第三章计算机常见病毒与防治.ppt

爱虫病毒： 机制 运行后在\WINDOWS\目录下产生win32dll.vbs，在\WINDOWS\system\下产生mskernel32.vbs 和 LOVE_LETTER_FOR_YOU.txt.vbs 修改注册表：HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\Run\mskernel32 ? \windows\system\mskernel32.vbs \RunService\win32dll ?\windows\win32dll.vbs 查找\windows\system\winfat32.exe 修改IE默认项为 /~………………/win_bugsfix.exe 查找vwin_bufsfix.exe，有则不修改，无则默认为“blank”。 第三章 常见病毒与预防 爱虫病毒： 机制 修改注册表： HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\win_bugsfix ? win_bufsfix.exe 防治： 不要打开邮件附件，删除邮件 中毒后，与其他人（具有邮件地址的联系人）联系 下载软件 关闭WIN95/98 VB脚本选项 第三章 常见病毒与预防 CopyRight by RalphOwen 2006.11 电子科技大学电子工程学院《防火墙与病》课件 第三章 常见病毒与预防 宏病毒、CIH病毒、蠕虫病毒、Happy99、爱虫病毒、Nimda、冲击波病毒 第三章 常见病毒与预防 宏病毒： 所谓宏是为避免重复同样的工作而设计的一种工具。 起源：MicroSoft Word，利用软件支持的宏命令编写的可复制、感染的宏。 特点： 跨平台、相对简单、不感染com exe文件、通过Doc Dot文件进行自我复制和传播 第三章 常见病毒与预防 宏病毒： 特征： 传播快：使用广泛 制作变种快：易于修改 多平台 第三章 常见病毒与预防 宏病毒： 症状： 打开文档或模板文件时激活 包含AutoOpen AutoClose AutoNew AutoExit 包含对文档读写命令 Doc Dot中以BEF(Binery File Format)格式存放 将文档该为模板，但不改变扩展名 不能用SaveAs 打开激活，复制到Normal.dot通用模板中。 第三章 常见病毒与预防 宏病毒： 作用机制 Word文档中含有代码、数据。该代码可以被Word解释执行。Word文档通过模板建立。缺省为Normal.dot。Word中每个操作都对应一个宏命令，如：FileSave FileSaveAs。打开文件时，检查AutoOpen是否存在。存在则执行。AutoClose在文件关闭时执行。含病毒代码的宏将其移植到通用模板的代码段。Word启动时打开通用模板，该宏替代正常的宏，用户调用后进行非法操作。 第三章 常见病毒与预防 宏病毒： 传播途径： 软盘交流的文档 硬盘感染 光盘携带 Internet下载 BBS交流 电子邮件附件 第三章 常见病毒与预防 Concept 病毒（又称Prank）????当第一次发现Word 感染该病毒时，会出现一个对话框，对话框中的文本只有一个“1”，按钮也只有一个“OK”键（在中文环境中为“确定”键）。病毒加载之后，就会修改【文件】菜单的【保存】命令所代表的宏，然后在每次保存文件的时候，就会将病毒保存到文件中。????受此病毒感染后，所编辑的文档只能按模板格式保存。Concept 病毒不会造成文件数据丢失。其症状是Word 的Normal 模板中会出现两个名字为AAAZAO 和AAAZFS 的宏命令，如图13-1 所示。另外还有一个PayLoad 宏，该宏只包含一句话“这足以证明我的观点（That’s enough to prove my point.）”，而不做其他事情。 ????虽然Concept 在这个宏里面没有包含任何内容，但是任何一个对宏有一定了解的人都可以修改这个宏，做一些可怕的事情，例如删除某些文件，修改磁盘上的一些关键参数或生成另外的一个更可怕的病毒。因此，虽然可以认为Concept 是良性病毒，但是必须注意，它随时都可以变成恶性病毒（这也是其他病毒发展的必然过程）。 第三章 常见病毒与预防 虽然Concept 在这个宏里面没有包含任何内容，但是任何一个对宏有一定了解的人都可以修改这个宏，做一些可怕的事情，例如删除某些文件，修改磁盘上的一些关键参数或生成另外的一个更可怕的病毒。因此，虽然可以认为Concept 是良性病毒，但是必须注意，它随时都可以变成恶性病毒（这也是其他病毒发展的必然过程）。 第三章 常见病毒与预防 Co