计算机病毒分析与防御.docVIP

《计算机病毒》复习思考题 第一章 计算机病毒概述 1. 简述计算机病毒的定义和特征。 计算机病毒(Computer Virus)，是一种人为制造的、能够进行自我复制的、具有对计算机资源进行破坏作用的一组程序或指令集合。 计算机病毒的可执行性(程序性)、传染性、非授权性、隐蔽性、潜伏性、可触发性、破坏性、攻击的主动性、针对性、衍生性、寄生性(依附性)、不可预见性、诱惑欺骗性、持久性。 5. 计算机病毒有哪些传播途径？ 传播途径有两种，一种是通过网络传播，一种是通过硬件设备传播（软盘、U盘、光盘、硬盘、存储卡等）。 网络传播，又分为因特网传播和局域网传播两种。 硬件设备传播：通过不可移动的计算机硬件设备传播、通过移动存储设备传播、通过无线设备传播。 第2章 预备知识 1. 硬盘主引导扇区由哪几部分构成？一个硬盘最多可分几个主分区？为什么？Fdisk/mbr命令是否会重写整个主引导扇区？ 主引导扇区(Boot Sector)由主引导记录(Master Boot Record，MBR)、主分区表即磁盘分区表(Disk Partition Table，DPT)、引导扇区标记(Boot Record ID/Signature)三部分组成。 一个硬盘最多可分为4个主分区，因为主分区表占用64个字节，记录了磁盘的基本分区信息，其被分为4个分区选项，每项16个字节，分别记录了每个主分区的信息。 2．低级格式化、高级格式化的功能与作用是什么？高级格式化(FORMAT)能否清除任何计算机病毒？为什么？ 回答一：低级格式化的主要目的是将盘面划分成磁道、扇区和柱面。 高级格式化的目的是在分区内建立分区引导记录DBR(DOS Boot Record)、文件分配表FAT(File Allocation Table)、文件目录表FDT(File Directory Table)和数据区DATA。 回答二：如果主引导区感染了病毒，用格式化程序FORMAT不能清除该病毒(BR病毒可以用FORMAT清除)。 3. DOS下的EXE文件病毒是如何获取控制权的？感染EXE文件，需对宿主作哪些修改？ 一般来说，病毒往往先于HOST程序获得控制权。运行Win32病毒的一般流程示意如下： ①用户点击或系统自动运行HOST程序； ②装载HOST程序到内存； ③通过PE文件中的AddressOfEntryPoint加ImageBase之和，定位第一条语句的位置(程序入口)； ④从第一条语句开始执行(这时执行的其实是病毒代码)； ⑤病毒主体代码执行完毕，将控制权交给HOST程序原来的入口代码； ⑥HOST程序继续执行。 5．简介有哪些常用的磁盘编辑软件、分区软件。 FDISK、DiskGenius、PartitionMagic、Acronis Disk Director 第3章 计算机病毒的逻辑结构与基本机制 1. 计算机病毒在任何情况下都具有感染力或破坏力吗？为什么？ 不是，因为计算机病毒在传播过程中存在两种状态，即静态和动态。 a.静态病毒，是指存在于辅助存储介质中的计算机病毒，一般不能执行病毒的破坏或表现功能，其传播只能通过文件下载(拷贝)实现。 b.病毒完成初始引导，进入内存后，便处于动态。动态病毒本身处于运行状态，通过截流盗用系统中断等方式监视系统运行状态或窃取系统控制权。病毒的主动传染和破坏作用，都是动态病毒的“杰作” c.内存中的病毒还有一种较为特殊的状态——失活态，它的出现一般是由于用户对病毒的干预(用杀毒软件或手工方法)，用户把中断向量表恢复成正确值，处于失活态的病毒不可能进行传染或破坏 综上所述，计算机病毒只有处于动态才具有感染力或破坏力。故计算机病毒不是在任何情况下都具有感染力或破坏力。 2. 文件型病毒有哪些感染方式？ a寄生感染: 文件头部寄生 文件尾部寄生 插入感染 逆插入感染 利用空洞——零长度感染 b无入口点感染: 采用入口点模糊(Entry Point Obscuring，EPO)技术 采用TSR病毒技术 c 滋生感染 d链式感染 e OBJ、LIB和源码的感染 3．计算机病毒的感染过程是什么？ 计算机病毒感染的过程一般有三步： (1)当宿主程序运行时，截取控制权； (2)寻找感染的突破口； (3)将病毒代码放入宿主程序 4．计算机病毒一般采用哪些条件作为触发条件？ 病毒采用的触发条件主要有以下几种： 日期触发 时间触发 键盘触发 感染触发 启动触发 访问磁盘次数/调用中断功能触发 CPU型号/主板型号触发 打开或预览Email附件触发 随机触发 试述计算机病毒的逻辑结构。 第4章 DOS病毒的基本原理与DOS病毒分析 什么是病毒的重定位？病毒一般采用什么方法进行重定位？ 回答一：重定位就是把程序的逻辑地址空间变换成内存中的实际物理地址