恶意代码检测小论文

浅析计算机病毒及防范

[摘要]计算机病毒对计算机系统的安全构成了严重的危害,造成了越来越大的损失。本文从计算机病毒的基本性质入手，介绍了计算机病毒的发展史，分析了计算机病毒的产生，内涵，类型，特点，计算机病毒所造成的危害，列出了近年来比较流行的几种病毒。对计算机病毒进行技术分析，从而来初步探讨对付计算机病毒的方法和防范措施。[关键字] 计算机 蠕虫 病毒 传染 防范计算机病毒借助网络爆发流行，如CIH计算机病毒、“爱虫”病毒等，给广大计算机用户带来了极大的损失。计算机病毒一旦破坏了没有副本的文件，便无法医治。隐性计算机病毒和多态性计算机病毒更使人难以检测。在与计算机病毒的对抗中，如果能采取有效的防范措施，就能使系统不染毒，或者染毒后能减少损失。与此同时，病毒技术在战争领域也曾广泛的运用，在海湾战争、近期的科索沃战争中，双方都曾利用计算机病毒向敌方发起攻击，破坏对方的计算机网络和武器控制系统，达到了一定的政治目的与军事目的。可以预见，随着计算机、网络运用的不断普及、深入，防范计算机病毒将越来越受到各国的高度重视。计算机病毒也成为世人瞩目的焦点。

[科技防卫]木马病毒检测与防范的研究 摘要：木马是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点。本文从木马原理、木马病毒的植入隐藏与突围、木马攻防及其发展方向三个方面着手，对“木马病毒检测与防范”展开研究。本文前两章首先将木马按传播方式分类，并逐一总结该类型木马的原理与特征。第三章针对木马的各种植入与隐藏方式引出通过识别木马的特征代码等方式的木马检测技术。第四章、第五章再结合网页木马，ASP木马等实际情况重点介绍了如何利用检查，修改注册表，启动项等防范以及手动的查杀木马。第六章表述了木马防范技术将向主动防御方向发展的趋势。第七章对工作存在的问题以及今后工作的重点做出总结。关键词：远程控制，特征代码，木马检测，主动防御目 录一、绪论：什么是特洛伊木马 木马的由来 木马的发展与现状 3二、木马原理 基础知识 配置木马 传播木马 . 运行木马 木马激活方式 木马运行过程 信息泄露 建立连接 远程控制 8三、如何发现隐藏的木马 木马隐藏技术 第一代进程隐藏技术:Windows 98的后门 第二代进程隐藏技术:进程插入 木马是如何盗走QQ密码的 如何插入进程 不要相信自己的眼睛:恐怖的进程“蒸发” 毫无踪迹:全方位立体隐藏 反杀毒软件外壳 木马的查杀 11四、木马防范技术举例： ASP木马 ASP木马现状 asp木马原理与防范 13五、木马的使用实例 网页木马的攻击原理 什么是灰鸽子木马 网页木马的基本用法 网页木马的防范策略 20六、木马以及木马防范技术的发展方向 木马的发展方向 木马防范的发展方向 未知病毒木马防不胜防 主动防御是发展趋势 主动防御标签不能乱贴 24七、工作总结 25主要参考文献： 26网络资源： 26特别感谢： 26

摘要：本文分析了当前网络时代计算机病毒的特点，并提出了相应的防范措施，对今后的病毒防范趋势作了预测与判断。 关键词：网络;病毒;防范 1 引言 随着计算机在社会生活各个领域的广泛运用，计算机病毒攻击与防范技术也在不断拓展。据报道，世界各国遭受计算机病毒感染和攻击的事件屡屡发生，严重地干扰了正常的人类社会生活，给计算机网络和系统带来了巨大的潜在威胁和代写论文破坏。