1、病毒基础知识,目录,病毒的定义 病毒的发展史病毒的特征与分类病毒的组成病毒的传播方式病毒的影响病毒的防治 提问、总结,一、病毒的定义,定义1（国外狭义）：计算机病毒是一种程序，它可以感染其它程序，感染的方式为在被感染程序中加入计算机病毒的一个副本这个副本可能是在原病毒基础上演变来的。 定义2（国内狭义）：计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。 定义3（广义）：能够引起计算机故障，破坏计算机数据的所有程序都可以统称为计算机病毒。,二、病毒的发展史,.病毒理论的提出70年代.DOS时代的病毒80年代.Wind
2、ows时代的病毒90年代.互联网时代的病毒现在,三、病毒的特征与分类,1）病毒的特征传染性：是病毒的基本特征，是判别程序是否为计算机病毒的最重要特征。破坏性与危害性：任何计算机病毒感染了系统后，都会对系统产生不同程度 的影响。 寄生性与衍生性：一般情况下，计算机病毒都不是独立存在的，而是寄生于 其它的程序，当执行这个程序时，病毒代码就会被执行。 隐蔽性与潜伏性：计算机病毒具有很强的隐蔽性，它通常附在正常的程序之 中或藏在磁盘的隐密地方。可触发性与夺取控制权：大部分的病毒感染系统之后一般不会马上发作，它 隐藏在系统中，就像定时炸弹一样，只有在满足特 定条件时才被触发。,三、病毒的特征与分类,2）
3、病毒的分类 a.按破坏性分为 良性：指那些只是为了表现自身,并不彻底破坏系统和数据,但会大量占用CPU 时间,增加系统开销,降低系统工作效率的一类计算机病毒。 恶性：指那些一旦发作后,就会破坏系统或数据,造成计算机系统瘫痪的一类计 算机病毒。 b.按激活时间分为 定时：指那些到指定触发时间才会被激活的病毒。随机：指那些随时都会被激活（只要满足触发条件）的病毒。,三、病毒的特征与分类,c.按传染方式分为 引导型：当系统引导时进入内存，控制系统 文件型：病毒一般附着在可执行文件上 混合型：既可感染引导区，又可感染文件 d.按连接方式分为 OS型：替换OS的部分功能，危害较大 源码型：要在源程序编译
4、之前插入病毒代码；较少；外壳型：附在正常程序的开头或末尾；最常见；入侵型：病毒取代特定程序的某些模块；难发现。,三、病毒的特征、分类,e.按照病毒特有的算法分为 伴随型病毒：产生EXE文件的伴随体COM，病毒把自身写入COM文件并不改变EXE文件，当DOS加载文件时，伴随体优先被执行到，再由伴随体加载执行原来的EXE文件。 “蠕虫”型病毒：只占用内存，不改变文件，通过网络搜索传播病毒。寄生型病毒：除了伴随和“蠕虫”型以外的病毒，它们依附在系统的引导扇区或文件中。变型病毒（幽灵病毒）：使用复杂算法，每传播一次都具有不同内容和长度。一般的作法是一段混有无关指令的解码算法和被变化过的病毒体组成。 f
5、.按攻击的系统分为DOS病毒：指针对DOS操作系统开发的病毒。 Windows病毒：主要指针对Win9x操作系统的病毒。 其他系统病毒：主要攻击Linux, Unix, OS2, 嵌入式系统的病毒。,四、病毒的组成,计算机病毒一般由感染模块、触发模块、破坏模块（表现模块）和引导模块（主控模块）四大部分组成。根据是否被加载到内存，计算机病毒分为两种状态，即静态和动态。处于静态中的病毒存于存储介质中，一般不能执行病毒的破坏或表现功能，其传播只能借助第三方活动（例如，拷贝、下载和邮件传输等）实现。当病毒经过引导功能进入内存后，便处于活动状态（动态），满足一定触发条件后就进行传染和破坏，从而构成对计算
6、机系统和资源的威胁和毁坏。计算机病毒的工作流程如图4-1所示。计算机静态病毒通过第一次非授权加载，其引导模块被执行转为动态。动态病毒通过某种触发手段不断检查是否满足条件，一旦满足则执行感染和破坏功能。病毒的破坏力取决于破坏模块，有些病毒只干扰性显示，占用系统资源或发出怪音等奇怪现象，而另一些恶性病毒不仅表现出上述外观特性，还会破坏数据、摧毁系统。,五、病毒的传播方式,五、病毒的传播方式,1. 通过不可移动的计算机硬件设备进行传播(即利用专用ASIC芯片和硬盘进行传播)。 2. 通过移动存储设备来传播（包括软盘、U盘等）。其中U盘是使用最广泛移动最频繁的存储介质，因此也成了计算机病毒寄生的温床。
7、 3. 通过计算机网络进行传播。随着Internet的高速发展，计算机病毒也走上了高速传播之路，现在通过网络传播已经成为计算机病毒的第一传播途径。如网页、MSN、QQ、Email等。4. 通过点对点通信系统和无线通道传播。,六、病毒的影响,破坏文件丢失重要数据影响系统正常使用破坏硬件设备经济损失个人精神损失,七、病毒的防治,1. 网络环境下的病毒防治原则与策略 防重于治，防重在管：制度；注册、权限、属性、服务器安全；集中管理、报警。综合防护：木桶原理；防火墙与防毒软件结合最佳均衡原则：占用较小的网络资源管理与技术并重正确选择反毒产品多层次防御：病毒检测、数据保护、实时监控注意病毒检测的可靠性：
8、经常升级。2. 实施过程防毒：预防入侵； 病毒过滤、监控、隔离查毒：发现和追踪病毒； 统计、报警 解毒：从感染对象中清除病毒；恢复功能,七、病毒的防治,3. 反病毒软件的工作原理病毒扫描程序 串扫描算法:与已知病毒特征匹配 入口扫描算法：模拟跟踪目标程序的执行 类属解密法：对付多态、加密病毒内存扫描程序：搜索内存驻留文件和引导记录病毒完整性检查器：能发现新的病毒；但对于已被感染的系统使用此方法，可能会受到欺骗。行为监测器：是内存驻留程序，监视病毒对可执行文件的修改。防止未知的病毒。,七、病毒的防治,4. 反病毒软件的选择1）功能侧重点主动防御性能（防未知病毒）防护模块齐全病毒库更新速度杀毒引擎性能2）产品介绍单机用户NOD32、卡巴基斯网络用户卡巴斯基、麦咖啡、诺顿,16,提问、总结,Any question？,谢 谢,
