计算机病毒的原理和防范 毕业论文.doc

山西信息职业技术学院毕业论文（设计）计算机病毒的原理和防范 论文指导老师 所在系部 信息工程系学生所在系部 信息工程系 专业名称 计算机网络技术论文提交日期 论文答辩日期 2013年4月13 日1 论文题目：计算机的病毒原理与防范 摘 要近年来，随着计算机及其网络的迅猛发展，伴随而来的计算机病毒传播问题也越来越引起人们的关注。互联网的发展，使计算机病毒以多方式、多渠道、高破坏的危害，给计算机网络和系统带来了巨大的潜在威胁和破坏。可以预见，随着计算机、网络运用的不断普及、深入，防范计算机病毒将会变的尤为重要。 为了确保信息的安全与畅通，因此，研究计算机病毒的的防范措施已迫在眉捷。本文从计算机病毒的特点入手，来初步探讨研究计算机病毒的方法和措施。本文主要论述了病毒的由来、病毒的生存方式、传播方式、破坏和目的以及计算机病毒的防御和治理等分析。通过深入分析，来对计算机病毒进行全面的了解，初步探讨对付计算机病毒的方法和措施。【关键字】计算机、防御、病毒title：the principle of computer virus and preventionmajor：computer network tehnology abstractwith the extensive application of the computer in the social life each domain, the computer virus attack and defense technology in expanding. according to the newspapertao, hundreds of millions of the world being infected with computer viruses and attacks, seriously disturbs the normal social life, tothe computer network and the system has brought great damage and potential threat. at the same time, virus technology in the war field has extensive transportfor, in the gulf war, kosovo war, both sides used computer virus attack, destroy each others computer network and wucontrol system, achieved the political and military purposes certain. can be met, with the popularization of computer network application,further, the computer virus prevention to speak more and more attention by countries.this paper mainly discusses the origin of the virus,virus survival mode, mode of transmission, destruction and goal as well as the defense and control of computer virus analysis. through the thorough. analysis, to conduct a comprehensive understanding of the computer virus, to explore methods and measures against computer viruses.【key words】computer, defense, virus目 录前 言41计算机病毒的概述5 1.1计算机病毒的定义5 1.2计算机病毒的特征.52 计算机病毒分析7 2.1 计算机病毒分析7 2.2 病毒入侵分析93 计算机病毒的检测和清除11 3.1 计算机病毒的检测11 3.2 计算机病毒的清除124 计算机病毒防范和技术13 4.1 计算机病毒防范的概念13 4.2 计算机病毒技术.13 4.3 清除计算机病毒的防范方法145 计算机系统的修复15 5.1 病毒感染修复处理方法15 5.2 恢复被病毒破坏的硬盘数据16 5.3 计算机系统修复应急计划21结 论24参 考 文 献26 前 言随着计算机在社会生活各个领域的广泛运用，计算机病毒攻击与防范技术也在不断拓展。