计算机病毒 (3)精选文档.ppt

《计算机病毒 (3)精选文档.ppt》由会员分享，可在线阅读，更多相关《计算机病毒 (3)精选文档.ppt（23页珍藏版）》请在得力文库 - 分享文档赚钱的网站上搜索。

1、计算机病毒计算机病毒本讲稿第一页，共二十三页7.1 7.1 计算机病毒的特点与分类计算机病毒的特点与分类 7.1.1 7.1.1 计算机病毒的概念计算机病毒的概念 1994年年2月月18日，我国正式颁布实施了日，我国正式颁布实施了中华人民共和国中华人民共和国计算机信息系统安全保护条例计算机信息系统安全保护条例，在，在条例条例第二十八条中明第二十八条中明确指出：确指出：“计算机病毒计算机病毒，是指编制或者在计算机程序中插入的破坏，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用并能自我复制的一组计计算机功能或者毁坏数据，影响计算机使用并能自我复制的一组计算机指令或者程序

2、代码。算机指令或者程序代码。”此定义具有此定义具有法律效力法律效力和和权威性权威性。计算机病毒赖以生存的基础计算机病毒赖以生存的基础是现代计算机都具有相同的工作原是现代计算机都具有相同的工作原理和操作系统的脆弱性，以及网络协议中的安全漏洞。特别是在理和操作系统的脆弱性，以及网络协议中的安全漏洞。特别是在个人计算机中，系统的基本控制功能对用户是公开的，可以通过个人计算机中，系统的基本控制功能对用户是公开的，可以通过调用和修改系统的中断，取得对系统的控制权，从而对系统程序调用和修改系统的中断，取得对系统的控制权，从而对系统程序和其他程序进行任意处理。和其他程序进行任意处理。本讲稿第二页，共二十三页

3、 7.1.7.1.2 2 计算机病毒的特点计算机病毒的特点 1.发生侵害的主动性发生侵害的主动性 2传染性传染性 3隐蔽性隐蔽性 4表现性表现性 5破坏性破坏性 6难确定性难确定性7.1 7.1 计算机病毒的特点与分类计算机病毒的特点与分类本讲稿第三页，共二十三页7.1.7.1.3 3 计算机病毒的分类计算机病毒的分类 1按其破坏性按其破坏性 可分为：良性病毒和恶性病毒。可分为：良性病毒和恶性病毒。2按其传染途径按其传染途径 可分为：驻留内存型病毒和非驻留内存型病毒。可分为：驻留内存型病毒和非驻留内存型病毒。3按连接方式按连接方式 可分为：源码型、入侵型、操作系统型和外壳型病毒。可分为：源码型

4、、入侵型、操作系统型和外壳型病毒。4按寄生方式按寄生方式 可分为：引导型病毒、文件型病毒以及集两种病毒特性于一体的复可分为：引导型病毒、文件型病毒以及集两种病毒特性于一体的复合型病毒和宏病毒、网络病毒。合型病毒和宏病毒、网络病毒。5其他一些分类方式其他一些分类方式 按照计算机病毒攻击的操作系统；按照计算机病毒激活的时间；按按照计算机病毒攻击的操作系统；按照计算机病毒激活的时间；按计算机病毒攻击的机型。计算机病毒攻击的机型。7.1 7.1 计算机病毒的特点与分类计算机病毒的特点与分类本讲稿第四页，共二十三页 7.1.7.1.4 4 计算机病毒的危害计算机病毒的危害 1病毒激发对计算机数据信息的直

5、接破坏作用病毒激发对计算机数据信息的直接破坏作用 2占用磁盘空间占用磁盘空间 3抢占系统资源抢占系统资源 4影响计算机的运行速度影响计算机的运行速度7.1 7.1 计算机病毒的特点与分类计算机病毒的特点与分类本讲稿第五页，共二十三页7.1.7.1.5 5 计算机病毒的工作机理计算机病毒的工作机理 1计算机病毒的结构计算机病毒的结构 计算机病毒在结构上有着共同性，一般由计算机病毒在结构上有着共同性，一般由引导模块、传染模引导模块、传染模块、触发模块，表现模块块、触发模块，表现模块部分组成。部分组成。2计算机病毒的工作机理计算机病毒的工作机理 因为计算机病毒的传染和发作需要使用一些系统函数及硬件，

