搜索
1第10章计算机病毒李剑北京邮电大学信息安全中心E-mail:lijian@bupt.edu.cn010－862123462目录一.计算机病毒的概述二.计算机病毒的工作原理三.计算机病毒的分类四.计算机病毒的表现特征五.典型计算机病毒的介绍六.计算机病毒的清除七.计算机病毒的发展3引言近年来，由于计算机病毒的泛滥，全世界平均不到20分钟就会产生一个新的病毒。这些病毒通过Internet传向世界各个角落，这意味着连入Internet的计算机平均20分钟就有可能被感染一次。按每天开机联网2小时，一年内可能被全世界所有最新病毒感染2190次。继传统方式感染可执行文件病毒以后，新病毒以其较强的隐蔽性和相当强的传染性在Internet上广泛散播开来。4引言据统计，在我国企业、公司级的网络系统中，有90%的计算机都曾受到过病毒的感染。60%以上的计算机都曾因病毒而丢失过文件、数据等。计算机病毒的侵犯已成为计算机安全的最大问题，它带来的人力和经济损失是巨大的。目前，病毒在设计上越来越复杂，在数量上呈指数增长，并在功能和形态等方面都发生了很大的变化，病毒的概念己逐渐为人们所熟悉。5引言计算机病毒从其产生至今，世界上病毒的数量目前已经发展到近五万种，病毒的种类和编制技术也经历了几代的发展。在我国曾经广泛流行的计算机病毒有近千种，并且有些病毒给我国的计算机信息系统造成很大破坏，影响我国信息化的发展和应用。公安部作为我国计算机安全的主管机关，从八十年代初就建立了专门的机构从事计算机病毒的。最新的病毒如QQ病毒、熊猫烧香病毒、灰鸽子病毒。计算机病毒历史演示7DOS环境下的病毒演示火炬病毒救护车病毒RescueSuicide8火炬病毒该病毒发作时，在屏幕显示五把燃烧的火炬。同时，该病毒用内存的随机数从硬盘的物理第一扇区开始覆盖，造成硬盘中的数据丢失。9Rescue病毒病毒发作时，显示一些图形和文字。10Suicide病毒该病毒发作时，在屏幕上显示一幅图形，告诉你的机器已经被该病毒感染。11救护车病毒该病毒发作时，从屏幕左下角有一辆救护车跑过。12宏病毒演示DMV病毒Aliance病毒Laroux病毒Concept病毒13DMV病毒该病毒据说是第一个宏病毒，属于实验性的，无破坏性。14Aliance病毒该病毒发作时，显示一个对话框。15Laroux病毒该病毒感染WindowsExcel文档，图中显示的是病毒的宏名。16Concept病毒该病毒感染WinWord后，将在屏幕上弹出一个对话框。17DOS时代的AIDS病毒18Windows环境下的病毒演示CIH女鬼白雪公主病毒等等……19Windows95/98时代大名鼎鼎的CIH病毒CIH作者陈盈豪20骇人听闻的女鬼病毒恐怖的图片和音乐21WindowsNT时代的白雪公主病毒巨大的黑白螺旋占据了屏幕位置，使计算机使用者无法进行任何操作！22千年老妖病毒使计算机反复的关机，每60秒一次23木马病毒和黑客程序的远程监控24席卷全球的NIMDA病毒25NIMDA病毒的4种传播方式26造成严重危害的细密病毒Sircam27“震荡波”(Worm.Sasser)28其他新型病毒ActiveX病毒JAVA病毒HTML病毒手机病毒掌上型移动设备病毒病毒与黑客程序结合的有害程序QQ病毒、熊猫烧香病毒、灰鸽子29U盘病毒病毒在U盘中放置一个程序，改名“RavMonE.exe”，这很容易让人以为是瑞星的程序，其实是病毒。30网络的普及使学习病毒进攻变得容易全球超过26万个黑客站点提供病毒和攻击知识越来越多的容易使用的攻击软件的出现国内法律制裁打击力度不够31混合型、自动的攻击WorkstationViaEmailFileServerWorkstationMailServerInternet混合型攻击:蠕虫WebServerViaWebPageWorkstationWebServerMailGateway防病毒防火墙入侵检测风险管理攻击的发展趋势32网络的普及使学习病毒进攻变得容易全球超过26万个黑客站点提供病毒和攻击知识越来越多的容易使用的攻击软件的出现国内法律制裁打击力度不够33提问同学???