据报道，世界各国遭受计算机病毒感染和攻击的事件数以亿计，严重地干扰了正常的人类社会生活，给计算机网络和系统带来了巨大的潜在威胁和破坏。与此同时，病毒技术在战争领域也曾广泛的运用，在海湾战争、科索沃战争中，双方都曾利用计算机病毒向敌方发起攻击，破坏对方的计算机网络和武器控制系统，达到了一定的政治目的与军事目的。可以预见，随着计算机、网络运用的不断普及、深入，防范计算机病毒越来越受到各国的高度重视。目前计算机病毒可以渗透到信息社会的各个领域，给计算机系统带来了巨大的破坏和潜在的威胁。为了确保信息的安全与畅通，因此，研究计算机病毒的防范措施已迫在眉睫。本文从计算机的特点入手，来初步探讨对付计算机病毒的方法和措施。病毒防治，运用以上技术或使用具有相应功能的反病毒软件即可基本保障计算机系统不受病毒的侵扰。相对于单机病毒的防护来说，网络病毒的防治具有更大的难度，网络病毒防治应与网络管理集成。网络防病毒最大的优势在于网络的管理功能，如果没有把管理功能加上，很难完成网络防毒的任务。只有管理与防范相结合，才能保证系统的良好运行。1计算机病毒的概述1.1计算机病毒的定义一般来讲，凡是能够引起计算机故障，能够破坏计算机中的资源（包括硬件和软件）的代码，统称为计算机病毒。而在我国也通过条例的形式给计算机病毒下了一个具有法律性、权威性的定义：“计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。” 1.2计算机病毒的特征隐藏性与潜伏性 计算机病毒是一种具有很高编程技巧、短精悍的可执行程序。它通常内附在正常的程序中，用户启动程序同时也打开了病毒程序。计算机病毒程序经运行取得系统控制权， 可以在不到1秒钟的时间里传染几百个程序。而且在传染操作成后，计算机系统仍能运行，被感染的程序仍能执行，这就是计机病毒传染的隐蔽性计算机病毒的潜伏性则是指，某些编制巧的计算机病毒程序，进入系统之后可以在几周或者几个月甚至年内隐藏在合法文件中，对其它系统文件进行传染，而不被人发现。传染性 计算机病毒可通过各种渠道(磁盘、共享目录、邮件)从已被感染的计算机扩散到其他机器上，感染其它用户在某情况下导致计算机工作失常。表现性和破坏性任何计算机病毒都会对机器产生一定程的影响，轻者占用系统资源，导致系统运行速度大幅降低重者除文件和数据，导致系统崩溃。可触发性病毒 具有预定的触发条件，可能是时间、日期、文类型或某些特定数据等。一旦满足触发条件，便启动感染或破坏作，使病毒进行感染或攻击；如不满足，继续潜伏。有些病毒针对特定的操作系统或特定的计算机。欺骗性和持久性计算机病毒行动诡秘，计算机对其反应迟，往往把病毒造成的错误当成事实接受下来。病毒程序即使被发，已被破坏的数据和程序以及操作系统都难以恢复。在网络操作情况下，由于病毒程序由一个受感染的拷贝通过网络系统反复传，病毒程序的清除愈加复杂。2 计算机病毒分析2.1 计算机病毒分析2.1.1病毒主要表现和破坏行为机器的运行速度明显变慢机器硬件没有问题，机器却频繁死机对文件或数据进行修改，如修改文件名称、改写文件内容、甚至删除文件机器不能识别和进入硬盘，或硬盘不能引导系统使我们不能使用硬盘机器或文件被自动加密，本来无密码的机器，开机时却出现“请输入密码”设备的内存空间被无故占用，不能运行原来可以运行的程序文件引导区或dos的命令外壳文件受攻击对打印机打印的破坏，如使打印机打印速度变慢、打印出现异常字符、在调入汉子驱动程序后不能打印汉子等机器的显示屏幕被骚扰，莫名其妙地出现一些字符或者演奏音乐等2.1.2病毒的存储结构分析 对于计算机病毒的存储结构来说，不同类型的病毒，在硬盘上的存储结构是不同的。 硬盘空间的总体划分经过格式化后的磁盘包括：主引导记录区（只有硬盘有）、引导记录区、文件分配表（fat）、目录区和数据区。主引导记录区和引导记录区中存有dos系统启动时所用的信息。 文件分配表（fat）是反映当前磁盘扇区使用状况的表。 软盘空间的总体划分当使用dos的外部命令format格式化一张软盘后，不仅把磁盘划分为若干磁道， 每一磁道划分为若干扇区，而且同时把划分的扇区分为五大区域，它们分别是引导记录区、文件分配表1、文件分配表2、根目录区以及数据区。 