電腦病毒原理與防範（第2版）

秦志光 博士、教授、博士生导师、享受政府特殊津贴专家、中共党员。现任电子科技大学计算机科学与工程学院（示范性软件学院）院长，四川省新型计算机应用技术重点实验室主任。国务院学位委员会学科评议组计算机科学与技术组成员，国家自然科学基金会议评审专家，国家科技部、教育部同行评议专家，四川省科技厅电子信息技术专家组成员，四川省软件行业协会常务副理事长，四川省决策咨询委员会委员。

张凤荔 电子科技大学 教授、博导。1986年研究生毕业于电子科技大学（原成都电讯工程学院）计算机软件专业研究生，2000年到2002年美国依理诺大学芝加哥分校计算机系访问学者，在OuriWolfson教授的指导下，从事时间空间数据库移动数据库系统的开发和研究。2003年到2007年在电子科技大学计算机学院在职攻读博士，2007年获得计算机应用技术工学博士学位。1986年以来主要在电子科技大学从事计算机教学和科研工作。作为项目负责人或主研完成多项“六五”、“七五”、“八五”和“九五”国家重点科技攻关项目，并先后参加、组织、设计和实施了多个应用项目如企业MIS系统、基于广域网环境的高速公路收费与监控系统、高速公路收费与清分系统、不停车收费系统应用软件等，获得四川省科技进步一等奖、三等奖各一次。2002以来，作为技术负责人参与多项863项目“战略预警与监管技术研究”等、四川省科技厅项目有“网络信息防护技术研究---快速反映融灾难恢复”等，作为项目负责人，负责多项电子发展基金、四川省基金包括基于GIS的移动数据的智能管理等、国家网络安全中心基金如网络安全态势感知与趋势分析系统等、应用项目“计算机辅助装配管理系统”的研究和实施。主要研究领域网络安全及其应用、移动数据管理和数据库系统及其安全。目前的研究方向是宏观网络安全和移动数据管理。承担863、电子信息发展基金等多项科研任务。

