[計算機(jī)軟件及應(yīng)用]第9章計算機(jī)病毒的檢測、清除與免疫-資料下載頁
2025-10-10 04:16本頁面
【正文】 E文件病毒的方法與清除 .COM文件中病毒的方法類似，只不過更繁瑣的是恢復(fù)原文件頭參數(shù) – 清除工作仍然要通過仔細(xì)分析病毒代碼，找到原文件頭參數(shù)，寫回并丟掉病毒程序代碼 – 對于交叉感染或重復(fù)感染的 .EXE文件，只要找到最先感染的病毒代碼，從中找出原始文件頭參數(shù)，可直接取出恢復(fù)，而不必逐層解毒，恢復(fù)方法與單個病毒感染時的方法是一致的 ? 注：由于 Debug程序拒絕寫 .EXE文件，所以在清除 .EXE文件中的病毒時應(yīng)首先將 .EXE文件改名，然后再清除 ? 對于感染 PE文件的病毒，可以用 PEditor、 LordPE等工具軟件刪除病毒體、恢復(fù)程序入口點 (正常程序的入口一般是 PE文件中的第一個節(jié) .text)，從而達(dá)到清除病毒的目的。若病毒采用了 EPO等技術(shù)，清除工作將變得異常繁雜 計算機(jī)病毒的清除 重入檢測和病毒免疫 ? 大部分駐留內(nèi)存的病毒會在加載病毒代碼之前，檢查系統(tǒng)的內(nèi)存狀態(tài)，判斷內(nèi)存中是否有病毒，若存在 (自身已被加載 )，則不再加載病毒代碼，否則，加載 ? 感染文件之前，查看文件的狀態(tài) (一般是查看感染標(biāo)志 )，檢查該文件是否已被感染，如果被感染了則不再重復(fù)感染 ? 病毒的這種重入檢測機(jī)制導(dǎo)致了一種反病毒技術(shù)的出現(xiàn)，也就是形形色色的免疫程序：利用免疫程序設(shè)置內(nèi)存的狀態(tài)、設(shè)置CPU的狀態(tài)或者設(shè)置文件的一些特征，從而防止某種特定的病毒進(jìn)入系統(tǒng) 計算機(jī)病毒的免疫技術(shù) 計算機(jī)病毒免疫的方法及其缺點 ? 從實現(xiàn)計算機(jī)病毒免疫的角度看病毒的傳染，可以將病毒的傳染分成兩種 – 在傳染前先檢查待傳染的扇區(qū)或程序內(nèi)是否含有病毒代碼，如果沒有找到則進(jìn)行傳染，如果找到了則不再進(jìn)行傳染 ? 如小球病毒、 CIH病毒 – 在傳染時不判斷是否存在感染標(biāo)志 (免疫標(biāo)志 )，病毒只要找到一個可傳染對象就進(jìn)行一次傳染 ? 例如黑色星期五病毒 (注：黑色星期五病毒的程序中具有判別傳染標(biāo)志的代碼，由于程序設(shè)計錯誤，使判斷失敗，導(dǎo)致感染標(biāo)志形同虛設(shè) ) 計算機(jī)病毒的免疫技術(shù) 計算機(jī)病毒免疫的方法及其缺點 ? 目前常用的免疫方法有兩種 – 針對某一種病毒進(jìn)行的計算機(jī)病毒免疫 ? 一個免疫程序只能預(yù)防一種計算機(jī)病毒 ? 例如對小球病毒，在 DOS引導(dǎo)扇區(qū)的 1FCH處填上 1357H，小球病毒檢查到該標(biāo)志就不再對它進(jìn)行感染 ? 優(yōu)點是可以有效地防止某一種特定病毒的傳染，但缺點很嚴(yán)重，主要有以下幾點： – 對于不設(shè)置感染標(biāo)識或設(shè)置后不能有效判斷的病毒，不能達(dá)到免疫的目的 – 當(dāng)該病毒的變種不再使用這個免疫標(biāo)志、或出現(xiàn)新病毒時，免疫標(biāo)志失去作用 – 某些病毒的免疫標(biāo)志不容易仿制，若必須加上這種標(biāo)志，則需對原文件做大的改動，例如大麻病毒 – 由于病毒的種類較多，再加上技術(shù)上的原因，不可能對一個對象加上各種病毒的免疫標(biāo)識 – 能阻止傳染，卻不能阻止病毒的破壞行為，仍然放任病毒駐留在內(nèi)存中 計算機(jī)病毒的免疫技術(shù) 計算機(jī)病毒免疫的方法及其缺點 – 基于自我完整性檢查的計算機(jī)病毒免疫 ? 