【文章內(nèi)容簡介】 BX指向執(zhí)行此命令的參數(shù)塊 ； AX＝ 4B00H 在帶有病毒的系統(tǒng)中 ， INT 21H中斷指向病毒程序 。病毒程序從加載執(zhí)行功能的入口參數(shù)處取出文件名 ， 根據(jù)文件名后綴判斷文件的類型 。 如果是 COM文件 ， 檢查其是否被病毒感染 ， 未感染的情況下則將病毒程序放臵在原 COM文件的前面 ， 并在其尾部加上病毒標志 。 如果被感染 ， 則調(diào)用 INT 21H的 4BH功能執(zhí)行原 COM文件 。 計算機安全技術 計算機病毒分析與防治 文件型病毒 如果是 EXE文件 ， 則將病毒程序?qū)懙?EXE文件的最后 ， 然后修改 EXE文件的文件頭參數(shù) ， 使其指向病毒程序 ， 因此執(zhí)行受感染 EXE文件時即讓病毒程序獲得控制權(quán) 。 在感染完成后 ， 執(zhí)行原 EXE文件的內(nèi)容 。 1． 文件型病毒的引導過程 可執(zhí)行文件的裝人執(zhí)行 ， 是由 DOS系統(tǒng) INT21H的 4BH功能調(diào)用完成的 。 DOS執(zhí)行這個調(diào)用時 ， 從磁盤上裝入可執(zhí)行文件 ， 進行加載并將控制權(quán)交給被加載的用戶程序 。 計算機安全技術 計算機病毒分析與防治 文件型病毒 對于 COM文件 ， 第一條指令位于 CS:100地址處；對于 EXE文件 ， 由文件頭中的 CS、 IP字段確定程序的第一條指令 。 病毒感染可執(zhí)行文件 ， 為了獲得控制 ， 修改了原文件的頭部參數(shù) 。 對于 COM文件 ， 要修改文件頭三個字節(jié)的內(nèi)容；對于 EXE文件 ， 則要修改文件首部 (文件頭 )偏移 14－ 15H處的 IP指針和偏移 16－17H處的 CS段值 。 為了不影響用戶程序的堆棧段內(nèi)容 ， 還要修改偏移 0E－ 0FH處的 SS段值和偏移 10～11H處的 SP指針 。 還要修改 EXE文件頭部 02－ 05H處的文件長度標識 。 計算機安全技術 計算機病毒分析與防治 文件型病毒 2．文件型病毒的傳染方式 在傳染過程中 ， 病毒程序或者位于文件的首部 ， 或者位于文件的尾部 ， 并且使原文件的長度增加若干字節(jié) 。 位于文件中間的病毒則較為少見 。 病毒程序在引導過程中 ， 修改 INT 21H系統(tǒng)中斷 ， 具有向外傳播的能力 。 INT21H是對文件進行各種操作的系統(tǒng)調(diào)用入口 ， 病毒籍此控制可執(zhí)行文件的裝入執(zhí)行和對文件的讀 、 寫等操作 。 在裝入執(zhí)行或讀寫可執(zhí)行文件時 ， 病毒就可能傳染這個文件 。 病毒程序首先判斷文件是否存在特殊標志 （ 即是否被感染 ） ， 如果文件已被感染則跳過傳染過程；如果未被感染 ， 則把病毒程序鏈接在文件之中 。最后再執(zhí)行系統(tǒng)功能調(diào)用 。 計算機安全技術 計算機病毒分析與防治 文件型病毒 3．文件型病毒的檢測 常用的辦法是借助于“查毒軟件”，其基本思想是：在一個文件的特定位臵，查找病毒的特定標識，如果存在，則認為文件被病毒感染。這種檢測病毒的方法稱為“特征標識匹配法”，它一次可以檢查磁盤上的所有可執(zhí)行文件。 (1） 檢測系統(tǒng)內(nèi)存中是否含有病毒 病毒的傳染性是它的重要特性 。 病毒一般都是修改 INT 21H中斷來截獲系統(tǒng)調(diào)用 ， 因此可以根據(jù) INT 21H中斷向量的入口地址來判斷是否有病毒駐留內(nèi)存 。 用 DOS命令 MEM， 可以列出系統(tǒng)中駐留的所有程序 ，檢查其中是否有非法程序駐留 。 如果發(fā)現(xiàn)非法駐留的程序 ，則可以判定系統(tǒng)內(nèi)存中含有病毒 。 計算機安全技術 計算機病毒分析與防治 文件型病毒 （ 2）檢查文件中的病毒 對可執(zhí)行文件中病毒的判定 ， 一般情況下只能采用比較法 ， 即通過觀察文件的長度或日期時間是否變化來判斷有無病毒 。 4． 文件型病毒的清除 文件型病毒和被感染文件的鏈接方式是多種多樣的 ，有的病毒駐留在文件的首部 ， 有的則駐留在尾部 ， 而且各個病毒保存被感染文件的參數(shù)的方法和位臵也各不相同 。因此要清除文件中的病毒 ， 就要分析病毒程序代碼 ， 找出病毒和被感染文件之間的鏈接關系 ， 才有可能把病毒從被感染文件中分離出來 。 計算機安全技術 計算機病毒分析與防治 文件型病毒 清除文件中的病毒一般應按照以下步驟進行： (1)分析病毒與被感染文件之間的鏈接方式； (2)確定病毒程序駐留在文件的位臵 ， 并找到病毒程序的開始和結(jié)束位臵 。 