《计算机安全技术》ppt课件

《《计算机安全技术》ppt课件》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第4章计算机病毒防治4.1计算机病毒概述4.2DOS环境下的病毒4.3宏病毒4.4网络病毒4.5现代计算机病毒流行特性4.6杀毒软件技术4.7典型病毒介绍4.8常用反病毒软件产品习题4.1计算机病毒概述4.1.1病毒的定义“计算机病毒”一词最早是由美国计算机病毒研究专家F.Cohen博士提出的。“病毒”一词是借用生物学中的病毒。通过分析研究计算机病毒，人们发现它在很多方面与生物病毒有着相似之处。计算机病毒在《中华人民共和国计算机信息系统安全保护条例》中的定义为：“指编制或者在计算机程序中插入的破坏计算机功能或者数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代

2、码”。4.1.2计算机病毒的历史随着计算机在各行各业的大量应用，计算机病毒也随之渗透到计算机世界的每个角落，常以人们意想不到的方式侵入计算机系统。计算机病毒的流行引起人们的普遍关注，成为影响计算机安全运行的一个重要因素。世界上第一例被证实的病毒是在1983年。直到1987年，病毒并没有真正在世界上传播开来，也没有引起人们的重视，更没有被充分认识到将造成多大的危害。1988年11月的一次病毒发作，造成Internet网上的6200多用户系统瘫痪，经济损失达九千多万美元，随后一系列病毒事件的发生，才引起人们对计算机病毒高度重视，并在国际计算机领域掀起了一个探讨病毒的高潮。计算

3、机病毒的发展经历了以下几个阶段：1.DOS引导阶段1987年，计算机病毒主要是引导型病毒，具有代表性的是“小球”、“石头”、Azusa/Hong-Kong/2708病毒等。当时计算机数量较少，功能简单，一般需要通过软盘启动后使用。引导型病毒利用软盘的启动原理工作，它们修改系统引导扇区，在计算机启动时首先取得控制权，减少系统内存，修改磁盘读写中断，在系统存取操作磁盘时传播，影响系统工作效率。病毒自身代码不隐藏不加密，所以查、解都很容易。1989年引导型病毒发展为可以感染硬盘，典型的代表有“石头2”。2.DOS可执行文件阶段1989年，可执行文件型病毒出现，一般只传染.COM

4、和.EXE可执行文件。它们利用DOS系统加载执行文件的机制工作，如“耶路撒冷”、“星期天”病毒。病毒代码在系统执行文件时取得控制权，修改DOS中断，在系统调用时进行传染，将自己附加在可执行文件中，被感染的文件长度明显变长，病毒代码没有加密。同样这类病毒容易查、解。3.混合型阶段1990年以后出现双料病毒，既感染文件同时又感染引导记录，也称混合型病毒。常见的有Flip/OmicronXqrinvader/侵入者、Plastique/塑料炸弹、ALFA/3072-2、Ghost/One-Half/3544（幽灵）、Natas（幽灵王）、TPVO/3783等。如果只解除了感染文

5、件上的病毒，而没有清除引导区的病毒，那么在系统重新引导时病毒又将激活，会重新感染文件；如果只清除了引导区的病毒而没有清除文件上的病毒，一旦执行被感染文件，就又会感染硬盘引导区。4.伴随、批次型阶段1992年，伴随型病毒出现，它们利用DOS加载文件的优先顺序进行工作。具有代表性的是“金蝉”病毒，它感染EXE文件时生成一个和EXE同名的扩展名为COM的伴随体；它感染COM文件时，将原来的COM文件改为同名的EXE文件，再产生一个原名的伴随体，文件扩展名为.COM，这样，在DOS加载文件时，病毒就取得控制权。这类病毒的特点是不改变原来的文件内容、日期及属性，解除病毒时只要将其伴

6、随体删除即可。在非DOS操作系统中，一些伴随型病毒利用操作系统的描述语言进行工作，较典型的代表是“海盗旗”病毒，它在得到执行时，询问用户名称和口令，然后返回一个出错信息，将自身删除。批次型病毒是工作在DOS下的和“海盗旗”病毒类似的一类病毒。5.多形型阶段1994年，随着汇编语言编程技术的发展，实现同一功能可以用不同的方式来完成，这些方式的组合使一段看似随机的代码产生相同的运算结果。幽灵病毒就是利用这个特点，每感染一次就产生不同的代码。病毒能产生一段有上亿种可能的代码运算程序，也称"多态"病毒，病毒体被隐藏在解码前的加密数据中，查解这类病毒必须能对这段数据进行解码，加大了

7、查毒的难度。多形型病毒是一种综合性病毒，它既能感染引导区又能感染程序区，多数具有解码算法，一种病毒往往要两段以上的子程序方能解除。6.生成器，变体机阶段1995年，在汇编语言中，一些数据的运算放在不同的通用寄存器中，可运算出同样的结果，随机插入一些空操作和无关指令，也不影响运算的结果，这样，一段解码算法就可以由生成器生成。当生成的是病毒时，这种复杂的病毒生成器和变体机就产生了。比较典型的代表是“病毒制造机”VCL，它可以在瞬间制造出成千上万种不同的病毒，查解时就不能使用传统的特征识别法，需要在宏观上分析指令，解码后查解病毒。变