目前這種方法只能用于文件而不能用于引導(dǎo)扇區(qū) ? 原理是，為可執(zhí)行程序增加一個免疫外殼，同時在免疫外殼中記錄有關(guān)用于恢復(fù)自身的信息。執(zhí)行具有這種免疫功能的程序時，免疫外殼首先得到運行，檢查自身的程序大小、校驗和、生成日期和時間等情況，沒有發(fā)現(xiàn)異常后，再轉(zhuǎn)去執(zhí)行受保護(hù)的程序 ? 這種方法不只是針對病毒的，由于其他原因造成的文件變化，在大多數(shù)情況下免疫外殼程序都能使文件自身得到復(fù)原，但仍存在一些缺點和不足： – 每個受到保護(hù)的文件都要增加額外的存儲空間 – 現(xiàn)在使用中的一些校驗碼算法不能滿足防病毒的需要，被某些種類的病毒感染的文件不能被檢查出來 – 無法對抗覆蓋方式的文件型病毒 – 有些類型的文件不能使用免疫外殼的防護(hù)方法，否則將使這些文件不能正常執(zhí)行 – 當(dāng)已被病毒感染的文件被免疫外殼包在里面時，這將妨礙反病毒軟件的檢測清除 計算機(jī)病毒的免疫技術(shù) 數(shù)字免疫系統(tǒng)簡介 ? 早在 20世紀(jì) 90年代初， IBM公司的懷特和他的同事們就夢想給計算機(jī)“接種”一種數(shù)字免疫系統(tǒng) (Digital Immune System，DIS) ? 為了對抗利用 Inter進(jìn)行傳播的病毒，IBM公司開發(fā)了該數(shù)字免疫系統(tǒng)原型 計算機(jī)病毒的免疫技術(shù) 病 毒分 析 機(jī)分 析 病 毒行 為 和 結(jié) 構(gòu)得 到 病 毒特 征 碼得 到 解 決 方 案( 抗 體 )3感 染 病 毒的 客 戶 機(jī)客 戶 機(jī)客 戶 機(jī)管 理 機(jī)5624客 戶 機(jī)客 戶 機(jī)管 理 機(jī)獨 立 的 客 戶 機(jī)77專 用 網(wǎng) 絡(luò)專 用 網(wǎng) 絡(luò)1IBM數(shù)字免疫 系統(tǒng)示意圖 思考題 ? 1. 熟悉各種殺毒軟件、病毒防火墻的安裝、配置和使用。 ? 2. 本章給出了一些病毒預(yù)防措施，在單機(jī)、網(wǎng)絡(luò)等特定環(huán)境下，如何預(yù)防病毒？ ? 3. 基于特征碼的靜態(tài)掃描技術(shù)，適合于查殺何種類型的計算機(jī)病毒？為什么？ ? 4．簡述啟發(fā)式掃描技術(shù)的基本思想。 ? 5．查毒虛擬機(jī)與 VmWare等虛擬軟件有何區(qū)別？病毒采用什么技術(shù)對抗虛擬機(jī)技術(shù)？我們又該如何查殺這類病毒？ ? 6． Windows 9x下的實時監(jiān)控，主要采用哪些技術(shù)？Windows NT/2021下的實時監(jiān)控，主要采用哪些技術(shù)？為什么會存在這些差別？ ? 7．清除計算機(jī)病毒的一般方法和步驟是什么？對清除計算機(jī)病毒，你有什么經(jīng)驗和建議？ 思考題 ? 8．編程實現(xiàn)一個加殼程序，并測試其對被保護(hù)對象的保護(hù)效果。 ? 9. 什么是計算機(jī)病毒的免疫？
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1