同时随着网际互联网的迅猛发展，电子邮件成为人们相互交流最常使用的工具，于是它也成电子邮件型病毒的重要载体，最近几年，出现了许多危害极大的邮件型病毒，如“LOVEYOU"病毒、“库尔尼科娃”病毒、“Homepage”病毒以及“求职信”病毒等，这些病毒主要是利用电子邮件作为传播途径，而且一般都是选择Microsoft Outlook侵入，利用Outlook的可编程特性完成发作和破纠。因此，防范计算机病毒将越来越受到世界各国的高度重视。 2 计算机病毒的特点 计算机病毒就是能够通过某种途径潜伏在计算机存储介质(或程序)里，当达到某种条件时即被激活的具有对计算机资源进行破坏作用的一组程序或指令集合。广义的计算机病毒还包括逻辑炸弹、特洛伊木马和系统陷阱入口等等。计算机病毒虽是一个小小程序，但它和通的计算机程序不同，具有以下特点。 (1)计算机病毒的程序性(可执行性)计算机病毒与其他合法程序一样，是一段可执行程序，但它不是一个完整的程序，而是寄生在其他可执行程序上，因此它享有—切程序所能得到的权力; (2)计算机病毒的传染性：传染性是病毒的基本特征，计算机病毒会通过各种渠道从已被感染的计算机扩散到未被感染的计算机。病毒程序代码一旦进入计算机并得以执行，它就会搜寻其他符合其传染条件的程序或存储介质，确定目标后再将自身代码插入其中，达到自我繁殖的目的;(3)计算机病毒的潜伏性：一个编制精巧的计算机病毒程序，进入系统之后一般不会马上发作，可以在几周或者几个月内甚至几年内隐藏在合法文件中。对其他系统进行传染，而不被人发现; (4)计算机病毒的可触发性：病毒因某个事件或数值的出现，诱使病毒实施感染或进行攻击的特性; (5)计算机病毒的破坏性系统被病毒感染后，病毒一般不即时发作，而是潜藏在系统中，等条件成熟后，便会发作，给系统带来严重的破坏; (6)攻击的主动性：病毒对系统的攻击是主动的，计算机系统无论采取多么严密的保护措施都不可能彻底地排除病毒对系统的攻击，而保护措施充其量是一种预防的手段而已; (7)病毒的针对性计算机病毒是针对特定的计算机和特定的操作系统的。例如，有针对IBM PC机及其兼容机的，有针对Apple公司的Macintosh的，还有针对UNIX操作系统的。例如小球病毒是针对IBMPC机及其兼容机上的DOS操作系统的。 3 计算机病毒的防范措施 计算机网络中最主要的软硬件实体就是服务器和工作站，所以防治计算机网络病毒应该首先考虑这两个部分，另外加强综合治理也很重要。 基于工作站的防治技术 工作站就像是计算机网络的大门。只有把好这道大门，才能有效防止病毒的侵入。工作站防治病毒的方法有三种：一是软件防治，即定期不定期地用反病毒软件检测工作站的病毒感染情况。软件防治可以不断提高防治能力，但需人为地经常去启动软盘防病毒软件，因而不仅给工作人员增加了负担，而且很有可能在病毒发作后才能检测到。二是在工作站上插防病毒卡。防病毒卡可以达到实时检测的目的，但防病毒卡的升级不方便，从实际应用的效果看，对工作站的运行速度有一定的影响。三是在网络接口卡上安装防病病毒芯片。它将工作站存取控制与病毒防护合二为一，可以更加实时有效地保护工作站及通向服务器的桥梁。但这种方法同样也存在芯片上的软件版本升级不便的问题;而且对网络的传输速度也会产生一定的影响。 基于服务器的防治技术 网络服务器是计算机网络的中心，是网络的支柱。网络瘫痪的—个重要标志就是网络服务器瘫痪。网络服务器—旦被击垮，造成的损失是灾难性的、难以挽回和无法估量的。目前基于服务器的防治病毒的方法大都采用防病毒可装载模块(NLM)，以提供实时扫描病毒的能力。有时也结合利用在服务器上的插防毒卡等技术，目的在于保护服务器不受病毒的攻击，从而切断病毒进一步传播的途径。 