计算机网络病毒-第7册.docx

1、计算机百科知识计算机百科知识 计算机网络病毒 (七 ) 本书编写组 编 山东科学技术出版社图 书 在 版 编 目 (CIP)数 据 计 算 机 百 科 知 识 /本 书 编 写 组 编 济南 山东科学 技术出版社 2003ISBN 7-5331-1651-8计 本 计算机网络 基本知识 汇编 TP39中国版本图书馆 CIP 数据核字(2003)第 004271 号山东科学技术出版社出版发行 (济 南 市 玉 函 路 16 号 250001)全国各地新华书店经销 莒县新华印刷厂印刷开本 787 1092 1/32 印张 240 字数 4 000 千字2003 年 7 月第 1 版 2003 年

2、7 月第 1 次印刷印数 1 1 000 册书号 ISBN 7-5331-1651-8/ D 112定价 698.00 元计算机网络病毒 目 录 国际上对病毒命名的惯例 计 算 机 病 毒 的 传 播 途 径 计 算 机 病 毒 的 分 类 .计 算 机 病 毒 的 发 展 阶 段 计 算 机 病 毒 的 生 命 周 期 计 算 机 病 毒 的 特 性 .计算机病毒的危害及症状 计算机病毒简史 计算机感染病毒后的主要症状 . 病 毒 定 义 .怎 样 面 对 病 毒 计算机病毒防范 当 前 计 算 机 病 毒 的 最 新 特 点 .计算机病毒杂谈 预 防 病 毒 .关于宏病毒 .病 毒 报 告

3、 .教你如何对付 B ADTRANS 坏透了 病毒 .圣诞新年防 毒 心 .谨防情书病毒的再度发作 日本今年上半年病毒报告数增长 3 倍 计算机网络病毒 第一个跨 WINDOWS 和 LINUX 平台的病毒 WINUX 出 现 全球 26 个 官 方 网 站 遭 到 黑 客 攻 击 . 黑客擅闯英国核电站 2001 年 IT 业重大事件回顾 .数 字 音 乐 在 网 上 的 自 由 传 播 受 阻 . 高科技企业股价下跌 导致投资者亏损加剧 . ISP 倒闭增多 惠 普 康 柏 试 图 合 并 消 费 者 的 隐 私 权 被 削 弱 .IT 行 业 的 发 展 势 头 受 阻 MAC OS X

4、 终于问世 .微 软 逃 脱 被 分 解 的 厄 运 .谨防 求职信 再度肆虐 .微软 SQL 蠕虫愈演愈凶 荣 升 病 毒 攻 击 排 行 榜 首 . 恶性病毒 中国黑客 可通过邮件传播 中 国 黑 客 (WORM.RUNOUCE )病毒分析报告 .病毒传播速度惊人 求 职 信 变 种 危 害 最 大 .藏身 回收站 国内惊现 垃圾桶 病毒 .打着密码的旗号 新 型 蠕 虫 病 毒 开 始 传 播 .中国黑客 变种惊现 夹带武器阻塞网络 . 中国黑客与中国黑客 II 分 析 比 较 报 告 . 爱情森林惊现数个变种 利用 QQ 及 网 页 传 播 公安部通报 我国电脑遭病毒破坏严重 计算机网

5、络病毒 国际上对病毒命名的惯例一般惯例为前缀+病毒名+后缀 前缀表示该病毒 发作的操作平台或者病毒的类型 而 DOS 下的病毒一 般是没有前缀的 病毒名为该病毒的名称及其家族 后缀一般可以不要的 只是以此区别在该病毒家族中 各病毒的不同 可以为字母 或者为数字以说明此病 毒的大小 例如 WM.Cap.A A 表示在 Cap 病毒家族 中的一个变种 WM 表示该病毒是一个 Word 宏病毒 下面我就讲解一下各种前缀的含义 WM: Word 宏 病 毒 可 以 在 Word6.0 和Word95(Word7.0) 下 传 播 发 作 也 可 以 在 Word97(Word8.0)或以上的 Word

6、 下传播发作 但该病 毒不是在 Word97 制作完成的 W97M: Word97 宏病毒 这些是在 Word97 下制作 完成 并只在 Word97 或以上版本的或以上的 Word 传 播发作 XM: Excel 宏病毒在 Excel5.0 和 Excel95 下制作 完成并传播发作 同样 此种病毒也可以在 Excel97 或以上版本传播发作 X97M: 在 Excel97 下制作完成的 Excel 宏病毒 此类病毒也可以在 Excel 5.0 和 Excel 97 下传播发计算机网络病毒 作 XF: Excel 程式 Excel Formula 病毒 此类病 毒是用 Excel4.0 把程

