计算机病毒的防治

第六章计算机病毒的防治6.1计算机病毒概述6.2

计算机病毒的工作方式6.3

病毒的预防、检测和清除6.4

防毒战略和相关产品第一页，共三十六页。本章学习目标（1）了解计算机病毒的定义和病毒的危害性（2）掌握计算机病毒的特征和种类（3）掌握计算机病毒的特征和种类（4）掌握如何预防、检测和清除病毒（5）了解主要防毒产品的功能特点第二页，共三十六页。6.1计算机病毒概述计算机病毒的定义计算机病毒的发展过程计算机病毒的特征计算机病毒的组成计算机病毒的种类第三页，共三十六页。计算机病毒的定义在1994年我国颁布实施的《中华人民共和国计算机系统安全保护条例》中，对计算机病毒有如下定义：“计算机病毒是编制或在计算机程序中插入的破坏计算机功能或毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码”。第四页，共三十六页。计算机病毒的发展过程1．早期病毒的产生在20世纪60年代初，美国贝尔实验室中3个年轻的程序员，道格拉斯·麦耀莱、维特·维索斯基和罗伯在工作之余编制了一个游戏“磁芯大战”（CoreWar），这个游戏是通过不断复制自身的方式来摆脱对方进程的控制，从而获取最后的胜利。可以说这个程序是病毒的先驱。第五页，共三十六页。2．DOS病毒阶段3．Windows平台阶段4．网络病毒阶段5．病毒发展的未来趋势

（1）网络化（2）隐蔽化（3）多样化（4）破坏性强（5）简单化第六页，共三十六页。计算机病毒的特征（1）可执行性。（2）传染性。（3）潜伏性。（4）隐蔽性。（5）破坏性。（6）不可预见性。（7）夺取系统控制权第七页，共三十六页。计算机病毒的组成

计算机病毒程序一般由感染模块、触发模块、破坏模块和主控模块组成，相应为感染机制、触发机制和破坏机制三种。但有些病毒并不具备所有的模块，例如巴基斯坦智囊病毒就没有破坏模块。

1．感染模块2．触发模块3．破坏模块4．主控模块

第八页，共三十六页。计算机病毒的种类计算机病毒的分类方法也有多种，一般按病毒对计算机破坏的程度和传染方式、算法及链接方式来分。

1．按病毒的传染方式2．按病毒的破坏程度3．按病毒的算法分类4．按病毒的链接方式第九页，共三十六页。6.2

计算机病毒的工作方式

引导型病毒的工作方式文件型病毒的工作方式6.2.3混合型病毒的工作方式6.2.4宏病毒的工作方式6.2.5Java病毒

6.2.6网络病毒

6.2.7脚本病毒

6.2.8PE病毒

第十页，共三十六页。

引导型病毒的工作方式第十一页，共三十六页。文件型病毒的工作方式在目前已知的病毒中，大多数属于文件型病毒。文件型病毒一般只传染磁盘上的可执行文件（COM、EXE）。在用户调用染毒的可执行文件时，病毒首先被运行，然后病毒驻留内存伺机传染其他文件或直接传染其他文件。其常见的传染方式是附着于正常程序文件，成为程序文件的一个外壳或部件。第十二页，共三十六页。第十三页，共三十六页。（a）引导型病毒（b）文件型病毒第十四页，共三十六页。混和型病毒工作方式混和型病毒在传染方式上兼具引导型病毒和文件型病毒的特点。这种病毒的原始状态是依附在可执行文件上，以该文件为载体进行传播。当被感染文件执行时，会感染硬盘的主引导记录。以后用硬盘启动系统时，就会实现从文件型病毒转变为引导型病毒。例如BloodBound.A，该病毒也称为Tchechen.3420，主要感染COM、EXE和MBR。它将自己附着在可执行文件的尾部，将破坏性的代码放入MBR中，然后清除硬盘中的文件。第十五页，共三十六页。宏病毒的工作方式宏病毒是利用宏语句编写的。它们通常利用宏的自动化功能进行感染，当一个感染的宏被运行时，它会将自己安装在应用的模板中，并感染应用创建和打开的所有文档。Office中的Word、Excel和PowerPoint都有宏。第十六页，共三十六页。

Java病毒

Java是由Sun公司创建的一种用于互联网环境中的编程语言。Java应用程序不会直接运行在操作系统中，而是运行在Java虚拟机（JVM）上。因此用Java编写的应用程序的移植性非常强，包括现在的手机中的一些程序也是用Java编写的。JavaApplet是一种内嵌在HTML网页中的可携式Java小程序。具有Java功能的浏览器可以运行这个小程序。JavaApplet可供Web开发人员建立含有功能更丰富的交互式动态Web网页。它们会在使用者访问网页时被执行。黑客、病毒作者或其他恶意人士可能会用Java恶意程序代码当作武器攻击使用者的系统。第十七页，共三十六页。网络病毒随着互联网的高速发展，计算机病毒从原来的磁盘进行传播发展到现在的通过网络的漏洞进行传播。到如今，网络病毒已经成为计算机网络安全的最大威胁之一。网络病毒中又以蠕虫病毒出现最早，传播最为广泛，例如“冲击波”、“红色代码”病毒等。第十八页，共三十六页。第十九页，共三十六页。6.2.7脚本病毒

