7-解释型病毒(宏VBSWeb).pdf

恶意软件的分析与防范 傅建明 武汉大学计算机学院 Jmfu_whu@ 课时安排 1. 恶意代码概述 2. 计算机病毒 3. AutoRun病毒 4. 后门、木马 5. 网络钓鱼和蠕虫 6. Rootkit 7. 解释型病毒（宏病毒、脚本病毒、网页病毒） 8. 常用检测技术和工具 9. 课堂讨论与练习 10. 期末考试 课程安排 1、宏病毒的定义 2、宏病毒的清除与防御 3、脚本病毒的定义 4、脚本病毒的清除与防御 5、网页病毒的定义 6、网页病毒的清除与防御 1、宏病毒的定义 所谓宏，就是指利用Office系统的开 放性专门制作一段类似于批处理命令 的多行代码的集合,这种病毒宏的集合 影响到计算机的使用，并能通过文档 及模板进行自我复制及传播。 在Word中可以通过ALT+F8查看存在的 宏，通过ALT+F11调用宏编辑窗口。 宏的原理（SHOW） 1、宏病毒的条件 要达到宏病毒传染的目的，系统须具备以 下特性： ①可以把特定的宏命令代码附加在指定文件 上； ②可以实现宏命令在不同文件之间的共享和传 递； ③可以在未经使用者许可的情况下获取某种控 制权。 1、支持宏病毒的文档 Microsoft公司的WORD 、EXCEL、Access 、PowerPoint、Project、Visio等产品； Inprise公司的Lotus AmiPro字处理软件； 此外，还包括AutoCAD 、Corel Draw 、 PDF等等。 1、宏病毒的特点 1. 传播极快 2. 制作、变种方便 3. 破坏可能性极大 4. 多平台交叉感染 5. 地域性问题 1、宏病毒的共性 宏病毒会感染DOC文档文件和DOT模板文 件。 打开时激活，通过Normal模板传播。 通过AutoOpen ，AutoClose ，AutoNew和 AutoExit等自动宏获得控制权。 病毒宏中必然含有对文档读写操作的宏指 令。 1、宏病毒的作用机制 类别 宏 名 运行条件 模板在建立整个文档 自动宏 AutoExec 启动Word或加载全局模 中所起的作用是作为 板时 一个基类。新文档继 AutoNew 每次创建新文档时 承模板的属性（包括 AutoOpen 每次打开已存在的文档 时 宏、菜单、格式等）。 AutoClose 在关闭文档时 编制宏病毒要用到的 AutoExit 在退出Word或卸载全局 模板时 宏如右表 标准宏 FileSave 保存文件