7、序片断植入新的 Excel 文档中 的 AM: 在 Access95 下 制 作 完 成 并 传 播 发 作 的 Access 的宏病毒 A97M: 在 Access97 下 制 作 完 成 并 传 播 发 作 的 Access 的宏病毒 W95: 顾名思义 这类是 Windows95 病毒 运行 在 Windows95 操 作 系 统 下 当 然 也 可 以 运 行 在 Windows98 下 Win: Windows3.x 病毒 感染 Windows3.x 操作系 统的文件 W32:32 位 Windows 病 毒 感 染 所 有 的 32 位 WIdnows 平台 WNT: 同 样 是

8、32 位 Windows 病 毒 但 只 感 染 Windows NT 操作系统 HLLC: 高 级 语 言 同 伴 High Level Language Companion 病毒 他们通常是 DOS 病毒 通过新建 一个附加的文件来传播 HLLP: 高 级 语 言 寄 生 High Level Language PaRasItIc 病毒 这些通常也是 DOS 病毒 寄生在计算机网络病毒 主文件中 HLLO: 高 级 语 言 改 写 High Level Language OverwritIng 病毒 通常是 DOS 病毒 以病毒代码 改写主文件 Trojan/Troj: 这并不是病毒 只是

9、特洛伊木马 通常装扮成有用的程序 但通常有恶意代码 特洛伊 木马并不会传染 VBS: 用 Visual Basic Script 程序语言编写的 病毒 AOL: 美 国 在 线 AOL 环 境 下 特 殊 的 木 马其目 的通常位窃取 AOL 的密码等信息 PWSTEAL: 窃取密码等信息的木马 JAVA: 用 JAVA 程序语言编写的病毒 计算机病毒的传播途径第 一 种 途 径 通 过 不 可 移 动 的 计 算 机 硬 件 设 备 进行传播 这些设备通常有计算机的专用 ASIC 芯片 和硬盘等 这种病毒虽然极少 但破坏力却极强 目 前尚没有较好的检测手段对付 第 二 种 途 径 通 过 移

10、 动 存 储 设 备 来 传 播 这 些 设 备包括软盘 磁带等 在移动存储设备中 软盘是使 用最广泛移动最频繁的存储介质 因此也成了计算机 计算机网络病毒 病毒寄生的 温 床 目 前 大 多 数 计 算 机 都 是 从 这计算机网络病毒 类途径感染病毒的 第三种途径 通过计算机网络进行传播 现代信 息技术的巨大进步已使空间距离不再遥远 相隔天 涯 如在咫尺 但 也 为 计 算 机 病 毒 的 传 播 提 供 了 新 的 高 速 公 路 计 算 机 病 毒 可 以 附 着 在 正 常 文 件 中 通过网络进入一个又一个系统 国 内 计 算 机 感 染 一 种 进口 病毒已不再是什么大惊小怪的事

11、了 在我 们信息国际化的同时 我 们 的 病 毒 也 在 国 际 化 估 计以后这种方式将成为第一传播途径 第 四 种 途 径 通 过 点 对 点 通 信 系 统 和 无 线 通 道 传播 目前 这种传播途径还不是十分广泛 但预计 在未来的信息时代 这种途径很可能与网络传播途径 成为病毒扩散的两大 时尚渠道 计算机病毒的分类从第一个病毒出世以来 究竟世界上有多少种病 毒 说法不一 无论多少种 病毒的数量仍在不断增 加 据国外统 计 计算机病毒以 10 种/周的速度递 增 另据我国公安部统计 国内以 46 种/月的速度递 增 不过 孙悟空再厉害 也逃不过如来佛的手掌心 病毒再多 也逃不出下列种类

12、 病毒分类是为了更好 地了解它们 按照计算机病毒的特点及特性 计算机 病毒的分类方法有许多种 因此 同一种病毒可能有计算机网络病毒 多种不同的分法 1 按照计算机病毒攻击的系统分类1 攻击 DOS 系统的病毒 这类病毒出现最早 最多 变种也最多 目前我国出现的计算机病毒基本 上都是这类病毒 此类病毒占病毒总数的 992 攻击 Windows 系统的病毒 由于 Windows 的 图 形 用 户 界 面 GUI 和 多 任 务 操 作 系 统 深 受 用 户 的欢迎 Windows 正逐渐取代 DOS 从而成为病毒攻 击 的 主 要 对 象 目 前 发 现 的 首 例 破 坏 计 算 机 硬 件

