第18翼周、病毒剖析、防范与清除.pptVIP

网络管理与信息安全 病毒剖析、防范与清除 复习 计算机病毒的发展年代和特点 计算机病毒的组成结构 宏病毒的原理与实现方法 U盘病毒的原理与实现方法 * 本节教学目标 通过剖析一种具体病毒，分析病毒传播机制 掌握查杀病毒的方法 * 本课要点 掌握查杀病毒的基本原理和方法 * * 病毒的防范与清除 防范病毒 计算机病毒防范，是指通过建立合理的计算机病毒防范体系和制度，及时发现计算机病毒的侵入，并采取有效的手段阻止计算机病毒的传播和破坏，恢复受影响的计算机系统和数据。 * 检测病毒 检测病毒方法有： 特征代码法 校验和法 行为监测法 软件模拟法 这些方法依据的原理不同，实现时所需的开销也不同，同时检测的范围也不同，各有所长。 * 北京信息职业技术学院 * 特征代码法 特征代码法的实现步骤： 采集已知病毒样本，在病毒样本中，抽取特征代码。 抽取的代码要有典型性，不能与正常程序代码吻合。 抽取的代码要有适当长度，一方面维持特征代码的唯一性，另一方面又不要有太大的空间与时间的开销。在保持唯一性的前提下，尽量使特征代码长度短些，以减少空间与时间开销。将特征代码纳入病毒数据库。 打开被检测文件，在文件中搜索，检查文件中是否含有病毒数据库中的病毒特征代码。如果发现病毒特征代码，由于特征代码与病毒一一对应，便可以断定，被查文件中患有何种病毒。 * 特征代码法的特点 优点： 检测准确、可识别病毒的名称、误报警率低、依据检测结果，可做解毒处理。 缺点： 不能检测未知病毒、搜集已知病毒的特征代码费用开销大。 速度慢。随着病毒种类的增多，检索时间变长。如果检索5000种病毒，必须对5000个病毒特征代码逐一检查。 不能检查多形性病毒。 不能对付隐蔽性病毒。隐蔽性病毒若先进驻内存，隐蔽性病毒能先于检测工具，将被查文件中的病毒代码剥去，检测工具检测到一个虚假的好文件，而不能报警，被隐蔽性病毒所蒙骗。 病毒特征检测码 下面是一段国际公开病毒特征检测码，不具有破坏性，用于检验杀毒软件。 X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H* * * 校验和法 将正常文件的内容，计算其校验和，将该校验和写入文件中或写入别的文件中保存。在文件使用过程中，定期地或每次使用文件前，检查文件现在内容算出的校验和与原来保存的校验和是否一致，因而可以发现文件是否感染，它既可发现已知病毒又可发现未知病毒。 这种方法既能发现已知病毒，也能发现未知病毒。但是，它不能识别病毒类，不能报出病毒名称。由于病毒感染并非文件内容改变的唯一的非他性原因，文件内容的改变有可能是正常程序引起的，所以校验和法常常误报警。而且此种方法也会影响文件的运行速度。 检验和法的不足 病毒感染的确会引起文件内容变化，但是校验和法对文件内容的变化太敏感，又不能区分正常程序引起的变动，而频繁报警。用监视文件的校验和来检测病毒，不是最好的方法。 校验和法对隐蔽性病毒无效。隐蔽性病毒进驻内存后，会自动剥去染毒程序中的病毒代码，使校验和法受骗，对一个有毒文件算出正常校验和。 * * 运用校验和法查病毒采用三种方式 在检测病毒工具中纳入校验和法。对被查的对象文件计算其正常状态的校验和，将校验和值写入被查文件中或检测工具中，而后进行比较。 在应用程序中，放入校验和法自我检查功能，将文件正常状态的校验和写入文件本身中，每当应用程序启动时，比较现行校验和与原校验和值。实现应用程序的自检测。 将校验和检查程序常驻内存，每当应用程序开始运行时，自动比较检查应用程序内部或别的文件中预先保存的校验和。 * 行为监测法 利用病毒的特有行为特征性来监测病毒的方法，称为行为监测法。 通过对病毒多年的观察、研究，有一些行为是病毒的共同行为，而且比较特殊。当程序运行时，监视其行为，如果发现了病毒行为，立即报警。 这些做为监测病毒的行为特征如下： 修改 INT 13H。所有的引导型病毒，都攻击Boot扇区或主引导扇区。 对COM、EXE文件做写入动作。病毒要感染，必须写COM、EXE文件。 修改注册表。蠕虫类病毒往往通过修改注册表而启动。 行为监测法的特点 优点：可发现未知病毒。 缺点：可能误报警、不能识别病毒名称、实现时有一定难度。 * * 加密病毒 随着病毒技术的发展，出现了一类加密病毒。这类病毒的特点是：病毒主体代码被加了密。运行时首先得到控制权的解密代码将对病毒主体进行循环解密，完成后将控制交给病毒主体运行。由于同一种病毒的不同传染实例的病毒主体是用不同的密钥进行加密，因而不可能在其中找到唯一的一段代码串和偏移来代表此病毒的特征。 虚拟机查毒技术 为了对付加密病毒，出现了虚拟机查毒技术。 解密后病毒体明文是稳定不变的，如果能够得到解密后