蠕虫的行为特征描述和工作原理分析.pdf

* 蠕虫的行为特征描述和工作原理分析 ** 郑辉 李冠一 涂菶生 （南开大学 20-333# ，天津，300071） E-mail: zhenghui@ /students/doctor/spark/zhenghui.htm 摘 要：本文详细讨论了计算机蠕虫和计算机病毒的异同，指出它们除了在复制和传染方 面具有相似性之外，还有很多不同点，如蠕虫主要以计算机为攻击目标，病毒主 要以文件系统为攻击目标；蠕虫具有主动攻击特性，而病毒在传播时需要计算机 使用者的触发。通过详细区分它们的不同行为特征，确定了在计算机网络安全防 范体系中不同角色的责任。然后描述了蠕虫发展的历史，从中可以看到，蠕虫产 生了越来越大的危害。通过分析计算机蠕虫的工作原理、功能结构、实体组成， 提出了蠕虫的统一功能结构模型，并给出了有针对性的对计算机蠕虫攻击进行防 范的措施。最后本文分析了一些新的蠕虫技术发展趋势，指出计算机蠕虫本质上 是黑客入侵行为的自动化，更多的黑客技术将被用到蠕虫编写当中来，由此可以 看出对蠕虫攻击的防治和对抗将是长期而困难的工作。 关键词：蠕虫，计算机病毒，计算机网络安全，蠕虫定义，蠕虫历史，行为特征，功能模 型 一、 引言 计算机病毒给世界范围内的计算机系统带来了不可估量的危害，给人们留下了深刻的印 象。同时给人们一种误解，认为危害计算机的程序就是病毒。从而不加区分把计算机病毒 （Virus ）、计算机蠕虫（Worm ）、木马程序（Trojan Horse）、后门程序（Backdoor ）、逻辑炸 弹（Logic Bomb ）等等这些概念都称为计算机病毒。这种误解不仅体现在媒体的宣传中，而 且体现在病毒技术研究人员的文章[1][2]中，反病毒厂商对产品的介绍说明中，甚至政府部 门制定的法律法规[3]当中。这种相近概念上的误解导致不能有效的给出针对不同类型危害 计算机安全的程序的有效防治措施，也为整体的计算机安全防护带来了一定困难。另外，同 一程序的不同分类也不利于对其性质的进一步研究和分析。 计算机病毒和计算机蠕虫在传播、复制等特性上非常相似，尤其容易造成人们的误解。 导致误解的原因有很多，一方面由于反病毒技术人员自身知识的限制，无法对这两种程序进 行清楚细致的区分；另一方面虽然病毒的命名有一定的规范[4][5]，但病毒编写者在为自己 的程序起名字的时候并不一定遵循这个规范，利用网络功能如电子邮件进行传播的病毒常常 被病毒编写者冠以蠕虫的名字，这也给人们带来一些误导。为了照顾这种病毒的命名，曾有 文献试图将蠕虫细分为活动蠕虫和邮件蠕虫[6]。由于用计算机病毒这个称谓不能涵盖所有 危害计算机的程序的特征，而且容易产生误导，所以有的文献采用了含义更广泛的称谓“恶 意软件”（malware）[7]来统一称呼它们。从蠕虫产生开始，十几年来，很多研究人员对蠕 * 高等学校博士点学科点专项科研基金资助课题（编号：2000005516 ）。 **作者简介：郑辉（1972～），男，吉林伊通人，博士研究生，主要研究领域为网络与信息安全。李冠一 （1978～），女，辽宁鞍山人，硕士研究生，主要研究领域为模式识别，计算机视觉与图像处理等。涂奉生 （1937～），江西南昌人，博士生导师，主要研究领域为CIMS， DEDS 理论，制造系统及通讯理论。 虫和病毒这两个概念进行了区分[7~14]，但描述基本都很粗略，而且不同研究人员给出的分 类也不一致。本文试图明确区分这两个概念。 通过对几种典型的蠕虫程序进行分析，本文讨论了蠕虫的主要行为特征。文献[6][14]提 出了蠕虫的功能结构描述，但由于对蠕虫和病毒两种程序的行为特征区分的不明确，这些功 能模型结构不清晰，体系不完整。本文在参考前人工作的基础上，提出了比较清晰全面的蠕 虫程序的统一功能模型来完成对蠕虫程序的功能结构描述。并进一步对蠕虫的实体结构进行 了分析，依据功能结构描述和实体结构分析，给出了针对蠕虫防治的几点建议。另外，本文 也对