13、 的 CIH 病毒就是一个 Windows95/98 病毒 3 攻击 UNIX 系统的病毒 当前 UNIX 系统应 用非常广泛 并 且 许 多 大 型 的 操 作 系 统 均 采 用 UNIX 作为其主要的操作系统 所以 UNIX 病毒的出现 对 人类的信息处理也是一个严重的威胁 4 攻击 OS/2 系统的病毒 世界上已经发现第 一个攻击 OS/2 系统的病毒 它虽然简单 但也是一 个不祥之兆 2 按照病毒的攻击机型分类1 攻 击 微 型 计 算 机 的 病 毒 这 是 世 界 上 传 染 最为广泛的一种病毒 2 攻 击 小 型 机 的 计 算 机 病 毒 小 型 机 的 应 用 范 围 是

14、极 为 广 泛 的 它 既 可 以 作 为 网 络 的 一 个 节 点计算机网络病毒 机 也 可 以 作 为 小 的 计 算 机 网 络 的 主 机 起初 人 们 认 为 计 算 机 病 毒 只 有 在 微 型 计 算 机 上 才 能 发 生 而 小型机则不会受到病毒的侵扰 但自 1988 年 11 月份 Internet 网络受到 Worm 程序的攻击后 使得人们认 识到小型机也同样不能免遭计算机病毒的攻击 3 攻 击 工 作 站 的 计 算 机 病 毒 近 几 年 计算 机工作站有了较大的进展 并且应用范围也有了较大 的发展 所以我们不难想象 攻 击 计 算 机 工 作 站 的 病毒的出现

15、也是对信息系统的一大威胁 3 按照计算机病毒的链结方式分类由 于 计 算 机 病 毒 本 身 必 须 有 一 个 攻 击 对 象 以 实 现对计算机系统的攻击 计算机病毒所攻击的对象是 计算机系统可执行的部分 1 源码型病毒 该病毒攻击高级语言编写的程序 该病毒在高级语言所编写的程序编译前插入到原程序中 经编译成 为合法程序的一部分 2 嵌入型病毒 这种病毒是将自身嵌入到现有程序中 把计算机病毒的主体程序与其攻击的对象以插入的方式链接 这种计算机病毒是难以编写的 一旦侵入程序体后也 较难消除 如果同时采用多态性病毒技术 超级病毒计算机网络病毒 技术和隐蔽性病毒技术 将给当前的反病毒技术带来 严

16、峻的挑战 3 外壳型病毒 外壳型病毒将其自身包围在主程序的四周 对原来的程序不作修改 这种病毒最为常见 易于编写 也易于发现 一般测试文件的大小即可知 4 操作系统型病毒 这 种 病 毒 用 它 自 己 的 程 序 意 图 加 入 或 取 代 部 分操作系统进行工作 具有很强的破坏力 可以导致整 个系统的瘫痪 圆点病毒和大麻病毒就是典型的操作 系统型病毒 这种病毒在运行时 用自己的逻辑部分 取代操作系统的合法程序模块 根据病毒自身的特点 和 被 替 代 的 操 作 系 统 中 合 法 程 序 模 块 在 操 作 系 统 中 运 行 的 地 位 与 作 用 以 及 病 毒 取 代 操 作 系 统

17、 的 取 代 方 式等 对操作系统进行破坏 4.按 照 计 算 机 病 毒 的 破 坏 情 况 分 类按照计算机病毒的破坏情况可分两类 1 良性计算机病毒 良 性 病 毒 是 指 其 不 包 含 有 立 即 对 计 算 机 系 统 产 生直接破坏作用的代码 这类病毒为了表现其存在 只是不停地进行扩散 从一台计算机传染到另一台 并不破坏计算机内的数据 有些人对这类计算机病毒计算机网络病毒 的传染不以为然 认为这只是恶作剧 没什么关系 其实良性 恶性都是相对而言的 良性病毒取得系统 控制权后 会导致整个系统运行效率降低 系统可用 内存总数减少 使某些应用程序不能运行 它还与操 作系统和应用程序争抢

