恶意代码检测论文

浅析计算机病毒及防范

目录第一章 计算机病毒的概述 计算机病毒的定义 计算机病毒的起源 计算机病毒的历史 计算机病毒的分类 2第二章 计算机病毒的特性 3第三章 计算机病毒的传播方式 通过网络传播 通过不可移动的计算机硬件设备传播 通过移动存储设备传播 通过无线设备传播 6第四章 计算机病毒的触发机制 6第五章 计算机病毒的破坏行为 7第六章 计算机病毒的防与治 预防计算机病毒 消除计算机病毒 9参考文献 10第一章 计算机病毒的概述计算机病毒的定义计算机病毒是一种人为制作的，通过非授权入侵而隐藏在可执行程序或数据文件中的特殊计算机程序，它占用系统空间，降低计算机运行速度，甚至破坏计算机系统的程序和数据，造成极大损失，当计算机系统运行时，源病毒能把自身精确地拷贝到其他程序体内，在一定条件下，通过外界的刺激可将隐蔽的计算机病毒激活，破坏计算机系统。Internet的盛行造就了信息的大量流通，但对于有心散播病毒、盗取他人帐号、密码的电脑黑客来说，网络不折不扣正好提供了一个绝佳的渠道。也因为，我们这些一般的使用者，虽然享受到因特网带来的方便，同时却也陷入另一个恐惧之中。计算机病毒的起源计算机病毒的来源多种多样，有的是计算机工作人员或业余爱好者为了纯粹寻开心而制造出来的，有的则是软件公司为保护自己的产品被非法拷贝而制造的报复性惩罚，因为他们发现病毒比加密对付非法拷贝更有效且更有威胁，这种情况助长了病毒的传播。还有一种情况就是蓄意破坏，它分为个人行为和政府行为两种。个人行为多为雇员对雇主的报复行为，而政府行为则是有组织的战略战术手段（据说在海湾战争中，美国防部一秘密机构曾对伊拉克的通讯系统进行了有计划的病毒攻击，一度使伊拉克的国防通讯陷于瘫痪）。另外有的病毒还是用于研究或实验而设计的“有用”程序，由于某种原因失去控制扩散出实验室或研究所，从而成为危害四方的计算机病毒。计算机病毒的历史自从80年代中期发现第一例计算机病毒以来，计算机病毒的数量急剧增长。目前，世界上发现的病毒数量已超过15000种，国内发现的种类也达600多种。1998年流行的CIH病毒更使计算机用户感到极大恐慌。2000年以来出现了不少通过网络传播的诸如“爱丽沙”、“尼姆达”等新病毒，但是不管计算机病毒多猖狂，总有办法对付的，即使象CIH这样的病毒，现在已经有了好几种查杀它的反病毒软件。 计算机病毒的分类（1）引导型病毒：主要通过感染软盘、硬盘上的引导扇区，或改写磁盘分区表（FAT）来感染系统，引导型病毒是一种开机即可启动的病毒，优先于操作系统而存在。该病毒几乎常驻内存，激活时即可发作，破坏性大，早期的计算机病毒大多数属于这类病毒。（2）文件型病毒：它主要是以感染COM、EXE等可执行文件为主，被感染的可执行文件在执行的同时，病毒被加载并向其它正常的可执行文件传染。病毒以这些可执行文件为载体，当运行可执行文件时就可以激活病毒。（3）宏病毒：宏病毒是一种寄存于文档或模板的宏中的计算机病毒，是利用宏语言编写的。 （4）蠕虫病毒：蠕虫病毒与一般的计算机病毒不同，蠕虫病毒不需要将其自身附着到宿主程序上。蠕虫病毒主要通过网络传播，具有极强的自我复制能力、传播性和破坏性。（5）特洛伊木马型病毒：特洛伊木马型病毒实际上就是黑客程序。黑客程序一般不对计算机系统进行直接破坏，而是通过网络窃取国家、部门或个人宝贵的秘密信息，占用其它计算机系统资源等现象。（6）网页病毒：网页病毒一般也是使用脚本语言将有害代码直接写在网页上，当浏览网页时会立即破坏本地计算机系统，轻者修改或锁定主页，重者格式化硬盘，使你防不胜防。（7）混合型病毒：兼有上述计算机病毒特点的病毒统称为混合型病毒，所以它的破坏性更大，传染的机会也更多，杀毒也更加困难。 