计算机病毒全面概述.pptx
《计算机病毒全面概述.pptx》由会员分享,可在线阅读,更多相关《计算机病毒全面概述.pptx(55页珍藏版)》请在咨信网上搜索。
1、计算机安全技术计算机病毒分析与防治 计算机病毒概述 引导扇区型病毒文件型病毒宏病毒其它类型病毒计算机病毒全面概述第1页计算机安全技术计算机病毒分析与防治 5.1 计算机病毒概述计算机病毒是一些人利用计算机软、硬件所固有脆弱性,编制含有特殊功效程序。这种特殊功效主要表达在三个方面:复制性、隐蔽性和破坏性。20世纪70年代,美国出版了两本科幻小说:震荡波骑士和P1青春。第一个被称作计算机病毒程序是在 1983年11月,由弗雷德科恩博士研制出来。1988年由罗伯特莫里斯编写“蠕虫病毒”,是一次非常经典计算机病毒人侵计算机网络事件,迫使美国政府马上作出反应,国防部成立了计算机应急行动小组。计算机病毒全
2、面概述第2页计算机安全技术计算机病毒分析与防治 5.1 计算机病毒概述5.1.1 病毒产生 计算机病毒是一个高技术犯罪毒果,另首先,计算机软硬件产品脆弱性是引发病毒产生根本原因,为病毒侵人提供了客观方便。病毒制造者动机主要有:开个玩笑,一个恶作剧。产生于个他人报复心理。用于版权保护。用于特殊目标。计算机病毒全面概述第3页计算机安全技术计算机病毒分析与防治 5.1 计算机病毒概述5.1.2 病毒发展过程(1)DOS引导阶段 (2)DOS可执行阶段(3)伴随、批次型阶段 (4)幽灵、多形阶段(5)生成器、变体机阶段 (6)网络、蠕虫阶段(7)Windows阶段 (8)宏病毒阶段(9)互联网阶段 (
3、l0)爪哇、邮件炸弹阶段 5.1.3 病毒破坏行为 1.攻击系统数据区 2.攻击文件 3.攻击内存 4.干扰系统运行 5.各种设备异常 计算机病毒全面概述第4页计算机安全技术计算机病毒分析与防治 5.1 计算机病毒概述5.1.4 病毒传输方式 病毒传输路径有五种:(1)利用电磁波(2)利用有线线路传输(3)直接放毒(4)利用微波传输(5)利用军用或民用设备传输计算机病毒全面概述第5页计算机安全技术计算机病毒分析与防治 5.1计算机病毒概述5.1.5 病毒程序结构 它们主要结构包含三个部分:引导部分、传染部分、表现部分。引导部分作用是借助宿主程序将病毒主体从外存加载到内存,方便传染部分和表现部分
4、进人活动状态。它所做工作有:驻留内存,修改中止,修改高端内存,保留原中止向量等操作。另外,引导部分还能够依据特定计算机系统,将分别存放病毒程序链接在一起,重新进行装配,形成新病毒程序,破坏计算机系统。计算机病毒全面概述第6页计算机安全技术计算机病毒分析与防治 5.1计算机病毒概述传染部分作用是将病毒代码复制到传染目标上去,是病毒关键。普通复制传染速度比较快,不会引发用户注意,同时还要尽可能扩大染毒范围。病毒传染模块大致由两部分组成:条件判断部分,程序主体部分。表现部分是病毒间差异最大部分,前两个部分也是为这部分服务。5.1.6 病毒本质 计算机病毒本质是一组计算机指令或者程序代码,是一个可存放
5、、可执行特殊程序。计算机病毒全面概述第7页计算机安全技术计算机病毒分析与防治 5.1计算机病毒概述5.1.7 病毒基本特征计算机病毒在中华人民共和国计算机信息系统安全保护条例中定义为:“指编制或者在计算机程序中插人破坏计算机功效或者破坏数据,影响计算机使用而且能够自我复制一组计算机指令或者程序代码”。有复制传染功效,有表现破坏功效,有隐藏伎俩。它还含有衍生性。1.传染性 2.隐蔽性 3.破坏性 计算机病毒全面概述第8页计算机安全技术计算机病毒分析与防治 5.1计算机病毒概述5.1.8 病毒分类计算机病毒类型依据不一样角度各有不一样:按传染方式:引导型病毒、文件型病毒和混合型病毒;按连接人侵方式
6、:源码型病毒、入侵型病毒、操作系统型病毒、外壳型病毒;按病毒存在媒体:网络病毒、文件病毒、引导型病毒;按其驻留方法:驻留型病毒和非驻留型病毒;按其表现性质:良性病毒和恶性病毒;按寄生方式:内存宿主型病毒和磁盘宿主型病毒;依据病毒破坏能力:无害型、无危险型、危险型、非常危险型等。计算机病毒全面概述第9页计算机安全技术计算机病毒分析与防治 5.1计算机病毒概述1引导型病毒引导型病毒,感染对象是计算机存放介质引导扇区。病毒将本身全部或部分程序取代正常引导统计,而将正常引导统计隐藏在介质其它存放空间。2文件病毒文件病毒是文件侵染者,也被称为寄生病毒。它运行在计算机内存里,通常它感染带有.COM,.EX