目 錄

第 1章　電腦病毒概述　1

1.1　電腦病毒的產生與發展　1

1.1.1　電腦病毒的起源　1

1.1.2　電腦病毒發展背景　2

1.1.3　電腦病毒發展歷史　4

1.4　電腦病毒的演化　7

1.2　電腦病毒的基本概念　8

1.2.1　電腦病毒的生物特徵　8

1.2.2　電腦病毒的生命周期　9

1.2.3　電腦病毒的傳播途徑　10

1.2.4　電腦病毒發作的一般症狀　10

1.3　電腦病毒的分類　11

1.3.1　電腦病毒的基本分類--一般分類方法　11

1.3.2　按照電腦病毒攻擊的系統分類　12

1.3.3　按照電腦病毒的寄生部位或傳染對象分類　13

1.3.4　按照電腦病毒的攻擊機型分類　13

1.3.5　按照電腦病毒的鏈接方式分類　14

1.3.6　按照電腦病毒的破壞情況分類　14

1.3.7　按照電腦病毒的寄生方式分類　15

1.3.8　按照電腦病毒激活的時間分類　15

1.3.9　按照電腦病毒的傳播媒介分類　15

1.3.10　按照電腦病毒特有的算法分類　16

1.3.11　按照電腦病毒的傳染途徑分類　16

1.3.12　按照電腦病毒的破壞行為分類　17

1.3.13　按照電腦病毒的“作案”方式分類　18

1.3.14　Linux平臺下的病毒分類　19

1.4　互聯網環境下病毒的多樣化　20

1.4.1　網絡病毒的特點　20

1.4.2　即時通訊病毒　22

1.4.3　手機病毒　22

1.4.4　流氓軟件　23

習　題　24

第 2章　傳統電腦病毒的工作機制及發作表現　25

2.1　病毒的工作步驟分析　25

2.1.1　電腦病毒的引導模塊　26

2.1.2　電腦病毒的感染模塊　26

2.1.3　電腦病毒的表現模塊　26

2.2　電腦病毒的引導機制　27

2.2.1　電腦病毒的寄生對象　27

2.2.2　電腦病毒的寄生方式　28

2.2.3　電腦病毒的引導過程　29

2.3　電腦病毒的傳染機制　30

2.3.1　電腦病毒的傳染方式　30

2.3.2　電腦病毒的傳染過程　30

2.3.3　系統型電腦病毒傳染機理　31

2.3.4　文件型電腦病毒傳染機理　32

2.4　電腦病毒的觸發機制　32

2.5　電腦病毒的破壞機制　34

2.6　電腦病毒的傳播機制　34

2.7　電腦病毒發作前的表現　35

2.8　電腦病毒發作時的表現　39

2.9　電腦病毒發作後的表現　43

習　題　45

第3章　新型電腦病毒的發展趨勢及特點和技術　46

3.1　新型電腦病毒的發展趨勢　46

3.1.1　電腦病毒的發展趨勢　46

3.1.2　近年主要流行病毒　48

3.2　新型電腦病毒發展的主要特點　49

3.2.1　新型電腦病毒的主要特點　50

3.2.2　基於“Windows”的電腦病毒　52

3.2.3　新型電腦病毒的傳播途徑　54

3.2.4　新型電腦病毒的危害　57

3.2.5　電子郵件成為電腦病毒傳播的主要媒介　60

3.2.6　新型電腦病毒的**主要載體　60

3.3　新型電腦病毒的主要技術　65

3.3.1　ActiveX與Java　65

3.3.2　電腦病毒的駐留內存技術　66

3.3.3　修改中斷向量表技術　68

3.3.4　電腦病毒隱藏技術　69

3.3.5　對抗電腦病毒防範系統技術　76

3.3.6　技術的遺傳與結合　76

3.4　網絡環境下電腦病毒的特點探討　77

3.5　電腦網絡病毒的傳播方式　78

3.6　電腦網絡病毒的發展趨勢　79

3.7　雲安全服務將成為新趨勢　80

習　題　81

第4章　電腦病毒檢測技術　83

4.1　電腦反病毒技術的發展歷程　83

4.2　電腦病毒檢測技術原理　84

4.2.1　電腦檢測病毒技術的基本原理　84

4.2.2　檢測病毒的基本方法　85

4.3　電腦病毒主要檢測技術和特點　85

4.3.1　外觀檢測法　86

4.3.2　系統數據對比法　86

4.3.3　病毒簽名檢測法　89

4.3.4　特徵代碼法　89

4.3.5　檢查常規內存數　91

4.3.6　校驗和法　92

4.3.7　行為監測法（實時監控法）　93

4.3.8　軟件模擬法　94

4.3.9　啟發式代碼掃描技術　96

4.3.10　主動內核技術　100

4.3.11　病毒分析法　101

4.3.12　感染實驗法　102

4.3.13　算法掃描法　104

4.3.14　語義分析法　104

4.3.15　虛擬機分析法　107

4.4　電腦網絡病毒的檢測　110

4.5　電腦病毒檢測的作用　110

4.6　電腦病毒檢測技術的實現　111

習　題　111

第5章　典型電腦病毒的原理、防範和清除　114

5.1　電腦病毒防範和清除的基本原則和技術　114

