{新}第3章 计算机病毒的逻辑结构与基本机制.pptVIP

计算机病毒与反病毒技术 主要内容 病毒的状态 病毒的基本环节 病毒的逻辑结构 病毒的基本机制 3.1.1 计算机病毒的状态 计算机病毒在传播过程中存在两种状态，即静态和动态 静态病毒，是指存在于辅助存储介质中的计算机病毒，一般不能执行病毒的破坏或表现功能，其传播只能通过文件下载(拷贝)实现 因为静态病毒尚未被加载、尚未进入内存，不可能获取系统的执行权限 病毒之所以处于静态，有两种可能 没有用户启动该病毒或运行感染了该病毒的文件 该病毒存在于不可执行它的系统中 当病毒完成初始引导，进入内存后，便处于动态。动态病毒本身处于运行状态，通过截流盗用系统中断等方式监视系统运行状态或窃取系统控制权。病毒的主动传染和破坏作用，都是动态病毒的“杰作” 3.1.1 计算机病毒的状态 计算机病毒的基本流程与状态转换 病毒由静态转变为动态的过程，称为病毒的启动。实际上，病毒的启动过程就是病毒的首次激活过程 内存中的动态病毒又有两种状态：可激活态和激活态。 当内存中的病毒代码能够被系统的正常运行机制所执行时，动态病毒就处于可激活态 一般而言，动态病毒都是可激活的 系统正在执行病毒代码时，动态病毒就处于激活态 病毒处于激活态时，不一定进行传染和破坏；但进行传染和破坏时，必然处于激活态 3.1.1 计算机病毒的状态 3.1.1 计算机病毒的状态 内存中的病毒还有一种较为特殊的状态——失活态 一般情况下不会出现这种状态，它的出现一般是由于用户对病毒的干预(用杀毒软件或手工方法) 处于失活态的病毒不可能进行传染或破坏，它与静态病毒的不同仅在于病毒代码在内存中，但得不到执行 如果用户把中断向量表恢复成正确值，修改中断向量表的动态病毒就失活了 病毒能由激活态转变为失活态，也就是可激活态病毒的可触发性被破坏，处于激活态的病毒一般不会自己转变为失活态，失活态的出现必定是有外在干预 对于处于不同状态的病毒，应采用不同的分析、清除手段 3.1.2 计算机病毒的基本环节 计算机病毒要完成一次完整的传播破坏过程，必须经过以下几个环节： 分发拷贝阶段 潜伏繁殖阶段 破坏表现阶段 在任何一个环节(阶段)都可以抑制病毒的传播、蔓延，或者清除病毒 我们应当尽可能地在病毒进行破坏性攻击之前切断病毒传染源、抑制病毒的传播蔓延 3.2.1 一个简单的计算机病毒 一个简单的DOS批处理病毒源程序autoexec.bat(假设从A盘启动) 3.2.2 计算机病毒的逻辑结构 计算机病毒是以现代计算机网络系统为环境而存在并发展的，即计算机系统的软、硬件环境决定了计算机病毒的结构，而这种结构是能够充分利用系统资源进行活动的最合理体现 有时也把破坏表现模块中触发条件判断部分作为一个单独的模块，称作触发模块 3.2.2 计算机病毒的逻辑结构 感染标志 有的病毒有一个感染标志，又称病毒签名，但不是所有的病毒都有感染标志 感染标志是一些数字或字符串，它们以ASCII码方式存放在宿主程序程序里 病毒在感染程序之前，一般要查看其是否带有感染标志 感染标志不仅被病毒用来决定是否实施感染，还被病毒用来实施欺骗 不同病毒的感染标志的位置、内容都不同 杀毒软件可以将感染标志作为病毒的特征码之一 也可以利用病毒根据感染标志是否进行感染这一特性，人为地、主动在文件中添加感染标志，从而在某种程度上达到病毒免疫的目的 3.2.2 计算机病毒的逻辑结构 引导模块 染毒程序运行时，首先运行的是病毒的引导模块 引导模块的基本动作是： 检查运行的环境，如确定操作系统类型、内存容量、现行区段、磁盘设置、显示器类型等参数 将病毒引入内存，使病毒处于动态，并保护内存中的病毒代码不被覆盖 设置病毒的激活条件和触发条件，使病毒处于可激活态，以便病毒被激活后根据满足的条件调用感染模块或破坏表现模块 3.2.2 计算机病毒的逻辑结构 感染模块 是病毒实施感染动作的部分，负责实现病毒的感染机制 感染模块的主要功能如下： 寻找感染目标 检查目标中是否存在感染标志或设定的感染条件是否满足 如果没有感染标志或条件满足，进行感染，将病毒代码放入宿主程序 无论是文件型病毒还是引导型病毒，其感染过程总的来说是相似的，分为三步：进驻内存、判断感染条件、实施感染 感染条件控制病毒的感染动作、控制病毒感染的频率：频繁感染，容易让用户发觉；苛刻的感染条件，又让病毒放弃了众多传播机会 3.2.2 计算机病毒的逻辑结构 破坏模块 负责实施病毒的破坏动作，其内部是实现病毒编写者预定破坏动作的代码 病毒的破坏力取决于破坏模块 破坏模块导致各种异常现象，因此，该模块又被称为病毒的表现模块 计算机病毒的破坏现象和表现症状因具体病毒而异。计算机病毒的破坏行为和破坏程度，取决于病毒编写者的主观愿望和技术能力 触发条件控制病毒的破坏动作，控制病毒破