计算机病毒+详细介绍计算机病毒(最全).pptVIP

5.1 Virus Overview 计算机病毒概述 5.2 Virus Mechanisms 计算机病毒的机制 5.3 Virus Prevention and Detection 计算机病毒的防范、检测 5.4 Trojan House 特洛伊木马 Outline 图5-4 计算机病毒的结构模式 5.2.1 计算机病毒的结构模式 5.2.2 病毒的引导机制 计算机病毒的寄生对象 　 　 寄生在可以获取执行权的寄生对象上 磁盘引导扇区 可执行文件 进行自身的主动传播和破坏 寄生方式 替代法 链接法 前后依附 伴随 图5-5 寄生方式 5.2.2 病毒的引导机制 图5-6 采用加密技术的病毒程序 5.2.2 病毒的引导机制 3. 计算机病毒的引导过程 一般：驻留内存 窃取系统控制权 恢复系统功能 寄生在磁盘引导扇区中：任何操作系统都有个自举过程, 例如DOS在启动时, 首先由系统读入引导扇区记录并执行它, 将DOS读入内存。病毒程序就是利用了这一点, 自身占据了引导扇区而将原来的引导扇区内容及其病毒的其他部分放到磁盘的其他空间, 并给这些扇区标志为坏簇。这样, 系统的一次初始化, 病毒就被激活了。它首先将自身拷贝到内存的高端并占据该范围, 然后置触发条件如INT 13H中断（磁盘读写中断）向量的修改, 置内部时钟的某一值为条件等, 最后引入正常的操作系统。以后一旦触发条件成熟, 如一个磁盘读或写的请求, 病毒就被触发。如果磁盘没有被感染（通过识别标志）则进行传染。 5.2.2 病毒的引导机制 3. 计算机病毒的引导过程 一般：驻留内存 窃取系统控制权 恢复系统功能 寄生在可执行程序中：这种病毒寄生在正常的可执行程序中, 一旦程序执行病毒就被激活, 于是病毒程序首先被执行, 它将自身常驻内存, 然后置触发条件, 也可能立即进行传染, 但一般不作表现。做完这些工作后, 开始执行正常的程序, 病毒程序也可能在执行正常程序之后再置触发条件等工作。病毒可以寄生在源程序的首部也可以寄生在尾部, 但都要修改源程序的长度和一些控制信息, 以保证病毒成为源程序的一部分, 并在执行时首先执行它。这种病毒传染性比较强。 5.2.3 病毒的发生机制 （1）传染源：存储介质, 例如软盘、 硬盘等构成传染源。  （2）传染媒介：计算机网, 移动的存储介质或硬件。 （3）病毒激活：是指将病毒装入内存, 并设置触发条件。 （4）病毒触发：内部时钟, 系统的日期, 用户标识符，也可能是系统一次通信等等。一旦触发条件成熟, 病毒就开始作用－－自我复制到传染对象中, 进行各种破坏活动等。 （5）病毒表现：屏幕显示，破坏数据等 （6）传染：病毒的传染是病毒性能的一个重要标志。在传染环节中, 病毒复制一个自身副本到传染对象中去。 5.2.4 病毒的破坏机制 （1）修改某一中断向量人口地址 一般为时钟中断INT 8H,或与时钟中断有关的其他中断，如 INT 1CH  （2）使该中断向量指向病毒程序的破坏模块 （3）激活病毒破坏模块 （4）判断设定条件是否满足 （5）满足则对系统或磁盘上的文件进行破坏活动 5.1 Virus Overview 计算机病毒概述 5.2 Virus Mechanisms 计算机病毒的机制 5.3 Virus Prevention and Detection 计算机病毒的防范、检测 5.4 Trojan House 特洛伊木马 Outline 1. 基本隔离法 计算机系统如果存在着共享信息，就有可能传染病毒。信息系统的共享性和传递性以及解释的通用性，是计算机最突出的优点。 2. 分割法 分割法主要是把用户分割成为不能互相传递信息的封闭的子集。 5.3.1 病毒的理论防范方法 3. 流模型法 流模型法是对共享信息流流过的距离设立一个阈值， 使一定的信息只能在一定的区域中流动， 以此建立一个防卫机制。 若使用超过某一距离阈值的信息， 就可能存在某种危险。 4. 限制解释法 限制解释法也就是限制兼容， 即采用固定的解释模式， 就可能不被病毒传染。 5.3.1 病毒的理论防范方法 1.特征代码法