- 掛牌上市企業(yè)
- 60秒人工響應(yīng)
- 99.99%連通率
- 7*24h人工
- 故障100倍補(bǔ)償
病毒及攻擊防御手冊(cè)之三 |
| 發(fā)布時(shí)間: 2012/9/15 22:22:16 |
|
現(xiàn)階段的病毒，主要分為以下幾種：
1．感染可執(zhí)行文件的病毒
病毒描述：這類(lèi)病毒就是上面所介紹的4種破壞性程序中的傳統(tǒng)病毒。這類(lèi)病毒的編寫(xiě)者的技術(shù)水平可說(shuō)相當(dāng)高 超，此類(lèi)病毒大多用匯編/c編寫(xiě)，利用被感染程序中的空隙，將自身拆分為數(shù)段藏身其中，在可執(zhí)行文件運(yùn)行的同時(shí)進(jìn)駐到內(nèi)存中并進(jìn)行感染工作，dos下大多 為此類(lèi)病毒居多，在windows下由于win95時(shí)期病毒編寫(xiě)者對(duì)pe32的格式?jīng)]吃透，那段時(shí)間比較少，之后在win98階段這類(lèi)病毒才擴(kuò)散開(kāi)來(lái)，其 中大家廣為熟悉的CIH病毒就是一例；在windows發(fā)展的中后期，互聯(lián)網(wǎng)絡(luò)開(kāi)始興盛，此類(lèi)病毒開(kāi)始結(jié)合網(wǎng)絡(luò)漏洞進(jìn)行傳播，其中的杰出代表為 funlove傳播——由于windows操作系統(tǒng)的局網(wǎng)共享協(xié)議存在默認(rèn)共享漏洞，以及大部分用戶(hù)在設(shè)置共享的時(shí)候貪圖方便不設(shè)置復(fù)雜密碼甚至根本就沒(méi)有密碼，共享權(quán)限也開(kāi)啟的是“完全訪問(wèn)”。導(dǎo)致funlove病毒通過(guò)簡(jiǎn)單嘗試密碼利用網(wǎng)絡(luò)瘋狂傳播。
病毒淺析：由于此類(lèi)病毒的編寫(xiě)對(duì)作者要求很高，對(duì)運(yùn)行環(huán)境的要求也相當(dāng)嚴(yán)格，在編寫(xiě)不完善的時(shí)候，會(huì)導(dǎo)致系統(tǒng)異常（例如CIH的早期版本會(huì)導(dǎo)致winzip出錯(cuò)和無(wú)法關(guān)閉計(jì)算機(jī)等問(wèn)題；funlove在nt4上會(huì)導(dǎo)致mssqlserver的前臺(tái)工具無(wú)法調(diào)出界面等問(wèn)題）。這類(lèi)病毒賴(lài)以生存的制約是系統(tǒng)的運(yùn)行時(shí)間和隱蔽性。運(yùn)行時(shí)間——系統(tǒng)運(yùn)行的時(shí)間越長(zhǎng)，對(duì)其感染其他文件越有利，因此此類(lèi)病毒中一般不含有惡意關(guān)機(jī)等代碼，染毒后短期內(nèi)（一般24小時(shí)內(nèi)）也不會(huì)導(dǎo)致系統(tǒng)崩潰（如果你是25日感染cih除外），和其他病毒相比用戶(hù)有足夠的處理時(shí)間。破壞引導(dǎo)區(qū)的 大腦病毒、擇日發(fā)作的星期五病毒、直接讀寫(xiě)主板芯片，采用驅(qū)動(dòng)技術(shù)的CIH病毒都是其中的代表。
感染途徑：此類(lèi)病毒本身依靠用戶(hù)執(zhí)行而進(jìn)行被動(dòng)運(yùn)行，常見(jiàn)感染途徑為：盜板光盤(pán)、軟盤(pán)、安全性不佳的共享網(wǎng)絡(luò)；
病毒自查：此類(lèi)病毒大多通過(guò)的是進(jìn)駐內(nèi)存后篇?dú)v目錄樹(shù)的方式，搜索每個(gè)目錄下的可執(zhí)行文件進(jìn)行感染，因此對(duì)內(nèi)存占用得比較厲害——如果突然在某個(gè)時(shí)間后發(fā)現(xiàn)自己的機(jī)器內(nèi)存占用很高，可能就是感染了此類(lèi)病毒。