18、 CPU 的控制权 时时导致整个 系统死锁 给正常操作带来麻烦 有时系统内还会出 现几种病毒交叉感染的现象 一个文件不停地反复被 几种病毒所感染 例如原来只有 10KB 的文件变成约 90KB 就是被 几种病毒反复感染了数十次 这不仅消耗掉大量宝贵 的磁盘存储空间 而且整个计算机系统也由于多种病 毒寄生于其中而无法正常工作 因此也不能轻视所谓 良性病毒对计算机系统造成的损害 2 恶性计算机病毒 恶 性 病 毒 就 是 指 在 其 代 码 中 包 含 有 损 伤 和 破 坏计算机系统的操作 在其传染或发作时会对系统产生 直接的破坏作用 这类病毒是很多的 如米开朗基罗 病毒 当米氏病毒发作时 硬盘

19、的前 17 个扇区将被 彻底破坏 使整个硬盘上的数据无法被恢复 造成的 损失是无法挽回的 有的病毒还会对硬盘做格式化等 破坏 这些操作代码都是刻意编写进病毒的 这是其 本性之一 因此这类恶性病毒是很危险的 应当注意计算机网络病毒 防范 所幸防病毒系统可以通过监控系统内的这类异 常动作识别出计算机病毒的存在与否 或至少发出警 报提醒用户注意 5 按 照 计 算 机 病 毒 的 寄 生 部 位 或 传 染 对象分类传染性是计算机病毒的本质属性 根据寄生部位 或传染对象分类 也即根据计算机病毒传染方式进行 分类 有以下几种 1 磁盘引导区传染的计算机病毒 磁 盘 引 导 区 传 染 的 病 毒 主

20、要 是 用 病 毒 的 全 部 或部分逻辑取代正常的引导记录 而将正常的引导记录 隐藏在磁盘的其他地方 由于引导区是磁盘能正常使 用的先决条件 因此 这 种 病 毒 在 运 行 的 一 开 始 如 系统启动 就能获得控制权 其传染性较大 由于在 磁盘的引导区内存储着需要使用的重要信息 如果对 磁盘上被移走的正常引导记录不进行保护 则在运行 过程中就会导致引导记录的破坏 引导区传染的计算 机病毒较多 例 如 大麻 和 小球 病毒就是这 类病毒 2 操作系统传染的计算机病毒 操 作 系 统 是 一 个 计 算 机 系 统 得 以 运 行 的 支 持 环境 它包括 COM EXE 等许多可执行程序及

21、程序模计算机网络病毒 块 操作系统传染的计算机病毒就是利用操作系统中 所提供的一些程序及程序模块寄生并传染的 通常 这类病毒作为操作系统的一部分 只要计算机开始工 作 病毒就处在随时被触发的状态 而操作系统的开 放 性 和 不 绝 对 完 善 性 给 这 类 病 毒 出 现 的 可 能 性 与 传 染性提供了方便 操作系统传染的病毒目前已广泛存 在 黑色星期五 即为此类病毒 3 可执行程序传染的计算机病毒 可 执 行 程 序 传 染 的 病 毒 通 常 寄 生 在 可 执 行 程 序中 一旦程序被执行 病毒也就被激活 病毒程序首 先被执行 并将自身驻留内存 然后设置触发条件 进行传染 对于以上

22、三种病毒的分类 实际上可以归纳为两 大类 一类是引导扇区型传染的计算机病毒 另一类 是可执行文件型传染的计算机病毒 6 按照计算机病毒激活的时间分类 按 照 计 算 机 病 毒 激 活 的 时 间 可 分 为 定 时 的 和 随机的 定时病毒仅在某一特定时间才发作 而随机病 毒一般不是由时钟来激活的 7 按照传播媒介分类 按照计算机病毒的传播媒介来分类 可分为单机计算机网络病毒 病毒和网络病毒 计算机网络病毒 表1 单机病毒 单机病毒的载体是磁盘 常见的是病毒从软盘传 人硬盘 感染系统 然后再传染其他软盘 软盘又传 染其他系统 2 网络病毒 网络病毒的传播媒介不再是移动式载体 而是网络通道 这

23、种病毒的传染能力更强 破坏力更大 8 按照寄生方式和传染途径分类 人 们 习 惯 将 计 算 机 病 毒 按 寄 生 方 式 和 传 染 途 径来分类 计算机病毒按其寄生方式大致可分为两类 一是引导型病毒 二是文件型病毒 它们再按其传染 途径又可分为驻留内存型和不驻留内存型 驻留内存 型按其驻留内存方式又可细分 混合型病毒集引导型和文件型病毒特性于一体 引 导 型 病 毒 会 去 改 写 即 一 般 所 说 的 感染磁盘上的引导扇区 BOOT SECTOR 的内容 软盘或 硬盘都有可能 感染病毒 再 不 然 就 是 改 写 硬 盘 上 的 分区 FAT 如果用已感染病毒的软盘来启动的话 则会感

