第4章计算机病毒与木马.ppt

《第4章计算机病毒与木马.ppt》由会员分享，可在线阅读，更多相关《第4章计算机病毒与木马.ppt（56页珍藏版）》请在课桌文档上搜索。

1、第 4 章计算机病毒与木马,【本章要点】通过本章的学习，可以了解计算机病毒的定义。掌握计算机病毒特征以及检测、防范等技术。初步了解木马攻击的技术、特点。,第 4 章计算机病毒与木马,4.1计算机病毒概述4.2计算机病毒的危害及其表现4.3计算机病毒的检测与防范4.4木马病毒4.5木马的攻击防护技术,4.1计算机病毒概述,4.1.1 计算机病毒的起源4.1.2 计算机病毒的定义及特征4.1.3 计算机病毒的生命周期4.1.4 计算机病毒的分类,4.1计算机病毒概述,可以从不同角度给出计算机病毒的定义。（1）通过磁盘、磁带和网络等作为媒介传播扩散，能“传染”其他程序的一种程序；（2）能够实现自身复

2、制且借助一定的载体存在的具有潜伏性、传染性和破坏性的程序；（3）是一种人为制造的程序，它通过不同的途径潜伏或寄生在存储媒体（如磁盘、内存）或程序里，当某种条件或时机成熟时，它会自生复制并传播，使计算机的资源受到不同程序的破坏。,计算机病毒主要有以下几种传播方式,1、通过电子邮件进行传播2、利用系统漏洞进行传播3、通过MSN、QQ等即时通信软件进行传播4、通过网页进行传播5、通过移动存储设备进行传播,今后任何时候病毒都不会很快地消失，并呈现快速增长的态势。仅在2013年1至6月，瑞星“云安全”系统共截获新增病毒样本1,633万余个，病毒总体数量比2012年下半年增长93.01%，呈现出一个爆发式

3、的增长态势。其中木马病毒1,172万个，占总体病毒的71.8%，和2012年一样是第一大种类病毒。新增病毒样本包括蠕虫病毒（Worm）198万个，占总体数量的12.16%，成为第二大种类病毒。感染型（Win32）病毒97万个，占总体数量的5.99%，后门病毒（Backdoor）66万个，占总体数量的4.05%，位列第三和第四。恶意广告（Adware）、黑客程序（Hack）、病毒释放器（Dropper）、恶意驱动（Rootkit）依次排列，比例分别为1.91%、1.03%、0.62%和0.35%。,4.1.1 计算机病毒的起源,1、计算机病毒的几种起源说（1）科学幻想起源说（2）恶作剧起源说（3

4、）游戏程序起源说,病毒的发展史呈现一定的规律性，一般情况是新的病毒技术出现后，病毒会迅速发展，接着反病毒技术的发展会抑制其流传。操作系统升级后，病毒也会调整为新的方式，产生新的病毒技术。IT行业普遍认为，从最原始的单机磁盘病毒到现在逐步进入人们视野的手机病毒，计算机病毒主要经历了六个重要的发展阶段。第一阶段为原始病毒阶段。第二阶段为混合型病毒阶段。第三阶段为多态性病毒阶段。,第四阶段为网络病毒阶段。第五阶段为主动攻击型病毒。第六阶段为“移动终端病毒”阶段。,4.1.2 计算机病毒的定义及特征,1.计算机病毒的定义2.计算机病毒的产生3.计算机病毒的特点（1）计算机病毒的程序性(可执行性)（2）

5、计算机病毒的传染性（3）计算机病毒的潜伏性（4）计算机病毒的可触发性（5）计算机病毒的破坏性,3.计算机病毒的特点,（6）攻击的主动性（7）病毒的针对性（8）病毒的非授权性（9）病毒的隐蔽性（10）病毒的衍生性（11）病毒的寄生性(依附性)（12）病毒的持久性,4.1.3 计算机病毒的生命周期,（1）开发期（2）传染期（3）潜伏期（4）发作期（5）发现期（6）消化期（7）消亡期,4.1.4 计算机病毒的分类,1.按攻击对像分类若按病毒攻击的对象来分类，可分为攻击微型计算机、小型机和工作站的病毒，甚至安全措施很好的大型机及计算机网络也是病毒攻击的目标。这些攻击对象之中，以攻击微型计算机的病毒最多

