计算机病毒及防范技术教案.ppt

* * Chapter 1: Introduction to Computer Viruses and Malware * Chapter 1: Introduction to Computer Viruses and Malware * * * * * * * * * * * * * * 注册表项目之系统服务项： 在如下键值下面添加子键即可将自身注册为服务，随系统启动而启动： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services 注册表项目之BHO项 在如下键值下面添加子键（ClSID键）即可将自身注册为BHO，随IE浏览器启动而启动： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects * 将自身添加到启动文件夹： 当前用户的启动文件夹 可以通过如下注册表键获得: Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders中的 StartUp 项 公共的启动文件夹 可以通过如下注册表键获得: Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders中的 Common StartUp 项 病毒可以在该文件夹中放入欲执行的程序， 或直接修改其值指向放置有要执行程序的路径。 * 2.4病毒现象 经常出现系统错误或系统崩溃 系统反应变慢，网络拥塞 陌生进程或服务 可疑的打开端口 可疑的自启动程序 病毒邮件 * 2.5病毒的隐性行为 下载特性 自动连接到Internet某Web站点，下载其他的病毒文件或该病毒自身的更新版本/其他变种 后门特性 开启并侦听某个端口，允许远程恶意用户来对该系统进行远程操控 信息收集特性 收集私人信息，特别是帐号密码等信息，自动发送 自身隐藏特性 使用Rootkit技术隐藏自身的文件和进程 * 文件感染特性 感染系统中部分/所有的可执行文件，使得系统正常文件被破坏而无法运行，或使系统正常文件感染病毒而成为病毒体。 典型 PE_LOOKED 维京 PE_FUJACKS 熊猫烧香 网络攻击特性 针对微软操作系统或其他程序存在的漏洞进行攻击 修改计算机的网络设置 向网络中其它计算机发送大量数据包以阻塞网络 典型 震荡波 ARP攻击 * 网关防护 阻断外部对内部的威胁 虚拟化系统防护 对虚拟化系统和应用程序进行攻击防护、 监控、安全控制及监控管理，提高虚拟化密度 传统终端防护 恶意程序防护、终端管理 网络预警系统 对外部进来的威胁进行预警 服务器防护 对服务器的攻击、恶意代码防护及 安全监控审计 移动终端防护 清除垃圾短信和病毒、控制 外设 瘦客户端防护 安全防护、降低负载，控制 由外设产生的安全威胁 网站监测平台 实时安全监测 2.6计算机病毒防御 系统中了病毒怎么办？ 重装系统？ 系统还原？ Ghost还原？ 大多数情况下，可以直接根据经验来迅速清除各种病毒 木马病毒和后门程序 间谍软件、广告软件和灰色软件 蠕虫病毒 文件型病毒母体 处理过程包括 修复病毒修改的注册表/文件内容 删除病毒文件 2.7计算机病毒手工处理 * 病毒处理建议步骤 处理病毒问题时，若病毒进程在系统中运行，则可能会出现无法删除文件、无法删除注册表主键/键值的情况，也可能出现删除注册表键值或文件后，被删除的内容会再次出现的情况。 最好在安全模式下操作 终止所有可疑进程和不必要的进程 关闭系统还原 * 检查注册表中常见的病毒自动加载项 检查启动项: 删除不必要的启动项键值，如发现指向不正常或不认识的程序的键值，可将该键值删除。 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run * 检查注册表中常见的病毒自动加载项 检查服务: 在[控制面板]-[管理工具]-[服务]中，查看是否存在可疑服务。若无法确定服务是否可疑，可直接查看该服务属性，检查服务所指向的文件。随后可以检查该文件是否为正常文件(文件检查方法稍后会介绍)。对于不正常的服务，可直接在注册表中删除该服务的主键。 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ * 检查注册表中常见的病毒自动加载项 检查Winlo