病毒查殺：這類(lèi)病毒由于編寫(xiě)難度較大，因此升級(jí)（病毒也玩升級(jí)？對(duì)，例如CIH是在1.4版本后才完善的）速度相對(duì)較慢，但由于開(kāi)機(jī)后進(jìn)駐的程序可能已經(jīng)被病毒感染，因此殺毒條件是各種病毒中最為嚴(yán)格的，且這2種方式比較干凈徹底的方法也適用用后面介紹的各種病毒：
1.軟盤(pán)（光盤(pán)）啟機(jī)使用殺毒軟（光）盤(pán)進(jìn)行殺毒；在進(jìn)行這一步的時(shí)候，必須要保證軟盤(pán)或光盤(pán)的病毒庫(kù)內(nèi)已經(jīng)有殺除該病毒的特征碼。
2.將硬盤(pán)拆下，作為其他機(jī)器的從盤(pán)；從其他機(jī)器的主盤(pán)啟動(dòng)進(jìn)行殺毒（該機(jī)需打開(kāi)病毒即時(shí)監(jiān)控，以防止來(lái)自從盤(pán)的可執(zhí)行文件中的病毒進(jìn)駐到內(nèi)存中）； 以常見(jiàn)的國(guó)產(chǎn)幾種殺毒軟件為例，在購(gòu)買(mǎi)的正式版本中，除了供安裝使用的光盤(pán)外，一般還包含幾張軟盤(pán)（一張引導(dǎo)盤(pán)，一張殺毒程序盤(pán)，一張病毒庫(kù)盤(pán)）。在對(duì)待 上面提到的這類(lèi)病毒時(shí)，最好的做法就是用引導(dǎo)盤(pán)啟動(dòng)計(jì)算機(jī)，然后根據(jù)提示將殺毒程序盤(pán)和病毒盤(pán)依次插入，進(jìn)行病毒查殺。注意2點(diǎn)：1.目前比較新版本的殺 毒程序盤(pán)都能完善地支持ntfs分區(qū)的讀寫(xiě)，如果您是在幾年以前購(gòu)買(mǎi)的殺毒盤(pán)，可以根據(jù)廠家的服務(wù)方式進(jìn)行升級(jí)；2.由于采用軟盤(pán)殺毒的時(shí)候，使用的是軟盤(pán)上的病毒庫(kù)，為了能正確地查殺病毒，請(qǐng)定期升級(jí)軟盤(pán)的病毒庫(kù)，否則真到用的時(shí)候就哭也哭不出來(lái)了。
殺毒遺留：由于這類(lèi)病毒是寄生到其他程序內(nèi)部，即使非常優(yōu)秀的殺毒軟件，能做到的也只是把該染毒程序內(nèi)的病毒某關(guān)鍵執(zhí)行部分刪除，使得染毒程序在運(yùn)行時(shí)病毒無(wú)法運(yùn)行。因此并不是嚴(yán)格意義上的完全清除——病毒程序的某部分依然殘留在程序內(nèi)部，俗稱(chēng)“病毒僵尸”。
在殺除這類(lèi)病毒的時(shí)候，最主要的是分析捕捉特征代碼，因?yàn)樽ヌ卣鞔a的過(guò)程中不僅要準(zhǔn)確地破壞病毒的執(zhí)行部分，而且不可以觸動(dòng)正常的程序代碼。否則會(huì)常常出現(xiàn)殺毒之后該程序無(wú)法使用的情形——那還叫什么殺毒？還不如直接刪除文件比較好嘛！在查殺這類(lèi)病毒上，根據(jù)天緣的使用經(jīng)驗(yàn)，norton和國(guó)內(nèi) 的金山毒霸做的比較好一些。(此評(píng)價(jià)只根據(jù)我個(gè)人使用經(jīng)驗(yàn)如實(shí)說(shuō)出，不帶任何廣告性質(zhì)，請(qǐng)各位選擇殺毒產(chǎn)品的時(shí)候不要以我的介紹為依據(jù)，本人不承擔(dān)任何責(zé)任，下同。)
病毒防范：安裝包含即時(shí)監(jiān)控的殺毒軟件并啟機(jī)執(zhí)行，每天升級(jí)病毒庫(kù)獲取最新病毒特征代碼；盡量不使用來(lái)源不可靠的軟盤(pán)和光盤(pán)，使用前先掃描；關(guān)于網(wǎng)絡(luò)防毒部分后面一并介紹。
億恩-天使(QQ:530997) 電話 037160135991 服務(wù)器租用，托管歡迎咨詢(xún)。 本文出自：億恩科技【mszdt.com】 服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM] |
0371-60135900
京公網(wǎng)安備41019702002023號(hào)
香港服務(wù)器租用
美國(guó)服務(wù)器租用
電信骨干機(jī)房
聯(lián)通骨干機(jī)房