对于软盘只有一个引导区，引导区在磁盘的0面0道1扇区，它的作用是在系统启动时负责把系统两个隐含文件io.sys和msdos.sys装入内存，并提供dos进行磁盘读写所必须的磁盘i/o参数表。文件分配表（fat表）是反映磁盘上所有文件各自占用的扇区的一个登记表，此表非常重要。硬盘空间的总体划分对于不同类型、不同介质的磁盘，dos划分磁盘的格式是不同的。对于硬盘来说，由于其存储空间比较大，为了允许多个操作系统分享硬盘空间，并希望能从磁盘启动系统，dos在格式化硬盘时，把硬盘划分为主引导记录区和多个系统分区。2.2 病毒入侵分析2.2.1病毒入侵的方式源代码嵌入攻击型从它的名字我们就知道这类病毒入侵的主要是高级语言的源程序，病毒是在源程序编译之前插入病毒代码，最后随源程序一起被编译成可执行文件，这样刚生成的文件就是带毒文件。当然这类文件是极少数，因为这些病毒开发者不可能轻易得到那些软件开发公司编译前的源程序，况且这种入侵的方式难度较大，需要非常专业的编程水平。代码取代攻击型 这类病毒主要是用它自身的病毒代码取代某个入侵程序的整个或部分模块，这类病毒也 少见，它主要是攻击特定的程序，针对性较强，但是不易被发现，清楚起来也较困难。系统修改型这类病毒主要是用自身程序覆盖或修改系统中的某些文件来达到调用或替代操作系统中的部分功能，由于是直接感染系统，危害较大，也是最为多见的一种病毒类型，多为文件型病毒。外壳附加型这类病毒通常是将其病毒附加在正常程序的头部或尾部，相当于给程序添加了一个外壳，在被感染的程序执行时，病毒代码先被执行，然后才将正常程序调入内存。目前大多数文件型的病毒属于这一类。2.2.2病毒的传播方式计算机病毒具有自我复制和传播的特点，因此，研究计算机病毒的传播途径是极为重要的。从计算机病毒的传播机理分析可见，只要是能够进行数据交换的介质都可能成为计算机病毒传播途径。传统的手工传播计算机病毒的方式与现在通过internet传播相比速度要慢得多。不可移动的计算机硬件设备这些设备通常有计算机的专用asic芯片和硬件等。这种病毒虽然极少，但破坏力极强，目前尚没有较好的检测手段对付。移动存储设备可移动式磁盘包括软盘、cd-rom（光盘）、磁带、优盘等其中软盘是使用广泛、移动频繁的存储介质，因此也成了计算机病毒寄生的“温床”。盗版光盘上的软件和游戏及非法拷贝也是目前传播计算机病毒主要途径之一。随着大容量可移动存储设备如zip盘、可擦写光盘、磁光盘（mo）等的普遍使用，这些存储介质也将成为计算机病毒寄生的场所。 硬盘是现在数据的主要存储介质，因此也是计算机病毒感染的重灾区。硬盘传播计算机病毒的途径体现在：硬盘向软盘上复制带毒文件，带毒情况下格式化软盘，向光盘上刻录带毒文件，硬盘之间的数据复制，以及将带毒文件发送至其他地方等。在移动存储设备中，软盘是使用最广泛移动最频繁的存储介质，因此也成为了计算机病毒寄生的“温床”。计算机网络现代信息技术的巨大进步已使空间距离不再遥远，“相隔天涯，如在咫尺”，但也为计算机病毒的传播提供了新的“高速公路”。计算机病毒可以附着在正常文件中通过网络进入一个又一个系统，国内计算机感染一种“进口”病毒已不再是什么大惊小怪的事了。在我们信息国际化的同时，我们的病毒也在国际化。3 计算机病毒的检测和清除3.1 计算机病毒的检测3.1.1病毒的检测方法特征代码法 特征代码法是检测已知病毒的最简单、开销最小的方法。它的实现是采用已知病毒样本。病毒如果既感染com文件，又感染exe文件，对这种病毒要同时采集com型病毒样本和exe型病毒样本。打开被检测文件，在文件中搜索，检测文件中是否含有病毒数据库中的病毒特征代码。如果发现病毒特征代码，由于特征代码与病毒一一对应，便可以断定，被查文件中患有何种病毒。校验和法 将正常文件的内容，计算其校验和，将该校验和写入文件中或写入别的文件中保存。在文件使用过程中，定期地或每次使用文件前，检查文件现在内容算出的校验和与原来保存的校验和是否一致，因而可以发现文件是否感染，这种方法叫校验和法，它既可发现已知病毒又可发现未知病毒。在scan和cpav工具的后期版本中除了病毒特征代码之外，还纳入校验和法，以提高其检测能力。行为监测法利用病毒的特有行为特征性来监测病毒的方法，称为行为监测法。通过对病毒多年的观察、研究，有一些行为是病毒的共同行为，而且比较特殊。在正常程序中，这些行为比较罕见。