第二章 计算机病毒的特性计算机病毒一般具有非授权可执行性、隐蔽性、传染性、潜伏性、表现性或破坏性、可触发性等。(1) 非授权可执行性：用户通常调用执行一个程序时,把系统控制交给这个程序,并分配给他相应系统资源,如内存,从而使之能够运行完成用户的需求。因此程序执行的过程对用户是透明的。而计算机病毒是非法程序,正常用户是不会明知是病毒程序,而故意调用执行。但由于计算机病毒具有正常程序的一切特性:可存储性、可执行性。它隐藏在合法的程序或数据中,当用户运行正常程序时,病毒伺机窃取到系统的控制权,得以抢先运行,然而此时用户还认为在执行正常程序。(2) 隐蔽性：计算机病毒是一种具有很高编程技巧、短小精悍的可执行程序。它通常粘附在正常程序之中或磁盘引导扇区中,或者磁盘上标为坏簇的扇区中,以及一些空闲概率较大的扇区中,这是它的非法可存储性。病毒想方设法隐藏自身,就是为了防止用户察觉。 (3)传染性：传染性是计算机病毒最重要的特征,是判断一段程序代码是否为计算机病毒的依据。病毒程序一旦侵入计算机系统就开始搜索可以传染的程序或者磁介质,然后通过自我复制迅速传播。由于目前计算机网络日益发达,计算机病毒可以在极短的时间内,通过像 Internet这样的网络传遍世界。 (4)潜伏性：计算机病毒具有依附于其他媒体而寄生的能力,这种媒体我们称之为计算机病毒的宿主。依靠病毒的寄生能力,病毒传染合法的程序和系统后,不立即发作,而是悄悄隐藏起来,然后在用户不察觉的情况下进行传染。这样,病毒的潜伏性越好,它在系统中存在的时间也就越长,病毒传染的范围也越广,其危害性也越大。 (5)表现性或破坏性：无论何种病毒程序一旦侵入系统都会对操作系统的运行造成不同程度的影响。即使不直接产生破坏作用的病毒程序也要占用系统资源(如占用内存空间,占用磁盘存储空间以及系统运行时间等)。而绝大多数病毒程序要显示一些文字或图像,影响系统的正常运行,还有一些病毒程序删除文件,加密磁盘中的数据,甚至摧毁整个系统和数据,使之无法恢复,造成无可挽回的损失。因此,病毒程序的副作用轻者降低系统工作效率,重者导致系统崩溃、数据丢失。病毒程序的表现性或破坏性体现了病毒设计者的真正意图。 (6)可触发性：计算机病毒一般都有一个或者几个触发条件。满足其触发条件或者激活病毒的传染机制,使之进行传染;或者激活病毒的表现部分或破坏部分。触发的实质是一种条件的控制,病毒程序可以依据设计者的要求,在一定条件下实施攻击。这个条件可以是敲入特定字符,使用特定文件,某个特定日期或特定时刻,或者是病毒内置的计数器达到一定次数等。以上总结了计算机病毒的基本特性，下面列举计算机病毒的工作方式，达到病毒制造者的预期目的，有必要了解计算机病毒的破坏方式： 1.禁用所有杀毒软件以相关安全工具，让用户电脑失去安全保障。 2.破坏安全模式，致使用户根本无法进入安全模式清除病毒。 3.强行关闭带有病毒字样的网页，只要在网页中输入"病毒"相关字样，网页遂被强行关闭，即使是一些安全论坛也无法登陆，用户无法通过网络寻求解决办法。 4.在各磁盘根目录创建可自动运行的exe程序和文件，一般用户重装系统后，会习惯性的双击访问其他盘符，病毒将再次被运行。 5.进入系统后修改注册表，让几乎所有安全软件不能正常使用。 6.在用户无法察觉的情况下连接网络，自动在用户的电脑里下载大量木马、病毒、恶意软件、插件等。这些木马病毒能够窃取用户的帐号密码、私密文件等各种隐私资料。 7.通过第三方软件漏洞、下载U盘病毒和Arp攻击病毒的方式进行疯狂扩散传播，造成整个局域网瘫痪。 8.