提问？？？请问你有没有遇到过计算机病毒？当是发生过什么现象？？34广义定义能够引起计算机故障,破坏计算机数据的程序都统称为计算机病毒。狭义定义病毒程序通过修改(操作)而传染其他程序,即修改其他程序使之含有病毒自身的精确版本或可能演化的版本、变种或其他病毒繁衍体。２、什么是计算机病毒35我国的计算机病毒定义计算机病毒,指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。摘自《中国人民共和国计算机信息系统安全保护条例》第２８条36计算机病毒是人为制造的具有破坏性的序。计算机病毒的运行是非授权入侵。计算机病毒可以隐藏在可执行文件或数据文件中。关于计算机病毒的三个基本观点：37为什么计算机上会有这么多病毒的呢？2.计算机病毒产生的原因启发同学38计算机技术或管理存在漏洞，所以才有计算机病毒。2.计算机病毒产生的原因答案392.计算机病毒产生原因究其产生的原因不外乎以下几种：(1)一些计算机爱好者出于好奇或兴趣，也有的是为了满足自己的表现欲，故意编制出一些特殊的计算机程序，让别人的电脑出现一些动画，或播放声音，或提出问题让使用者回答，以显示自己的才干。而此种程序流传出去就演变成计算机病毒，此类病毒破坏性一般不大。(2)产生于个别人的报复心理。如祖国台湾的学生陈盈豪，就是出于此种情况；他以前购买了一些杀病毒软件，可拿回家一用，并不如厂家所说的那么厉害，杀不了什么病毒，于是他就想亲自编写一个能避过各种杀病毒软件的病毒，这样，CIH就诞生了。402.计算机病毒产生原因(3)来源于软件加密。一些商业软件公司为了不让自己的软件被非法复制和使用，运用加密技术，编写一些特殊程序附在正版软件上，如遇到非法使用，则此类程序自动激活，于是又会产生一些新病毒，如“巴基斯坦”病毒。(4)产生于游戏，编程人员在无聊时互相编制一些程序输入计算机，让程序去销毁对方的程序，如最早的“磁芯大战”，这样，另一些病毒也产生了。412.计算机病毒产生原因(5)用于研究或实验而设计的“有用”程序，由于某种原因失去控制而扩散出来。(6)由于政治、经济和军事等特殊目的，一些组织或个人也会编制一些程序用于进攻对方电脑，给对方造成灾难或直接性的经济损失。如伊拉克战争中，美军对伊军队做的病毒，使其指挥系统瘫痪。423.病毒传播途径计算机病毒的传播主要是通过拷贝文件、传送文件、运行程序等方式进行,而主要的传播途径有以下几种。(1)硬盘因为硬盘存储数据多，在其互相借用或维修时，将病毒传播到其他的硬盘或软盘上。(2)软盘软盘主要是携带方便，早期时候在网络还不普及时，为了计算机之间互相传递文件，经常使用软盘，这样，通过软盘，也会将一台机子的病毒传播到另一台机子。4310.1计算机病毒概述(3)光盘光盘的存储容量大，所以大多数软件都刻录在光盘上，以便互相传递；由于各普通用户的经济收入不高，购买正版软件的人就少，一些商人就将软件刻录在光盘上，在制作过程中难免会将带毒文件刻录在上面，因其只读，所以上面即使有病毒也不能清除，(4)网络在计算机日益普及的今天，人们通过计算机网络，互相传递文件、信件，这样给病毒的传播速度又加快了；因为资源共享，人们经常在网上下载免费、共享软件，病毒也难免会夹在其中。人们常使用的IM聊天工具等都容易传播病毒。(5)U盘444.计算机病毒的危害计算机病毒会感染、传播，但这并不可怕，可怕的是病毒的破坏性。其主要危害如下。(1)攻击硬盘主引导扇区、Boot扇区、FAT表、文件目录，使磁盘上的信息丢失。(2)删除软盘、硬盘或网络上的可执行文件或数据文件，使文件丢失。(3)占用磁盘空间。(4)修改或破坏文件中的数据，使内容发生变化。