加强计算机网络的管理 计算机网络病毒的防治，单纯依靠技术手段是不可能十分有效地杜绝和防止其蔓延的，只有把技术手段和管理机制紧密结合起来，提高人们的防范意识，才有可能从根本上保护网络系统的安全运行。目前在网络病毒防治技术方面，基本处于被动防御的地位，但管理上应该积极主动。应从硬件设备及软件系统的使用、维护、管理、服务等各个环节制定出严格的规章制度、对网络系统的管理员及用户加强法制教育和职业道德教育，规范工作程序和操作规程，严惩从事非法活动的集体和个人尽可能采用行之有效的新技术、新手段，建立”防杀结合、以防为主、以杀为辅、软硬互补、标本兼治”的最佳网络病毒安全模式。 4 网络病毒防治的发展趋势 计算机病毒在形式上越来越难以辨别，造成的危害也日益严重，已就要求网络防毒产品在技术上更先进，功能上更全面。从目前病毒的演化趋势来看，网络防病毒产品的发展趋势主要体现在以下几个方面。 (1)反黑与杀毒相结合;(2)从入口拦截病毒;(3)提供全面解决方案;(4)客户化定制模式;(5)防病毒产品技术由区域化向国际化转盘。 参考文献： [1]陈立新. 计算机：病毒防治百事通[M]. 北京：清华大学出版社，2001. [2]电脑报. 2003合订本. 北京：电子工业出版社，2003.．1“美丽杀手”(Melissa)病毒。代写论文 这种病毒是专门针对微软电子邮件服务器MS Exchange和电子邮件收发软件Out1ookExpress的word宏病毒，是一种拒绝服务的攻击型病毒，能够影响计算机运行微软word97、word2000和Outlook。这种病毒是—种Word文档附件，由E—mail携带传播扩散。由于这种病毒能够自我复制，一旦用户打开这个附件，“美丽杀手’镝毒就会使用Outlook按收件人的Outlook地址簿向前50名收件人自动复制发送，从而过载E—mail服务器或使之损坏。“美丽杀手”病毒的扩散速度之快可达几何级数．据计算，如果“美丽杀手”病毒能够按照理论上的速度传播，只需要繁殖5次就可以让全世界所有的网络用户都都收到—份。“美丽杀手”病毒的最令人恐怖之处还不仅是拒绝电子邮件服务器．而是使用户的非常敏感和核心的机密信息在不经意问通过电子邮件的反复传播和扩散而被泄漏出去，连扩散到了什么地方可能都不得而知。>代写工作总结I2尼姆亚变种W(Worm．Nimayaw)。该病毒通过感染文件传播，可造成用户文件损坏，无法运行。由于被该病毒感染的文件，图标会变为一只举着三炷香的熊猫，因此该病毒又被称作“熊猫烧香”。它是一个能在WIN9X／NT／2000／XP／2003系统上运行的蠕虫病毒。该变种会感染用户计算机上的EXE可执行文件。受感染的计算机还会出现蓝屏、频繁重启以及系统硬盘中数据文件被破坏等现象。该病毒可通过局域网进行传播，进而感染局域网内所有计算机系统，最终导致整个局域网瘫痪。1．3手机病毒。也许很多人没有听说的，即使听说了，也不会觉得它有多大的危害。最近几天，金山反病毒中心发布了—个名为SymbOS．Doomboot．G的木马手机病毒，该病毒隐蔽性极强，一旦手机用户中招以后。对自己的手机将是—个灭顶之灾。轻则手机里面的信息将全部销毁，重则手机将呈现死机状态，无法正常启动。这样的危害程度丝毫不比电脑病毒弱多少。1．4情人节(vbs．Valentin) 。情人节(vbs．Valentin)病毒是一个会写情书的病毒。它会将自身用脚本加密引擎加密后插入到HTML文件中，病毒运行时会产生—个名为Main．htm的病毒文件。并拷贝到系统目录中。并搜索outlook的地址薄中的所有邮仁址，向这些地址发送标题为：Feliz s“ valentin．内容为：Feliz s“ valentirL Porfavor visita．