已。第十章计算机恶意程序与病毒3.无线注入通过无线通信方式，利用战时无线通信系统，远距离地将计算机病毒代码发送并进入敌方接收系统，继而进入中央指挥系统或者其他子系统，完成潜伏或直接作用。这种方式的关键是收发双方的同步，利用正常通信方式进入对方系统。第十章计算机恶意程序与病毒4.有线注入主要是经网络的病毒注入。由于网络空间是一个人人都可进入的自由流动区，具有特殊发明创造力的计算机黑客(Hacker)总会找到进入网络系统的入口。而公共信息网络与国家专用信息网络的互连,打开了从不敏感部门进入敏感部门的大门。因此，军事系统受到入侵和进攻的可能性大大存在。第十章计算机恶意程序与病毒三、计算机病毒的潜伏机制可能的藏身之处磁盘文件、磁盘结构(主引导、次引导、FAT、ROOT、UMB和HMA)、保留扇区、超越扇区、磁盘间隙、CMOS等。网络文件、电子邮件、邮件附件等。1MB000000A000常规内存基本内存上位存储区1088K高端存储区ETM/EPM64K384K640K实模式显示存储器ROMBIOS第十章计算机恶意程序与病毒A0000TopBase640KB00000Top和Base是两个指针，规定了应用程序装入的存储区范围，其值存放在00413地址（0280）。如果病毒侵入，可将top指针下移至top1，该区域被病毒程序占据，并不会被新调入的程序覆盖。应用程序区域缩小。Top1病毒程序操作系统应用程序第十章计算机恶意程序与病毒转移到病毒程序执行：MOVSI,0413;指向0:0413字节XORDI,DI;DS:SI=0:0413MOVDS,DI;0:0413中内容为0280DECWORDPTR[SI]；减去1K字节LODSW;将027F取到AX中MOVCL,06;CL=06SHLAX,CL;左移6位=9FC0PUSHAX;压入返回段地址9FC0PUSHDI;压入返回位移量0000RETF;转移到9FC0:0000地址第十章计算机恶意程序与病毒0面0道1扇区MBS1面0道1扇区DBSMBS：MainBootSector主引导扇区DBS：DOSBootSecotor次引导扇区FATFATRoot（系统保留扇区62个）病毒藏身之地Data第十章计算机恶意程序与病毒读MBS引导扇区：（用程序读）MOVAX,0201;读一个扇区MOVBX,1000;读入缓冲区地址1000MOVCX,0001;读第一扇区MOVDX;0080;读C盘0面INT13;读盘操作INT3;执行终止要读63个扇区则用023F，要写入一个扇区则用0301，读A盘为00，B盘为01，C盘为80，D盘为81，类推…...第十章计算机恶意程序与病毒读DBS引导扇区：（用程序读）MOVAX,0201;读一个扇区MOVBX,1000;读入缓冲区地址1000MOVCX,0001;读第一扇区MOVDX;0180;读C盘1面INT13;读盘操作INT3;执行终止读DBS引导扇区：（用命令读）-L1000201注意：A盘为0，B盘为1，C盘为2，D盘为3，以此类推…….第十章计算机恶意程序与病毒四、计算机病毒的感染机制1.重复感染计算机病毒的重复感染是指同一种病毒连续感染，在病毒载体上形成连续重复的病毒体驻留或者对驻留区域进行重复覆盖。正常文件第一次感染第二次感染第n次感染病毒第十章计算机恶意程序与病毒2.交叉感染计算机病毒的交叉感染是指同一系列（但不同种）病毒或者不同类型病毒的重复感染或者连续感染，感染的病毒种类在两种以上。正常文件第一次感染交叉感染多次交叉感染病毒B病毒A病毒A病毒A病