6、因为计算机病毒的传染和发作需要使用一些系统函数及硬件，而后者往往在不同的平台上是各不相同的，因此大多数计算机病而后者往往在不同的平台上是各不相同的，因此大多数计算机病毒都是毒都是针对某种处理器和操作系统针对某种处理器和操作系统编写的。编写的。计算机病毒能够感染的只有可执行代码，按照可执行代计算机病毒能够感染的只有可执行代码，按照可执行代码的种类可以将计算机病毒分为码的种类可以将计算机病毒分为引导型病毒、文件型病毒、宏引导型病毒、文件型病毒、宏病毒和网络病毒病毒和网络病毒四大类。四大类。7.1 7.1 计算机病毒的特点与分类计算机病毒的特点与分类本讲稿第六页，共二十三页7.1 7.1 计算机病毒

7、的特点与分类计算机病毒的特点与分类 如果计算机出现如果计算机出现下列现象之一下列现象之一，则表明该计算机系，则表明该计算机系统可能已经中毒，用户应该立刻采取措施，清除该病统可能已经中毒，用户应该立刻采取措施，清除该病毒。毒。（1）出现系统错误对话框）出现系统错误对话框 （2）系统资源被大量占用）系统资源被大量占用 （3）系统内存中出现名为）系统内存中出现名为avserve的进程的进程 （4）系统目录中出现名为）系统目录中出现名为avserve.exe的病毒文的病毒文件。件。（5）注册表中出现病毒键值）注册表中出现病毒键值 本讲稿第七页，共二十三页 7.7.2 2.1 .1 计算机病毒的传播途径

8、计算机病毒的传播途径 计算机病毒是通过某个入侵点进入系统进行传染计算机病毒是通过某个入侵点进入系统进行传染的。的。最常见的入侵点最常见的入侵点是从工作站传到工作站的软盘或是从工作站传到工作站的软盘或U盘盘等移动存储设备。等移动存储设备。在网络中可能的入侵点还有服务器、在网络中可能的入侵点还有服务器、E-mail、BBS上上/下载的文件、下载的文件、WWW站点、站点、FTP文件文件下载、网络共享文件及常规的网络通信、盗版软件、下载、网络共享文件及常规的网络通信、盗版软件、示范软件、计算机实验室和其他共享设备。示范软件、计算机实验室和其他共享设备。病毒传播进入系统的病毒传播进入系统的途径途径主要有

9、以下主要有以下3种：种：1通过计算机网络进行传播通过计算机网络进行传播 2通过移动存储设备来进行传播通过移动存储设备来进行传播 3通过通信系统进行传播通过通信系统进行传播7.7.2 2 计算机病毒的检测与清除计算机病毒的检测与清除本讲稿第八页，共二十三页 7.7.2 2.2 2 病毒预防病毒预防 1.使用正版软件使用正版软件 2.从可靠渠道下载软件从可靠渠道下载软件 3.安安装装防防病病毒毒软软件件、防防火火墙墙等等防防病病毒毒工工具具，准准备备一一套套具具有有查查毒毒、防防毒毒、杀杀毒毒及及修修复复系系统统的的工工具具软软件件，并定期对软件进行升级、对系统进行查毒并定期对软件进行升级、对系统

10、进行查毒。4.对电子邮件提高警惕对电子邮件提高警惕 5.经常对系统中的文件进行备份经常对系统中的文件进行备份 6.备好启动盘，并设置写保护备好启动盘，并设置写保护7.7.2 2计算机病毒的检测与清除计算机病毒的检测与清除本讲稿第九页，共二十三页 7.开机时使用本地硬盘开机时使用本地硬盘 8.做好系统配置做好系统配置 9.尽量做到专机专用尽量做到专机专用 10.新购置的计算机软件或硬件也要先查毒再使用新购置的计算机软件或硬件也要先查毒再使用 11使用复杂的密码使用复杂的密码 12注意自己的机器最近有无异常注意自己的机器最近有无异常 13了解一些病毒知识了解一些病毒知识 7.7.2 2 计算机病毒

11、的检测与清除计算机病毒的检测与清除本讲稿第十页，共二十三页 7.7.2 2.3 3 病毒检测病毒检测 病毒检测病毒检测就是要在特定的系统环境中，通过各种就是要在特定的系统环境中，通过各种检测手段来识别病毒，并对可疑的异常情况进行报警。检测手段来识别病毒，并对可疑的异常情况进行报警。病毒检测主要是通过病毒检测主要是通过病毒扫描、系统完整性检查、分析法、病毒扫描、系统完整性检查、分析法、校验和法和行为封锁法校验和法和行为封锁法等等5种手段进行。种手段进行。1病毒扫描病毒扫描 这是这是早期早期使用得较多的一种病毒检测手段。使用得较多的一种病毒检测手段。病毒扫描一般通过下面两种病毒扫描一般通过下面两种

