信息安全技术第11章传统计算机病毒.pptVIP

计算机病毒可以对它们自己进行复制并在计算机系统中传播，从而造成破坏。自从病毒在20世纪80年代中期首次出现以后，我们已经辨别出成千上万种病毒。大多数病毒不是有意具有破坏性的，有些创建病毒的人只是出于证明自己的能力，其他病毒创建者是为了引起人们对己知应用和系统的安全性的关注。然而，一个编写不佳的“有害”病毒可能会破坏系统，因为病毒编程中的错误。 最初病毒主要是通过被感染的软盘来进行传播的，现在，这些软盘己经不再是传播病毒的主要途径了。根据国际计算机安全协会(ICSA)的统计，目前87％的病毒是通过电子邮件进入系统的。 所有病毒都具有以下一般特征。它们能够： 感染有可执行代码的程序或文件； 通过网络传播； 消耗内存，减缓系统运行速度； 造成引导失败或破坏扇区； 引发硬盘被重新格式化； 影响程序的运行方式； 感染防毒程序。 影响程序的运行方式； 感染防毒程序。 病毒不能感染只含有数据的文件，但病毒仍可以破坏或删除这些文件。病毒大致可以被归为以下三类： a.引导扇区病毒将自己附着在软盘和硬盘的引导扇区上。 b.文件感染病毒或寄生性病毒感染其他程序或文件。 c.复合性病毒能够感染硬盘的MBR，软盘的引导扇区，以及DOS中的exe和com文件。 无论是哪种类型，病毒的基本机制都是相同的。跨平台病毒可以感染属于不同平台的文件(如，Windows和Linux)。然而，这些病毒很少见，也很少能获得100％的功能性。 启动时都会加载到存储器中。 大多数软盘只携带数据文件，但如果将一个数据磁盘插入到一个被感染的计算机中，该病毒会将自己复制在这个磁盘中。当病毒改写了这个数据磁盘的第一个扇区中的信息使其成为类似于启动盘的磁盘，于是这个软盘便成为了携带病毒的载体。如果将这个被感染的数据盘插人到未被感染的计算机中的软驱中时，该计算机会试图从软驱中引导，并将病毒加载到它的存储器中，也由此被感染。 （由于目前软驱已经退出市场，故引导扇区病毒通过软磁盘引导扇区感染并传播的示意图省略） 提示：除非计算机正在启动；否则它不会读取磁盘的第一个扇区。因此，当将一个被感染的数据盘插人到一个正在运行的计算机上时，病毒不会感染该计算机，除非该磁盘含有一个被感染的文件，而且该文件被加载到该计算机上。 除了感染其他磁盘，引导扇区病毒还会对系统造成其他破坏。它们可能会删除硬盘中的部分或全部内容，修改键盘输入，清除CMOS存储或清除MBR。一些引导扇区病毒在造成破坏后会显示信息或播放声音。 一些引导扇区病毒在感染了计算机硬盘后不会被立刻激活，也不一定会感染计算机中安装的所有磁盘。其他的某些引导区病毒还可以被加密。具有这些特性的病毒很难被检测和清除。如，15_Year便是一个引导扇区病毒，它可以感染硬盘和软盘的引导扇区，改写硬盘上的部分数据。 引导扇区病毒具有以下的特征和特性： 引导扇区病毒通常会将原始的引导扇区以及部分病毒代码复制到磁盘的另一个地方。对代码的重新部署通常是破坏数据的原因。重新部署的扇区看起来像是一个坏扇区，操作系统认为它们是不可用的。如果一个软盘在同一个位置有几个坏扇区，就有可能是引导病毒造成的。 一些引导扇区病毒有设计缺陷，导致在读取软盘时会产生偶尔的写保护错误。这些设计缺陷还可能会将病毒的部分放置在磁盘很少被使用的区域。当这些区域被使用时或当该引导病毒不能够正确安装自己时，就会出现引导错误。 虽然引导扇区病毒曾经是最常见的病毒类型，但它们已不再像以前那样造成严重的威胁。软盘己不再是共享文件和信息的主要方法，而更多的是通过网络、电子邮件和基于Web的方法。病毒程序编写者现在利用这些较新的技术更快、更有效地传播病毒。然而，还不能断言引导扇区病毒已经就此灭绝。只要软盘还在使用，引导扇区病毒将仍构成威胁。 编写主引导记录病毒需要了解以下几个方面的内容。 用什么来保存原始主引导记录 众所周知的，文件型病毒用以保存被感染修改的部分是文件。引导型病毒是否也可以使用文件存储被覆盖的引导记录呢？答案是否定的。 由于主引导记录病毒先于操作系统执行，因而不能使用操作系统的功能调用，而只能使用BIOS的功能调用或者使用直接的IO设计。通常，使用BIOS的磁盘服务将主引导记录保存于绝对的扇区内。由于零道零面二扇区是保留扇区，因而