当程序运行时，监测其行为，如果发现了病毒行为，立即报警。软件模拟法多态性病毒每次感染都变化其病毒密码，对付这种病毒，特征代码法失效。因为多态性病毒代码实施密码化，而且每次所用密钥不同，把染毒的病毒代码相互比较，也无法找出相同的可能作为特征的稳定代码。虽然行为检测法可以检测多态性病毒，但是在检测出病毒后，因为不知病毒的种类，难于做消毒处理。3.2 计算机病毒的清除3.2.1病毒的清除删除可疑的启动程序 查看系统启动程序和注册表是否在可疑的程序后，判断是否中了木马，如果存在木马，则除了要查出木马文件并删除外，还要将木马自动启动程序删除。 恢复win.ini和system.ini系统配置文件的原始配置许多病毒会将win.ini和system.ini系统配置文件修改，使之能在系统启动时加载和运行木马程序。 停止可疑的系统进程木马程序在运行时都会在系统进程中留下痕迹。通过查看系统进程可以发现运行的木马程序，在对木马进行清除时，当然首先要停掉木马程序的系统进程。 修改注册表 查看注册表，将注册表中木马修改的部分还原。 使用杀毒软件和木马查杀工具进行木马查杀常用的杀毒软件包括kv3000、瑞星、诺顿等，这些软件对木马的查杀是比较有效的，但是要注意时刻更新病毒库，而且对于一些木马查杀不彻底，在系统重新启动后还会自动加载。4 计算机病毒防范和技术4.1 计算机病毒防范的概念计算机病毒防范，是指通过建立合理的计算机病毒防范体系和制度，即使发现计算机病毒入侵，并采取有效的手段阻止计算机病毒的传播和破坏，回复受影响的计算机系统和数据。4.2计算机病毒的技术计算机病毒预防是在计算机病毒尚未入侵或刚刚入侵，就拦截、阻击计算机病毒的入侵或立即警报。目前在预防计算机病毒工具中采用的主要技术如下：经常从软件供应商那边下载、安装安全补丁程序和升级杀毒软件。新购置的计算机和新安装的系统，一定要进行系统升级，保证修补所有已知的安全漏洞。使用高强度的口令。经常备份重要数据。特别是要做到经常性地对不易复得数据（个人文档、程序源代码等等）完全备份。选择并安装经过公安部认证的防病毒软件，定期对整个硬盘进行病毒检测、清除工作。安装防火墙（软件防火墙），提高系统的安全性。当计算机不使用时，不要接入互联网，一定要断掉连接。不要打开陌生人发来的电子邮件，无论它们有多么诱人的标题或者附件。同时也要小心处理来自于熟人的邮件附件。正确配置、使用病毒防治产品。正确配置计算机系统，减少病毒侵害事件。充分利用系统提供的安全机制，提高系统防范病毒的能力。4.3清除计算机病毒的防范方法简单的工具治疗简单工具治疗是指使用debug等简单的工具，借助检测者对某种计算机病毒的具体知识，从感染计算机病毒的软件中摘除计算机代码。但是，这种方法同样对检测者自身的专业素质要求较高，而且治疗效率也较低。专用工具治疗使用专用工具治疗被感染的程序时通常使用的治疗方法。专用计算机治疗工具，根据对计算机病毒特征的记录，自动清除感染程序中的计算机病毒代码，使之得以恢复。使用专用工具治疗计算机病毒时，治疗操作简单、高效。从探索与计算机病毒对刚的全过程来看，专用工具的开发商也是先从使用简单工具进行治疗开始，当治疗获得成功后，再研制相应的软件产品，使计算机自动地完成全部治疗操作。5 计算机系统的修复5.1 病毒感染修复处理方法5.1.1计算机病毒感染后的一般修复处理方法首先必须对系统破坏程序有一个全面的了解，并根据破坏的程度来决定采用有效的计算机病毒清除方法和对策。 如果受破坏的大多是系统文件和应用程序文件，并且感染程度深，那么可以采取重装系统的办法来达到清除计算机病毒的目的。而对感染的是关键数据文件，或比较严重的时候，比如硬件被cih计算机病毒破坏，就可以考虑请防杀计算机病毒专家来进行清除和数据恢复工作。修复前，尽可能再次备份重要的数据文件。目前防杀计算机病毒软件在杀毒前大多都能够保存重要的数据和感染的文件，以便能够在误杀或造成新的破坏时可以恢复现场。但是对那些重要的用户数据文件等还是应该在杀毒前手工单独进行备份，备份不能做在被感染破坏的系统内，也不应该与平时的常规备份混在一起。启动防杀计算机病毒软件，并对整个硬盘进行扫描。某些计算机病毒在windows95/98状态下无法完全清除（如cih计算机病毒），此时我们应使用事先准备的未感染计算机病毒的dos系统软盘启动系统，然后在dos下运行相关杀毒软件进行清除。发现计算机病毒后，我们一般应利用防杀计算机病毒软件清除文件中的计算机病毒，如果可执行文件中的计算机病毒不能被清除，一般应将其删除，然后重新安装相应的应用程序。 