脚本病毒也是一种特殊的网络病毒。脚本是指从一个数据文档中执行一个任务的一组指令，它也是嵌入到一个文件中，常见的是嵌入到网页文件中。脚本病毒依赖于一些特殊的脚本语言（例如VBScript、JavaScript、Jscript、PerlScript、PHP、Flash等）。有些脚本语言，例如VBScript（VisualBasicScript）以及JavaScript病毒，必须通过Microsoft的WindowsScriptingHost（WSH）才能够激活执行以及感染其他文件。第二十页，共三十六页。6.2.8PE病毒

PE病毒，是指感染WindowsPE格式文件的病毒。PE病毒是目前影响力极大的一类病毒。PE病毒同时也是所有病毒中数量极多、破坏性极大、技巧性最强的一类病毒。如FunLove、“中国黑客”等病毒都属于这个范畴。第二十一页，共三十六页。6.3病毒的预防、检测和清除计算机病毒的预防计算机病毒的检测方法计算机病毒的清除6.3.4病毒实例第二十二页，共三十六页。计算机病毒的检测（1）使用无毒的系统软件和应用软件。（2）CMOS设置。（3）使用最新的系统安全更新。（4）禁用WindowsScriptHost（WSH）和FSO对象。（6）启动防火墙。（7）启用宏病毒警告。（8）邮件附件的处理。（9）安装杀毒软件。第二十三页，共三十六页。计算机病毒的检测方法1．特征代码法2．校验和法3．行为监测法4．软件模拟法5．启发式扫描技术第二十四页，共三十六页。计算机病毒的清除1．引导型病毒的清除引导型病毒的一般清理办法是用Format命令格式化磁盘，但这种方法的缺点是在病毒被杀掉的同时有用的数据也被清除掉了。除了格式化的方法外，还可以用其他的方法进行恢复。引导型病毒在不同的平台上清除方法有所不同，在Windows95/98下，可以执行以下步骤：（1）用Windows95/98的干净启动盘启动计算机。（2）在命令行中键入下列命令：fdisk/mbr（用来更新主引导记录，也称硬盘分区表）SysC:（恢复硬盘引导扇区）（3）重启计算机。在Windows2000/XP平台下，可以用以下方法进行恢复：（1）用Windows2000/XP安装光盘启动。（2）在“欢迎安装”的界面中按R键进行修复，启动Windows的修复控制台。（3）选择正确的要修复的机器的数量。（4）键入管理员密码，如果没有密码，则直接回车。（5）在命令行键入下面的命令：FIXMBR 回车FIXBOOT 回车（6）键入EXIT，重启计算机。第二十五页，共三十六页。2．文件型病毒的清除（1）检查注册表（2）检查win.ini文件（3）检查system.ini文件（4）重新启动计算机，然后根据文件名，在硬盘找到这个程序，将其删除。第二十六页，共三十六页。3．宏病毒的清除在MicrsoftOffice应用程序中打开“工具”→“宏”→“VisualBasic编辑器”，早期的版本为宏管理器。进入到编辑器窗口，用户可以查看Normal模板，若发现有AutoOpen、AutoNew、AutoClose等自动宏以及FileSave、FileSaveAs、FileExit等文件操作宏或一些怪名字的宏，如XXYY等，而自己又没有加载这类特殊模板，这就极可能是宏病毒在作祟，因为大多数Normal模板中是不包含上述宏的。确定是宏病毒后，可以在通用模板中删除被认为是病毒的宏。还有一种方法更为简单，通过搜索系统文件，找到Autoexec.dot和Nomal.dot文件，直接删除即可。Office应用程序启动后会重新生成一个干净的模板文件。第二十七页，共三十六页。4．网络病毒的清除（1）系统加固。（2）建立病毒预警检测系统。（3）在互联网接入口处安装防病毒网关，将病毒隔离在外部网络。第二十八页，共三十六页。病毒实例1．CIH病毒

2．冲击波病毒3．爱虫病毒4．梅丽莎病毒5．红色代码病毒第二十九页，共三十六页。6.4防毒战略和相关产品传统的防毒策略新防护策略防毒产品技术6.4.4防毒产品介绍第三十页，共三十六页。传统的防毒策略1．基于点的保护战略2．被动式保护战略第三十一页，共三十六页。新防护策略1．多层次保护策略2．集中式管理策略3．病毒爆发预防策略第三十二页，共三十六页。防毒产品技术1．实时监视技术2．自动解压缩技术3．全平台反病毒技术第三十三页，共三十六页。防毒产品介绍1．趋势防病毒软件2．赛门铁克3．金山毒霸4．瑞星第三十四页，共三十六页。THANKYOUVERYMUCH！本章到此结束，谢谢您的光临！第三十五页，共三十六页。内容梗概第六章计算机病毒的防治。（1）了解计算机病毒的定义和病毒的危害性。但有些病毒并不具备所有的模块，例如巴基斯坦智囊病毒就没有破坏模块。计算机病毒的分类方法也有多种，一般按病毒对计算机破坏的程度和传染方式、算法及链接方式来分。在目前已知的病毒中，大多数属于文件型病毒。其常见的传染方式是附着于正常程序文件，成为程序文件的一个外壳或部件。当被感染文件执行时，会感染硬盘的主引导记录。以后用硬盘启动系统时，就会实现从文件型病毒转变为引导型病毒。Java是由Sun公司创建的一种用于互联网环境中的编程语言。Java应用程序不会直接运行在操作系统中，而是运行在Java虚拟机（JVM）上。因此用Java编写的应用程序的移植性非常强，包括现在的手机中的一些程