的病毒邮件。病毒会在每个月的14号发作，发作时会以一封西斑牙情书的内容覆盖掉硬盘中的所有文件，并将覆盖过的文件扩展名全部改为．txt，使用户的系统完全崩溃。15桑河情人(VBS．San)病毒。豸婀睛人(VBSSan)病毒是—会删除了你的文件还要祝你情人节快乐的病毒。病毒运行时会产生—个Loveday14一的文件，该文件是编译过的病毒格式，可以被系统自动执行。病毒会将这个情人节的文件放入系统的启动目录，每次开机会病毒会自动运行。该病毒在每个月8、14、23、29号发作，发作时会将c盘的所有根目录都保留，只将这些根目录中的所有文件及子目录都删除，而且还会建立一个名为：“happysan—valentin’捕人节快乐向目录，来示威。用户除了系统崩溃外也只能苦笑了。1,6 CIH病毒。据悉，CIH病毒已给中国计算机用户造成了巨大的损失。近来又出现了CIH病毒的一种升级版本CIHvl-2病毒。CIHvl-2病毒会攻击硬盘及pc机的bios芯片，造成系统崩溃，甚至损坏硬件。CIHvl-2病毒被定时在4月26 日对被感染计算机的bios芯片和硬盘驱动器发起攻击。该病毒发作后，会造成硬盘数据的明显减少，不能开机或不能重新启动计算机。CIH病毒基本上是通过互联网络或盗版软件来感染windows 95或98的.exe文件的。在执行被感染文件后，CIH病毒就会随之感染与被执行文件接触到的其他程序。病毒在4月26日被触发后，它将硬盘上最起决定性作用的部分用垃圾代码覆盖，同时，它试图改写bioso如果bios是可写的，像当前大多数计算机一样，那么bios将会被病毒破坏。一旦bios被破坏，系统将由于无法启动而不能使用。实际上，CIH病毒对硬盘的攻击能力也特别强，可能会使硬盘E的数据丢失，甚至使硬盘不得不进行低级恪式化。归纳起来，计算机病毒有以下特点：一是攻击隐蔽性强。二是繁殖能力强。代写医学论文 三是传染途径广。可通过软盘、有线和无线网络、硬件设备等多渠道自动侵入计算机中，并不断蔓延。四是潜伏期长。病毒可以长期潜伏在计算机系统而不发作，待满足一定条件后，就激发破坏。五是破坏力大。计算机病毒一旦发作，轻则干扰系统的正常运行，重则破坏磁盘数据、删除文件，导致整个汁算机系统的瘫痪。六是针对陛强。计算机病毒的效能可以准确地加以设计，满足不同环境和时机的要求。2计算机病毒的技术分析实施计算机病毒人侵的核心技术是解决病毒的有效注入。其攻击目标是对方的各种系统，以及从计算机主机到各式各样的传感器、网桥等，以使他们的计算机在关键时刻受到诱或崩溃，无法发挥作用。从国外技术研究现状来看，病毒注人方法主要有以下几种：无线电方式。发射到对方电子系统中。此方式是计算机病毒注人的最佳方式，同时技术难度也最大。代写英语论文 可能的途径有：a直接向对方电子系统的无线电接收器或设备发射，使接收器对其进行处理并把病毒传染到目标机E。b-冒充合法无线传输数据。根据得到的或使用标准的无线电传输协议和数据格式，发射病毒码，使之能够混在合法传输信号中，进人接收器，进而进^．信息网络。a寻找对方信息系统保护最差的地方进行病毒注放。通过对方未保护的数据硅路，将病毒传染到被的铸路或目标中。2．2“固化”式方法。即把病毒事先存放在硬件(如芯片)和软件中，然后把此硬件和软件直接或间接交付给对方，使病毒直接传染给对方电子系统。2．3后门攻击方式。后门，是计算机安全系统中的—个小洞，由软件设计师或维护人发明，允许知道其存在的人绕过正常安全防护措施进入系统。攻击后门的形式有许多种，如控制电磁脉冲可将病毒注入目标系统。2．4数据控制链侵入方式。