6、，其中90是攻击IBM PC机及其兼容饥的。其他还有攻击Macintosh及Amiga计算机的。,2.按入侵途径分类,（1）操作系统病毒（2）外壳病毒（3）源码病毒（4）入侵病毒,3.按传染方式分类,（1）传染磁盘引导区的病毒（2）传染可执行文件的病毒传染操作系统文件的病毒传染一般可执行文件的病毒既传染文件又传染磁盘引导区的病毒,4.按病毒存在的媒体分类,可以分为网络病毒、文件病毒和引导型病毒。网络病毒通过计算机网络传播感染网络中的可执行文件；文件病毒感染计算机中的文件（如：COM，EXE，DOC等）；引导型病毒感染启动扇区（Boot）和硬盘的系统引导扇区（MBR）。还有这三种情况的混合型，例

7、如：多型病毒（文件和引导型）感染文件和引导扇区两种目标，这样的病毒通常都具有复杂的算法，它们使用非常规的办法侵入系统，同时使用了加密和变形算法。,5.按病毒破坏的能力分类,（1）无害型。除了传染时减少磁盘的可用空间外，对系统没有其他影响。（2）无危险型。这类病毒仅仅是减少内存、显示图像、发出声音及同类音响。（3）危险型。这类病毒在计算机系统操作中造成严重的错误。（4）非常危险型。这类病毒删除程序、破坏数据、清除系统内存区和操作系统中重要的信息。,6.按计算机病毒特有的算法分类,（1）伴随型病毒。（2）“蠕虫”型病毒。（3）寄生型病毒。,7.按其表现性质,恶意病毒“四大家族”宏病毒 CIH病毒

8、蠕虫病毒木马病毒,4.2计算机病毒的危害及其表现,4.2.1 计算机病毒的危害1、病毒激发对计算机数据信息的直接破坏作用 大部分病毒在激发的时候直接破坏计算机的重要信息数据，所利用的手段有格式化磁盘、改写文件分配表和目录区、删除重要文件或者用无意义的垃圾数据改写文件、破坏CMOS设置等。,2、占用磁盘空间和对信息的破坏,寄生在磁盘上的病毒总要非法占用一部分磁盘空间。引导型病毒的一般侵占方式是由病毒本身占据磁盘引导扇区，覆盖一个磁盘扇区。被覆盖的扇区数据永久性丢失，无法恢复，所以在传染过程中一般不破坏磁盘上的原有数据，但非法侵占了磁盘空间，造成磁盘空间的严重浪费。,3、抢占系统资源,除VIENN

9、A、CASPER等少数病毒外，其他大多数病毒在动态下都是常驻内存的，这就必然抢占一部分系统资源。病毒所占用的基本内存长度大致与病毒本身长度相当。病毒抢占内存，导致内存减少，一部分软件不能运行。除占用内存外，病毒还抢占中断，干扰系统运行。,4、影响计算机运行速度,病毒进驻内存后不但干扰系统运行，还影响计算机速度，主要表现在：（1）病毒为了判断传染激发条件，总要对计算机的工作状态进行监视，这相对于计算机的正常运行状态既多余又有害。（2）有些病毒为了保护自己，不但对磁盘上的静态病毒加密，而且进驻内存后的动态病毒也处在加密状态；而病毒运行结束时再用一段程序对病毒重新加密。这样CPU额外执行数千条以至上

10、万条指令。（3）病毒在进行传染时同样要插入非法的额外操作，特别是传染软盘时不但计算机速度明显变慢，而且软盘正常的读写顺序被打乱，发出刺耳的噪声。,5、计算机病毒错误与不可预见的危害,计算机病毒与其他计算机软件的最重要差别是病毒的无责任性。编制一个完善的计算机软件需要耗费大量的人力、物力，经过长时间调试完善，软件才能推出。但在病毒编制者看来既没有必要这样做，也不可能这样做。很多计算机病毒都是个别人在一台计算机上匆匆编制调试后就向外抛出，绝大部分病毒都存在不同程度的错误。计算机病毒错误所产生的后果往往是不可预见的，反病毒工作者曾经详细指出黑色星期五病毒存在9处错误，乒乓病毒有5处错误等。但是人们不

11、可能花费大量时间去分析数万种病毒的错误所在。大量含有未知错误的病毒扩散传播，其后果是难以预料的。,6、计算机病毒的兼容性对系统运行的影响,兼容性是计算机软件的一项重要指标，兼容性好的软件可以在各种计算机环境下运行，反之兼容性差的软件则对运行条件“挑肥拣瘦”，要求机型和操作系统版本等，而病毒的兼容性较差，常常会导致死机。,7、计算机病毒给用户造成严重的心理压力,据有关计算机销售部门统计，计算机售后用户怀疑计算机有病毒而提出咨询约占售后服务工作量的60以上。经检测确实存在病毒的约占70，另有30情况只是用户怀疑，而实际上计算机并没有病毒，仅仅怀疑病毒而冒然格式化磁盘所带来的损失更是难以弥补。不仅是

