单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,第七章,计算机病毒及防范,小到个人，大到全世界，凡是在使用计算机,的人无一不在受,计算机,病毒的困扰。对于那,些侥幸未受病毒骚扰的人，也不能麻痹大意。,对于计算机病毒，最好还是能防患于未然！,为了能更好地做好防范工作，我们必须了解,它的工作原理、传播途径、表现形式，同时,必须掌握它的检测、预防和清除方法。,7-1,计算机病毒基础知识,7-1-1,计算机病毒的定义,在条例第二十八条中明确指出：,“,计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据、影响计算机使用，并能自我复制的一组计算机指令或者程序代码,”,。此定义具有法律性、权威性。,7-1-2,计算机病毒的历史,1949年，距离第一部商用计算机的出现还有好几年,时，计算机的先驱者冯,诺依曼在他的一篇论文复,杂自动机组织论，提出了计算机程序能够在内存,中自我复制，即已把病毒程序的蓝图勾勒出来。,十年之后，在美国电话电报公司(,AT&T),的贝尔实验,室中，三个年轻程序员道格拉斯,麦耀莱、维特,维,索斯基和罗伯,莫里斯在工作之余想出一种电子游戏,叫做,“,磁芯大战,”,，而它成了计算机病毒的祖先。,7-1-2,计算机病毒的历史（续）,1977年夏天，托马斯,捷,瑞安的科幻小说,P-1,的青春中，,作者幻想了世界上第一个计算机病毒，可以从一台计算机传,染到另一台计算机，最终控制了7000台计算机，酿成了一,场灾难，这是计算机病毒的思想基础。,1983年11月3日，弗雷德,科恩博士研制出一种在运行过程中,可以复制自身的破坏性程序，伦,艾德勒曼将它命名为计算机,病毒，并在每周一次的计算机安全讨论会上正式提出，8小,时后专家们在,VAX11/750,计算机系统上运行，第一个病毒实,验成功，一周后又获准进行5个实验的演示，从而在实验上,验证了计算机病毒的存在。,7-1-2,计算机病毒的历史（续）,1987年10月，在美国，世界上第一例计算机病毒,（,Brian）,发现，这是一种系统引导型病毒。它以,强劲的执着蔓延开来。世界各地的计算机用户几,乎同时发现了形形色色的计算机病毒，如大麻、,IBM,圣诞树、黑色星期五等等。,1988年11月3日，美国康乃尔大学23岁的研究生罗,伯特,莫里斯将计算机病毒蠕虫投放到网络中，结,果使美国6千台计算机被病毒感染，造成,Internet,不能正常运行。这是一次非常典型计算机病毒入,侵计算机网络的事件，引起了世界范围的轰动。,7-1-2,计算机病毒的历史（续）,1991年，在,“,海湾战争,”,中，美军第一次将计,算机病毒用于实战，在空袭巴格达的战斗中，,成功地破坏了对方的指挥系统，使之瘫痪，,保证了战斗顺利进行，直至最后胜利。,1998年，首例破坏计算机硬件的,CIH,病毒出现，,引起人们的恐慌。1999年4月26日，,CIH,病毒,在我国大规模爆发，造成巨大损失。,7-1-3,计算机病毒的结构,计算机病毒的种类虽多，但对病毒代码进,行分析、比较可看出，它们的主要结构是,类似的，有其共同特点。整个病毒代码虽,短小但也包含三部分：引导部分，传染部,分，表现部分。,7-1-4,计算机病毒的特征,在计算机病毒所具有的众多特征中，传染性、潜,伏性、触发性和破坏性是它的基本特征。其次，,它还有隐蔽性、衍生性和持久性等。,网,络时代，计算机病毒的新特点：,主动通过网络和邮件系统传播,传播速度极快 危害性极大,变种多 难于控制,难于根治、容易引起多次疫情,具有病毒、蠕虫和后门（黑客）程序的功能,7-2,计算机病毒的工作原理,7,-2-1,计算机病毒的工作过程,计算机病毒的完整工作过程一般应包括以下几个环节：,1传染源,2传染媒介,3病毒触发（激活）,4病毒表现,5传染,7-2-2 计算机病毒的引导机制,1.计算机病毒的寄生对象,2.计算机病毒的寄生方式,3.计算机病毒的引导过程,计算机病毒的引导过程一般包括以下三方面。,驻留内存,(2)窃取系统控制权,(3)恢复系统功能,7-2-3,计算机病毒的触发机制,计算机病毒在传染和发作之前，往往要判断某些,特定条件是否满足，满足则传染或发作，否则不,传染、不发作或只传染不发作，这个条件就是计,算机病毒的触发条件。实际上病毒采用的触发条,件花样繁多，目前病毒采用的触发条件主要有以,下几种。,日期触发,2.时间触发,3.键盘触发,4.感染触发,5.启动触发,6.访问磁盘次数触发,7.