5.1.1　電腦病毒防範的概念和原則　114

5.1.2　電腦病毒預防基本技術　115

5.1.3　清除電腦病毒的一般性原則　116

5.1.4　清除電腦病毒的基本方法　116

5.1.5　治療電腦病毒的一般過程　117

5.1.6　電腦病毒預防技術　118

5.1.7　電腦病毒免疫技術　119

5.1.8　漏洞掃描技術　122

5.1.9　實時反病毒技術　123

5.1.10　防範電腦病毒的特殊方法　124

5.2　引導區電腦病毒　125

5.2.1　原理　126

5.2.2　預防　127

5.2.3　檢測　127

5.2.4　清除　128

5.3　文件型病毒　128

5.3.1　原理　128

5.3.2　預防　130

5.3.3　檢測　131

5.3.4　清除　134

5.3.5　CIH病毒　134

5.4　文件與引導復合型病毒　138

5.4.1　原理　138

5.4.2　“新世紀”電腦病毒的表現形式　139

5.4.3　“新世紀”電腦病毒的檢測　139

5.4.4　“新世紀”電腦病毒的清除　139

5.5　腳本病毒　140

5.5.1　原理　140

5.5.2　檢測　143

5.5.3　清除　144

5.6.1　原理　145

5.6.2　預防　148

5.6.3　檢測　149

5.6.4　清除　149

5.7　特洛伊木馬病毒　150

5.7.1　原理　150

5.7.2　預防　157

5.7.3　檢測　157

5.7.4　清除　159

5.8　蠕蟲病毒　160

5.8.1　基本原理　160

5.8.2　預防　162

5.8.3　清除　164

5.9　黑客型病毒　164

5.10　後門病毒　166

5.10.1　原理　166

5.10.2　IRC後門電腦病毒　168

5.10.3　密碼破解的後門　169

5.11　不同操作系統環境下的電腦病毒　170

5.11.1　32位操作系統環境下的電腦病毒　171

5.11.2　64位操作系統環境下的電腦病毒　172

5.12　壓縮文件病毒　173

5.13　安全建議　173

習　題　174

第6章　網絡安全　176

6.1　網絡安全概述　176

6.1.1　網絡安全的概念　176

6.1.2　網絡安全面臨的威脅　177

6.1.2　網絡安全防範的內容　178

6.2　Internet服務的安全隱患　180

6.2.1　電子郵件　180

6.2.2　文件傳輸（FTP）　181

6.2.3　遠程登錄（Telnet）　181

6.2.4　黑客　182

6.2.5　電腦病毒　182

6.2.6　用戶終端的安全問題　182

6.2.7　用戶自身的安全問題：　183

6.2.8　APT攻擊　183

6.3　垃圾郵件　184

6.3.1　垃圾郵件的定義　184

6.3.2　垃圾郵件的危害　184

6.3.3　追蹤垃圾郵件　185

6.3.4　郵件防毒技術　185

6.4　系統安全　187

6.4.1　網絡安全體系　187

6.4.2　加密技術　188

6.4.3　黑客防範　192

6.4.4　安全漏洞庫及補丁程序　195

6.5　惡意代碼的處理　196

7.5.1　惡意代碼的種類　196

6.5.2　惡意代碼的傳播手法　198

6.5.3　惡意代碼的發展趨勢　199

6.5.4　惡意代碼的危害及其解決方案　200

7.5.5　網頁的惡性修改　201

6.6　網絡安全的防範技巧　201

6.7　用戶對電腦病毒的認識誤區　206

習　題　208

第7章　系統漏洞攻擊和網絡釣魚概述　209

7.1　系統漏洞　209

7.2　Windows操作系統漏洞　209

7.3　Linux操作系統的已知漏洞分析　213

7.4　漏洞攻擊病毒背景介紹　217

7.5　漏洞攻擊病毒分析　224

7.5.1　沖擊波病毒　224

7.5.2　振盪波病毒　225

7.5.3　震盪波"與"沖擊波"病毒橫向對比與分析　226

7.5.4　紅色代碼病毒　227

7.5.5　Solaris蠕蟲　228

7.5.6　震網病毒　228

7.5.7　APT攻擊　231

7.6　針對ARP協議安全漏洞的網絡攻擊　235

1．同網段ARP欺騙分析　235

2．不同網段ARP欺騙分析　236

3．ARP欺騙的防禦原則　237

7.7　系統漏洞攻擊病毒的安全建議　237

7.8　網絡釣魚背景介紹　241

7.9　網絡釣魚的手段及危害　242

7.9.1　利用電子郵件“釣魚”　243

7.6.2　利用木馬程序“釣魚”　243

7.9.3　利用虛假網址“釣魚”　243

7.9.4　假冒知名網站釣魚　243

7.9.5　其他釣魚方式　244

