计算机病毒的结构及作用机制.pptVIP

计算机病毒原理及防治 主要内容 计算机病毒的结构组成 病毒的引导部分 病毒的感染部分 病毒的表现部分 宏病毒、脚本病毒和邮件病毒的运行机制 病毒的隐藏技术 新一代计算机病毒的特点及发展趋势 计算机病毒的结构组成 计算机病毒是一段特殊程序，其最大特点是具有感染能力和表现（破坏）能力。计算机病毒在程序结构、磁盘上的存储方式、感染目标的方式以及控制系统的方式既具有许多共同的特点，又有许多特殊的技巧和方法。 计算机病毒与生物病毒一样，有其自身的病毒体（病毒程序）和寄生体。寄生体为病毒提供一种生存环境，当病毒程序寄生于合法程序，病毒就成了程序的一部分，并在程序中占有合法的地位，这样合法程序就成了病毒程序的寄生体，或称为病毒程序的载体。 病毒程序一旦寄生于合法程序，就随原合法程序的执行而执行，随合法程序的生存而生存，随合法程序的消失而消失，称原合法程序为宿主程序。 尽管目前出现的计算机病毒数量、种类繁杂多样，但是通过对病毒程序代码的分析、比较和归纳，它们的程序结构都存在着许多共同之处，具有很大的相似性。 计算机病毒的结构组成 绝大多数病毒程序，都是由引导模块（亦称安装模块）、传染模块和破坏表现模块这3个基本的功能模块所组成。其中，传染模块又由激活传染条件的判断部分和传染功能的实施部分组成；破坏表现模块由病毒触发条件判断部分和破坏表现功能的实施部分组成。计算机病毒程序结构的基本模式如下图所示： 计算机病毒的结构组成 引导模块的功能是将病毒程序引入内存并使其后面的两个模块处于激活状态。 感染模块的功能是，在感染条件满足时把病毒感染到所攻击的对象上。 表现模块的功能是，在病毒发作条件满足时，实施对系统的干扰和破坏活动。 注：并不是所有的计算机病毒都由这3大模块组成，有的病毒可能没有引导模块，有的可能没有破坏模块。 一个简单的计算机病毒 一个简单的DOS批处理病毒源程序autoexec.bat(假设从A盘启动) 一个简单的计算机病毒 Program Virus command; Uses Crt, dos; Var first 3:strint[3]; user command:string; Begin Repeat write(‘A’); Readln(user command); exec(‘A:\’,’/c+user command’); if(first3=‘dir’) or (first3=‘ver’) then begin user_command :=‘copy a:\’ + ‘B:\’; exec(‘a:\’,user_command); user_command:=‘copy a:\’ + ‘B:\’ exec(‘A:\’,’/c’+user_command); writeln(‘This is virus program’); end; Until False; End. {寄生于中的病毒} {给出一个正常的假象} {读入用户命令} {用原解释器解释执行用户命令} {查命令前三字符} {检查时机，命令为dir或ver，时机成熟} {复制原解释器到B：} {复制自身到B：} {表现自己} 计算机病毒的磁盘存储结构和内存驻留结构 引导型病毒的磁盘存储结构 引导型病毒在磁盘上的存储结构一般被划分为两部分：第一部分存放在磁盘引导扇区中；第二部分则存放在磁盘其他的扇区中。病毒程序在感染一个磁盘时，首先根据FAT在磁盘上找到一个空白簇，然后将病毒程序的第二部分以及磁盘原引导扇区的内容写入该空白簇，接着将病毒程序的第一部分写入引导扇区中。且将第二部分所在的簇号也写入引导扇区中。 文件型病毒的磁盘存储结构 文件型病毒在磁盘上的存储结构比较简单，文件型病毒程序附着在被感染文件的首部、尾部或中间，甚至嵌入到文件的空隙处，但病毒程序没有独立占用磁盘上的空白簇。 计算机病毒的磁盘存储结构和内存驻留结构 引导型病毒的内存驻留结构 引导型病毒在系统启动时被装入内存的，此时，系统中断INT 21H还未设定，病毒程序要使自身驻留内存，不能采用系统功能调用的方法。为此，病毒程序将自身移动到适当的内存高端，采用修改内存容量描述字的方法，将0000：0413H处的内存容量描述字减少适当的长度，使得存放在内存高端的病毒程序不被其他程序所覆盖。 文件型病毒的内存驻留结构 对于文件型病毒，病毒程序是在运行其宿主程序时被装入内存的，此时，系统中断功能调用已设定，所以病毒程序一般将自身指令代码与原宿主程序进行分离，并将病毒程序移动到内存高端或当前用户程序区最低内存地址，然后调用系统功能调用，将病毒程序常