7、E,.DRV,扩展名可执行文件。它们每一次激活时,感染文件把本身复制到其它可执行文件中,并能在内存中保留很长时间,直到病毒又被激活。当用户调用染毒可执行文件时,病毒首先被运行,然后病毒驻留内存伺机传染其它文件或直接传染其它文件。其特点是附着于正常程序文件,成为程序文件一个外壳或部件。计算机病毒全面概述第10页计算机安全技术计算机病毒分析与防治 5.1计算机病毒概述3.宏病毒 4.源码病毒 5.入侵型病 6.操作系统病毒 7.外壳病毒 8.驻留型病毒 9.感染计算机后 10.无害型病毒 依据病毒特有算法,病毒还能够划分为:伴随型病毒;“蠕虫”型病毒;练习型病毒,本身包含错误,不能进行很好传输,比
8、如一些病毒在调试阶段;诡秘型病毒,普通不直接修改DOS中止和扇区数据,而是经过设备技术和文件缓冲区等DOS内部修改,不易看到资源,使用比较高级技术,利用DOS空闲数据区进行工作;变型病毒(又称幽灵病毒),使用一个复杂算法,使自己每传输一份都含有不一样内容和长度。它们普通由一段混有没有关指令解码算法和被改变过病毒体组成。计算机病毒全面概述第11页计算机安全技术计算机病毒分析与防治 5.2 引导扇区型病毒 3.2.1 硬盘主引导统计和引导扇区硬盘主引导分区是磁道号为0、磁头号为0、扇区号为1(C0,H0,Rl)扇区,它是硬盘第一个物理扇区。主引导分区中数据由硬盘主引导统计和硬盘分区表组成,最终2个
9、字节是55H、AAH。主引导统计占用位置0000EFH,硬盘分区表占用位置01BE01FEH。分区表包含4个16字节表项,共64个字节,每一个表项描述一个分区,表项内容参见P150表5-1所表示。计算机病毒全面概述第12页计算机安全技术计算机病毒分析与防治 5.2 引导扇区型病毒5.2.2 2708病毒分析2708病毒是一个引导型病毒,它在传染软盘时,把正常引导扇区放到磁盘1面27道(以十六进制表示)08扇区,所以取名为2708病毒。在病毒发作时,病毒程序将BIOS中打印端口地址数据置0,从而封锁打印机。12708病毒引导过程 22708病毒传输方式 32708病毒发作 2708病毒在传染硬盘
10、主引导扇区后,每次从硬盘开启时,都会将开启次数加 1,并将这个计数器保留在主引导扇区中。当开启次数到达32次后,计数器不再增加,覆盖BIOS区域中并口和串口地址,而不能进行打印操作。计算机病毒全面概述第13页计算机安全技术计算机病毒分析与防治 5.2 引导扇区型病毒5.2.3 引导型病毒检测和防治 1引导型病毒引导过程引导型病毒在系统起动时,在正常系统引导之前将其本身装入到系统中。在传染硬盘时它覆盖了硬盘主引导扇区或DOS引导扇区,在传染软盘时则覆盖了引导扇区。在系统引导时,ROM BIOS把这些扇区内容读入内存并执行。这么,病毒程序就取得了控制权。它首先把自己复制到内存高端,在完成安装过程后
11、再继续DOS引导过程。为了保护内存高端病毒程序不被系统使用,要将内存容量降低若干KB。2引导型病毒传输方式引导型病毒传染对象是软盘引导扇区和硬盘主引导扇区及硬盘DOS引导扇区。计算机病毒全面概述第14页计算机安全技术计算机病毒分析与防治 5.2 引导扇区型病毒3引导型病毒表现形式在满足特定条件后,就会激活病毒表现模块。而病毒表现方式,能够说是各种各样,它集中表达了病毒炮制者企图。4引导型病毒检测对于这类病毒诊疗比文件型病毒要轻易得多,能够从以下几个方面进行诊疗:(1)察看系统内存容量是否降低。(0:0413一个字)(2)检验系统高端内存中是否有病毒代码。(3)检验软盘引导扇区和硬盘主引导扇区及
12、硬盘DOS引导扇区。计算机病毒全面概述第15页计算机安全技术计算机病毒分析与防治 5.2 引导扇区型病毒 用DEBUG读入引导扇区方法:A)DEBUG -A 100 XXXX:0100 MOV AX,0201 XXXX:0103 MOV BX,7C00 XXXX:0106 MOV CX,0001 XXXX:0109 MOV DX,0080 XXXX:010C INT 13 XXXX:010E INT 3 XXXX:010F -G -L 100 0 0 1 -L 300 2 0 1 -Q 计算机病毒全面概述第16页计算机安全技术计算机病毒分析与防治 5.2 引导扇区型病毒5引导型病毒去除在检测到