将恶意代码向真实的磁盘中执行修改覆盖目标文件，导致被修改覆盖的真实磁盘文件无法被还原，系统重新启动后，会再次下载安装运行之前的恶意程序，很难一次彻底清除。 9.修改系统默认加载的DLL 列表项来实现DLL 注入。通过远程进程注入，并根据以下关键字关闭杀毒软件和病毒诊断等工具。 10.修改注册表破坏文件夹选项的隐藏属性修改，使隐藏的文件无法被显示。 11.自动下载最新版本和其它的一些病毒木马到本地运行。 12.不断删除注册表的关键键值来来破坏安全模式和杀毒软件和主动防御的服务， 使很多主动防御软件和实时监控无法再被开启。 13.病毒并不主动添加启动项，而是通过重启重命名方式。这种方式自启动极为隐蔽，现有的安全工具很难检测出来。 14.病毒会感染除SYSTEM32 目录外其它目录下的所有可执行文件，并且会感染压缩包内的文件。 15.除开可以在网络上利用邮件进行传播外，这些变种病毒还可以利用局域网上的共享文件夹进行传染，其传播特点类似“尼姆达”病毒，因此对于某些不能查杀局域网共享文件病毒的单机版杀毒软件，这将意味着在网络环境下，根本无法彻底清除病毒。第三章 计算机病毒的传播方式 通过网络传播就当前病毒特点分析，传播途径有两种，一种是通过网络传播，一种是通过硬件设备传播。网络传播又分为因特网传播和局域网传播两种。网络信息时代，因特网和局域网已经融入了人们的生活、工作和学习中，成为了社会活动中不可或缺的组成部分。特别是因特网，已经越来越多地被用于获取信息、发送和接收文件、接收和发布新的消息以及下载文件和程序。随着因特网的高速发展，计算机病毒也走上了高速传播之路，已经成为计算机病毒的第一传播途径。 通过不可移动的计算机硬件设备传播通过不可移动的计算机硬件设备传播，其中计算机的专用集成电路芯片（ASIC）和硬盘为病毒的重要传播媒介。 通过移动存储设备传播移动存储设备包括我们常见的软盘、磁盘、光盘、移动硬盘、U盘（含数码相机、MP3等）、ZIP和JAZ磁盘，后两者仅仅是存储容量比较大的特殊磁盘。 通过无线设备传播目前，这种传播途径随着手机功能性的开放和增值服务的拓展，已经成为有必要加以防范的一种病毒传播途径。随着智能手机的普及，通过彩信、上网浏览与下载到手机中的程序越来越多，不可避免的会对手机安全产生隐患，手机病毒会成为新一轮电脑病毒危害的“源头”。病毒的种类繁多，特性不一，但是只要掌握了其流通传播方式，便不难地监控和查杀。第四章 计算机病毒的触发机制 感染、潜伏、可触发、破坏是病毒的基本特性。感染使病毒得以传播，破坏性体现了病毒的杀伤力。目前病毒采用的触发条件主要有以下几种：1. 日期触发：许多病毒采用日期做触发条件。日期触发大体包括：特定日期触发、月份触发、前半年后半年触发等。2. 时间触发：时间触发包括特定的时间触发、染毒后累计工作时间触发、文件最后写入时间触发等。3. 键盘触发：有些病毒监视用户的击键动作，当发现病毒预定的键时，病毒被激活，进行某些特定操作。键盘触发包括击键次数触发、组合键触发、热启动触发等。4. 感染触发：许多病毒的感染需要某些条件触发，而且相当数量的病毒又以与感染有关的信息反过来作为破坏行为的触发条件，称为感染触发。它包括：运行感染文件个数触发、感染序数触发、感染磁盘数触发、感染失败触发等。5. 启动触发：病毒对机器的启动次数计数，并将些值作炎触发条件称为启动触发。6. 访问磁盘次数触发：病毒对磁盘I/O访问的次数进行计数，以预定次数做触发条件叫访问磁盘次数触发。7. 调用中断功能触发：病毒对中断调用次数计数，以预定次数做触发条件，被计算机病毒使用的触发条件是多种多样的，而且往往不只是使用上面所述的某一个条件，而是使用由多个条件组合起来的触发条件。大多数病毒的组合触发条件是基于时间 的，再辅以读、写盘操作，按键操作以及其他条件。