典型病毒的分析
班级：
姓名：
学号：
一、计算机病毒
1.1、简介
计算机病毒是一个程序，一段可执行码。就像生物病毒一样，计算机病毒有独特的复制能力。计算机病毒可以很快地蔓延，又常常难以根除。它们能把自身附着在各种类型的文件上。当文件被复制或从一个用户传送到另一个用户时，它们就随同文件一起蔓延开来。
除复制能力外，某些计算机病毒还有其他一些共同特性：一个被污染的程序能够传送病毒载体。当你看到病毒载体似乎仅仅表现在文字和图像上时，它们可能也已毁坏了文件、再格式化了你的硬盘驱动或引发了其他类型的灾害。若是病毒并不寄生于一个污染程序，它仍然能通过占据存储空间给你带来麻烦，并降低你的计算机的全部性能。
可以从不同角度给出计算机病毒的定义。一种定义是通过磁盘、磁带和网络等作为媒介传播扩散，能“传染”其他程序的程序。另一种是能够实现自身复制且借助一定的载体存在的具有潜伏性、传染性和破坏性的程序。还有的定义是一种人为制造的程序，它通过不同的途径潜伏或寄生在存储媒体（如磁盘、内存）或程序里。当某种条件或时机成熟时，它会自生复制并传播，使计算机的资源受到不同程序的破坏等。这些说法在某种意义上借用了生物学病毒的概念，计算机病毒同生物病毒所相似之处是能够侵入计算机系统和网络，危害正常工作的“病原体”。它能够对计算机系统进行各种破坏，同时能够自我复制，具有传染性。
所以，计算机病毒就是能够通过某种途径潜伏在计算机存储介质（或程序）里，当达到某种条件时即被激活的具有对计算机资源进行破坏作用的一组程序或指令集合。
1.2、计算机病毒的引导过程
一般包括以下三方面。
（1）驻留内存病毒若要发挥其破坏作用，一般要驻留内存。为此就必须开辟所用内存空间或覆盖系统占用的部分内存空间。有的病毒不驻留内存。
（2）窃取系统控制权在病毒程序驻留内存后，必须使有关部分取代或扩充系统的原有功能，并窃取系统的控制权。此后病毒程序依据其设计思想，隐蔽自己，等待时机，在条件成熟时，再进行传染和破坏。
（3）恢复系统功能病毒为隐蔽自己，驻留内存后还要恢复系统，使系统不会死机，只有这样才能等待时机成熟后，进行感染和破坏的目的。
有的病毒在加载之前进行动态反跟踪和病毒体解密。对于寄生在磁盘引导扇区的病毒来说，病毒引导程序占有了原系统引导程序的位置，并把原系统引导程序搬移到一个特定的地方。这样系统一启动，病毒引导模块就会自动地装入内存并获得执行权，然后该引导程序负责将病毒程序的传染模块和发作模块装入内存的适当位置，并采取常驻内存技术以保证这两个模块不会被覆盖，接着对该两个模块设定某种激活方式，使之在适当的时候获得执行权。处理完这些工作后，病毒引导模块将系统引导模块装入内存，使系统在带毒状态下运行。对于寄生在可执行文件中的病毒来说，病毒程序一般通过修改原有可执行文件，使该文件一执行首先转入病毒程序引导模块，该引导模块也完成把病毒程序的其他两个模块驻留内存及初始化的工作，然后把执行权交给执行文件，使系统及执行文件在带毒的状态下运行。
1.3、常见病毒发作症状
（1）屏幕异常滚动，和行同步无关。
（2）系统文件长度发生变化。
（3）出现异常信息、异常图形。
（4）运行速度减慢，系统引导、打印速度变慢。
（5）存储容量异常减少。
（6）系统不能由硬盘引导。
（7）系统出现异常死机。
（8）数据丢失。
（9）执行异常操作。
（10）绑架安全软件，杀毒软件、系统管理工具、反间谍软件不能正常启动。
二、典型病毒分析（包括特征、原理及清除办法）
2.1、特洛伊木马——NetBus
NetBus是一个和著名网络攻击程序Back Orifice类似的网络特洛伊木马程序。它会在被驻留的系统中开一个“后门”，使所有连接到Internet上的人都能神不知鬼不觉地访问到被驻留机器，然后控制者可以恶作剧地随意控制你的鼠标，在你机器上播放声音文件，或者打开你的光驱等，更危险的当然是删除你的文件，让你的机器彻底崩溃。
NetBus由两部分组成：客户端程序（netbus.exe）和服务器端程序（通常文件名为：patch.exe）。要想“控制”远程机器，必须先将服务器端程序安装到远程机器上（如：通过远程机器的主人无意中运行了带有NetBus的所谓特洛伊木马程序）。