24、染硬盘 引导型病毒是一种在 ROM BIOS 之后 系统引导 时出现的病毒 它先于操作系统 依托的环境是 BIOS 中断服务程序 计算机网络病毒 引 导 型 病 毒 是 利 用 操 作 系 统 的 引 导 模 块 放 在 某 个固定的位置 并且控制权的转交方式是以物理地址 为依据 而不是以操作系统引导区的内容为依据 因 而病毒占据该物理位置即可获得控制权 而将真正的 引导区内容搬家转移或替换 待病毒程序被执行后 将控制权交给真正的引导区内容 使得这个带病毒的 系 统 看 似 正 常 运 转 而 病 毒 己 隐 藏 在 系 统 中 伺 机 传 染 发作 有的病毒会潜伏一段时间 等到它所设置的日

25、期时才发作 有的则会在发作时在屏幕上显示一些带 有 宣示 或警告 意味的信息 这些信息不外是 叫您不要非法拷贝软件 不然就是显示特定的图形 再不然就是放一段音乐给您听 病毒发作后 不 是摧毁分区表 导致无法启动 就是直接 FORMAT 硬 盘 也有一部分引导型病毒的 手段 没有那么狠 不会破坏硬盘数据 只是搞些 声光效果 让您虚惊 一场引导型病毒几乎清一色都会常驻在内存中 差 别只在于内存中的位置 所谓 常驻 是指应用程 序把要执行的部分在内存中驻留一份 这样就可不必 在 每 次 要 执 行 它 的 时 候 都 到 硬 盘 中 搜 寻 以 提 高 效 率 引导型病毒按其寄生对象的不同又可分为两

26、类计算机网络病毒 即 MBR 主引导区 病毒 BR 引 导 区 病 毒 MBR 病毒也称为分区病毒 将病毒寄生在硬盘分区主引导 程序所占据的硬盘 0 头 0 柱面第 1 个扇区中 典型的 病 毒 有 大 麻 Stoned 2708 等 BR 病毒是将病毒寄 生在硬盘逻辑 0 扇区或软盘逻辑 0 扇区 即 0 面 0 道 第 1 个扇区 典型的病毒有 BRaIn 小球病毒等 顾 名 思 义 文 件 型 病 毒 主 要 以 感 染 文 件 扩 展 名 为 .COM .EXE 和OVL 等可执行程序为主 它的安 装必须借助于病毒的载体程序 即要运行病毒的载体 程序 方能把文件型病毒引人内存 已感染病

27、毒的文 件执行速度会减缓 甚至完全无法执行 有些文件遭 感染后 一执行就会遭到删除 大多数的文件型病毒 都 会 把 它 们 自 己 的 程 序 码 复 制 到 其 宿 主 的 开 头 或 结 尾处 这会造成已感染病毒文件的长度变长 但用户 不一定能用 DIR 命令列出其感染病毒前的长度 也有 部分病毒是直接改写 受害文件 的程序码 因此感 染病毒后文件的长度仍然维持不变 感染病毒的文件 被 执 行 后 病 毒 通 常 会 趁 机 再 对 下 一 个 文 件 进 行 感 染 有的高明一点的病毒 会在每次进行感染的时候 针对其新宿主的状况而编写新的病毒码 然后才进行 感染 因此 这种病毒没有固定的

28、病毒码 以扫描病 毒码的方式来检测病毒的查毒软件 遇上这种病毒可计算机网络病毒 就一点用都没有了 但反病毒软件随着病毒技术的发 展而发展 针对这种病毒现在也有了有效手段 大多 数文件型病毒都是常驻在内存中的 文件型病毒分为源码型病毒 嵌入型病毒和外壳 型病毒 源码型病毒是用高级语言编写的 若不进行 汇编 链接则无法传染扩散 嵌入型病毒是嵌入在程 序的中间 它只能针对某个具体程序 如 dBASE 病毒 这两类病毒受环境限制尚不多见 目前流行的文件型 病毒几乎都是外壳型病毒 这类病毒寄生在宿主程序 的前面或后面 并修改程序的第一个执行指令 使病 毒先于宿主程序执行 这样随着宿主程序的使用而传 染扩

