cisp-13-恶意代码防护.docVIP

恶意代码防护 中国信息安全产品测评中心 CISP-17-恶意代码防护 2007年7月 课程大纲 一．防病毒 二．蠕虫防范 三．木马防范 四．恶意网页防范 五．恶意代码的分析 课程目标 . 了解病毒、蠕虫、木马、恶意网页的原理 . 掌握病毒、蠕虫、木马、恶意网页的防范 . 了解恶意代码的分析方法 前言 恶意代码定义： 恶意代码＝有害程序 （包括病毒、蠕虫、木马、垃圾邮件、间谍程序、 拨号程序、玩笑等在内的所有可能危害计算机安全的程序） 主要分为病毒、蠕虫、木马、恶意网页四大类。 一、防病毒 目录 一．防病毒 二．蠕虫防范 三．木马防范 四．恶意网页防范 五．恶意代码的分析 1 病毒防范 . 1 病毒定义 . 2 病毒类型 . 3 病毒的分类 . 4 病毒技术和特点 . 5 防病毒产品 . 6 病毒防范策略 1.1 病毒定义 . 计算机病毒：是指编制或者在计算机程序中插入 的破坏计算机功能或者毁坏数据，影响计算机使 用，并能自我复制的一组计算机指令或者程序代 码。 . 蠕虫程序与木马程序不是真正意义的病毒 1.1 病毒发展演变趋势图 1.2 主要病毒类型 一、引导型计算机病毒主要是感染磁盘的引导扇区，也就是常说 的磁盘的BOOT区。我们在使用被感染的磁盘（无论是软盘还是 硬盘）启动计算机时它们就会首先取得系统控制权，驻留内存 之后再引导系统，并伺机传染其它软盘或硬盘的引导区。 二、文件型计算机病毒一般只传染磁盘上的可执行文件（COM， EXE），在用户调用染毒的可执行文件时，计算机病毒首先被 运行，然后计算机病毒驻留内存伺机传染其他文件，其特点是 附着于正常程序文件，成为程序文件的一个外壳或部件。 三、宏病毒（Macro Virus）传播依赖于包括Word、Excel和 PowerPoint等应用程序在内的Office套装软件. 四、电子函件计算机病毒就是以电子函件作为传播途径的计算机 病毒 1.3 病毒的分类 . 病毒命名方式： . 病毒前缀是指一个病毒的种类，用来区别病毒 的种族分类的。如木马病毒的前缀 Trojan ，蠕 虫病毒的前缀是 Worm . 病毒后缀是指一个病毒的变种特征，是用来区 别具体某个家族病毒的某个变种的。 1.3 病毒的分类 1、系统病毒 系统病毒的前缀为：Win32、PE、Win95、W32、W95等。可以感 染windows操作系统的 *.exe 和 *.dll 文件，并通过这些文 件进行传播。如CIH病毒。 2、蠕虫病毒 蠕虫病毒的前缀是：Worm。通过网络或者系统漏洞进行传播， 很大部分的蠕虫病毒都有向外发送带毒邮件，阻塞网络的特 性。比如冲击波，小邮差。（通常单列） 3、木马/黑客病毒 木马病毒其前缀是：Trojan，黑客病毒前缀名一般为 Hack 。 通过网络或者系统漏洞进入用户的系统并隐藏，然后向外界 泄露用户的信息。 （通常单列） 1.3 病毒的分类（cont.） 4、脚本病毒 脚本病毒的前缀是：Script。用脚本语言编写，通过网页进行的 传播的病毒，如红色代码（Script.Redlof） 5、宏病毒 宏病毒的前缀是：Macro，第二前缀是：Word、Word97、Excel、 Excel97（也许还有别的）其中之一。如著名的美丽莎 (Macro.Melissa)。 6、后门病毒 后门病毒的前缀是：Backdoor。通过网络传播，给系统开后门， 给用户电脑带来安全隐患。如IRC后门Backdoor.IRCBot 。 7、病毒种植程序病毒 运行时会从体内释放出一个或几个新的病毒到系统目录下，由释 放出来的新病毒产生破坏。如：冰河播种者 （Dropper.BingHe2.2C）、MSN射手(Dropper.Worm.Smibag)等。 1.3 病毒的分类（cont.） 8．破坏性程序病毒 破坏性程序病毒的前缀是：Harm。用好看的图标来诱惑用户 点击，当点击这类病毒时，便会直接对计算机产生破坏。 如格式化C盘（Harm.formatC.f） 9．玩笑病毒 玩笑病毒的前缀是：Joke。也称恶作剧病毒。用好看的图标 来诱惑用户点击，但不对电脑进行破坏。如：女鬼 （Joke.Girlghost）病毒。 10．捆绑机病毒 捆绑机病毒的前缀是：Binder。用特定的捆绑程序将病毒与 应用程序如QQ、IE捆绑起来，当运行这些捆绑病毒时，会 表面上运行这些应用程序，然后隐藏运行捆绑在一起的病 毒。如：捆绑QQ（Binder.QQPass.QQBin）. 1.4 病毒技术和特点 1.密码破解技术 应用此技术的病毒可对win2000以上的操作系 统的密码进行破解。此类病毒一般会带有约几百 单词数量（有时会更大的）的字典库 ，可对“弱 口令”进行破