特别是NetBus 1.70，它在以前的版本上增加了许多“新功能”，从而使它更具危险性，如NetBus 1.60只能使用固定的服务器端TCP/UDP端口：12345，而在1.70版本中则允许任意改变端口号，从而减少了被发现的可能性；重定向功能（Redirection）更使攻击者可以通过被控制机控制其网络中的第三台机器，从而伪装成内部客户机。这样，即使路由器拒绝外部地址，只允许内部地址相互通信，攻击者也依然可以占领其中一台客户机并对网中其他机器进行控制。
通常，NetBus服务器端程序是放在Windows的系统目录中，它会在Windows启动时自动启动。该程序的文件名是patch.exe，如果该程序通过一个名为whackamole.exe的游戏安装潜伏的话，文件名应为explore.exe或game.exe。可以检查Windows系统注册表，NetBus 会在下面的路径中加入自身启动项项："\HKEY_LOCAL_MACHINESOFTWARE\Microsoft\Windows\CurrentVersion\Run" NetBus通过该注册项实现Windows启动时的自动启动。但如果你按Ctrl+Alt+Del组合键，在任务列表中是看不到它的存在的。
有些木马程序在种木马的同时，感染系统文件，所以即使用以上方法去除了木马，系统文件被运行后，会重新种植木马。即使是防病毒软件，也不一定能彻底清除。
上述木马病毒正确的去除方法见下图：
2.2、震荡波病毒
（1）病毒描述
Sasser病毒，中文名为“震荡波”病毒，也有人称之为“杀手”病毒，这是一种蠕虫病毒。它利用微软WindowsNT内核平台上的LSASS漏洞，随机的扫描其他网络中计算机的IP端口，然后进行传播。
中毒电脑出现机器CPU资源被消耗殆尽、系统反复重启等症状。震荡波病毒的具体破坏方式
是：在本地开辟后门，监听TCP 5554端口，作为FTP服务器等待远程控制命令。病毒以FTP 的形式提供文件传送，黑客可以通过这个端口偷窃用户机器的文件和其他信息。病毒开辟128个扫描线程，以本地IP地址为基础，取随机IP地址，疯狂的试探连接445端口，试图利用windows的LSASS中存在一个缓冲区溢出漏洞进行攻击。一旦攻击成功会导致对方机器感染此病毒并进行下一轮的传播，攻击失败也会造成对方机器的缓冲区溢出，导致对方机器程序非法操作以及系统异常等。
（2）病毒清除
第一步：https://www.doczj.com/doc/9911503246.html,/china/technet/security/bulletin/ms04-011.m spx下载相应的漏洞补丁程序，断网安装。
第二步：清除内存中“avserve.exe”的进程。
第三步：清除在系统安装目录（默认为C:\\WINNT）下avserve.exe的病毒文件和系统目录下（默认为C:\\WINNT\\System32） _UP.exe的病毒文件。
第四步：删除注册表：HKEY_LOCAL_MACHINE\\Software\\Microsoft\\ Windows\\Currentv ersion\\Run项中名为“avserve.exe”的病毒键值。
第五步：重新启动计算机。
2.3、求职信病毒
（1）特征及原理：Worm.Klez.L是一种蠕虫病毒，病毒体内包含大量加密字符串。
由于此病毒能提升自身的运行级别，使得一般程序无法结束或访问它的进程，包括Windows 自带的任务管理器。因此无法手工清除此病毒。
病毒在得到运行后，首先提升自身的运行级别，然后将自己复制到Windows系统目录下，文件名总以Wink开头，同时还会放出一个小病毒体（Win32.Foroux.exe），最后分别运行它们并退出。当病毒被自己再次运行时，它会发现自身已处于系统目录下，此时病毒运行线路发生改变，它不再复制自身，而是创建7个病毒线程，并以系统服务的形式驻留内存。
Worm.Klez.L的最大特点在于其抑制杀毒软件的能力大为提高，甚至包括一些著名病毒（它的早期版本），只要是阻碍Worm.Klez.L传播的软件它都不放过。它通过注册表和内存两方面破坏这些软件。
而Worm.Klez.L还把此进程所对应的程序文件也给删除了。由于杀毒软件和某些工具的代码块或数据块中常包含此类字符串。并且病毒每次轮询的间隔只有64毫秒（加上搜索的时间也不过几秒）。在它之后启动的杀毒软件在单击杀毒按钮前就已被干掉，以至于无法带毒杀毒。
（2）清除办法：