29、散 文 件 外 壳 型 病 毒 按 其 驻 留 内 存 方 式 可 分 为 高 端 驻留型 常规驻留型 内存控制链驻留型 设备程序 补丁驻留型和不驻留内存型 混合型病毒综合系统型和文件型病毒的特性 它 的 性情 也就比系统型和文件型病毒更为 凶残 此种病毒透过这两种方式来感染 更增加了病毒的传 染性以及存活率 不管以哪种方式传染 只要中毒就 会经开机或执行程序而感染其他的磁盘或文件 此种 病毒也是最难杀灭的 引导型病毒相对文件型病毒来讲 破坏性较大计算机网络病毒 但为数较少 直到 90 年代中期文件型病毒还是最 流行的病毒但近几年情形有所变化 宏病毒后来居 上据美国国家计算机安全协会统计 这位

30、 后起之 秀已 占 目 前 全 部 病 毒 数 量 的 80 以上 另外宏 病毒还可衍生出各种变形变种病毒 这种父生子子 生孙的传播方式实在让许多系统防不胜防 这也使 宏病毒成为威胁计算机系统的 第 一 杀 手 随 着 微 软公司 Word 字处理软件的广泛使用和计算机网络尤 其是 Internet 的推广普及 病毒家族又出现一种新 成员这就是宏病毒 宏病毒是一种寄存于文档或模 板的宏中的计算机病毒 一旦打开这样的文档 宏病 毒就会被激活 转移到计算机上 并 驻 留 在 Normal 模板上 从此以后 所有自动保存的文档都会 感染 上这种宏病毒 而且如果其他用户打开了感染病毒的 文档 宏病毒又

31、会转移到他的计算机上 计算机病毒的发展阶段第一代病毒 第一代病毒的产生年限可以认为在 19861989 年之间 这一期间出现的病毒可以称之为传统的病毒 计算机网络病毒 是计算机病毒的萌芽和滋生时期 由于当时计算机的 应用软件少 而且大多是单机运行环境 因此病毒没 有大量流行 流行病毒的种类也很有限 病毒的清除计算机网络病毒 工作相对来说较容易 这一阶段的计算机病毒具有如 下的一些特点 1 病 毒 攻 击 的 目 标 比 较 单 一 或 者 是 传 染 磁 盘引导扇区 或者是传染可执行文件 2 病 毒 程 序 主 要 采 取 截 获 系 统 中 断 向 量 的 方 式监视系统的运行状态 并在一定

32、的条件下对目标进 行传染 3 病 毒 传 染 目 标 以 后 的 特 征 比 较 明 显 如磁 盘上出现坏扇区 可执行文件的长度增加 文件建立 日期 时间发生变化 等等 这些特征容易被人工或 查毒软件所发现 4 病 毒 程 序 不 具 有 自 我 保 护 的 措 施 容易被 人们分析和解剖 从而使得人们容易编制相应的消毒 软件 然 而 随 着 计 算 机 反 病 毒 技 术 的 提 高 和 反 病 毒 产 品的不断涌现 病毒编制者也在不断地总结自己的编 程技巧和经验 千方百计地逃避反病毒产品的分析 检测和解毒 从而出现了第二代计算机病毒 第二代病毒 第 二 代 病 毒 又 称 为 混 合 型

33、病 毒 又 有 人 称 之 为超级病毒 其 产 生 的 年 限 可 以 认 为 在 19891991 年之间 它是计算机病毒由简单发展到复杂 由单纯计算机网络病毒 走向成熟的阶段 计算机局域网开始应用与普及 许 多单机应用软件开始转向网络环境 应用软件更加成 熟 由于网络系统尚未有安全防护的意识 缺乏在网 络环境下病毒防御的思想准备与方法对策 给计算 机病毒带来了第一次流行高峰 这一阶段的计算机病 毒具有如下特点 1 病 毒 攻 击 的 目 标 趋 于 混 合 型 即一种病毒 既可传染磁盘引导扇区 又可能传染可执行文件 2 病 毒 程 序 不 采 用 明 显 地 截 获 中 断 向 量 的 方

34、 法监视系统的运行 而采取更为隐蔽的方法驻留内存和传染目标 3 病 毒 传 染 目 标 后 没 有 明 显 的 特 征 如磁盘 上不出现坏扇区 可执行文件的长度增加不明显 不 改变被传染文件原来的建立日期和时间 等等 4 病 毒 程 序 往 往 采 取 了 自 我 保 护 措 施 如加 密技术 反跟踪技术 制造障碍 增加人们分析和解 剖的难度 同时也增加了软件检测 解毒的难度 5 出现许多病毒的变种 这些变种病毒较原病毒的传染性更隐蔽 破坏性更大 总之 这一时期出现的病毒不仅在数量上急剧地 增加 更 重 要 的 是 病 毒 从 编 制 的 方 式 方 法 驻留 内存以及对宿主程序的传染方式 方

