【文章內(nèi)容簡(jiǎn)介】 =06 SHL AX, CL 。 左 移 6位 =9FC0 PUSH AX 。 壓入返回段地址 9FC0 PUSH DI 。 壓入返 回 位移量 0000 RETF 。 轉(zhuǎn)移到 9FC0:0000地址 第十章 計(jì)算機(jī)惡意程序與病毒 0面 0道 1扇區(qū) MBS 1面 0道 1扇區(qū) DBS MBS： Main Boot Sector 主引導(dǎo)扇區(qū) DBS： DOS Boot Secotor 次引導(dǎo)扇區(qū) FAT FAT Root （系統(tǒng)保留扇區(qū) 62個(gè)） 病毒藏身之地 Data 第十章 計(jì)算機(jī)惡意程序與病毒 讀 MBS引導(dǎo)扇區(qū)：（用程序讀） MOV AX, 0201 。 讀一個(gè)扇區(qū) MOV BX, 1000 。 讀入緩沖區(qū)地址 1000 MOV CX, 0001 。 讀第一扇區(qū) MOV DX。 0080 。 讀 C盤 0面 INT 13 。 讀盤操作 INT 3 。 執(zhí)行終止 要讀 63個(gè)扇區(qū)則用 023F， 要寫入一個(gè)扇區(qū)則用 0301， 讀 A盤為 00， B盤為 01， C盤為 80， D盤為 81， 類推 … ... 第十章 計(jì)算機(jī)惡意程序與病毒 讀 DBS引導(dǎo)扇區(qū)：（用程序讀） MOV AX, 0201 。 讀一個(gè)扇區(qū) MOV BX, 1000 。 讀入緩沖區(qū)地址 1000 MOV CX, 0001 。 讀第一扇區(qū) MOV DX。 0180 。 讀 C盤 1面 INT 13 。 讀盤操作 INT 3 。 執(zhí)行終止 讀 DBS引導(dǎo)扇區(qū)：（用命令讀） L1000 2 0 1 注意： A盤為 0， B盤為 1， C盤為 2， D盤為 3，以此類推 ……. 第十章 計(jì)算機(jī)惡意程序與病毒 四、計(jì)算機(jī)病毒的感染機(jī)制 計(jì)算機(jī)病毒的重復(fù)感染是指同一種病毒連續(xù)感染，在病毒載體上形成連續(xù)重復(fù)的病毒體駐留或者對(duì)駐留區(qū)域進(jìn)行重復(fù)覆蓋。 正常文件 第一次感染 第二次感染 第 n 次感染 病毒 第十章 計(jì)算機(jī)惡意程序與病毒 計(jì)算機(jī)病毒的交叉感染是指同一系列（但不同種）病毒或者不同類型病毒的重復(fù)感染或者連續(xù)感染，感染的病毒種類在兩種以上。 正常文件 第一次感染 交叉感染 多次交叉感染 病毒 B 病毒 A 病毒 A 病毒 A 病毒 B 病毒 A 病毒 B 病毒 N 必須采取循環(huán)掃描檢測(cè)！ 第十章 計(jì)算機(jī)惡意程序與病毒 病毒在感染過(guò)程中對(duì)正常的系統(tǒng)程序、結(jié)構(gòu)、參數(shù)和文件進(jìn)行了覆蓋，當(dāng)病毒程序被清除后，會(huì)產(chǎn)生恢復(fù)錯(cuò)誤，甚至不能恢復(fù)。（引導(dǎo)型病毒多有此類情況） 正常扇區(qū) 病毒扇區(qū) 覆蓋 病毒體 病毒體 第十章 計(jì)算機(jī)惡意程序與病毒 五、計(jì)算機(jī)病毒的變異機(jī)制 變異性 變異病毒：也稱變種病毒，利用某種病毒程序，添加新的功能、感染對(duì)象和破壞目標(biāo)，修改特征碼或者感染標(biāo)志，破壞檢測(cè)。 第十章 計(jì)算機(jī)惡意程序與病毒 五、計(jì)算機(jī)病毒的變異機(jī)制 偽裝性：病毒施放者在病毒程序中故意嵌入明顯的某種已知病毒的程序代碼（假特征碼），以欺騙反病毒軟件，造成檢測(cè)判斷錯(cuò)誤，從而造成清除錯(cuò)誤。 第十章 計(jì)算機(jī)惡意程序與病毒 五、計(jì)算機(jī)病毒的變異機(jī)制 多形性 改變病毒程序、加密變換、分段加密技術(shù)等避開(kāi)反病毒軟件檢測(cè)。 第三節(jié) 計(jì)算機(jī)病毒的預(yù)防 1. 