计算机病毒原理及防范技术王路群电子教案 第8章 计算机病毒理论模型.pptVIP

计算机病毒原理及理论 第八章 计算机病毒理论模型 第八章 计算机病毒理论模型 本章学习导读 本章主要讲解计算机病毒的各种理论模型，这些模型有利于进一步深入理解计算机病毒、研究计算机病毒的各种机制。首先讲解图灵机的概念以及基于图灵机的5种病毒模型；然后讲解基于递归函数的病毒模型；最后讲解3种蠕虫传播模型及其仿真。 8.1 基于图灵机的病毒模型 8.1 基于图灵机的病毒模型 Cohen在1984年为计算机病毒提出了一个形式化的数学模型，这个模型使用图灵机。实际上，Cohen的计算机病毒的形式化数学模型与Neumann的自我复制细胞自动机是十分相似的。 这个数学模型为解决计算机病毒问题奠定了重要的理论基础。 8.1.1 RAM模型 随机访问计算机（Random Access Machine，RAM）模型是一种带有累加器的计算机模型，并且在该计算机中指令不能修改自身。 RAM由一个只读输入带、一个只写输出带以及一个程序和一台存储器所构成。 8.1.1 RAM模型 8.1.2 RASPM模型 在RAM模型中，由于程序并不是存储在RAM的存储器中，因此它不能自我修改，当然，也不可能被计算机病毒感染。现在，来考虑随机访问存储计算机模型（Random Access Stored Program Machine ，RASPM）。 8.1.2 RASPM模型 8.1.3 图灵机模型 图灵机（英语：Turing Machine，又称确定型图灵机）是英国数学家阿兰·图灵于1936年提出的一种抽象计算模型，其更抽象的意义为一种数学逻辑机，可以看作等价于任何有限逻辑数学过程的终极强大逻辑机器。 8.1.3 图灵机模型 8.1.4 RASPM_ABS模型和基于此的病毒 包含后台存储带的随机访问存储程序计算机(The Random Access Stored Program Machine with Attached Background Storage, RASPM_ABS) RASPM_ABS有一个输入带、一个输出带以及一个后台存储带，它们都具有无限的长度。输入带只能被用来读取信息，输出带只能被用来写信息，而后台存储带既可以读又可以写。可以通过读/写头来访问这些带。当读或写信息时，相应的头会向右移动一步。在后台存储情况下，有可能发生读/写头的直接移动。 8.1.4 RASPM_ABS模型和基于此的病毒 8.1.4 RASPM_ABS模型和基于此的病毒 基于RASPM_ABS的病毒 计算机病毒被定义成程序的一部分，该程序附着在某个程序上并能将自身链接到其他程序上。当病毒所附着的程序被执行时，计算机病毒的代码也跟着被执行。 8.1.4 RASPM_ABS模型和基于此的病毒 1.病毒的传播模型 如果病毒利用了计算机的一些典型特征或服务，那么病毒的这种传播方式被称作专用计算机的传播方式。如果病毒在传播时没有利用计算机的服务，那么此传播方式被称为独立于计算机的传播方式。 PC中，引导型病毒就具有专用计算机的传播方式 感染C源文件的病毒就是具有独立计算机的传播方式 8.1.4 RASPM_ABS模型和基于此的病毒 2.少态型病毒和多态型病毒 当有两个程序被同样的病毒以指定传播方式感染，并且病毒程序的代码顺序不同时，这种传播方式称为多形态的。 当有两个程序被同样的病毒以指定传播方式感染，并且病毒程序的代码顺相同但至少有一部分病毒代码被使用不同的密钥加密时，这种传播方式称为少形态的。 8.1.4 RASPM_ABS模型和基于此的病毒 多态型病毒的实现要比少态型病毒的实现复杂得多，它们能改变自身的译码部分。例如，通过从准备好的集合中任意选取译码程序。该方法也能通过在传播期间随即产生程序指令来完成。例如，可以通过如下的方法来实现： 改变译码程序的顺序； 处理器能够通过一个以上的指令（序列）来执行同样的操作； 向译码程序中随机地放入哑命令（Dummy Command）。 8.1.4 RASPM_ABS模型和基于此的病毒 3.病毒检测 （1）病毒检测的一般问题 如果存在着某一能够解决病毒检测问题的算法，那么就能通过建立图灵机来执行相应的算法。不幸的是，即使在最简单的情况下，我们也不可能制造出这样的图灵机。 定理：不可能制造出一个图灵机，利用该计算机，我们能够判断RASPM_ABS中的可执行文件是否含有病毒。 8.1.4 RASPM_ABS模型和基于此的病毒 （2）病毒检测方法 如果我们只涉及一些已知病毒的问题，那么就可能简化病毒检测问题。在此情况下，可以将已知病毒用在检测算法上。 我们从每个已知病毒提取一系列代码，当病毒进行传播时，它们就会在每个被感染了的文件中显示出来。我们将这一系列代码成为序列。病毒检测