計(jì)算機(jī)病毒的檢測(cè)、清除與免疫-wenkub.com
2025-05-23 18:27 本頁(yè)面
【正文】 清華大學(xué)出版社 張仁斌 等 編著 46 思考題 ? 8．編程實(shí)現(xiàn)一個(gè)加殼程序，并測(cè)試其對(duì)被保護(hù)對(duì)象的保護(hù)效果。 清華大學(xué)出版社 張仁斌 等 編著 44 數(shù)字免疫系統(tǒng)簡(jiǎn)介 ? 早在 20世紀(jì) 90年代初， IBM公司的懷特和他的同事們就夢(mèng)想給計(jì)算機(jī) “ 接種 ” 一種數(shù)字免疫系統(tǒng)(Digital Immune System， DIS) ? 為了對(duì)抗利用 Inter進(jìn)行傳播的病毒， IBM公司開(kāi)發(fā)了該數(shù)字免疫系統(tǒng)原型 計(jì)算機(jī)病毒的免疫技術(shù) 病 毒分 析 機(jī)分 析 病 毒行 為 和 結(jié) 構(gòu)得 到 病 毒特 征 碼得 到 解 決 方 案( 抗 體 )3感 染 病 毒的 客 戶(hù) 機(jī)客 戶(hù) 機(jī)客 戶(hù) 機(jī)管 理 機(jī)5624客 戶(hù) 機(jī)客 戶(hù) 機(jī)管 理 機(jī)獨(dú) 立 的 客 戶(hù) 機(jī)77專(zhuān) 用 網(wǎng) 絡(luò)專(zhuān) 用 網(wǎng) 絡(luò)1IBM數(shù)字免疫 系統(tǒng)示意圖 計(jì)算機(jī)病毒與反病毒技術(shù) 169。 清華大學(xué)出版社 張仁斌 等 編著 41 計(jì)算機(jī)病毒免疫的方法及其缺點(diǎn) ? 從實(shí)現(xiàn)計(jì)算機(jī)病毒免疫的角度看病毒的傳染，可以將病毒的傳染分成兩種 ? 在傳染前先檢查待傳染的扇區(qū)或程序內(nèi)是否含有病毒代碼，如果沒(méi)有找到則進(jìn)行傳染，如果找到了則不再進(jìn)行傳染 ? 如小球病毒、 CIH病毒 ? 在傳染時(shí)不判斷是否存在感染標(biāo)志 (免疫標(biāo)志 )，病毒只要找到一個(gè)可傳染對(duì)象就進(jìn)行一次傳染 ? 例如黑色星期五病毒 (注：黑色星期五病毒的程序中具有判別傳染標(biāo)志的代碼，由于程序設(shè)計(jì)錯(cuò)誤，使判斷失敗，導(dǎo)致感染標(biāo)志形同虛設(shè) ) 計(jì)算機(jī)病毒的免疫技術(shù) 計(jì)算機(jī)病毒與反病毒技術(shù) 169。所以清除內(nèi)存中的病毒可以將備份或同版本的中斷向量表取代內(nèi)存中的中斷向量表，或直接關(guān)掉機(jī)器，用干凈系統(tǒng)重啟 ? 對(duì)于交叉感染或重復(fù)感染的 .COM文件，一定要找出病毒感染的先后順序，按從后向前 (或從內(nèi)向外 )的順序逐個(gè)清除病毒，否則會(huì)損壞原文件 計(jì)算機(jī)病毒的清除 計(jì)算機(jī)病毒與反病毒技術(shù) 169。任何清除病毒的動(dòng)作，都是危險(xiǎn)操作 計(jì)算機(jī)病毒的清除 計(jì)算機(jī)病毒與反病毒技術(shù) 169。 清華大學(xué)出版社 張仁斌 等 編著 37 文件型病毒的清除 ? 基于隱蔽病毒自身的目的，病毒一般都要保證原文件代碼還能正常地執(zhí)行。 清華大學(xué)出版社 張仁斌 等 編著 35 引導(dǎo)型病毒的清除 ? 硬盤(pán)主引導(dǎo)扇區(qū)染毒時(shí)的修復(fù)方法： ? (1)用無(wú)毒盤(pán)啟動(dòng)系統(tǒng) ? (2)尋找一臺(tái)同類(lèi)型、硬盤(pán)分區(qū)相同的無(wú)毒計(jì)算機(jī)，將其硬盤(pán)主引導(dǎo)扇區(qū)寫(xiě)入一張盤(pán)中 ? (3)將此盤(pán)插入染毒計(jì)算機(jī)，將其中采集的主引導(dǎo)扇區(qū)數(shù)據(jù)寫(xiě)入染毒硬盤(pán) 0柱面 0磁頭 1扇區(qū)，即可修復(fù) ? 修復(fù)硬盤(pán)主引導(dǎo)扇區(qū)時(shí)，也可利用先前備份的本扇區(qū)尚未感染時(shí)的數(shù)據(jù)，替代 (2)中采集的數(shù)據(jù)。 清華大學(xué)出版社 張仁斌 等 編著 32 Windows NT/2022下的病毒實(shí)時(shí)監(jiān)控 ? Windows NT/2022下病毒實(shí)時(shí)監(jiān)控的實(shí)現(xiàn)主要依賴(lài)于以下三項(xiàng)技術(shù) ? NT內(nèi)核模式驅(qū)動(dòng)編程 ? Windows NT/2022下不再支持 VxD ? 