调用中断功能触发,7-2-4,计算机病毒破坏行为,根据有的病毒资料可以把病毒的破坏目标和攻击部位归纳如下：,攻击系统数据区,攻击文件 攻击内存,干扰系统运行,运行速度下降,攻击磁盘,攻击,CMOS,7-2-5,计算机病毒的传播,计算机病毒传播的一般过程,在系统运行时，计算机病毒通过病毒载体即系统的,外存储器进入系统的内存储器，常驻内存。该病毒,在系统内存中监视系统的运行，当它发现有攻击的,目标存在并满足条件时，便从内存中将自身存入被,攻击的目标，从而将病毒进行传播。而病毒利用系,统,INT 13H,读写磁盘的中断又将其写入系统的外存储,器软盘或硬盘中，再感染其他系统。,7-2-5,计算机病毒的传播,（续）,2.计算机病毒的传播途径,移动存储设备（包括软盘、磁带等）,网络和电子邮件,通信系统和通道,7-2-6,计算机病毒与故障、黑客软件的区别,1.计算机病毒与计算机故障的区别,计算机病毒表现现象,计算机在感染病毒后，总是有一定规律地出现异常,现象：,屏幕显示异常，屏幕显示出不是由正常程序,产生的画面或字符串，屏幕显示混乱。,程序装入时间增长，文件运行速度下降。,丢失数据或程序，文件字节数发生变化。,内存空间、磁盘空间减小。异常死机。,系统引导时间增长，磁盘访问时间比平时增长,7-2-6,计算机病毒与故障、黑客软件的区别（续）,(2)与病毒现象类似的硬件故障,硬件的故障范围不太广泛，但是很容易被确认。在处理计算机的异常现象时很容易被忽略，只有先排除硬件故障，才是解决问题的根本。,电源电压不稳定,插件接触不良,软驱故障,7-2-6,计算机病毒与故障、黑客软件的区别（续）,(3)与病毒现象类似的软件故障,出现,“,Invalid；drive；specification,”,(,非法驱动器号),引导过程故障,7-2-6,计算机病毒与故障、黑客软件的区别（续）,计算机病毒与黑客软件的区别,计算机病毒与黑客软件都有隐藏性、潜伏性、可,触发性、破坏性和持久性等基本特点。它们的不,同之处在于：病毒是寄生在其他的文件中，可以,自我复制，可以感染其他文件，其目的是破坏文,件或系统。而黑客软件，它不能寄生，不可复制,和感染文件，其目的是盗取密码和远程监控系统,。,7-3,计算机病毒的分类,按照寄生方式和传染途径分类,计算机病毒按其寄生方式大致可分为两类：一,是引导型病毒，二是文件型病毒；,它们再按其传染途径又可分为驻留内存型和不,驻留内存型，驻留内存型按其驻留内存方式又,可细分。,7-3,计算机病毒的分类,（续）,2按照传播媒介分类,按照计算机病毒的传播媒介来分类，可分,为单机病毒和网络病毒。,（1）单机病毒,（2）网络病毒,7-4 计算机病毒的发展趋势,随着因特网的普及和广泛应用，计算机病毒在传,播形式、病毒制作技术和病毒的形式方面有了根,本的改变。在此通过对近年来计算机病毒的疫情,特点分析，将计算机病毒的发展趋势归纳如下：,1高频度,2传播速度快，危害面广,3病毒制作技术新,4.病毒形式多样化,5病毒生成工具,7-5,计算机病毒的检测、防范和清除,7-5-1计算机病毒的检测,如何能够及早地发现新病毒呢？用户可做以下简,单判断：首先应注意内存情况；,其次应注意常用,的可执行文件（如,）,的字节数,。,检测病毒方法有：特征代码法、校验和法、,行为监测法、软件模拟法，这些方法依据的原,理不同，实现时所需开销不同，检测范围不同，,各有所长。,7-5-2,计算机病毒的防范,防范是对付计算机病毒的积极而又有效的,措施，比等待计算机病毒出现之后再去扫,描和清除能更有效地保护计算机系统。要,做好计算机病毒的防范工作，首先是防范,体系和制度的建立。其次，利用反病毒软,件及时发现计算机病毒侵入，对它进行监,视、跟踪等操作，并采取有效的手段阻止,它的传播和破坏。,7-5-2,计算机病毒的防范（续）,反病毒软件常用以下几种反病毒技术来对病毒进行预防和彻底杀除：,实时监视技术,全平台反病毒技术,7-5-.3 计算机病毒的清除及常用反病毒软件,计算机病毒的清除：,文件型病毒清除,(2)引导型病毒的清除,(3)内存解毒,常用的反病毒软件：,KV3000,瑞星杀毒软件2003版,Norton Antivirus 2003,7-6计算机染毒以后的危害修复措施,对病毒造成的危害进行修复，不论是手工,修复还是用专用工具修复，都是危险操作，,有可能不仅修不好，反而彻底破坏。因此，,为了修复病毒危害，用户应采取以下措施：,重要数据必须备份,立刻切断电源关机，提高修复成功率备份染毒信息，以防不测,修复病毒危害,7-7计算机病毒实例,目前病毒的种类很多，本节主要举几个著,名的病毒来说明如何检测、防范和消除网,络蠕虫病毒和宏病毒等。,“,2003蠕虫王（,Worm.NetKiller2003）,”,病毒,2,“,硬盘杀手,”,病毒,“,好大（,I-Worm/,Sobig,）,”,病毒 4,“,美丽杀手（,W97M/Melissa）,”,病毒,