第五章 计算机病毒的破坏行为计算机病毒的破坏行为体现了病毒的杀伤能力。病毒破坏行为的激烈程度取决于病毒作者的主观愿望和他所具有的技术能力。数以万计、不断发展扩张的病毒，其破坏行为千奇百怪，不可能穷举其破坏行为。根据病毒资料大致可以把病毒的破坏目标和攻击部位归纳如下：1.攻击系统数据区：攻击部位包括硬盘主引导扇区、Boot扇区、Fat表、文件目录。一般来说，攻击系统数据区的病毒是恶性病毒，受损的数据不易恢复。2.攻击文件：病毒对文件的攻击方式很多，可列举如下：删除、改名、替换内容、丢失部分程序代码、内容颠倒、写入时间空白、变碎片、假冒文件、丢失文件簇、丢失数据文件。3.攻击内存：内存是计算机的重要资源，也是病毒的攻击目标。病毒额外地占用和消耗系统的内存资源，可以导致一些大程序受阻。病毒攻击内存的方式如下：占用大量内存、改变内存容量、禁止分配内存、蚕食内存。4.干扰系统运行的：病毒会干扰系统的正常运行，以此做为自己的破坏行为。此类行为也是花样繁多，可以列举下述诸方式：不执行命令、干扰内部命令的执行、虚假报警、打不开文件、内部栈溢出、占用特殊数据区、换现行盘、时钟倒转、重启动、死机、强制游戏、扰乱串并行口。5.速度下降：病毒激活时，其内部的时间延迟程序启动。在时钟中纳入了时间的循环计数，迫使计算机空转，计算机速度明显下降。6攻击磁盘：攻击磁盘数据、不写盘、写操作变读操作、写盘时丢字节。7.扰乱屏幕显示：病毒扰乱屏幕显示的方式很多，可列举如下：字符跌落、环绕、倒置、光标下跌、滚屏、抖动、乱写、吃字符。8.键盘：病毒干扰键盘操作，已发现有下述方式:响铃、封锁键盘、换字、抹掉缓存区字符、重复、输入紊乱。第六章 计算机病毒的防与治电脑病毒的防治包括两个方面，一是预防，二是治毒。病毒的侵入必将对系统资源构成威胁，即使是良性病毒，至少也要占用少量的系统空间，影响系统的正常运行。特别是通过网络传播的计算机病毒，能在很短的时间内使整个计算机网络处于瘫痪状态，从而造成巨大的损失。因此，防止病毒的侵入要比病毒入侵后再去发现和消除它更重要。因为没有病毒的入侵，也就没有病毒的传播，更不需要消除病毒。另一方面，现有病毒已有万种，并且还在不断增多。而杀毒是被动的，只有在发现病毒后，对其剖析、选取特征串，才能设计出该“已知”病毒的杀毒软件。它不能检测和消除研制者未曾见过的“未知”病毒，甚至对已知病毒的特征串稍作改动，就可能无法检测出这种变种病毒或者在杀毒时出错。这样，发现病毒时，可能该病毒已经流行起来或者已经造成破坏。 预防计算机病毒主动防御病毒，防毒是主动的，主要表现在监测行为的动态性和防范方法的广谱性。防毒是从病毒的寄生对象、内存驻留方式、传染途径等病毒行为入手进行动态监测和防范。一方面防止外界病毒向机内传染，另上方面抑制现有病毒向外传染。防毒是以病毒的机理为基础，防范的目标不权是已知的病毒，而是以现在的病毒机理设计的一类病毒，包括按现有机理设计的未来新病毒或变种病毒。 消除计算机病毒消除计算机病毒的方式：杀毒是被动的，只有发现病毒后，对其剖析、选取特征串，才能设计出该“已知”病毒的杀毒软件。它不能检测和消除研制者未曾见过的“未知”病毒，甚至对已知病毒的特征串稍作改动，就可能无法检测出这种变种病毒或者在杀毒时出错。一方面，发现病毒时，可能该病毒已经流行起来或者已经造成破坏。另一方面，就是管理上的问题，许多人并不是警钟长鸣，也不可能随时随地去执行杀毒软件，只有发现病毒问题时，才用工具检查，这就难免一时疏忽而带来灾难。如几乎没有一个杀毒软件不能消除“黑色星期五”，但该病毒却仍在流行、发作。养成正确安全的电脑使用习惯，如我们熟悉的软盘使用习惯。