12、个人单机用户，在一些大型网络系统中也难免为甄别病毒而停机。总之计算机病毒像“幽灵”一样笼罩在广大计算机用户心头，给人们造成巨大的心理压力，极大地影响了现代计算机的使用效率，由此带来的无形损失是难以估量的。,4.2.2 计算机病毒的表现,（1）平时运行正常的计算机突然经常性无缘无故地死机（2）操作系统无法正常启动（3）运行速度明显变慢（4）以前能正常运行的软件经常发生内存不足的错误（5）打印和通讯发生异常（6）无意中要求对软盘进行写操作（7）以前能正常运行的应用程序经常发生死机或者非法错误（8）系统文件的时间、日期、大小发生变化（9）对于Word文档，另存时只能以模板方式保存，无法另存为一个DO

13、C文档。（10）磁盘空间迅速减少（11）网络驱动器卷或共享目录无法调用（12）基本内存发生变化（13）陌生人发来的电子函件（14）自动链接到一些陌生的网站,4.2.3 计算机病毒的状态及潜伏期,计算机病毒工作流程示意图,触发条件可以是单个条件或复合条件1.单条件触发2.复合条件触发（1）时间触发条件（2）功能触发条件（3）宿主触发条件,4.2.4 常见的计算机病毒,（1）引导型、病毒文件型病毒和复合型病毒引导型病毒有：大麻病毒、2708病毒、火炬病毒、小球病毒、Girl病毒等。文件型病毒有：1575/1591病毒、848病毒（感染.COM和.EXE等可执行文件）Macro/Concept、Ma

14、cro/Atoms等宏病毒（感染.DOC文件）。复合型病毒有：Flip病毒、新世际病毒、One-half病毒等。,（2）良性病毒和恶性病毒良性病毒有：小球病毒、1575/1591病毒、救护车病毒、扬基病毒、Dabi病毒等等。恶性病毒有：黑色星期五病毒、火炬病毒、米开朗基罗病毒等。,4.3计算机病毒的检测与防范,4.3.1计算机病毒检测方法1.比较法2.加总对比法3.搜索法4.分析法5.人工智能陷阱技术和宏病毒陷阱技术6.软件仿真扫描法7.先知扫描法,4.3.2 常见计算机病毒的防范,1.文件型计算机病毒(1)安装最新版本的、功能强大的防杀计算机病毒软件，如瑞星、卡巴斯基等。(2)及时更新查杀计

15、算机病毒引擎，特别是发生计算机病毒突发事件时要立即更新。(3)经常使用防杀计算机病毒软件对系统进行计算机病毒检查。(4)对关键文件，如系统文件、保密的数据等，在没有计算机病毒的环境下经常 备份。(5)在不影响系统正常工作的情况下对系统文件设置最低的访问权限，以防止计算机病毒的侵害。(6)当使用Windows操作系统时，修改文件夹窗口中的默认属性。,2.引导型计算机病毒,引导型病毒寄生在主引导区、引导区，病毒利用操作系统的引导模块放在某个固定的位置，并且控制权的转交方式是以物理位置为依据，而不是以操作系统引导区的内容为依据，因而病毒占据该物理位置即可获得控制权，而将真正的引导区内容搬家转移，待病

16、毒程序执行后，将控制权交给真正的引导区内容，使得这个带病毒的系统看似正常运转，而病毒已隐藏在系统中并伺机传染、发作。主引导记录病毒感染硬盘的主引导区，如大麻病毒、2708病毒、火炬病毒等；分区引导记录病毒感染硬盘的活动分区引导记录，如小球病毒、Girl病毒等。,(1)坚持从硬盘引导系统。(2)安装能够实时监控引导扇区的防杀计算机病毒软件，或经常用能够查杀引导型计算机病毒的防杀计算机病毒软件进行检查。(3)经常备份系统引导扇区。(4)有效利用主板上提供引导扇区计算机病毒保护功能(Virus Protect)。,3 宏病毒,1.宏病毒2.宏病毒的判断方法（1）在打开“宏病毒防护功能”的情况下，当打

