文档介绍：保密安全与密码技术
第九讲病毒与数据安全
病毒与数据安全
恶意代码
病毒的概念和起源
病毒的危害和传播方式
病毒的特点和分类
病毒的一般结构
病毒的工作原理
杀毒技术
恶意代码
软件威胁的分类,也就是恶意代码的分类情况如下。这些威胁可以分成两类:需要宿主的程序和可以独立运行的程序。前者实际上是程序片段,它们不能脱离某些特定的应用程序、应用工具或系统程序而独立存在;后者是完整的程序,操作系统可以调度和运行它们。
恶意代码
也可以把这些软件威胁按照能不能够自我复制来进行分类。不能够自我复制的可能是程序片段,当调用宿主程序完成特定功能时,就会激活它们。可以自我复制的程序可能是程序片段(病毒),也可能是一个独立的程序(蠕虫、细菌)。当执行它们时,将会复制出一个或多个自身的副本。以后这些副本可以在同一个系统中或其它系统中被激活。
值得注意的是,随着恶意代码编写技术的提升,各种代码之间都在取长补短,所以有些恶意代码可能包含其它的恶意代码。例如逻辑炸弹或特洛伊木马可能是病毒或者蠕虫的一部分。
恶意代码
后门(Backdoor/ Trapdoor, 陷阱门):
是进入程序的一个秘密入口。知道这个后门的人就可以通过它绕过访问控制的一般安全检查,而直接获得访问权限。很多年来,程序员为了调试和测试程序一直合法地使用后门。当这些后门被用来获得非授权访问时,后门就变成了一种安全威胁。
逻辑炸弹(Logic Bomb)
合法程序中的代码,当符合某种条件的时候就会“爆炸”。用来触发逻辑炸弹的条件可以是某些文件的出现或缺失、某个日期或星期几、某一特定用户运行该应用程序等。
恶意代码
特洛伊木马(Trojan Horse)
特洛伊木马程序是一个有用的(或表面看起来很有用的)程序或命令过程,其中包含了秘密代码。当调用的时候,这些秘密代码将执行一些不必要的或有害的操作。
当未授权用户无法直接完成某些操作的时候,就可以通过特洛伊木马程序来间接完成。比如在一个多用户操作系统中,如果想访问其它用户的文件,那么用户就可以创建一个特洛伊木马程序。当执行它的时候,将改变用户文件的访问权限,这样,任何用户都能读取它。
接着攻击者为了诱使用户运行该程序,就会把它放在公共目录里,并给它取一个听起来好像是一个很有用的程序的名字。当另一个用户运行该程序后,攻击者就能够访问该用户的文件信息了。很难被检测到的一种特洛伊木马程序就是编译器。通过修改正常的编译器,就可以在编译某些程序的时候插入附加代码,比如系统登录程序。该代码在登录程序中留下后门,这样攻击者就可以使用特殊的口令登录到系统中。
恶意代码
病毒(Virus)
病毒是能够通过修改其它程序而“感染”它们的一种程序。修改以后的程序里面包含了病毒程序的一个副本,这样它们就能够继续感染其它程序。
细菌(Bacteria)
细菌是那些不会直接损坏文件的程序,它们的惟一目的就是复制自己。细菌以指数的形式增长,最终会占用全部的处理器、内存或磁盘空间,从而使用户无法访问这些资源。
蠕虫(Worm)
网络蠕虫通过网络连接从一个系统向另一个系统传播。一旦在一个系统中激活,网络蠕虫就能够像计算机病毒或细菌一样活动。它也能植入特洛伊木马程序或执行一些破坏性动作。
恶意代码
在复制自身的时候,网络蠕虫会使用一些网络工具。这包括:
电子邮件功能:蠕虫会把自身的副本邮寄到其它系统中去
远程执行能力:蠕虫能够运行其它系统中的副本。
远程登录能力:蠕虫能够像用户一样登录到远程系统中,然后使用系统命令从一个系统向另一个系统复制自身。
这样,蠕虫程序的一个新的副本就在远程系统中运行了。网络蠕虫和计算机病毒有很多相似之处,包括休眠期、传播期、触发期和执行期等。
计算机病毒的概念
计算机病毒是一种特殊的计算机程序,由于计算机病毒具有与生物学病毒相类似的特征(潜伏性、传染性、发作期等),所以人们就用生物学上的病毒来称呼它。
计算机病毒程序比较小,一般不会超过5 KB。与计算机其它合法程序一样,可以存储,可以执行,但是它没有文件名,不能在磁盘中以文件的形式独立存在。