网络安全员培训第七章计算机病毒检测与防治

《网络安全员培训第七章计算机病毒检测与防治》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、第七章计算机病毒检测与防治恶意代码概述定义：是一种可以中断或破坏计算机网络的程序或代码。特征：可以将自己附在宿主程序或文件中，也可以是是独立的；恶意代码会降低系统运行的速度，造成数据丢失和文件损坏，注册表和配置文件被修改，或为攻击者创造条件，使其绕过系统的安全程序；恶意代码通常是相互交叉的，通常是结合了各种恶意功能的代码合成全新的、更具攻击能力的代码恶意代码的常见类型1.病毒病毒是一段对执行代码，可以将自己负载在一个宿主程序中。被病毒感染可执行文件或脚本程序，不感染数据文件。2.特洛伊木马特洛伊木马表面上是无害的可执行程序，但当它被打开

2、吋将执行未经过授权的活动，如窃取用户密码、非法存取文件、删除文件或格式化磁盘，特洛伊木马不感染其他文件。3.蠕虫蠕虫由一个或一组独立程序组成的，能够复制自己并将拷贝传播给其他计算机系统。蠕虫会占用大量网络带宽，在传播时不需要宿主文件或程序，蠕虫有时也会携带病毒，当蠕虫被激活时，病毒就会被释放到汁算机系统中，有的蠕虫本身就能够破坏信息和资源。4.后门后门有时称为远程访问特洛伊(RAD,后门私下开通进入计算机系统入口。攻击者使用后门可以绕过安全程序，进入系统。后门程序不会感染其他文件，但经常会修改计算机注册表。5.恶作剧程序恶作剧程序(Jo

3、keProgram)是为取笑其他计算机用户而创造出来的普通可执行程序。它们不会破坏数据或造成系统破坏，但它们经常会浪费雇员时间，降低生产效率。它们可能包含有对工作不合适的图片或内容。恶作剧只会在某些人故意发送时才会传播。恶意代码引起的系统症状(1)系统莫名其妙地突然变慢；(2)程序及文件载入吋I'可变长；(3)硬盘文件存取效率突然下降；⑷系统内存占用急剧上升；(5)不正常的错误信息；(6)硬盘灯无故长亮；(7)硬盘可用空间无故变少；(8)可执行文件体积无故改变；⑼硬盘出现坏道；(10)进程列表异常；(口)文件数无故增减或无故消失；(12

4、)后台程序自动向网络发包；(13)系统被别人控制;(14)用专用工具扫描发现。恶意代码的传播途径⑴通过文件系统传播；⑵通过电子邮件传播；(3)通过局域网传播；(4)通过互联网上即时通讯软件和点对点软件等常用工具传播；(5)利用系统、应用软件的漏洞进行传播；(6)利用系统配置缺陷传播，如弱口令、完全共亨等；(7)利用欺骗等社会工程的方法传播。特洛伊木马名字的由來：借用希腊神话“木马屠城记”屮的特洛伊木马来为这类程序命名，说明该类程序运行的特点：潜入系统内部，而通过网络和外部程序里应外合，完成攻破或获取主机信息资源的目的。木马程序的构成和原

5、理：组成：一个是服务器程序，一个是控制器程序(客户端程序)。中了木马就是指安装了木马的服务器程序，若用户的电脑被安装了服务器程序，则拥有控制器程序的人就可以通过网络控制用户的电脑，便可以随意获取计算机上的各种文件、程序，以及在电脑上使用的账号、密码，取得对计算机的所有控制权。木马程序潜入的途径在下在一些游戏或小软件时附带有木马程序；隐藏在邮件的附件中诱使用户执行；在一些网站中的各种资料下载过程中；直接潜藏在网页中，当用户访问时，即潜入用户计算机。特洛伊木马具有的特性1.具有隐蔽性2.具有自动运行性3.具有伪装性4.具备自动修复功能5.能

6、自动打开特别的端口6.功能的特殊性1.具有隐蔽性(1)在任务栏里隐藏这是最基本的隐藏方式。如果在Windows的任务栏里出现一个莫名其妙的图标，大家都会明白是怎么冋事。要实现在任务栏中隐藏，用编程很容易实现，以VB为例，只要把Form的Visible属性设置为False,ShowinTaskBar设为False,程序就不会出现在任务栏里。(2)在任务管理器里隐藏查看正在运行的进程最简单的方法就是按下CtrkAlt+Del时出现的任务管理器。木马会千方百计地伪装自己，使自己不出现在任务管理器中.或者通过修改名称使用户无法识别哪个是木马进程

7、，无法终止它的运行。⑶端口台机器有65536个端口，用户不可能同时监视所有的端口，不难发现，大多数木马使用的端口在1024以上，而且呈越来越大的趋势，当然也有占用1024以下端口的木马，但这些端口是常用端口，占用这些端口可能会造成系统运行不正常，这样的话，木马就会很容易暴露。也许用户知道些木马占用的端口，或许会经常打描这些端口，但现在有的木马会动态地改变端口，用户无法对全部端口都进行扫描。⑷隐藏通讯隐藏通讯也是木马经常采用的手段。任何木马运行后都要和攻击者进行通讯连接，或者通过即时连接。如攻击者通过客户端直接接被植入木马的主机，或者通过

8、间接通讯，如通过电子邮件的方式，木马把侵入主机的敏感信息送给攻击者，有些非常先进的木马还可以做到,占领HTTP端口，收到正常的HTTP请求Z后，仍然把它交与web服务器处理，只有收到些特殊约定的数据包后，才