杀毒完成后，重启计算机，再次用防杀计算机病毒软件检查系统中是否还存在计算机病毒，并确定被感染破坏的数据确实完全恢复。对于杀毒软件无法杀除的计算机病毒，还应将计算机病毒样本送交防杀计算机病毒软件厂商的研究中心，以供详细分析。5.2 恢复被病毒破坏的硬盘数据5.2.1基础知识dos兼容系统硬盘数据的构成 主分区和扩展分区结构基本相似，以下以主分区为例。 主引导记录（mbr）：mbr占一个扇区，在0柱面0面1扇区，由代码区和分区表构成。其中代码区可以由fdisk/mbr重建。系统扇区：0柱面0面2扇区到0柱面0面63扇区，共62个扇区。引导扇区（boot）：0柱面1面1扇区。这是我们过去称的dos引导区。也占一个扇区。隐藏扇区：0柱面1面1扇区开始，如果是fat16那么占一个扇区，如果是fat32则由此占32个扇区。文件分配表（fat）：每个有效的fat结构区包含两个完全相同的拷贝：fat1、fat2，fat16的第fat表一般均在0柱面1面2扇区，fat32的第fat表在0柱面0面33扇区。fat表是记录文件占用扇区连接的地方，如果两个fat表都坏了，后果不堪设想。由于fat表的长度与当前分区的大小有关所以fat2的地址是需要计算的。fat16的每个表项由2字节（16位）组成，通常每个表项指向的簇包含64个扇区，即32kb字节。逻辑盘容量最大为2047mb。fat32的每个表项由4字节（32位）组成，通常每个表项指向的簇包含8个扇区，即4kb字节。逻辑盘容量最小为2048mb。根目录扇区（root）：这里记录了根目录文件项等，root区跟在fat2后面。数据区：跟在根目录扇区后面，这才是真正保存文件内容的地方。主引导记录简单说明主引导记录是硬盘引导的起点，其分区表中比较重要的有3个标志，在偏移0x01be处的字节，0x80表示系统可引导，且整个分区表只能有一个分区的标志为0x80；对于c分区，在偏移0x01c2处的字节，fat16为0x06，fat32为0x0c；结尾的0x55 0xaa标记，用来表示主引导记录是一个有效的记录。5.2.2一个基本恢复被cih破坏硬盘数据的例子 其实，无论主引导记录还是隐含扇区还是启动扇区，都不重要，这些扇区的重建都比较容易。对数据恢复来说，能否成功的找回数据文件是重要的。另外，由于fat表记录了文件在硬盘上占用扇区的链表，如果2个fat表都完全损坏了。那么恢复文件，特别是占用多个不连续扇区文件就相当困难了。恢复被cih破坏的硬盘数据的基本思路是：fat2没有损坏的情况，用fat2覆盖fat1.fat2也已经损坏的情况，一般是只期待找回其中某些关键的文件了。我们最期待的是这些文件是连续的。如果不连续的话，也并非没有可能，但这往往还要知道文件的一些细节，包括对一些文件本身的连接结构有了解。如果fat2没有完全破坏，还是有一定用处的，另外，一般来说，fat16的硬盘因为fat表扇区比较靠前，破坏的比较严重，一般两个fat表都会被破坏了，恢复起来比较困难。另外小容量的硬盘也是很难恢复。在进行数据恢复之前准备好软盘3张：disk1：win98启动盘（带debug.exe）disk2：norton diskedit等工具（此盘不要写保护）disk3：dos下杀cih的工具找一台完好无损的计算机，将待恢复的硬盘接上，开机，进入setup，检测硬盘，把参数记下：cly 620 head 128 precomp 0 landz 4959 sector 63 mode lba用准备好的软盘启动并输入：a:c：显示invalid drive specification（无效的盘标识符）用fdisk/mbr命令重建主引导记录，并重新用软盘引导。此时已经看的见c：硬盘。运行diskedit，启动过程中显示invalid media type reading driver c。用debug清空分区表，并置0x80和0x55 0xaa标志。重新启动，再运行diskedit，显示设定为read only,没关系，把configuration中的只读选项去掉，存盘，好了，可以编辑了。我们期待fat2没有损坏，以用fat2覆盖fat1，在这个时候diskedit要比debug容易的多，在find object中选择fat，查一下起始扇区，在0柱面68面14扇区，偏移0x0000的字节：f8 ff ff of （fat32的）。