12、方法方法进行：进行：（1）将原始备份与检测的对象进行比较）将原始备份与检测的对象进行比较 （2）寻找病毒特征）寻找病毒特征7.7.2 2 计算机病毒的检测与清除计算机病毒的检测与清除本讲稿第十一页，共二十三页 2系统完整性检查系统完整性检查 这种防病毒软件利用病毒行为对文件或系统所这种防病毒软件利用病毒行为对文件或系统所产生的影响，即病毒对文件或系统做了些什么，来发产生的影响，即病毒对文件或系统做了些什么，来发现和确定病毒。现和确定病毒。这种方法的这种方法的主要缺点主要缺点是：病毒必须已经对文件或是：病毒必须已经对文件或系统进行了破坏，系统完整性检查程序才能发现病毒。系统进行了破坏，系统完整性

13、检查程序才能发现病毒。因此，如果系统在安装这种软件之前已经感染，或者因此，如果系统在安装这种软件之前已经感染，或者病毒仍处于潜伏期，则系统完整性检查程序就无能为病毒仍处于潜伏期，则系统完整性检查程序就无能为力了。力了。此外，这种方法也可能会对某些正常操作产生此外，这种方法也可能会对某些正常操作产生较多的较多的“误诊误诊”。7.7.2 2 计算机病毒的检测与清除计算机病毒的检测与清除本讲稿第十二页，共二十三页 3分析法分析法 使用分析法的使用分析法的步骤步骤如下：如下：（1）确认被观察的磁盘引导扇区和程序中是否含）确认被观察的磁盘引导扇区和程序中是否含有计算机病毒。有计算机病毒。（2）确认计算机

14、病毒的类型，判断其是否是一种）确认计算机病毒的类型，判断其是否是一种新型的计算机病毒。新型的计算机病毒。（3）弄清计算机病毒体的大致结构，提取用于特）弄清计算机病毒体的大致结构，提取用于特征识别的字节串或特征字，并将其添加到计算机病毒征识别的字节串或特征字，并将其添加到计算机病毒代码库中，供病毒扫描和识别程序使用。代码库中，供病毒扫描和识别程序使用。（4）详细分析计算机病毒代码，为相应的防杀计）详细分析计算机病毒代码，为相应的防杀计算机病毒措施制定方案。算机病毒措施制定方案。分析病毒的过程有分析病毒的过程有静态分析静态分析和和动态分析动态分析两类。两类。7.7.2 2 计算机病毒的检测与清除计

15、算机病毒的检测与清除本讲稿第十三页，共二十三页 7.7.2 2.4 4 病毒清除病毒清除 1清除方法清除方法 预防和发现病毒是非常重要的，但是一旦发现文件或系预防和发现病毒是非常重要的，但是一旦发现文件或系统已经感染了病毒，显然这时要做的第一件事就是进行杀毒。统已经感染了病毒，显然这时要做的第一件事就是进行杀毒。因为病毒也是程序，所以可以使用多种不同的方法进行杀毒因为病毒也是程序，所以可以使用多种不同的方法进行杀毒处理，例如使用处理，例如使用DOS的的DEL命令，或者使用一个商业化的防病命令，或者使用一个商业化的防病毒软件。毒软件。现在，许多防病毒软件都采用了现在，许多防病毒软件都采用了实时扫

16、描技术实时扫描技术。网络中的病毒活动状况网络中的病毒活动状况对于网络管理员来说是非常重要的。对于网络管理员来说是非常重要的。通过了解网络中的病毒活动情况，网络管理员可以了解哪些病通过了解网络中的病毒活动情况，网络管理员可以了解哪些病毒活动比较频繁、哪些计算机或者用户的文件比较容易感染病毒活动比较频繁、哪些计算机或者用户的文件比较容易感染病毒以及病毒的具体特征等，以便修改病毒防范策略以及了解病毒以及病毒的具体特征等，以便修改病毒防范策略以及了解病毒的来源情况，方便进行用户、文件资源的安全管理。毒的来源情况，方便进行用户、文件资源的安全管理。7.7.2 2 计算机病毒的检测与清除计算机病毒的检测与