软件作为计算机之间交换信息和个人保存信息的媒介，使用很广泛，因此也成为病毒设计者攻击的主要目标。许多病毒在活动时一旦检测到有软件插入了驱动器，就会立即活动起来，设法把自己的代码复制上去。为降低这种危险，我们应该注意使用软盘的“防写入”功能，一般情况下，总把“防写拨块”拨动禁止写的位置。如果只是需要从软盘里把信息复制出来，那么就让它保持这种防写的状态。这样，即使所使用的计算机里有活动的病毒，它也无法进入软盘。当我们要把个人的文件复制到公用的计算机里时，一定要注意到这个问题。有时我们必须从其他计算机复制文件，拿到自己的计算机里使用。这时就应该警惕，因为所用的软盘可能已经被感染了，在自己的系统上使用之前应该注意检查，就像从公共场所回到家后应该洗洗手再吃东西一样。有时我们会发现，在把禁止写的软盘插入某计算机后，软盘老是在动，这种情况多半说明该计算机里有病毒存在，正在努力想把自己复制到我们的软盘上。谨慎进行网络的软件下载活动。随着计算机网络的发展，信息在计算机间传递的方式逐渐发生了变化，许多信息，包括程序代码和软件系统，是通过网络传输的，在这种信息交流活动中如何防止病毒是需要考虑的问题。今天，许多网站存储着大量共享软件和自由软件，人们都在使用这些软件，使用之前要通过网络把有关程序文件下载到自己的计算机中，做程序的下载应该选择可靠的有实力的网站，因为他们的管理可能更完善，对所存储信息做过更仔细的检查。随意下载程序目前已经成为受病毒伤害的一个主要原因。常用杀毒软件推荐：目前全球以发现几十万种病毒，并且还在以每天10余种的速度增长。有资料显示病毒威胁所造成的损失占用网络经济损失的76%，计算机病毒已经与我们的生活紧密的联系在一起，所以为计算机安装杀毒软件已经是必不可少的选择，现在市面上供选择的杀毒软件产品也比较丰富，如：瑞星、卡巴斯基、NOD32、江民杀毒软件、金山毒霸等杀毒产品。参考文献1．《计算机病毒揭密》[美]David Harley 朱代祥 贾建勋 史西斌 译 人民邮电出版社2．《计算机病毒防治与网络安全手册》廖凯生 等编 海洋出版社3．《计算机病毒原理及防治》卓新建 主编 北京邮电出版社

计算机病毒与防范李 刚和一般的生物学病毒不同的是,计算机病毒的传染是以计算机系统的运行及读写磁盘为基础的。没有这样的条件,计算机病毒是不会传染的,因为计算机不启动、不运行时,就谈不上对磁盘的读写操作或数据共享,没有磁盘的读写,病毒就传播不到磁盘上或网络里。所以只要计算机运行,就会有磁盘读写动作,病毒传染的两个先决条件就很容易得到满足。系统运行为病毒驻留内存创造了条件,病毒传染的第一步是驻留内存,一旦进入内存之后,便寻找传染机会,寻找可攻击的对象,判断条件是否满足,决定是否可传染。当条件满足时进行传染,将病毒写入磁盘系统。而且,所有的计算机病毒都是人为地制造出来的,有时一旦扩散出去连制造者自己也无法控制。因此,病毒已经不是一个简单的纯计算机学术问题,而是一个严重的社会问题了。为此,了解计算机病毒的来源,认识计算机病毒的危害性,懂得防治计算机病毒的常用措施,就成为了目前比较急迫的问题。1 计算机病毒概述1. 1 计算机病毒的分类目前世界上估计有20多万种病毒,按照基本类型划分,可归结为6种类型: (1)引导型病毒; (2)可执行文件病毒;(3)宏病毒; (4)混合型病毒; (5)特洛伊木马型病毒; (6) In-ternet语言病毒。1. 2 计算机病毒的产生计算机病毒的产生是计算机技术和以计算机为核心的社会信息化进程发展到一定阶段的必然产物。它产生的背景是:(1)计算机病毒是计算机犯罪的一种新的衍化形式。计算机病毒是高技术犯罪,具有瞬时性、动态性和随机性。不易取证,风险小破坏大,从而刺激了犯罪意识和犯罪活动。