17、开一个你自己写的文档时，系统会弹出相应的警告框。而你并没有在其中使用宏或并不知道宏到底怎么用，那么你可以完全肯定你的文档已经感染了宏病毒。（2）同样情况下，你的OFFICE文档中一系列的文件在打开时都给出宏警告。可以肯定这些文档中有宏病毒。（3）如果软件中关于宏病毒防护选项启用后，一旦发现你的机器中设置的宏病毒防护功能选项无法在两次启动WORD之间保持有效，则你的系统一定已经感染了宏病毒。也就是说一系列WORD模板、特别是normal.dot 已经被感染。,3.宏病毒的防治和清除,（1）用最新版的反病毒软件清除宏病毒。（2）用写字板或WORD 6.0文档作为清除宏病毒的桥梁。,4 蠕虫病毒,个

18、人用户对蠕虫病毒的防范措施有以下几点：（1）选购合适的杀毒软件。（2）经常升级病毒库。蠕虫病毒的传播速度快、变种多，所以必须随时更新病毒库，以便能够查杀最新的病毒。（3）提高防杀毒意识。不要轻易去点击陌生的站点，有可能里面就含有恶意代码！当运行IE时，点击“工具Internet选项安全 Internet区域的安全级别”，把安全级别由“中”改为“高”。（4）不随意查看陌生邮件，尤其是带有附件的邮件。,4.3.3 计算机病毒的发展趋势,1.主流病毒皆为综合利用多种编程新技术产生2.ARP病毒仍是局域网的最大祸害3.网游病毒把逐利当作唯一目标4.不可避免的面对驱动级病毒,4.4木马病毒,4.4.1

19、木马的概述 木马（Trojan）这个名字来源于古希腊传说（荷马史诗中木马计的故事，Trojan一词的本意是特洛伊，即指特洛伊木马，也就是木马计的故事）。,4.4.2 木马的发展历史,4.4.2 木马的发展历史第一代木马：伪装性病毒。第二代木马：AIDS型木马。第三代木马：网络传播性木马。1、添加了“后门”功能。2、添加了击键记录功能。,4.4.3 木马的分类,1.网络游戏木马 2.网银木马 3.即时通讯软件木马 4.网页点击类木马 5.下载类木马6.代理类木马,4.4.4 木马的特征,1.隐蔽性 2.自动运行性3.欺骗性4.自动恢复5.自动打开特别的端口6.功能的特殊性7.黑客组织趋于公开化,

20、4.5木马的攻击防护技术,4.5.1 常见木马的应用1.系统病毒2.蠕虫病毒3.木马病毒、黑客病毒4.脚本病毒5.宏病毒6.后门病毒7.病毒种植程序病毒8.破坏性程序病毒9.玩笑病毒10.捆绑机病毒,4.5.2木马的加壳与脱壳,1.什么是加壳加壳一般是指保护程序资源的方法。软件加壳是作者写完软件后，为了保护自己的代码或维护软件产权等利益所常用到的手段。作者编好软件后，编译成exe可执行文件。例如：（1）有一些版权信息需要保护起来，不想让别人随便改动，如作者的姓名，即为了保护软件不被破解，通常都是采用加壳来进行保护。（2）需要把程序搞的小一点，从而方便使用。于是，需要用到一些软件，它们能将exe

21、可执行文件压缩。（3）在黑客界给木马等软件加壳脱壳以躲避杀毒软件。,2.加壳软件（1）最常见的加壳软件有ASPACK，UPX，Pecompact。（2）侦测壳的软件fileinfo.exe 简称fi.exe（侦测壳的能力极强）。（3）侦测壳和软件所用编写语言的软件language.exe，推荐language2000中文版（专门检测加壳类型）。（4）软件常用编写语言Delphi，VisualBasic（VB）-最难破，VisualC（VC）,3.脱壳,常用脱壳工具：（1）文件分析工具（侦测壳的类型）：Fi，GetTyp，peid，pe-scan（2）OEP入口查找工具：SoftICE，TRW，

22、ollydbg，loader，peid（3）dump工具：IceDump，TRW，PEditor，ProcDump32，LordPE（4）PE文件编辑工具PEditor，ProcDump32，LordPE（5）重建Import Table工具：ImportREC，ReVirgin（6）ASProtect脱壳专用工具：Caspr（ASPr V1.1-V1.2有效），Rad（只对ASPr V1.1有效），loader，peid,常用加壳对应的脱壳工具：,（1）Aspack：用的最多，但只要用UNASPACK或PEDUMP32脱壳就行了（2）ASProtect+aspack：次之，国外的软件多用它加