把被感染文件的主要部分還原 。 (3)恢復被感染文件的頭部參數(shù) 。 對于 COM文件 ， 它的頭三個字節(jié)被替換為病毒程序 ， 這三個字節(jié)被保存在病毒體中 ， 找出這三個字節(jié) ， 放到文件的頭部 。 對于 EXE文件 ， 文件頭中的 CS、 IP、 SS、 SP等字段被病毒程序修改 ，這些字段的原有值被存放在病毒體中 。 找出恢復 ,還需要修改文件頭中的長度參數(shù) 。 （ 4） 把恢復后的內(nèi)容寫到文件中 。 文件長度要變短一些 ， 只把文件的正常內(nèi)容寫到文件中 ， 病毒體就從文件中 “ 剝離 ” 出來 。 計算機安全技術 計算機病毒分析與防治 文件型病毒 要正確清除文件中的病毒 ， 首先要了解病毒的傳染方法 。 對于不同病毒 ， 具體的清除方法也是不同的 。 如果用 DEBUG等工具清除病毒 ， 其效率是很低的 ， 而且容易出現(xiàn)失誤 。 一般的方法是編制“ 殺毒程序 ” ， 把上面的步驟用程序?qū)崿F(xiàn) ， 這樣 ，對同一種病毒感染的多個文件 ， 可以用程序逐個清除 。 計算機安全技術 計算機病毒分析與防治 宏病毒 宏病毒的產(chǎn)生 ， 是利用了一些數(shù)據(jù)處理系統(tǒng) ，如字處理或表格處理系統(tǒng) ， 內(nèi)臵宏命令編程語言的特性而形成的 。 這種特性可以把特定的宏命令代碼附加在指定文件上 ， 在未經(jīng)使用者許可的情況下獲取某種控制權(quán) ， 實現(xiàn)宏命令在不同文件之間的共享和傳遞 。 由于“宏”是使用 Visual Basic For Applications這樣的高級語言編寫的，其編寫過程相對比較簡單，而功能又十分強大，因此宏病毒的產(chǎn)生不再需要病毒制造者具有較多的計算機專業(yè)知識和技巧，一個心懷不軌的人只需掌握一些基本的“宏”編寫手段，即可編出破壞力很大的宏病毒。 計算機安全技術 計算機病毒分析與防治 宏病毒 VBA與宏病毒 VBA是把 DOS版本的 Basic的一些實現(xiàn)方法轉(zhuǎn)變到Windows中。只要在 Office環(huán)境中打開這些文件，為了特定的任務， VBA的代碼就會隨之而來地解釋執(zhí)行。而且VBA的進一步升級，使其具備訪問系統(tǒng)和控制系統(tǒng)的能力，直接調(diào)用 Windows API，訪問系統(tǒng)資源，采取“ Shell+命令行”方式直接調(diào)用 DOS或 windows命令等等。 VBA的出現(xiàn)是面向知識階層的計算機用戶的，他們不需要更深入的編程知識和經(jīng)驗，只要懂得 Basic就可以將一系列費時而重復的操作和命令，根據(jù)不同的使用要求和基本命令組合在一起形成宏。目的是為了讓用戶能夠用簡單的編程方法，來簡化這些經(jīng)常性的操作，就像 DOS的批處理程序?qū)⒍鄠€執(zhí)行命令依次放在一起執(zhí)行一樣。 計算機安全技術 計算機病毒分析與防治 宏病毒 它的編制技術與其他的編程技術相比，要求是很低的，Office系統(tǒng)甚至提供了不用編程，僅依靠錄制用戶實際操作的方法就可以生成宏的功能。宏，簡單的理解可以是Office應用產(chǎn)品中，點擊菜單命令的錄音機。系統(tǒng)能夠重復執(zhí)行用戶曾經(jīng)執(zhí)行或者設計的一系列的點擊命令。這就使那些對計算機編程語言沒有多少知識但卻對病毒“一往情深”者也可以加入到病毒制造者的行列中。 宏病毒的表現(xiàn) 有些宏病毒只進行自身的傳播，并不具破壞性，如被一種 Autoopen宏病毒感染了的文檔，不能再被轉(zhuǎn)存為其他格式的文件，也無法使用“另存為”（ Save as）修改路徑以保存到另外的磁盤／子目錄中，它具備與模板文檔一致的內(nèi)部格式。 計算機安全技術 計算機病毒分析與防治 宏病毒 有些宏病毒或使打印中途中斷，或打印出混亂信息，如 Nuclear、 Kompu等屬此類。有些宏病毒將文檔中的部分字符、文本進行替換，如 Concept． F發(fā)作時，用“，’“ e”，“ not”替換所有“。”，“ a”，“ and”。還有一些現(xiàn)象是： Word運行時出現(xiàn)如自動打開文件，打開窗口等情況；使用過的文件屬性發(fā)生改變； Word文件自動對一張寫保護的空盤強行存盤等。 有些病毒極具破壞性 ， 如 （ 無政府者一號 ，最早發(fā)現(xiàn)于 1996年夏 ） 另外有一種雙棲復合型病毒 ， 如 N u c l