第十章恶意软件1.pptVIP

概述 恶意程序的概念、分类 后门、逻辑炸弹、特洛伊木马 病毒的生命周期 病毒的结构 病毒的分类 恶意程序的概念 恶意程序通常是指带有攻击意图所编写的一段程序 恶意程序的分类 图 10.1 (p327, in book)提供了一个全面的分类软件的威胁，或恶意程序 。 恶意程序 恶意软件可以分为两类: 一类需要驻留在宿主程序中，而另一类则独立于宿主程序。 第一类软件实质上是一些必须 依赖于某些实际的应用程序、实用程序或者系统程序才可以运行的程序段。 后一类软件是 可以被操作系统调度并运行的独立程序。 恶意程序 可以通过 是否可以自身复制 来区分这些恶意软件的类别。 不可自复制的恶意软件 是通过触发而被激活的程序或程序段。 恶意程序 可自复制的的恶意软件包括 程序段 (virus) 或 独立程序 (worm, bacterium) 。 当这类程序或程序段执行的时候，可能会产生自身的一个或多个副本，这些副本在合适的时机将在当前系统或其它系统中被激活。 后门 后门是程序的秘密入口点， 它使得知情者可以绕开正常的安全访问机制而直接访问程序。 后门 后门已被用于合法程序员调试和测试程序。 当程序开发者在设计一个包含认证机制的应用或者一个要求用户输入多个不同的值才能够运行的程序时，为避开这些繁琐的认证机制以便调试顺利进行，程序设计者往往会设置这样的后门。 后门 当后门被某些恶意者利用，作为获取未经授权的访问权限的工具时，它便成为一种安全威胁。 通过操作系统实现对后门的控制很困难。 应对后门的安全措施必须重点关注程序开发过程和软件更新活动。 逻辑炸弹 逻辑炸弹是最早出现的程序威胁类型之一。他出现的时间甚至早于病毒和蠕虫。 逻辑炸弹实际上是嵌入到某些合法程序中的代码段，当遇到某些特定条件时，它便会“爆发”。 逻辑炸弹 可以引爆逻辑炸弹的条件很多，比如某些特定文件的存在或缺失，某个特定的日期或星期的到来或者是某个特定用户运行的应用程序等。 逻辑炸弹 逻辑炸弹一旦被引爆，将会修改或删除文件中的数据甚至整个文件，这将引起系统关机或者其他危害。 例如，CIH 病毒 (导致了 BIOS的毁坏)每年的4月26日发作，或每月的26日。 特洛伊木马 特洛伊木马 是一种有用或者表面上有用的程序或命令过程。它包含隐秘代码段，一旦被调用，将会执行一些不希望或有害的功能。 特洛伊木马 例如， 一个木马程序表面上只是以某种格式列出文件，但当其他用户执行该程序之后，攻击者就可以得到该文件的相关信息。 如盗号木马(QQ、银行、网游) 计算机病毒的定义 计算机病毒产生的动机（原因） 作为一种文化（hacker） 病毒编制技术学习。 恶作剧。 产生于个别人的报复心理。 用于版权保护（江民公司）。 用于特殊目的（军事、计算机防病毒公司）。 计算机病毒的定义 计算机病毒的前身只不过是程序员闲来无事而编写的趣味程序；后来，才发展出了诸如破坏文件、修改系统参数、干扰计算机的正常工作等的恶性病毒 “病毒”一词的正式出现在1985年3月份的“科学美国人”里。 计算机病毒的定义 “计算机病毒”与医学上的“病毒”不同，它不是天然存在的，是某些人利用计算机软、硬件所固有的脆弱性，编制的具有特殊功能的程序。 计算机病毒的定义 “计算机病毒”为什么叫做病毒？原因是，它与生物医学上的病毒同样有传染和破坏的特性，因此这一名词是由生物医学上的“病毒”概念引申而来。 计算机病毒的定义 Fred Cohen定义： 计算机病毒是一种程序，他用修改其它程序的方法将自身的精确拷贝或者可能演化的拷贝插入其它程序，从而感染其它程序。 病毒的性质 病毒是通过修改其他程序而 “感染” 它们的软件； 这种修改操作包括复制可以继续感染其他程序的病毒程序。 病毒的性质 病毒可以做任何其他程序可以做的事情。与普通程序相比，病毒唯一不同的是，它将自身附到其它程序上，并且在宿主程序运行的同时秘密执行其自身功能。 一旦病毒执行，它可以实现病毒设计者所设计的任何功能，比如删除文件或程序。 病毒的特性 破坏性 传染性 隐蔽性 寄生性 触发（潜伏）性 病毒的危害情况 病毒的生命周期 病毒的生命周期包含以下四个阶段： 1, 休眠阶段（Dormant phase）： 在这个阶段中，病毒不执行操作，而是等待被某些事件激活，这些事件包括一个特定日期、其他程序或文件的出现、磁盘容量超出了某些限度等。 并非所有病毒都有这一阶段。 病毒的生命周期 2.传播阶段（Propagation phase）：病毒将与其自身完全相同的 副本植入其他程序或磁盘的某些系统区域。每个被感染的程序中都将包含病毒的一个副本，并且这些副本会自动进入传播阶段，继续向其他程序传播病毒。 病毒的生命周期 3.触发阶段（Triggering phase： 病毒