23、壳，脱壳时需要用到SOFTICE+ICEDUMP，需要一定的专业知识，但最新版现在暂时没有办法。（3）Upx：可以用UPX本身来脱壳，但要注意版本是否一致，用-D 参数。（4）Armadill：可以用SOFTICE+ICEDUMP脱壳。（5）Dbpe：国内比较好的加密软件，新版本暂时不能脱，但可以破解。（6）NeoLite：可以用自己来脱壳。（7）Pcguard：可以用SOFTICE+ICEDUMP+FROGICE来脱壳。（8）Pecompat：用SOFTICE配合PEDUMP32来脱壳，但不要专业知识。（9）Petite：有一部分的老版本可以用PEDUMP32直接脱壳，新版本脱壳时需要用到S

24、OFTICE+ICEDUMP，需要一定的专业知识。（10）WWpack32：和PECOMPACT一样其实有一部分的老版本可以用PEDUMP32直接脱壳，不过有时候资源无法修改，也就无法汉化，所以最好还是用SOFTICE配合 PEDUMP32脱壳。,常见的壳脱法：,（1）aspack壳，脱壳可用unaspack或caspr。Unaspack：使用方法类似lanuage，傻瓜式软件，运行后选取待脱壳的软件即可。缺点：只能脱aspack早些时候版本的壳，不能脱高版本的壳。caspr第一种：待脱壳的软件（如aa.exe）和caspr.exe位于同一目录下，执行windows起始菜单的运行，键入 cas

25、pr aa.exe脱壳后的文件为aa.ex_，删掉原来的aa.exe，将aa.ex_改名为aa.exe即可。优点：可以脱aspack任何版本的壳，脱壳能力极强。缺点：Dos界面。第二种：将aa.exe的图标拖到caspr.exe的图标上。若已侦测出是aspack壳，用unaspack脱壳出错，说明是aspack高版本的壳，用caspr脱即可。,（2）upx壳，脱壳可用upx待脱壳的软件（如aa.exe）和upx.exe位于同一目录下，执行windows起始菜单的运行，键入upx-d aa.exe。（3）PEcompact壳，脱壳用unpecompact使用方法类似lanuage傻瓜式软件，运行

26、后选取待脱壳的软件即可。（4）procdump 万能脱壳但不精，一般不要用。使用方法：运行后，先指定壳的名称，再选定欲脱壳软件，确定即可脱壳后的文件大于原文件。由于脱壳软件很成熟，手动脱壳一般用不到,4.5.3 木马的防范,（1）下载软件：木马的服务器端程序非常小，几K到几十K不等，把木马用EXE捆绑机捆绑起来可谓轻而易举，而且不易引起怀疑。有些网站所提供的软件当中就有可能捆绑有木马程序。当用户下载并且执行了该文件以后，木马程序也相应的被激活了。（2）交换脚本：众所周知，微软的浏览器在执行Script脚本上存在一些漏洞，攻击者可以利用这些漏洞传播病毒和木马，甚至可以直接对浏览者电脑进行文件操作

27、等控制。Script、ActiveX及ASP、JSP、CGI等等都有可能是木马的滋生地。（3）系统漏洞：木马还可以利用操作系统的一些漏洞进行植入，如IIS服务器溢出漏洞，通过IISHACK攻击程序既可使IIS服务器崩溃，并且同时在攻击服务器中执行远程木马服务器端程序。,对应防范措施：（1）慎防网络资源：现在网络上小至木马程序，大至盗版windows操作系统也有下载，其中来源也各式各样，有http、ftp，BT等等。任何从网上下载回来的资源，第一步必须要做的动作便是进行病毒扫描。现在大多反病毒软件都能清除木马，只要及时更新病毒库，安全的系数就可大大提高。（2）禁用ActiveX脚本。（3）及时升

28、级。操作系统和浏览器都存在不同程度上的漏洞，入侵者正是利用这些漏洞植入木马，因此，及时更新系统，及时打好补丁，及时把漏洞补上，被入侵的机会就会大大减少。（4）启动网络防火墙。防火墙的作用在于控制网络访问。用户可以设置IP规则和安全级别来防止非法连接。对个人用户来说，比较常用的网络防火墙有天网防火墙和金山网镖。,4.5.4 安全解决方案,(1)目前瑞星杀毒软件2009是国内最优秀的杀毒软件之一，它功能强大，病毒库更新快，对国内病毒反应快，误杀率低。(2)安装360度安全卫士。(3)下载软件推荐使用迅雷(4)菜鸟注意一般不要安装防火墙。(5)多下载一些病毒专杀工具，以备不时之需。,小结,本章主要介绍了计算机病毒、木马的相关知识，通过本章学习，学生可掌握常见病毒、木马的种类，防范方法等知识，了解病毒、木马的攻击原理。,