17、清除本讲稿第十四页，共二十三页 2著名杀毒公司的站点网址著名杀毒公司的站点网址 站点或公司名称启明星辰瑞星公司北京江民新技术公司junipersonicwall赛门铁克飞塔网神思科7.7.2 2 计算机病毒的检测与清除计算机病毒的检测与清除本讲稿第十五页，共二十三页 3染毒后的紧急处理染毒后的紧急处理 （1）隔离。）隔离。（2）报警。）报警。（3）查毒源。）查毒源。（4）采取应对方法和对策。）采取应对方法和对策。（5）修复前备份数据。）修复前备份数据。（6）清除病毒。）清除病毒。（7）重启和恢复。）重启和恢复。7.7.2 2计算机病毒的检测与清除计算机病毒的检测与清除本讲稿第十六页，共二十三页

18、 7.7.2 2.1 .1 网络病毒的检测与清除方法网络病毒的检测与清除方法 计算机网络病毒实际上是一个笼统的概念。一计算机网络病毒实际上是一个笼统的概念。一种情况是，种情况是，计算机网络病毒计算机网络病毒专指在网络上传播并对网专指在网络上传播并对网络进行破坏的病毒；另一种情况是，计算机网络病毒络进行破坏的病毒；另一种情况是，计算机网络病毒指的是指的是HTML病毒、病毒、E-mail病毒、病毒、Java病毒等与病毒等与Internet有关的病毒。有关的病毒。1网络病毒的传播方式网络病毒的传播方式 事实上，并不是所有的病毒都能够通过计算机事实上，并不是所有的病毒都能够通过计算机网络进行传播。网络

19、进行传播。网络病毒的出现和传播成为当前影响网络病毒的出现和传播成为当前影响Internet正正常运转的主要障碍。网络病毒首先来自于常运转的主要障碍。网络病毒首先来自于文件下载文件下载。7.7.3 3 典型计算机病毒的检测与清除典型计算机病毒的检测与清除 本讲稿第十七页，共二十三页 网络病毒的另一种主要来源是网络病毒的另一种主要来源是电子邮件电子邮件。随着随着即时聊天工具即时聊天工具的流行，通过聊天工具进行病的流行，通过聊天工具进行病毒传播成为网络病毒传播的第三大途径。毒传播成为网络病毒传播的第三大途径。蠕虫病毒蠕虫病毒则是利用系统漏洞进行传播的一种网络则是利用系统漏洞进行传播的一种网络病毒。病

20、毒。2网络病毒的特点网络病毒的特点 计算机网络的主要特点是计算机网络的主要特点是资源共享资源共享，一旦共享资，一旦共享资源感染上病毒，网络各节点间信息的频繁传输将把病源感染上病毒，网络各节点间信息的频繁传输将把病毒传染到共享的所有机器上，从而形成多种共享资源毒传染到共享的所有机器上，从而形成多种共享资源的交叉感染。病毒的迅速传播、再生、发作将造成比的交叉感染。病毒的迅速传播、再生、发作将造成比单机病毒更大的危害。单机病毒更大的危害。7.7.3 3 典型计算机病毒的检测与清除典型计算机病毒的检测与清除 本讲稿第十八页，共二十三页 网络病毒的另一种主要来源是网络病毒的另一种主要来源是电子邮件电子邮

21、件。在网络环境中，网络病毒除了具有可传播性、在网络环境中，网络病毒除了具有可传播性、可执行性、破坏性、可触发性等计算机病毒的可执行性、破坏性、可触发性等计算机病毒的共性共性外，外，还具有如下一些还具有如下一些新特点新特点。（1）感染速度快。）感染速度快。（2）扩散面广。）扩散面广。（3）传播的形式复杂多样。）传播的形式复杂多样。（4）难以彻底清除。）难以彻底清除。（5）破坏性大。）破坏性大。7.7.3 3典型计算机病毒的检测与清除典型计算机病毒的检测与清除 本讲稿第十九页，共二十三页 3网络病毒的防治网络病毒的防治 网络病毒的防治工作具有如下网络病毒的防治工作具有如下特点特点。（1）网络防病毒

22、技术的安全度是基于）网络防病毒技术的安全度是基于“木桶理论木桶理论”的。被计算机安全界广泛采用的著名的的。被计算机安全界广泛采用的著名的“木桶理论木桶理论”认为，整个系统的安全防护能力取决于系统中认为，整个系统的安全防护能力取决于系统中安全安全防护能力最薄弱的环节防护能力最薄弱的环节。（2）网络防病毒技术尤其是网络病毒实时监测）网络防病毒技术尤其是网络病毒实时监测技术应符合技术应符合“最小占用最小占用”原则。原则。（3）网络防病毒技术的）网络防病毒技术的兼容性兼容性是网络防病毒的重是网络防病毒的重点与难点。点与难点。7.7.3 3 典型计算机病毒的检测与清除典型计算机病毒的检测与清除 本讲稿第