新購(gòu)置的計(jì)算機(jī)中是可能攜帶有病毒。 建議： 對(duì)新購(gòu)置的計(jì)算機(jī)系統(tǒng)用檢測(cè)病毒軟件檢查是否有已知病毒 ,用人工檢測(cè)方法檢查是否有未知病毒。在確保沒(méi)有病毒之后，再使用計(jì)算機(jī)。 2. 新購(gòu)置的硬盤或出廠時(shí)已格式化的軟盤中可能有病毒。 建議： 對(duì)硬盤可以進(jìn)行檢測(cè)或進(jìn)行低級(jí)格式化。對(duì)硬盤只做 DOS的 FORMAT格式化不能去除主引導(dǎo)區(qū) (分區(qū)表扇區(qū) )病毒。對(duì)軟盤做 DOS的 FORMAT格式化可以去除病毒。 3. 對(duì)新購(gòu)置的計(jì)算機(jī)軟件也要進(jìn)行病毒檢測(cè) 。 4. 如果硬盤確無(wú)病毒，最好直接用硬盤引導(dǎo)啟動(dòng)計(jì)算機(jī)，盡量不要用軟盤去啟動(dòng)。在不聯(lián)網(wǎng)的情況下 , 軟盤是傳染病毒的最主要渠道。很多以 80586為 CPU芯片的 PC機(jī)中，可以通過(guò)設(shè)置 CMOS參數(shù) , 使啟動(dòng)時(shí)直接從硬盤引導(dǎo)啟動(dòng) ,而根本不去讀 A盤。 5. 定期與不定期地進(jìn)行磁盤文件備份工作。 當(dāng)然備份前要保證沒(méi)有病毒 , 不然也會(huì)將病毒備份。不要等到由于病毒破壞、 PC機(jī)硬件或軟件故障使用戶數(shù)據(jù)受到損壞時(shí)再去急救。特別是，重要的數(shù)據(jù)應(yīng)當(dāng)及時(shí)進(jìn)行備份。 ， 要盡可能將數(shù)據(jù)和程序分別存放 。裝程序的軟盤要貼有寫保護(hù)簽 。 7. 自己的軟盤在別人的機(jī)器上使用過(guò)之后，在自己的機(jī)器上使用之前應(yīng)進(jìn)行病毒檢測(cè)。在自己的機(jī)器上使用別人的軟盤之前，也應(yīng)進(jìn)行病毒檢查。對(duì)重點(diǎn)保護(hù)的機(jī)器應(yīng)做到專機(jī)、專人、專盤、專用。封閉的使用環(huán)境中，不會(huì)自然產(chǎn)生計(jì)算機(jī)病毒。 8. 任何情況下 ， 應(yīng)保留一張寫保護(hù)的 、 無(wú)病毒的 、 帶有各種 DOS命令文件的系統(tǒng)啟動(dòng)軟盤 ，用于清除病毒和維護(hù)系統(tǒng) 。 9. 做好分區(qū)表 、 DOS引導(dǎo)扇區(qū)等的備份工作 ，在進(jìn)行系統(tǒng)維護(hù)和修復(fù)工作時(shí)可作為參考 。 10. 對(duì)于多人共用一臺(tái)計(jì)算機(jī)的環(huán)境 ， 應(yīng)建立登記上機(jī)制度 ， 使問(wèn)題能盡早發(fā)現(xiàn) ， 有病毒能及時(shí)追查 、 清除 ,不致擴(kuò)散 。 11. 網(wǎng)絡(luò)管理員在啟動(dòng) Novell網(wǎng)或其它網(wǎng)絡(luò)的服務(wù)器時(shí)，一定要堅(jiān)持用硬盤引導(dǎo)啟動(dòng)，否則在受到引導(dǎo)扇區(qū)型病毒感染和破壞后將會(huì)影響連接整個(gè)網(wǎng)絡(luò)的中樞。 ? ， 應(yīng)劃分成多文件卷系統(tǒng) 。 建議至少劃分成 SYS系統(tǒng)卷 、 共享的應(yīng)用程序卷和各個(gè)網(wǎng)絡(luò)用戶可以獨(dú)占的用戶數(shù)據(jù)卷 。 利于維護(hù)網(wǎng)絡(luò)服務(wù)器的安全穩(wěn)定運(yùn)行和用戶數(shù)據(jù)的安全 。 如果系統(tǒng)卷受到損傷 , 導(dǎo)致服務(wù)器癱瘓 ， 那么通過(guò)重裝系統(tǒng)卷 ，恢復(fù)網(wǎng)絡(luò)操作系統(tǒng) ， 使服務(wù)器重新投入運(yùn)行 。裝在共享的應(yīng)用程序