13、磁盘被引导型病毒感染以后,消除病毒思绪是用正常系统引导程序覆盖引导扇区中病毒程序。假如在被病毒感染以前,读取并保留了硬盘主引导扇区和DOS引导扇区中内容,就很轻易去除病毒。能够用DEBUG把保留内容读入内存,再写入引导扇区。引导扇区中病毒即被正常引导程序所替换。假如 MBP.DAT和 BOOT.DAT分别保留是硬盘主引导扇区和 DOS引导扇区内容,长度为 512字节。按以下步骤执行:ADEBUG N MBP.DAT L 7C00 N B00T.DAT L 7E00计算机病毒全面概述第17页计算机安全技术计算机病毒分析与防治 A 100XXXX:0100 MOV AX,0301XXXX:0103
14、 MOV BX,7C00XXXX:0106 MOV CX,0001XXXX:0109 MOV DX,0080XXXX:010C INT 13XXXX:010E INT 3 XXXX:010FGW 7E00 2 0 1Q备份:-L 100 0 0 1-N BOOT.DAT-R CXCX:200-W-Q备份主引导统计:A 100MOV AX,0201MOV BX,7C00MOV CX,0001MOV DX,0080INT 13INT 3G-N MBP.DAT-R CXCX:200-R BXBX:0000-W-Q计算机病毒全面概述第18页计算机安全技术计算机病毒分析与防治 5.2 引导扇区型病毒假如
15、没有保留引导扇区信息,则去除其中病毒比较困难。对于那些把引导扇区内容转移到其它扇区中病毒,需要分析病毒程序引导代码,找出正常引导扇区内容存放地址,把它们读入内存,再按上面介绍方法写到引导扇区中。而对于那些直接覆盖引导扇区病毒,则必须从其它微机中读取正常引导程序。对于硬盘DOS引导扇区中病毒,能够用和硬盘上相同版本DOS(从软盘)开启,再执行SYS C:命令传送系统到 C盘,即能够去除硬盘 DOS引导扇区中病毒。计算机病毒全面概述第19页计算机安全技术计算机病毒分析与防治 5.3 文件型病毒 5.3.1 COM文件格式文件格式COM文件中只使用一个段,文件中程序和数据大小限制在64KB内。在执行
16、一个COM文件时,DOS分配一个内存块,包含全部可用内存空间。在内存块最前面为该程序建立程序段前缀PSP。PSP大小为100H字节。COM文件内容直接读人到PSP之后内存。四个段存放器CS、DS、ES、SS都被初始化为PSP段地址,堆栈指针SP被设置为FFFEH,指令指针IP设置为0100H。然后开始执行这个COM程序计算机病毒全面概述第20页计算机安全技术计算机病毒分析与防治 5.3 文件型病毒5.3.2 EXE文件格式EXE文件中可包含多个段,每个段大小在64KB内,但文件中程序、数据总大小能够超出64KB。EXE文件分为两个部分,EXE文件头和装入模块。文件头描述关于整个EXE文件一些信
17、息,在装入过程中由DOS使用。EXE文件格式如P157图5-3所表示.在执行一个EXE文件时,分配内存块、生成环境段、建立PSP过程和执行COM文件时完全相同。EXE文件中装入模块内容直接读人到PSP之后内存,内存段被称为起始段值。DS、ES初始化为PSP段地址,CS、IP和SS、SP依据文件头中对应字段内容进行初始化,CS和SS内容再加上起始段值。计算机病毒全面概述第21页计算机安全技术计算机病毒分析与防治 5.3 文件型病毒5.3.3黑色星期五病毒分析1黑色星期五病毒特点 黑色星期五病毒是一个文件型病毒。它驻留在后缀为COM和EXE文件中。当运行带病毒文件时,病毒程序首先取得控制。假如系统
18、中还没有驻留这种病毒,则将其本身驻留,修改系统INT 21H和INT 8H中止向量,指向病毒程序对应位置,之后再执行原文件中程序。2黑色星期五病毒组成引导驻留部分、传输部分、破坏(表现)部分。计算机病毒全面概述第22页计算机安全技术计算机病毒分析与防治 5.3 文件型病毒(1)引导驻留部分文件运行时,依据INT 21HE0H功效返回值,判断当前系统是否已被病毒感染。如未被感染,则截获INT 21H和INT 8H向量,使它们指向病毒程序对应部分。病毒程序将本身移动到内存某一位置,从XXXX:0000至XXXX:0710H。病毒程序将本身驻留后,才转去执行原可执行文件。(2)传输部分病毒驻留系统,