随着因特网技术的广泛应用，使计算机病毒通过计算机系统的数据控制链侵入成为可能。使用远程修改技术，可以很容易地改变数据控制链的正常路径。除上述方式外，还可通过其他多种方式注入病毒。3计算机病毒的主要防护工作检查BIOS设置，将引导次序改为硬盘先启动(C：A：)。32关闭BIOS中的软件升级支持，如果是底板上有跳线的，应该将跳线跳接到不允许更新BIOS。33用DOS平台防杀计算机病毒软件检查系统，确保没有计算机病毒存在。3．4安装较新的正式版本的防杀计算机病毒软件，并经常升级。经常更新计算机病毒特征代码库。3．6备份系统中重要的数据和文件。在Word中将“宏病毒防护”选项打开，并打开“提示保存Normal模板”，退出Word，然后将Norma1．dot文件的属性改成只读。在Excel和PowerPoint中将“宏病毒防护”选项打开。若要使用Outlook／Outlook ex—press收发电子函件，应关闭信件预览功能。在IE或Netscape等浏览器中设置合适的因特网安全级别，防范来自ActiveX和Java Applet的恶意代码。3．11对外来的软盘、光盘和网上下载的软件等都应该先进行查杀计算机病毒，然后在使用。3．12经常备份用户数据。3．13启用防杀计算机病毒软件的实时监控功能。计算机病毒攻击与防御手段是不断发展的，要在计算机病毒对抗中保持领先地位，必须根据发展趋势，在关键技术环节上实施跟踪研究。实施跟踪研究应着重围绕以下方面进行：—是计算机病毒的数学模型。二是计算机病毒的注^方式，重点研究“固化”病毒的激发。三是计算机病毒的攻击方式，重点研究网络间无线传递数据的标准化，以及它的安全脆弱性和高频电磁脉冲病毒枪置人病毒的有效性。四是研究对付计算机病毒的安全策略及防技术。

随着互联网应用的快速发展，信息安全已深入到诸多领域，越来越多的企业用户和个人用户开始沉下心来，认真思考着一个问题：当各种各样针对应用的安全威胁来临之时，如何在日益增长并更为复杂的各种应用中有效地进行自我保护，如何将思路创新、技术创新的破冰之计与信息安全更好地融合在一起，守好自己的那一方阵地？其实，从较为完整的经典网络安全防护模型--APPDRR中，可以看到网络安全需要的基本要素是：分析、安全策略、保护、检测、响应和恢复，针对这六个基本要素，需要重点关注安全测试评估、安全存储、主动实施防护模型与技术、网络安全事件监控、恶意代码防范与应急响应、数据备份与可生存性六项技术，及衍生而来的可信计算平台技术和网络安全管理与UTM技术的创新点。4月12日，在2007中国电子信息创新技术年会上，中国工程院院士、信息产业部互联网应急处理协调办公室主任方滨兴，畅谈了自己对这八项重点技术创新点的看法。（一） 安全测试评估技术安全是网络正常运行的前提。网络安全不单是单点的安全，而是整个信息网的安全，需要从多角度进行立体防护。要知道如何防护，就要清楚安全风险来源于何处，这就需要对网络安全进行风险分析。方滨兴认为网络安全的风险分析，重点应该放在安全测试评估技术方面。它的战略目标是：掌握网络与信息系统安全测试及风险评估技术，建立完整的面向等级保护的测评流程及风险评估体系。他谈到，这一点和过去不一样，过去进行测评没有强调等级保护，就是按照以往测评的模式进行。而现在《国家信息化中长期科学与技术发展战略规划纲要》已经明确提出，网络安全测试要按照等级保护的原则进行，所以测评也需要服务于这一点。那么"安全测评"的主要创新点又是什么？