文章內容

病毒及攻擊防御手冊之三

發布時間: 2012/9/15 22:22:16

現階段的病毒，主要分為以下幾種：

1．感染可執行文件的病毒

　　病毒描述：這類病毒就是上面所介紹的4種破壞性程序中的傳統病毒。這類病毒的編寫者的技術水平可說相當高超，此類病毒大多用匯編/c編寫，利用被感染程序中的空隙，將自身拆分為數段藏身其中，在可執行文件運行的同時進駐到內存中并進行感染工作，dos下大多為此類病毒居多，在windows下由于win95時期病毒編寫者對pe32的格式沒吃透，那段時間比較少，之后在win98階段這類病毒才擴散開來，其中大家廣為熟悉的CIH病毒就是一例；在windows發展的中后期，互聯網絡開始興盛，此類病毒開始結合網絡漏洞進行傳播，其中的杰出代表為 funlove傳播——由于windows操作系統的局網共享協議存在默認共享漏洞，以及大部分用戶在設置共享的時候貪圖方便不設置復雜密碼甚至根本就沒有密碼，共享權限也開啟的是“完全訪問”。導致funlove病毒通過簡單嘗試密碼利用網絡瘋狂傳播。

　　病毒淺析：由于此類病毒的編寫對作者要求很高，對運行環境的要求也相當嚴格，在編寫不完善的時候，會導致系統異常（例如CIH的早期版本會導致winzip出錯和無法關閉計算機等問題；funlove在nt4上會導致mssqlserver的前臺工具無法調出界面等問題）。這類病毒賴以生存的制約是系統的運行時間和隱蔽性。運行時間——系統運行的時間越長，對其感染其他文件越有利，因此此類病毒中一般不含有惡意關機等代碼，染毒后短期內（一般24小時內）也不會導致系統崩潰（如果你是25日感染cih除外），和其他病毒相比用戶有足夠的處理時間。破壞引導區的大腦病毒、擇日發作的星期五病毒、直接讀寫主板芯片，采用驅動技術的CIH病毒都是其中的代表。

　　感染途徑：此類病毒本身依靠用戶執行而進行被動運行，常見感染途徑為：盜板光盤、軟盤、安全性不佳的共享網絡；

　　病毒自查：此類病毒大多通過的是進駐內存后篇歷目錄樹的方式，搜索每個目錄下的可執行文件進行感染，因此對內存占用得比較厲害——如果突然在某個時間后發現自己的機器內存占用很高，可能就是感染了此類病毒。

　　病毒查殺：這類病毒由于編寫難度較大，因此升級（病毒也玩升級？對，例如CIH是在1.4版本后才完善的）速度相對較慢，但由于開機后進駐的程序可能已經被病毒感染，因此殺毒條件是各種病毒中最為嚴格的，且這2種方式比較干凈徹底的方法也適用用后面介紹的各種病毒：

　　1.軟盤（光盤）啟機使用殺毒軟（光）盤進行殺毒；在進行這一步的時候，必須要保證軟盤或光盤的病毒庫內已經有殺除該病毒的特征碼。

　　2.將硬盤拆下，作為其他機器的從盤；從其他機器的主盤啟動進行殺毒（該機需打開病毒即時監控，以防止來自從盤的可執行文件中的病毒進駐到內存中）；以常見的國產幾種殺毒軟件為例，在購買的正式版本中，除了供安裝使用的光盤外，一般還包含幾張軟盤（一張引導盤，一張殺毒程序盤，一張病毒庫盤）。在對待上面提到的這類病毒時，最好的做法就是用引導盤啟動計算機，然后根據提示將殺毒程序盤和病毒盤依次插入，進行病毒查殺。注意2點：1.目前比較新版本的殺毒程序盤都能完善地支持ntfs分區的讀寫，如果您是在幾年以前購買的殺毒盤，可以根據廠家的服務方式進行升級；2.由于采用軟盤殺毒的時候，使用的是軟盤上的病毒庫，為了能正確地查殺病毒，請定期升級軟盤的病毒庫，否則真到用的時候就哭也哭不出來了。

　　殺毒遺留：由于這類病毒是寄生到其他程序內部，即使非常優秀的殺毒軟件，能做到的也只是把該染毒程序內的病毒某關鍵執行部分刪除，使得染毒程序在運行時病毒無法運行。因此并不是嚴格意義上的完全清除——病毒程序的某部分依然殘留在程序內部，俗稱“病毒僵尸”。

　　在殺除這類病毒的時候，最主要的是分析捕捉特征代碼，因為抓特征碼的過程中不僅要準確地破壞病毒的執行部分，而且不可以觸動正常的程序代碼。否則會常常出現殺毒之后該程序無法使用的情形——那還叫什么殺毒？還不如直接刪除文件比較好嘛！在查殺這類病毒上，根據天緣的使用經驗，norton和國內的金山毒霸做的比較好一些。(此評價只根據我個人使用經驗如實說出，不帶任何廣告性質，請各位選擇殺毒產品的時候不要以我的介紹為依據，本人不承擔任何責任，下同。)

　　病毒防范：安裝包含即時監控的殺毒軟件并啟機執行，每天升級病毒庫獲取最新病毒特征代碼；盡量不使用來源不可靠的軟盤和光盤，使用前先掃描；關于網絡防毒部分后面一并介紹。

億恩-天使(QQ:530997) 電話 037160135991 服務器租用，托管歡迎咨詢。

本文出自：億恩科技【www.beingsafe.com.cn】

服務器租用/服務器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質保障！--億恩科技[ENKJ.COM]