该项显示表明fat2没坏。其实如果不用diskedit的可以用debug查，偏移0000的f8 ff ff of。记下了该扇区：0柱面68面14扇区备用。fat1一般前面已经被破坏了，但后面应该还在，这可以作为检查。因为是32位的，fat1一般在0柱面1面33扇区。接下来再在diskedit的find中查找io sys (io和sys中要有空格)以查找根目录扇区（root）。找到后观察，是否有c：下常见文件，以确定根目录扇区没被破坏。有了根目录扇区后就该计算fat表的长度了，因为fat是到root前一扇区为止且fat1和fat2的长度相同，所以可以非常简单地计算出fat表的长度，然后可以用fat2覆盖fat1，这里用debug还是diskedit都可以，如果用debug一般是用int25读绝对扇区，再用int26写入，不过可能要分几次。用diskedit可以标记fat2的内容，然后复制下来，再写到fat1。然后可以恢复主引导记录、隐含扇区和启动扇区。可以先用ndd修复分区表，然后可以考虑用标准覆盖法，如果你希望下一步由norton utilities来接手，这些都可以不做。用软盘启动后用norton utilities扫描c盘，文件基本恢复。对c盘杀毒后，就基本完成对启动盘的修复工作。然后再修复d盘。再回到dos，用debug查找结束标志为55aa的扇区，由结构判定是否为扩展分区。并算出大小来添入分区表。当然，diskedit等工具可以很好的完成这一工作。5.2.3经验总结 恢复数据要本着几项原则：先备份；优先抢救最关键的数据；在稳妥的情况下先把最稳定的鸡蛋捞出来，理应先修复扩展分区，再修复c，最好修复一部分备份一部分；要先作好准备，不要忙中出错。其实看来，如果fat2没有损坏的情况下，恢复c盘数据是非常容易的，可以编程实现。如果fat2损坏了，最容易恢复的当然是只占用一个扇区的小文件和连续占用扇区的文件；如果扇区占用不连续的，比较容易恢复的是文本文件。在此需要提醒读者，如果您没有具备相当的专业知识，千万不要轻易尝试，否则可能会造成数据的彻底无法恢复。大多数情况下应该请计算机病毒防范专家来恢复被计算机病毒破坏的硬盘中的数据。5.3 计算机系统修复应急计划就像解决计算机2000年问题一样，对计算机病毒实施的技术防范，任何一个小小的隐患，都可能导致巨大的损失。所以，防范计算机病毒工作也需要制定应急计划，一旦发生了计算机病毒发作，按预定的应急计划行事，将可能造成的损失降到最小程度。一个应急计划必须包括人员、分工以及各项具体实施步骤和物质准备。5.3.1人员准备 首先需要指定一个全局的负责人，一般由领导担当，负责各项工作的分配和协调。参加应急工作的人员一般应包括：网络管理员、技术负责人员、设备维护管理人员和使用者（用户）或值班用户。同时，在发现新的计算机病毒疫情后，可以通过防杀计算机病毒厂商及寻求计算机病毒防范专家的支持。5.3.2应急计划的实施步骤应急计划中必须包括的主要工作有：对染毒的计算机和网络进行隔离由网络管理员完成，网络使用者提供信息，辅助实施。向主管部门汇报计算机病毒疫情一般可以由全局负责人向计算机病毒防范主管部门，或者计算机病毒防范体系中心汇报计算机病毒疫情，包括发作的时间、规模、计算机病毒名称、传播速度以及造成的破坏。确定计算机病毒疫情规模通常由技术负责人员和网络使用者完成这项工作，可以在不扩大传染范围的情况下与隔离工作同步进行。破坏情况估计及制定抢救策略在全局负责人的领导和计算机病毒防范专家的指导下，由全体人员参加，确定破坏的情况以及制定抢救策略，如重装系统、恢复备份等方法。实施计算机网络系统恢复计划和数据抢救恢复计划在计算机病毒防范专家的指导下，由系统管理员、设备维护管理人员和使用者共同实施恢复计划和数据抢救计划。5.3.3善后工作将网络恢复正常运作，并总结发生计算机病毒疫情后的应急计划实施情况和效果，不断修改应急计划，使得它能够更好的解决问题，降低损失。此外，在应急计划中还必须包括救援物质、计算机软件备件的准备，以及参加人员的联络表等，以便使得发生计算机病毒疫情后能够迅速地召集人手，备件到位，快速进入应急状态。 结 论随着现在计算机网络的发展，计算机应用在现在社会的各个领域，计算机病毒攻击与防范技术也在不断拓展。因此，计算机病毒攻击与防御手段是不断发展的，要在计算机病毒对抗中保持领先地位，必须根据发展趋势，在关键技术环节上实施跟踪研究。本文主要通过论述了病毒的由来、