23、二十页，共二十三页 4网络病毒检测与清除的方法举例网络病毒检测与清除的方法举例 网络病毒的检测与清除，主要网络病毒的检测与清除，主要依赖于防病毒软依赖于防病毒软件和防火墙的安装件和防火墙的安装。也可以通过如下一些方法，检查。也可以通过如下一些方法，检查系统是否感染了网络病毒。系统是否感染了网络病毒。（1）检查注册表。）检查注册表。（2）检查磁盘文件。）检查磁盘文件。（3）检查共享文件夹。）检查共享文件夹。（4）检查进程。）检查进程。（5）检查端口。）检查端口。（6）其他异常症状。）其他异常症状。不同网络病毒的清除方法各不相同，但大多要不同网络病毒的清除方法各不相同，但大多要涉及到注册表的修改、

24、系统程序的恢复和病毒服务程涉及到注册表的修改、系统程序的恢复和病毒服务程序的删除。序的删除。7.7.3 3 典型计算机病毒的检测与清除典型计算机病毒的检测与清除 本讲稿第二十一页，共二十三页 7.7.3 3.1 .1 计算机病毒的现状计算机病毒的现状 手机病毒手机病毒主要是通过短信、下载文件、红外、蓝主要是通过短信、下载文件、红外、蓝牙等无线网络连接方式进行传播。牙等无线网络连接方式进行传播。手机病毒与传统计算机病毒的手机病毒与传统计算机病毒的区别区别在于：在于：手机病手机病毒利用了手机的无线扩展功能进行传播，而计算机病毒则是毒利用了手机的无线扩展功能进行传播，而计算机病毒则是利用了电子邮件、

25、浏览网页、即时通信等进行传播利用了电子邮件、浏览网页、即时通信等进行传播。同时，。同时，手机病毒与计算机病毒又有着很大的联系，它们同属手机病毒与计算机病毒又有着很大的联系，它们同属于计算机病毒。可以说，计算机是智能手机病毒扩散于计算机病毒。可以说，计算机是智能手机病毒扩散的源头，任何手机病毒都要通过计算机进行编写。的源头，任何手机病毒都要通过计算机进行编写。7.7.3 3 计算机病毒的现状和发展趋势计算机病毒的现状和发展趋势 本讲稿第二十二页，共二十三页小结小结 计算机病毒防治计算机病毒防治是信息系统安全的一个重要方面，了解病毒的发展历史、是信息系统安全的一个重要方面，了解病毒的发展历史、病毒

26、特点、分类等基本知识，理解病毒的作用机理，掌握基本的病毒检查、清病毒特点、分类等基本知识，理解病毒的作用机理，掌握基本的病毒检查、清除方法和防治管理措施，对于构建安全的信息系统、减小病毒所造成的损失具除方法和防治管理措施，对于构建安全的信息系统、减小病毒所造成的损失具有积极的作用。有积极的作用。计算机病毒计算机病毒是指编制或在计算机程序中插入的破坏计算机功能或者破是指编制或在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或程序代码。坏数据，影响计算机使用并且能够自我复制的一组计算机指令或程序代码。它具有发生侵害的它具有发生侵害的主动性、传染性、隐蔽

27、性、表现性、破坏性、难确定性主动性、传染性、隐蔽性、表现性、破坏性、难确定性等特点。它们在结构上有着共同性，一般由等特点。它们在结构上有着共同性，一般由引导模块、传染模块、引导模块、传染模块、表现模块表现模块3部分组成。部分组成。计算机病毒能够感染的只有计算机病毒能够感染的只有可执行代码可执行代码，按照可执行代码的种类可以，按照可执行代码的种类可以将计算机病毒分为将计算机病毒分为引导型病毒、文件型病毒、宏病毒和网络病毒引导型病毒、文件型病毒、宏病毒和网络病毒四大类。四大类。各类病毒的工作机理不尽相同。了解计算机病毒工作机理对于防范计算各类病毒的工作机理不尽相同。了解计算机病毒工作机理对于防范计算机病毒、查杀计算机病毒和恢复染毒后的系统有着积极的意义。机病毒、查杀计算机病毒和恢复染毒后的系统有着积极的意义。本讲稿第二十三页，共二十三页