《反病毒技术》讲义.docVIP

《反病毒技术》讲义 一、复习 1、计算机病毒定义（提问） 回答：“计算机病毒”最早是由美国计算机病毒研究专家F.Cohen博士提出的。 “计算机病毒”有很多种定义，国外最流行的定义为：计算机病毒，是一段附着在其他程序上的可以实现自我繁殖的程序代码。在《中华人民共和国计算机信息系统安全保护条例》中的定义为：“计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码”。 2、计算机病毒的发展历史 回答：世界上第一例被证实的计算机病毒是在1983年，出现了计算机病毒传播的研究报告。同时有人提出了蠕虫病毒程序的设计思想；1984年，美国人Thompson开发出了针对UNIX操作系统的病毒程序。 1988年11月2日晚，美国康尔大学研究生罗特·莫里斯将计算机病毒蠕虫投放到网络中。该病毒程序迅速扩展，造成了大批计算机瘫痪，甚至欧洲联网的计算机都受到影响，直接经济损失近亿美元。 计算机病毒在中国的发展情况：在我国，80年代末，有关计算机病毒问题的研究和防范已成为计算机安全方面的重大课题。 3、计算机病毒的分类 1．按传染方式分为引导型、文件型和混合型病毒 2．按连接方式分为源码型、入侵型、操作系统型和外壳型病毒 3．按破坏性可分为良性病毒和恶性病毒 4．网络病毒 4、计算机病毒的特点（提问） （1）刻意编写，人为破坏 （2）自我复制能力 （3）隐蔽性 （4）潜伏性 （5）不可预见性 5、网络计算机病毒的特点 （1）传染方式多 （2）传染速度快 （3）清除难度大 （4）破坏性强 二、新课导入： 解说病毒和反病毒日益尖锐的斗争，让学生认识到反病毒技术的重要性和严峻性，从而引入新课。 近年来，互联网安全环境日益严峻。科技在发展，病毒也在不断演变，病毒的破坏力不仅给业界和用户带来无尽的烦恼，而且对国家信息安全构成了严重威胁。今年上半年，计算机病毒异常活跃，木马、蠕虫、黑客后门等轮番攻击互联网，从熊猫烧香、灰鸽子到艾妮、AV终结者，重大恶性病毒频繁发作，危害程度也在逐步加大，而此时的杀毒软件却显得应对乏力。如何准确地把握反计算机病毒的发展趋势，在与计算机病毒的斗争中占得上风，为信息安全保驾护航？业界专家及杀毒软件厂商在思索、在行动。????在近日举办的赛门铁克VISION 2007用户大会上，来自Yankee Group研究机构的安全专家Andrew Jaquith语出惊人。他认为杀毒软件将无法有效地处理日益增多的恶意程序，并预言未来杀毒软件将走向末路。对于这一说法，业界颇有微词，甚至认为是无稽之谈。????业界众多人士分析认为，无论是从计算机病毒的发展历史和趋势来看，还是从目前奋战在一线的国内外杀毒软件厂商的战果及战略布局来看，这一场反计算机病毒的持久战仍未分出胜负，并且他们相信，“正义”终将战胜“邪恶”。硬盘主引导扇区。硬盘或软盘的BOOT扇区。为保存原主引导扇区、BOOT扇区，病毒可能随意地将它们写入其他扇区，而毁坏这些扇区。修复被CIH破坏的硬盘分区表4）检查可执行文件 （其长度是否改变） （5）检查内存空间 病毒进入内存后会产生两个线程 扫描法 扫描法是用每一种病毒体含有的特定字符串对被检测的对象进行扫描。 扫描程序由两部分组成：病毒代码库和对该代码进行扫描的程序。 病毒扫描程序可识别的病毒数目取决于病毒代码库中所含病毒的种类。 特征字识别法 计算机病毒特征字的识别法只需从病毒体内抽取很少几个关键的特征字来组成特征字库。 该方法由于要处理的字节很少，所以工作起来速度更快、误报警更少 分析法 本方法是运用相应技术分析被检测对象，确认是否为病毒的。 静态分析是指利用反汇编工具将计算机病毒代码打印成反汇编指令程序清单后进行分析，以便了解计算机病毒分成哪些模块，使用了那些系统调用，采用了那些技巧等等。 动态分析则是利用Debug等调试工具在内存带毒的情况下，对计算机病毒做动态跟踪，观察计算机病毒的具体工作过程，以进一步在静态分析的基础上理解计算机病毒的工作原理。 5．校验和法 对正常文件的内容，计算其校验和，将该校验和写入此文件或其它文件中保存，在文件使用过程中或使用之前，定期地检查由现有内容算出的校验和与原来保存的校验和是否一致，从而可以发现文件是否被感染，这种方法称为校验和法。 详细解释四种不同的检测方法，对其进行比较，并用图表来分析各检测方法的优缺点。 （三）反病毒软件工作原理 病毒 1）病毒扫描程序 在病毒扫描程序中预先嵌入病毒特征数据库，将这一信息与文件逐一进行匹配。例子。 2）内存扫描程序 内存扫描程序采用与病毒扫描程序同样的基本原理进行工作。它的工作是扫描内存以搜索内存驻留文件和引导记录病毒。