35、法等方面都有了计算机网络病毒 较大的变化 第三代病毒 第三代病毒的产生年限可以认为从 1992 年开始至 1995 年 此类病毒称为 多态性 病毒或 自我 变形 病毒 是 最 近 几 年 来 出 现 的 新 型 的 计 算 机 病 毒 所谓 多态性 或 自我变形 的含义是指此类 病毒在每次传染目标时 放 人 宿 主 程 序 中 的 病 毒 程 序大部分都是可变的 即在搜集到同一种病毒的多个 样本中 病 毒 程 序 的 代 码 绝 大 多 数 是 不 同 的 这是 此类病毒的重要特点 正是由于这一特点 传统的利 用特征码法检测病毒的产品不能检测出此类病毒 据 资 料 介 绍 此 类 病 毒 的

36、首 创 者 是 Mark Washburn 他并不是病毒的有意制造者 而是一位反 病毒的技术专家 他编写的 1260 病毒就是一种多态 性病毒 此病毒 1990 年 1 月问世 有极强的传染力 被传染的文件被加密 每次传染时都更换加密密钥 而且病毒程序都进行了相当大的改动 他编写此类病 毒 的 目 的 是 为 了 研 究 他 将 此 类 病 毒 散 发 给 他 的 同 事 其目的是为了向他们证明特征代码检测法不是 在任何场合下都是有效的 然 而 不 幸 的 是为研 究病毒而发明的此种病毒超出了反病毒的技术范围 流入了病毒技术中 1992 年上半年 在保加利亚发现计算机网络病毒 者了黑夜复仇 D

37、ark Avenger 病毒的变种 Mutation Dark Avenger 这 是 世 界 上 最 早 发 现 的 多 态 性 的 实 战病毒它可用独特的加密算法产生几乎无限数量 的不同形态的同一病毒 据悉该病毒作者还散布一种 名为 多 态 性 发 生 器的软件工具 利用此工具将 普通病毒进行编译即可使之变为多态性病毒 国内在 1994 年年底已经发现了多态性病毒 幽灵 病毒 迫使许多反病毒技术部门开发了相应的检测和消毒产品 由此可见 第三阶段是病毒的成熟发展阶段 在 这一阶段中病毒的发展主要是病毒技术的发展 病毒 开始向多维化方向发展 即传统病毒传染的过程与病 毒自身运行的时间和空间无关

38、 而新型的计算机病毒 则将与病毒自身运行的时间 空间和宿主程序紧密相 关 这无疑将导致计算机病毒检则和消除的困难 第四代病毒 90 年代中后期 随着远程网 远程访问服务的开 通 病毒流行面更加广泛 病毒的流行迅速突破地域 的限制 首 先 通 过 广 域 网 传 播 至 局 域 网 内 再在局 域网内传播扩散 1996 年下半年随着国内 Internet 的大量普及 EMail 的使用 夹杂于 EMail 内的 WORD 宏 病 毒 已 成 为 当 前 病 毒 的 主 流 由 于 宏 病 毒 编 写 简计算机网络病毒 单 破坏性强 清除繁杂 加上微软对 DOC 文档结构 没有公开 给直接基于文档

39、结构清除宏病毒带来了诸 多不便 从某种意义上来讲 微软 Word BasIc 的公 开性以及 DOC 文档结构的封闭性 宏病毒对文档的破 坏已经不仅仅属于普通病毒的概念 如果放任宏病毒 泛滥 不 采 取 强 有 力 的 彻 底 解 决 方 法 宏病毒对中 国的信息产业将会产生不测的后果 这一时期的病毒的最大特点是利用 Internet 作 为其主要传播途径 因而 病毒传播快 隐蔽性强 破坏性大 此 外 随着 W indows95 的应用 出现了 Windows 环境下的病毒 这些都给病毒防治和传统 DOS 版杀毒软件带来新的挑战 诚然 计算机病毒的发展必然会促进计算机反病 毒技术的发展 也就是