19、运行一个可执行文件,则传染该文件。病毒程序将读写指针移到文件尾部,判断文件尾部是否有标识“4D 73 44 6F 73”,假如有,则感染该文件再执行该文件中原有程序;假如没有病毒标识,则认为该文件未被感染。计算机病毒全面概述第23页计算机安全技术计算机病毒分析与防治 5.3 文件型病毒感染步骤:病毒程序首先将文件建立日期时间、属性保留下来,再修改文件属性。然后病毒将本身链接于文件之中,并修改文件长度。最终,恢复原文件属性和建立日期时间。病毒在感染文件后,再转去执行原文件,使用户难于发觉病毒感染。在病毒对文件感染过程中,修改了 DOS INT 24H中止。INT 24H是 DOS犯错处理中止,假
20、如屏蔽了这个中止,就能够使病毒传染过程中可能发生一些错误(如磁盘写保护、文件读写犯错等)不被用户发觉。计算机病毒全面概述第24页计算机安全技术计算机病毒分析与防治 5.3 文件型病毒(3)破坏部分一个是降低系统运行速度,另一个是删除被执行文件。它截获了INT 8H时钟中止服务程序,满足其激活条件(病毒驻留内存约半小时后)时,在屏幕上显示黑色方块,而且在程序中执行无用循环,耗用CPU处理周期,使用户程序执行速度大大降低。假如机器日期是十三日及星期五,而且不是1987年,则病毒在DOS加载COM或EXE可执行文件时,删除这些文件。3黑色星期五病毒传染机制黑色星期五病毒传染是在执行 DOS加载执行功
21、效调用(即 INT 21H 4BH)时完成。计算机病毒全面概述第25页计算机安全技术计算机病毒分析与防治 5.3 文件型病毒在 DOS系统下,DOS外部命令和全部可执行文件,执行时都要调用 INT 21H 4BH功效。其入口参数是:DS:DX指向可执行文件文件名ASCII串ES:BX指向执行此命令参数块;AX4B00H在带有病毒系统中,INT 21H中止指向病毒程序。病毒程序从加载执行功效入口参数处取出文件名,依据文件名后缀判断文件类型。假如是COM文件,检验其是否被病毒感染,未感染情况下则将病毒程序放置在原COM文件前面,并在其尾部加上病毒标志。假如被感染,则调用 INT 21H 4BH功效
22、执行原COM文件。计算机病毒全面概述第26页计算机安全技术计算机病毒分析与防治 5.3 文件型病毒假如是EXE文件,则将病毒程序写到EXE文件最终,然后修改EXE文件文件头参数,使其指向病毒程序,所以执行受感染EXE文件时即让病毒程序取得控制权。在感染完成后,执行原EXE文件内容。5.3.4文件型病毒检测与防治 1文件型病毒引导过程 可 执 行 文 件 装 人 执 行,是 由 DOS系 统INT21H4BH功效调用完成。DOS执行这个调用时,从磁盘上装入可执行文件,进行加载并将控制权交给被加载用户程序。计算机病毒全面概述第27页计算机安全技术计算机病毒分析与防治 5.3 文件型病毒对于COM文
23、件,第一条指令位于CS:100地址处;对于EXE文件,由文件头中CS、IP字段确定程序第一条指令。病毒感染可执行文件,为了取得控制,修改了原文件头部参数。对于COM文件,要修改文件头三个字节内容;对于EXE文件,则要修改文件首部(文件头)偏移1415H处IP指针和偏移1617H处CS段值。为了不影响用户程序堆栈段内容,还要修改偏移0E0FH处SS段值和偏移1011H处SP指针。还要修改EXE文件头部0205H处文件长度标识。计算机病毒全面概述第28页计算机安全技术计算机病毒分析与防治 5.3 文件型病毒 2文件型病毒传染方式 在传染过程中,病毒程序或者位于文件首部,或者位于文件尾部,而且使原文
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 计算机病毒 全面 概述
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,个别因单元格分列造成显示页码不一将协商解决,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【快乐****生活】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【快乐****生活】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。