7.10　防範網絡釣魚的安全建議　244

7.10.1　金融機構採取的網上安全防範措施　244

7.10.2　對於個人用戶的安全建議　245

習題　246

第8章　即時通信病毒和移動通信病毒分析　248

8.1　即時通信病毒背景介紹　248

8.1.1　即時通信　248

8.1.2　主流即時通信軟件簡介　249

8.1.3　IM軟件的基本工作原理　251

8.2　即時通信病毒的特點及危害　255

8.3　即時通信病毒發作現象及處理方法　257

8.4　防範即時通信病毒的安全建議　259

8.5　移動通信病毒背景介紹　261

8.5.1　移動通信病毒的基本原理　262

8.5.2　移動通信病毒的傳播途徑　263

8.5.3　移動通信病毒的危害　264

8.5.4　移動通信病毒的類型　266

8.6　移動通信病毒的發作現象　267

8.6.1　破壞操作系統　267

8.6.2　破壞用戶數據　268

8.6.3　消耗系統資源　268

8.6.4　竊取用戶隱私　268

8.6.5　惡意扣取費用　269

8.6.6　遠程控制用戶手機　269

8.6.7　其他表現方式　270

8.7　典型移動通信病毒分析　270

8.7.1　移動通信病毒發展過程　270

8.7.2　典型手機病毒--手機支付病毒　272

8.7.3　手機病毒的傳播和威脅趨勢　274

8.7.4　手機反病毒的技術的發展趨勢　276

8.8　防範移動通信病毒的安全建議　277

習　題　278

第9章　常用反病毒軟件　279

9.1　國內外反病毒行業發展歷史與現狀　279

9.1.1　反病毒軟件行業的發展歷程　279

9.1.2　國內外反病毒軟件行業所面臨的嚴峻形勢　281

9.2　使用反病毒軟件的一般性原則　285

9.2.1　反病毒軟件選用準則　285

9.2.2　使用反病毒軟件註意要點　285

9.2.3　理想的反電腦病毒工具應具有的功能　286

9.3　部分反電腦病毒工具簡介　286

9.3.1　瑞星殺毒軟件V16　287

9.3.2　騰訊電腦管家　288

9.3.3　360殺毒軟件　289

9.3.4　諾頓網絡安全特警　289

9.3.5　McAfee VirusScan　290

9.3.6　PC-cillin　291

9.3.7　卡巴斯基安全部隊　292

9.3.8　江民殺毒軟件KV2011　293

9.3.9　金山毒霸2011　295

9.3.10　微點殺毒軟件　296

9.3.11　小紅傘個人免費版　297

9.3.12　ESET NOD32 殺毒軟件　298

9.3.13　BitDefender比特梵德殺毒軟件　298

9.3.14　微軟免費殺毒軟件Microsoft Security Essentials (MSE)　298

9.3.15　Comodo 免費殺毒軟件(科摩多,俗稱“毛豆”)　299

9.3.16　avast!免費殺毒軟件　299

習　題　300

附錄　電腦病毒原理與防範實驗　301

附1.1　實驗1 PE文件格式的分析和構造　301

附1.1.1　實驗目的　301

附1.1.2　實驗要求　301

附1.1.3　實驗環境　301

附1.1.4　實驗相關基礎知識　301

附1.1.5　實驗過程　307

附1.2　實驗2 PE文件的加載、重定位和執行過程　316

附1.2.1　實驗目的　316

附1.2.2　實驗要求　317

附1.2.3　實驗環境　317

附1.2.4　實驗相關基礎知識　317

附1.2.5　實驗步驟　317

附1.2.6　重定位自己的EXE　319

附1.2.7　自己加載自己的exe和一個自己的dll　320

附1.2.8　部分程序代碼　323

附1.3　實驗3 腳本病毒的分析　332

附1.3.1　實驗目的　332

附1.3.2　實驗要求　332

附1.3.3　實驗環境　332

附1.3.4　實驗原理　332

附1.3.5　實驗步驟　333

附1.4　實驗4 蠕蟲病毒的分析　335

附1.4.1　實驗目的　335

附1.4.2　實驗要求　336

附1.4.3　實驗環境　336

附1.4.4　實驗原理　336

附1.4.5　實驗步驟　337

附1.5　實驗5 木馬機制分析和木馬線程註入技術　340

附1.5.1　實驗目的　340

附1.5.2　實驗要求　340

附1.5.3　實驗環境　340

附1.5.4　實驗原理　340

附1.5.5　實驗步驟　343

附1.6　實驗６ 反病毒軟件的功能和性能分析　348

附1.6.1　實驗目的　348

附1.6.2　實驗要求　348

附1.6.3　實驗環境　348

附1.6.4　實驗原理　348

附1.6.5　實驗步驟　348

參考文獻