(5)抢占系统资源，使内存减少。(6)占用CPU运行时间，使运行效率降低。454.计算机病毒的危害(7)对整个磁盘或扇区进行格式化。(8)破坏计算机主板上BIOS内容，使计算机无法工作。(9)破坏屏幕正常显示，干扰用户的操作。(10)破坏键盘输入程序，使用户的正常输入出现错误。(11)攻击喇叭，会使计算机的喇叭发出响声。有的病毒作者让病毒演奏旋律优美的世界名曲，在高雅的曲调中去杀戮人们的信息财富，有的病毒作者通过喇叭发出种种声音。(12)干扰打印机，假报警、间断性打印、更换字符。465.计算机病毒的特征(1)传染性(2)非授权性(3)隐蔽性(4)潜伏性(5)破坏性(6)不可预见性47一个计算机病毒实例学习：1.计算机病毒产生的原因2.传播途径3.病毒的危害4.计算机病毒的特征48一个小故事一幢红砖砌的两层楼，一座偏僻的小村子，掩映在德国北部平原无边无际的森林和玉米田里。时间：2004年4月29日地点：德国北部罗滕堡镇沃芬森小村(Waffensen),人口仅920。1.时间,地点492.人物斯万-贾斯查因(SvenJaschan)，4月29日这一天是他18岁的生日。母亲叫维洛妮卡，开了一个门面不算大的以电脑维护修理为主的电脑服务部。几天前，为了庆祝他的生日，他在网上下载了一些代码。修改之后今天将它放到了Internet上面。503.传播从5月1日这些代码开始在互联网上以一种“神不知鬼不觉”的特殊方式传遍全球。“中招”后，电脑开始反复自动关机、重启，网络资源基本上被程序消耗，运行极其缓慢。514.危害这就是全球著名的“震荡波”(Worm.Sasser)蠕虫病毒。自“震荡波”5月1日开始传播以来，全球已有约1800万台电脑报告感染了这一病毒。5月3日，“震荡波”病毒出现第一个发作高峰，当天先后出现了B、C、D三个变种，全国已有数以十万计的电脑感染了这一病毒。微软悬赏25万美元找原凶!“五一”长假后的第一天，“震荡波”病毒的第二个高峰果然汹涌而来。仅8日上午9时到10时的短短一个小时内，瑞星公司就接到用户的求助电话2815个，且30％为企业局域网用户，其中不乏大型企业局域网、机场、政府部门、银行等重要单位。9日，“震荡波”病毒疫情依然没有得到缓解。五月份的第一个星期（也就是“震荡波”迅速传播的时候），微软公司德国总部的热线电话就从每周400个猛增到3．5万个525.游戏结束开始时，报道有俄罗斯人编写了这种病毒!5月7日，斯万-贾斯查因的同学为了25万元，将其告发。并被警察逮捕。为了清除和对付“我的末日”（MyDoom）和“贝果”（Bagle）等电脑病毒。谁知，在编写病毒程序的过程中，他设计出一种名为“网络天空A”（Net-sky）病毒变体。在朋友的鼓动下，他对“网络天空A”进行了改动，最后形成了现在的“震荡波”病毒程序。反病毒专家!536.病毒产生原因---漏洞病毒是通过微软的最新高危漏洞-LSASS漏洞(微软MS04-011公告)进行传播的，危害性极大，目前WINDOWS2000/XP/Server2003等操作系统的用户都存在该漏洞，这些操作系统的用户只要一上网，就有可能受到该病毒的攻击。如果用户的电脑中出现下列现象之一，则表明已经中毒。546.病毒表现的特征(1)(1).出现系统错误对话框被攻击的用户，如果病毒攻击失败，则用户的电脑会出现LSAShell服务异常框，接着出现一分钟后重启计算机的“系统关机”框”。556.病毒表现的特征(2)(2).系统日志中出现相应记录如果用户无法确定自己的电脑是否出现过上述的异常框或系统重启提示，还可以通过查看系统日志的办法确定是否中毒。方法是，运行事件查看器程序，查看其中系统日志，如果出现如图所示的日志记录，则证明已经中毒.566.病毒表现的特征(2)3.系统资源被大量占用病毒如果攻击成功，则会占用大量系统资源，使CPU占用率达到100%，出现电脑运行异常缓慢的现象。576