由病毒木马造成主机网络异常诊断和研究.pdfVIP

由病毒木马造成的主机网 络异常诊断和分析 课程大纲  防病毒  蠕虫防范  木马防范  恶意网页防范  恶意代码的分析 前言  恶意代码定义：  恶意代码=有害程序  (包括病毒、峨虫、木马、垃圾邮件、间谋哀序 、拨号程序、玩笑等在内的所有可能危害计算机 安金的捏序)  主要分为病毒、蠕虫、木马、恶意网页四大类。 病毒防范  病毒定义  病毒类型  病毒的分类  病毒技术和特点  防病毒产品  病毒防范策略 病毒定义  计算机病毒：是指编制或者在计算机程序中插入 破坏计算机功能或者毁坏数据，影响计算机使用 ，并能自我复制的一组计算机指令或者程序代码  一种能把自己（或经演变）注入其它程序的计算 机程序  传播机制同生物病毒类似。生物病毒是把自己注 入细胞中  蠕虫程序与木马程序不是真正意义上的病毒 电脑病毒的工作原理  病毒三部曲：  住进阶段：执行被感染的程序，病毒就加载入计算机 内存  感染阶段：病毒吧自己注入其它程序，包括远程文件  执行阶段：当某些条件成熟时，一些病毒会有一些特 别的行为。例如重新启动，删除文件。 主要病毒类型  引导型计算机病毒主要是感染磁盘的引导扇区，  也就是常说的硬盘的boot区。我们在使用被感染的磁盘（无论是软盘还是硬盘） 启动计算机时他们就会首先取得系统的控制权，驻留在内存之后再引导系统，并 伺机传染其它软盘或硬盘的引导区。  文件型计算机病毒  一般只传染磁盘上的可执行文件（com 、exe ），在用户调用感染病毒的可执行 文件时，计算机病毒首先被运行，然后计算机病毒驻留内存伺机感染其它文件， 其特点是附着于正常程序文件，成为程序文件的一个外壳或部件。  宏病毒（macro virus ）  传播依赖于包括word 、excel和power point 等应用程序在内的office套装软件。  电子邮件计算机病毒就是以电子邮件作为传播途径的计算机病毒 病毒分类  病毒命名方式：  病毒前缀是指一个病毒的种类，用来区别病毒的种族 分类的。如木马病毒的前缀trojan，蠕虫病毒的前缀是 worm  病毒后缀是指一个病毒的变种特征，是用来区别具体 某个家族病毒的某个变种的。 病毒的分类  系统病毒  系统病毒的前缀为：win32 、pe、win95 、w32 、w95等。可以感 染windows操作系统的*.exe 和*.dll 文件，并通过这些文件进行 传播。如cih病毒。  蠕虫病毒  蠕虫病毒的前缀是：worm 通过网络或者系统漏洞进行传播，很 大部分的蠕虫病毒都有向外发送带毒邮件，阻塞网络的特性。比 如冲击波，小邮差。（通常单列）  木马/黑客病毒  木马病毒其前缀是：Trojan，黑客病毒前缀名一般为Hack。通过 网络或者系统漏洞进入用户的系统并隐藏，然后向外界泄露用户 的信息。（通常单列） 病毒的分类  脚本病毒  脚本病毒的前缀是：script 。用脚本语言编写，通过网页进行的传 播的病毒，如红色代码（script.pedl of ）  宏病毒  宏病毒的前缀是：macro，第二