计算机病毒来源及传播路径.docVIP

计算机病毒来源及传播路径 本文作者：刘磊 潘放 李国锋 邹旺 刘力 单位：哈尔滨学院工学院计算机科学与技术系 计算机病毒（Computerviruses）与生物病毒不同的是，它不是天然存在的，而是一段比较精巧严谨的代码，按照严格的秩序组织起来，与所在的系统或网络环境相适应并与之配合，是人为特制的具有一定长度的程序。它的概念最早由冯bull;诺伊曼提出，当时并没有引起注意。1983年11月3日，FredCohen博士研制出一种在运行过程中可以复制自身的破坏性程序，LenAdleman将它命名为计算机病毒。计算机病毒从无到有，而且其增长速度相当惊人！12年间，从1种增加到了4.6万种。 1病毒工作原理病毒究竟是怎样感染和破坏计算机系统的呢？下面以世界流行排名靠前的病毒为例做个简单的说明。 1.1VBS_KAKWORM.A。该蠕虫是在1999年10月份发现的。它由三部分组成：HTA文件(HTML应用程序)，REG文件和BAT文件（MS_DOS批处理文件）。该蠕虫使用MSOutlookExpress，通过邮件进行传播。 1.2TROJ_PRETTY_PARK。这种蠕虫最早在1999年6月时，在欧洲中部广泛流行，在今年三月时，又再次爆发。它会每隔30分钟，将自身命名为“PrettyPark.Exe”，然后作为邮件的附件发送给邮件地址薄中的所有人。文件的图标使用着名的名为“南方公园”中的卡通形象。另外，该蠕虫还具有后门程序的功能，它会将感染此蠕虫的系统的信息发送给一些IRC服务器，如：系统配置信息、登录密码和用户名、电话号码以及ICQ号码等。同时，它还可以远程控制被感染的系统，如：创建/删除目录、上载/下载文件和删除或执行文件。 1.3VBS_LOVELETTER。该病毒运行后，它自动给邮件地址列表中的所有的地址发送邮件，并将自身作为邮件的附件。同时，该病毒感染力极强，可寻找本地驱动器和映射驱动器，并在所有的目录和子目录中搜索可以感染的目标。该病毒感染扩展名为“vbs”，“vbe”，“js”，“jse”“，css”“，wsh”“，sct”“,hta”“，jpg”“，jpeg”“，mp3”和“mp2”等十二种类型文件。当病毒找到有扩展名为“js”“，jse”“，css”“，wsh”“，sct”“,hta”文件时，病毒将覆盖原文件，并将文件后缀改为“vbs”；当感染扩展名为“vbs”“，vbe”的文件时，原文件将被病毒代码覆盖；当感染扩展名为“jpg”“，jpeg”的文件时，用病毒代码覆盖文件原来的内容，并将后缀加上.vbs后缀，随后毁掉宿主文件，破坏了这些数据文件原始内容。 2感染病毒的现象 计算机感染病毒的现象主要有以下几种： 1）运行正常的计算机突然经常性无缘无故地死机。这可能是病毒感染了计算机系统，将自身驻留在系统内并修改了中断处理程序等，引起系统工作不稳定，造成死机现象发生；操作系统无法正常启动。 2）关机后再启动，操作系统报告缺少必要的启动文件，或启动文件被破坏，系统无法启动。这很可能是计算机病毒感染系统文件后使得文件结构发生变化，无法被操作系统加载、引导。 3）运行速度明显变慢。在硬件设备没有损坏或更换的情况下，本来运行速度很快的计算机，运行同样应用程序，速度明显变慢，而且重启后依然很慢。这很可能是计算机病毒占用了大量的系统资源，并且自身的运行占用了大量的处理器时间，造成系统资源不足，运行变慢。 4）以前能正常运行的软件经常发生内存不足的错误。 5）打印和通讯发生异常。硬件没有更改或损坏的情况下，以前工作正常的打印机，近期发现无法进行打印操作，或打印出来的是乱码。串口设备无法正常工作，这很可能是计算机病毒驻留内存后占用了打印端口、串行通讯端口的中断服务程序，使之不能正常工作。 6）某个以前能够正常运行的程序，程序启动的时候报系统内存不足，或者使用应用程序中的某个功能时报说内存不足。这可能是计算机病毒驻留后占用了系统中大量的内存空间，使得可用内存空间减小。 7）无意中要求对软盘进行写操作。这很可能是计算机病毒自动查找软盘是否在软驱中的时候引起的系统异常。需要注意的是有些编辑软件需要在打开文件的时候创建一个临时文件，也有的安装程序（如Office97）对软盘有写的操作。 8）以前能正常运行的应用程序经常发生死机或者非法错误。在硬件和操作系统没有进行改动的情况下，以前能够正常运行的应用程序产生非法错误和死机的情况明显增加。这可能是由于计算机病毒感染应用程序后破坏了应用程序本身的正常功能，或者计算机病毒程序本身存在着兼容性方面的问题造成的。 9）系统文件的时间、日期、大小发生变化。上述是明显的计算机病毒感染迹象。计算机病毒感染应用程序文件后，会将自身隐藏在原始文件的