攔截 IRP ? 驅(qū)動(dòng)與 Ring3下客戶(hù)程序的通信 (命名的事件與信號(hào)量對(duì)象 ) 病毒實(shí)時(shí)監(jiān)控技術(shù) 計(jì)算機(jī)病毒與反病毒技術(shù) 169。 清華大學(xué)出版社 張仁斌 等 編著 28 反虛擬機(jī)技術(shù) ? 任何一個(gè)事物都不是盡善盡美、無(wú)懈可擊的，虛擬機(jī)也不例外 ? 由于反虛擬執(zhí)行技術(shù)的出現(xiàn)，使得虛擬機(jī)查毒受到了一定的挑戰(zhàn) ? 插入特殊指令技術(shù) ? 結(jié)構(gòu)化異常處理技術(shù) ? 入口點(diǎn)模糊 (EPO)技術(shù) ? 多線程技術(shù) 虛擬機(jī)查毒技術(shù) 計(jì)算機(jī)病毒與反病毒技術(shù) 169。 清華大學(xué)出版社 張仁斌 等 編著 27 單步斷點(diǎn)跟蹤與虛擬執(zhí)行 ? 虛擬機(jī)的設(shè)計(jì)方案 ? 自含代碼虛擬機(jī) (SCCE) ? 自含代碼虛擬機(jī)工作起來(lái)象一個(gè)真正的 CPU。 清華大學(xué)出版社 張仁斌 等 編著 23 虛擬機(jī)簡(jiǎn)介 ? 查毒的虛擬機(jī)是一個(gè)軟件模擬的 CPU，它可以象真正 CPU一樣取指令、譯碼、執(zhí)行，可以模擬一段代碼在真正 CPU上運(yùn)行得到的結(jié)果 ? 虛擬機(jī)的基本工作原理和簡(jiǎn)單流程 ? 給定一組機(jī)器碼序列，虛擬機(jī)會(huì)自動(dòng)從中取出第一條指令操作碼部分，判斷操作碼類(lèi)型和尋址方式以確定該指令長(zhǎng)度，然后在相應(yīng)的函數(shù)中執(zhí)行該指令，并根據(jù)執(zhí)行后的結(jié)果確定下條指令的位置，如此循環(huán)反復(fù)直到某個(gè)特定情況發(fā)生以結(jié)束工作 ? 設(shè)計(jì)虛擬機(jī)查毒的目的是為了對(duì)抗加密變形病毒 ? 虛擬執(zhí)行技術(shù)使用范圍遠(yuǎn)不止自動(dòng)脫殼 (虛擬機(jī)查毒實(shí)際上是自動(dòng)跟蹤病毒入口的解密子將加密的病毒體按其解密算法進(jìn)行解密 )，它還可以應(yīng)用在跨平臺(tái)高級(jí)語(yǔ)言解釋器、惡意代碼分析、調(diào)試器 虛擬機(jī)查毒技術(shù) 計(jì)算機(jī)病毒與反病毒技術(shù) 169。 清華大學(xué)出版社 張仁斌 等 編著 20 關(guān)于虛警 (謊報(bào) ) ? 啟發(fā)式掃描技術(shù)有時(shí)也會(huì)把一個(gè)本無(wú)病毒的程序判斷為染毒程序，這就是所謂的查毒程序虛警或謊報(bào)現(xiàn)象 ? 減少和避免誤報(bào) (謊報(bào) ) ，必須努力做好以下幾點(diǎn) ? 準(zhǔn)確把握病毒行為，精確定義可疑功能調(diào)用集合，除非滿(mǎn)足兩個(gè)以上的病毒重要特征，否則不予報(bào)警 ? 增強(qiáng)對(duì)常規(guī)正常程序的識(shí)別能力 ? 增強(qiáng)對(duì)特定程序的識(shí)別能力 ? 類(lèi)似 “ 無(wú)罪假定 ” 的功能，首先假定程序和計(jì)算機(jī)是不含病毒的。 清華大學(xué)出版社 張仁斌 等 編著 16 分析法診斷的原理 ? 使用分析法的人一般不是普通用戶(hù)，而是反病毒技術(shù)人員 ? 使用分析法的目的在于： ? 確認(rèn)被觀察的引導(dǎo)扇區(qū)和程序中是否含有病毒 ? 確認(rèn)病毒的類(lèi)型和種類(lèi)，判定其是否是一種新病毒 ? 搞清楚病毒體的大致結(jié)構(gòu)，提取特征識(shí)別用的字符串或特征字，并增添到病毒代碼庫(kù)供病毒掃描和識(shí)別程序使用 ? 詳細(xì)分析病毒代碼，為制定相應(yīng)的反病毒措施制定方案 ? 上述四個(gè)目的按順序排列起來(lái)，正好大致是使用分析法的工作順序 ? 使用分析法要求具有比較全面的計(jì)算機(jī)體系結(jié)構(gòu)、操作系統(tǒng)以及有關(guān)病毒技術(shù)的各種知識(shí) 計(jì)算機(jī)病毒的診斷方法及其原理 計(jì)算機(jī)病毒與反病毒技術(shù) 169。 清華大學(xué)出版社 張仁斌 等 編著 13 行為監(jiān)測(cè)法診斷的原理 ? 利用病毒的特有行為特性監(jiān)
研究報(bào)告相關(guān)推薦
鄂ICP備17016276號(hào)-1