文档介绍：合肥工业大学计算机与信息学院张仁斌
计算机病毒与反病毒技术
主要内容
病毒的状态
病毒的基本环节
病毒的逻辑结构
病毒的基本机制
第3章病毒的逻辑结构与基本机制
计算机病毒的状态
计算机病毒在传播过程中存在两种状态,即静态和动态
静态病毒,是指存在于辅助存储介质中的计算机病毒,其传播只能通过文件下载(拷贝)实现
因为静态病毒尚未被加载、尚未进入内存,不可能获取系统的执行权限,也就不能执行病毒的破坏或表现功能
病毒之所以处于静态,有两种可能
没有用户启动该病毒或运行感染了该病毒的文件
该病毒存在于不可执行它的系统中
当病毒完成初始引导,进入内存后,便处于动态
动态病毒本身处于运行状态,通过截流盗用系统中断等方式监视系统运行状态或窃取系统控制权
病毒的主动传染和破坏作用,都是动态病毒的“杰作”
计算机病毒的基本环节
计算机病毒的状态
计算机病毒的基本流程与状态转换
病毒由静态转变为动态的过程,称为病毒的启动。实际上,病毒的启动过程就是病毒的首次激活过程
内存中的动态病毒又有两种状态:可激活态和激活态。
当内存中的病毒代码能够被系统的正常运行机制所执行时,动态病毒就处于可激活态
一般而言,动态病毒都是可激活的
系统正在执行病毒代码时,动态病毒就处于激活态
病毒处于激活态时,不一定进行传染和破坏;但进行传染和破坏时,必然处于激活态
计算机病毒的基本环节
计算机病毒的状态
计算机病毒的基本环节
计算机病毒的基本流程与状态转换
计算机病毒的状态
内存中的病毒还有一种较为特殊的状态——失活态
一般情况下不会出现这种状态,它的出现一般是由于用户对病毒的干预(用杀毒软件或手工方法)
处于失活态的病毒不可能进行传染或破坏,它与静态病毒的不同仅在于病毒代码在内存中,但得不到执行
如果用户把中断向量表恢复成正确值,修改中断向量表的动态病毒就失活了
病毒能由激活态转变为失活态,也就是可激活态病毒的可触发性被破坏,处于激活态的病毒一般不会自己转变为失活态,失活态的出现必定是有外在干预
对于处于不同状态的病毒,应采用不同的分析、清除手段
计算机病毒的基本环节
计算机病毒的基本环节
计算机病毒要完成一次完整的传播破坏过程,必须经过以下几个环节:
分发拷贝阶段
潜伏繁殖阶段
破坏表现阶段
在任何一个环节(阶段)都可以抑制病毒的传播、蔓延,或者清除病毒
我们应当尽可能地在病毒进行破坏性攻击之前切断病毒传染源、抑制病毒的传播蔓延
计算机病毒的基本环节
一个简单的计算机病毒
(假设从A盘启动)
计算机病毒的基本结构
ECHO OFF
REM 关闭命令回显
IF EXIST c:\ GOTO Virus
REM 首先检查时机
GOTO No_Virus
REM 若时机不成熟则潜伏
:Virus
REM 时机成熟时(子程序)
c:
REM 转到目标盘C盘
REN
REM 将正常文件改名,准备冒名顶替
COPY a:\ c:\
REM 自我复制,开始繁殖
ECHO Hello Word!
REM 病毒发作,表现症状
:No_Virus
REM 正常程序入口
a:
REM 转回A盘
ECHO ON
REM 打开命令回显
/AUTO
REM 执行正常程序
PAUSE
REM 暂停,等待按任意键继续
计算机病毒的逻辑结构
计算机病毒是以现代计算机网络系统为环境而存在并发展的,即计算机系统的软、硬件环境决定了计算机病毒的结构,而这种结构是能够充分利用系统资源进行活动的最合理体现
有时也把破坏表现模块中触发条件判断部分作为一个单独的模块,称作触发模块
计算机病毒的基本结构
计算机病毒的逻辑结构
感染标志
有的病毒有一个感染标志,又称病毒签名,但不是所有的病毒都有感染标志
感染标志是一些数字或字符串,它们以ASCII码方式存放在宿主程序程序里
病毒在感染程序之前,一般要查看其是否带有感染标志
感染标志不仅被病毒用来决定是否实施感染,还被病毒用来实施欺骗
不同病毒的感染标志的位置、内容都不同
杀毒软件可以将感染标志作为病毒的特征码之一
也可以利用病毒根据感染标志是否进行感染这一特性,人为地、主动在文件中添加感染标志,从而在某种程度上达到病毒免疫的目的
计算机病毒的基本结构