计算机网络安全技术（第二版） 蔡立军 ch7

《计算机网络安全技术（第二版） 蔡立军 ch7》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第7章计算机病毒防治技术本章学习目标病毒的分类、特点和特征、运行机制反病毒涉及的主要技术病毒的检测和防治技术、措施防病毒软件的性能特点、选购指标、工作原理构筑防病毒体系的基本原则7.1计算机病毒概述7.1.1计算机病毒的定义“计算机病毒”最早是由美国计算机病毒研究专家F.Cohen博士提出的。“病毒”一词来源于生物学，因为通过分析研究，人们发现计算机病毒在很多方面与生物病毒有着相似之处。“计算机病毒”有很多种定义，国外最流行的定义为：计算机病毒，是一段附着在其他程序上的可以实现自我繁殖的程序代码。在《中华人民共和国计算机

2、信息系统安全保护条例》中的定义为：“计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码”。7.1.2病毒的发展历史计算机病毒发展简史世界上第一例被证实的计算机病毒是在1983年，大范围流行始于20世纪90年代。早期出现的病毒程序是一种特洛伊木马程序，它是一段隐藏在计算机中的恶毒程序，当计算机运行一段时间或一定次数后就使计算机发生故障。但由于当时计算机的功能有限，因此并未广泛传播。1983年出现了计算机病毒传播的研究报告，公布了病毒程序的编写方法。同

3、时有人提出了蠕虫（Worm）病毒程序的设计思想。1984年，美国人Thompson开发出了针对UNIX操作系统的病毒程序（当时未给它命名）。这个程序用C语言写了一段自我复制的程序，还插入一段特洛伊木马程序，用来寻找UNIX注册命令的代码。1988年11月2日晚，美国康尔大学研究生罗特·莫里斯将计算机病毒蠕虫投放到网络中。该病毒程序迅速扩展，至第二天凌晨，病毒从美国东海岸传到西海岸，造成了大批计算机瘫痪，甚至欧洲联网的计算机都受到影响，直接经济损失近亿美元。这是自计算机出现以来最严重的一次计算机病毒侵袭事件，它引起了世界各

4、国的关注。计算机病毒在中国的发展情况在我国，80年代后期已发现有计算机病毒，80年代末，有关计算机病毒进入90年代，计算机病毒在国内的泛滥更为严重。1982年“黑色星期五”病毒侵入我国，某地民航定票网络在星期五这天因病毒发作而受到严重损害，几乎瘫痪。1985年在国内发现更为危险的“病毒生产机”，它能自动生成大量“同族”新病毒，并且这些病毒可加密、解密，生存能力和破坏能力极强。这类病毒有1537、CLME等。CIH病毒是首例攻击计算机硬件的病毒，它可攻击计算机的主板，并可造成网络的瘫痪。CIH病毒是由台湾人编写的（CIH是

5、台湾人陈盈豪的英文缩写），目前发现有三个版本，发作时间一般是每月26日。其中1.3版为6月26日发作，1.4版为每月的26日发作。由于该病毒一般隐藏在盗版光盘、软件、游戏程序中，并能通过Internet迅速传播到世界各地，因此，破坏性极大。病毒发作时，通过复制的代码不断覆盖硬盘系统区，损坏BIOS和主引导区数据，看起来硬盘灯在闪烁，但再次启动时，计算机屏幕便一片漆黑，此时用户硬盘上的分区表已被破坏，数据很难再恢复，它给网络系统带来的损失更严重。从第一个病毒问世以来，世界上究竟有多少种病毒，说法不一。据国外统计，计算机病毒

6、以10种/周的速度递增。另据我国公安部统计，国内以4种/月的速度递增。目前全世界已知的计算机病毒已超过4万余种，并以每年40%的速度增加，主要病毒已从过去的引导型、文件型发展为宏病毒和网络病毒。特别是随着计算机网络的发展和Internet的普及，病毒传播的速度越来越快，并成为病毒的主要传播途径。现在，病毒的发展呈现出两个新的趋势：第一，病毒的攻击对象已经从原来个人主机上的文件、内存资源、CPU资源转向网络带宽、网络服务器，而且从工作模式上推断，今后很可能出现诸如对DNS、路由器等网络服务器攻击的病毒；第二，病毒结合了传统

7、病毒自动传播技术和黑客缓冲溢出技术的特点，一旦爆发就会具有规模效应。7.1.3病毒的分类对计算机病毒的命名，各个组织或公司不尽相同。有时对同一种病毒，不同的软件会报出不同的名称。如“SPY”病毒，在KILL中叫SPY，KV3000则叫“TPVO-3783”。给病毒起名的方法不外乎以下几种：按病毒出现的地点；按病毒中出现的人名或特征字符；按病毒发作时的症状命名，如“火炬”、“蠕虫”；按病毒的发作时间，如“黑色星期五”病毒，在星期五的那天同时又是13日就发作；有些名称包含病毒代码的长度等。按感染方式分引导型病毒利用软盘或硬盘

8、的启动原理工作，修改系统的引导扇区（在硬盘中称为主引导记录MBR）。病毒感染引导扇区后，在操作系统启动之前病毒就会被读入内存，并首先取得控制权。在这种状态下，只要在计算机中插入其他软盘等外部存储介质，就都会被感染。文件型病毒一般只感染磁盘上的可执行文件.COM、.EXE等。在用户调用染毒的执行文件时，病毒首先运行，然