方院士认为：首先，要建立适应等级保护和分级测评机制的通用信息系统与信息技术产品测评模型、方法和流程，要适应不同的级别就要有不同的测评方法，这里的分级要符合等级保护机制，重点放在通用产品方面，所谓通用产品就是要建成一个标准的流程，不能完全是一事一议，如此一来互相之间也才会有所比较；要建立统一的测评信息库和知识库，即测评要有统一的背景；制定相关的国家技术标准。其次，要建立面向大规模网络与复杂信息系统安全风险分析的模型和方法；建立基于管理和技术的风险评估流程；制定定性和定量的测度指标体系。如果没有这个指标体系，只能抽象地表述，对指导意见来讲并没有太多的实际意义。（二）安全存储系统技术在安全策略方面，方院士认为重点需要放在安全存储系统技术上。其战略目标有两点：一是要掌握海量数据的加密存储和检索技术，保障存储数据的机密性和安全访问能力。二是要掌握高可靠海量存储技术，保障海量存储系统中数据的可靠性。关于"安全存储"，方院士强调：首先，采用海量（TB级）分布式数据存储设备的高性能加密与存储访问方法，并建立数据自毁机理。他谈到为海量信息进行高性能加密，虽然有加密解密的过程，但对访问影响并不明显。这其中不能忽视的是此举对算法的效率提出了很高的要求，应该加以注意。而且一旦数据出现被非授权访问，应该产生数据自毁。其次，采用海量（TB级）存储器的高性能密文数据检索手段。需要指出的是，加密的基本思路就是要把它无规则化，让它根本看不到规则，这才是加密。而检索就是要有规律，所以这里就要提出一个折中的方法，如何加密对检索能够尽可能的支持，同时又具备一定的安全强度。这就对密码算法和检索都提出来了挑战。再次，构建基于冗余的高可靠存储系统的故障监测、透明切换与处理、数据一致性保护等方面的模型与实现手段。这里高可靠的关键的还是要依赖冗余，一旦系统崩溃，还有冗余信息。最后，制定安全的数据组织方法；采用基于主动防御的存储安全技术。（三）主动实时防护模型与技术在现有的网络环境下，安全大战愈演愈烈，防火墙、杀毒、入侵检测"老三样"等片面的安全防护应对方式已经越来越显得力不从心，方院士认为这需要的不仅仅是片面的被动防护，而更要在防护的过程中强调主动实时防护模型与技术。他认为主动防护的战略目标应该是：掌握通过态势感知，风险评估、安全检测等手段对当前网络安全态势进行判断，并依据判断结果实施网络主动防御的主动安全防护体系的实现方法与技术。传统的防护一般都是入侵检测，发现问题后有所响应，但是现在越来越多的人更加关注主动防护，通过态势判断，进行系统的及时调整，提高自身的安全强度。通过感知，主动地做出决策，而不是事后亡羊补牢，事后做决策。方院士在谈到主动防护时说：一是建立网络与信息系统安全主动防护的新模型、新技术和新方法；建立基于态势感知模型、风险模型的主动实时协同防护机制和方法。二是建立网络与信息系统的安全运行特征和恶意行为特征的自动分析与提取方法；采用可组合与可变安全等级的安全防护技术。方院士进一步强调，不同的系统会有不同的需求，应该具备一定的提取能力，进而监控其特征，通过监控判断所出现的各种情况。另外，如果通过检测发现恶意行为，应该对其特征进行提取，提取的目的就是为了进一步监测，或在其他区域进行监测，检查同样的情况是否存在，如果存在，就要对这个态势进行明确的分析，而这些都需要有自动的特征提取。（四）网络安全事件监控技术监测是实现网络安全中不可或缺的重要一环，这其中要重点强调的是实施，即网络安全事件监控技术。方院士认为实时监控的战略目标是：掌握保障基础信息网络与重要信息系统安全运行的能力，支持多网融合下的大规模安全事件的监控与分析技术，提高网络安全危机处置的能力。需要强调的是三网融合势在必行，不同网的状态下，要实现融合，这就对进行监测就提出了一定的要求，监测水平需要有所提升。