40、说 新型病毒的出现向以行 为规则判定病毒的预防产品 以病毒特征为基础的检 测 产 品 以 及 根 据 计 算 机 病 毒 传 染 宿 主 程 序 的 方 法 而 消除病毒的产品提出了挑战 致使原有的反病毒技 术和产品在新型的计算机病毒面前无能为力 这样 势 必 使 人 们 认 识 到 现 有 反 病 毒 产 品 在 对 抗 新 型 的 计 算机病毒方面的局限性 迫使人们在反病毒的技术和 产品上进行新的更新和换代 到目前为止 反病毒技术已经成为了计算机安全计算机网络病毒 的一种新兴的计算机产业或称反病毒工业 计算机病毒的生命周期计算机病毒的产生过程可分为 程序设计传播潜 伏触发 运行实行攻击 计

41、算机病毒拥有一个生命周 期 从生成开始到完全根除结束 下面我们描述病毒 生命周期的各个时期 开发期 在几年前 制造一个病毒需要计算机编 程语言的知识 但是今天有一点计算机编程知识的人 都可以制造一个病毒 通常计算机病毒是一些误人歧 途的 试图传播计算机病毒和破坏计算机的个人或组 织制造的 传染期 在一个病毒制造出来后 病毒的编写者 将其拷贝并确认其已被传播出去 通常的办法是感染 一个流行的程序 再将其放入 BBS 站点上 校园和其 他大型组织当中分发其复制物 潜伏期 病毒是自然地复制的 一个设计良好的 病毒可以在它活化前长时期里被复制 这就给了它充 裕的传播时间 这时病毒的危害在于暗中占据存储

42、空 间 发作期 带有破坏机制的病毒会在遇至 某一特 定条件时发作 一旦遇上某种条件 比如某个日期或 出现了用户采取的某特定行为 病毒就被活化了 没计算机网络病毒 有感染程序的病毒属于没有活化 这时病毒的危害在 于暗中占据存储空间 发现期 这一段并非总是这样做 但通常如此 当一个病毒被检测到并被隔离出来后 它被送到计算 机安全协会或反病毒厂家 在那里病毒被通报和描述 给反病毒研究工作者 通常发现病毒是在病毒成为计 算机社会的灾难之前完成的 消化期 在这一阶段 反病毒开发人员修改他们 的软件以使其可以检测到新发现的病毒 这段时间的 长短取决于开发人员的素质和病毒的类型 消 亡 期 若 是 所 有

43、用 户 安 装 了 最 新 版 的 杀 毒 软 件 那么任何病毒都将被扫除 这样没有什么病毒可 以广泛地传播 但有一些病毒在消失之前有一个很长 的消亡期 至今 还没有哪种病毒已经完全消失 但 是 某 些 病 毒 已 经 在 很 长 时 间 里 不 再 是 一 个 重 要 的 威 胁了 计算机病毒的特性计算机病毒一般具有以下特性 1 计算机病毒的程序性 可执行性 计算机病毒与其他合法程序一样 是一段可执行程序 但它不是一个完整的程序 而是寄生在其他可 执行程序上 因此它享有一切程序所能得到的权力计算机网络病毒 在病毒运行时 与合法程序争夺系统的控制权 计算 机病毒只有当它在计算机内得以运行时 才

44、具有传染 性和破坏性等活性 也就是说计算机 CPU 的控制权是 关键问题 若计算机在正常程序控制下运行 而不运 行带病毒的程序 则这台计算机总是可靠的 在这台 计算机上可以查看病毒文件的名字 查看计算机病毒 的代码 打印病毒的代码 甚至拷贝病毒程序 却都 不会感染上病毒 反病毒技术人员整天就是在这样的 环境下工作 他们的计算机虽也存有各种计算机病毒 的代码 但己置这些病毒于控制之下 计算机不会运 行病毒程序 整个系统是安全的 相反 计算机病毒 一经在计算机上运行 在同一台计算机内病毒程序与 正常系统程序 或某种病毒与其他病毒程序争夺系统 控制权时往往会造成系统崩溃 导致计算机瘫痪 反 病毒技术就是要提前取得计算机系统的控制权 识别 出 计 算 机 病 毒 的 代 码 和 行 为 阻 止 其 取 得 系 统 控 制 权 反病毒技术的优劣就是体现在这一点上 一个好 的 抗 病 毒 系 统 应 该 不 仅 能 可 靠 地 识 别 出 已 知 计 算 机 病毒的代码 阻止其运行或旁路掉其对系统的控制权 实 现 安 全 带 毒 运 行 被 感 染 程 序 还 应 该 识 别 出 未 知计算机病毒在系统内的行为 阻止其传染和破坏系统的行动