是某些人恶作剧和报复心态在计算机应用领域的表现。(2)计算机软硬件产品的脆弱性是根本的技术原因。计算机是电子产品,数据从输入、存储、处理到输出等环节,易被误入、篡改、丢失、作假和破坏;程序易被删除、改写;计算机软件设计的手工方式效率低下且生产周期长;人们至今没有办法事先了解一个程序有没有错误和缺陷隐藏在其中。这些脆弱性就为病毒的侵入提供了方便。(3)微机的普及应用是计算机病毒产生的必要环境。1983年11月3日美国计算机专家首次提出了计算机病毒的概念并进行了验证。计算机病毒蔓延到我国才是近些年来的事。而这几年正是我国微型计算机普及应用的高潮期。1. 3 计算机病毒的传播途径计算机病毒之所以称之为病毒是因为其具有传染性的本质。传染渠道通常有以下几种:(1)可移动媒体。计算机病毒和其他恶意软件最初的也可能是最多的传送器是文件传输,开始于软盘,慢慢发展到一切移动介质。(2)网络共享。一旦为计算机提供了通过网络彼此直接连接的机制,就会为恶意软件编写者提供另一个传输机制,从而可以传播恶意代码。(3)对等(P2P)网络程序。QQ对等程序的出现,为P2P文件传输提供了途径,这种途径同样也被计算机病毒利用。目前,已经出现多种针对QQ对等程序的病毒。(4)电子邮件。电子邮件已成为许多恶意软件攻击所选择的传输机制。(5)远程利用。恶意软件可能会试图利用服务或应用程序的特定漏洞来复制,此行为在蠕虫中见到。2 计算机病毒的危害及防范2. 1 病毒的危害性级别计算机病毒绝大多数危害性不大,此类病毒又统称为良性病毒,它们占用一定的内存和磁盘空间,降低计算机系统的运行速度,干扰显示器屏幕的显示等,一般不会造成严重破坏。还有少数计算机病毒会破坏磁盘甚至只读存储器(ROM)芯片里的数据,使计算机系统瘫痪,它们具有可运行性、复制性、传染性、潜伏性、破坏性、欺性、精巧性、可触发性、隐藏性和顽固性等特点,这类病毒又统称为恶性计算机病毒,它们可通过不同的途径潜伏或寄生在存储媒体(磁盘)、内存或程序里,当某种条件或时机成熟时,便会自身复制并传播,使计算机资源、程序或数据受到损坏。通常它们对计算机资源的破坏情况及破坏程度完全不一样。2. 2 防范病毒的感染计算机病毒防治最有效的方法是以预防为主。防止病毒入侵要比病毒入侵后再去检测和清除更重要,所以病毒的防治重点应该放在预防上。消灭传染源、堵塞传染途径、保护易感染部分是防治病毒入侵的有效方法。虽然计算机病毒有成千上万种,但它们有一定的共性,即传播途径基本相同,只要把好关口,就可以防患于未然。使用软盘、光盘和移动磁盘时要慎重,更不能用来历不明的磁盘,特别是游戏程序盘,应养成先清查病毒后再使用的习惯。不轻易从不可靠的网站下载软件,不要打开或浏览来历不明的电子邮件,定期检测操作系统及应用软件,将自己的重要数据定期备份保存,给系统盘和文件盘加上写保护,常备一张真正“干净”的引导盘,将其写保护,尽可能做几个备份,在以后准备查、杀病毒或相应场合时用这张干净引导盘启动你的计算机。有时仅仅通过人工预防还是远远不够的,还应该在计算机中安装防病毒软件,仔细研究所使用的反病毒软件的各项功能及不同模块各负担什么样的职责、都有哪些应用组合、不同的运行命令(选项设置)参数具有怎样不同的查杀效果等,最大限度地发挥该反病毒工具的作用。在计算机中设置病毒防火墙,实现在线检测。将病毒防治软件常驻内存,它对操作系统当前的文件实时检测病毒,以保证在病毒试图感染你的系统前发现病毒并报警。这样无论你是从软盘拷贝文件、光盘安装程序还是从网上下载文件,病毒在线检测软件会首先将它检测一遍以确保没有病毒。3 整体防御病毒的实施方案[M].北京:清华大学出版社, 2004.