在WINDOWS 95/98/ME系统下的清除：先运行在WINDOWS 95/98/ME系统下的安全模式
下，使用注册表编辑工具regedit将网络蠕虫增加的键值删除：
HKEY_LOCAL_MACHINESof
twareMicrosoftWindowsCurrent VersionRun
和HKEY_LOCAL_MACHINESystemCurrentControlSetServices
要删除的注册表项目是wink——?.exe的键值。
同时还必须相应的将WINDOWS的SYSTEM目录下的该随机文件
Wink——?.exe删除,注意
还必须将回收站清空。删除了相应的病毒文件后，可以重新启动计算机，然后，在KVW3
000的安装目录下执行KVD3000.EXE来清除该病毒。注意一些全部是网络蠕虫的程序或者
文件是需要按照提示完全删除的。
在Windows 2000/XP系统下的清除:
清除方法基本和Windows 95/98/ME系统下的清除方法相同：先以安全模式启动计算机，运行注册表编辑工具，同样删除该网络蠕虫增加的键值：
HKEY_LOCAL_MACHINESystemCurrentControlSetServices,要删除病毒增加的表项是： wink开头的随机的表项。当然你必须记住该项目的具体名称(虽然是随机的),然后在系统目录下将该文件删除。注意该文件是隐含的，必须打开显示所有文件的选择项目才能查看该病毒文件。同样的注册表项还有
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun
2.4、灰鸽子木马病毒
（1）病毒简介、特征及原理
灰鸽子是国内一款著名后门，其丰富而强大的功能、灵活多变的操作、良好的隐藏性使其他后门都相形见绌。“灰鸽子”自2001年诞生之后，2004年、2005年、2006年连续三年被国内杀毒软件厂商列入10大病毒，甚至有些年度位居“毒王”。它的真正可怕之处是拥有“合法”的外衣，可以在网络上买到，客户端简易便捷的操作使刚入门的初学者都能充当黑客。
黑客可以通过此后门远程控制被感染的电脑，在用户毫无察觉的情况下，任意操控用户的电脑，盗取网络游戏密码、银行账号、个人隐私邮件、甚至机密文件等。入侵者在满足自身目的之后，可自行删除灰鸽子文件，受害者根本无法察觉。
灰鸽子远程监控软件分两部分：客户端和服务端。黑客操纵着客户端，利用客户端配置生成出一个服务端程序，名字默认为G_Server.exe。G_Server.exe运行后将自己拷贝到Windows目录下（系统盘的windows目录），然后再从体内释放G_Server.dll和G_Server_Hook.dll到windows目录下。G_Server.exe、G_Server.dll和G_Server_Hook.dll 三个文件相互配合组成了灰鸽子服务端，有些灰鸽子会多释放出一个名为G_ServerKey.dll 的文件用来记录键盘操作。（G_Server.exe这个名称并不固定，它是可以定制的。）Windows目录下的G_Server.exe文件将自己注册成服务，每次开机都能自动运行，运行后启动G_Server.dll和G_Server_Hook.dll并自动退出。G_Server.dll文件实现后门功能，与控制端客户端进行通信；G_Server_Hook.dll则通过拦截API调用来隐藏病毒，因此中毒后查看不到病毒文件及病毒注册的服务项。随着灰鸽子服务端文件的设置不同，G_Server_Hook.dll有时候附在Explorer.exe的进程空间中，有时候则是附在所有进程中。
（2）病毒的清除
清除灰鸽子的服务。
打开HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services注册表项，查找“game.exe”，可以找到灰鸽子的服务项如Game_Server，删除整个Game_Server项。
删除灰鸽子程序文件。
在安全模式下删除Windows目录下的Game.exe、Game.dll、Game_Hook.dll以及Gamekey.dll文件，然后重新启动计算机。
2.5宏病毒
（1）特征及原理：
Word宏病毒是一些制作病毒的专业人员利用MicrosoftWord的开放性即Word中提供的WordBASIC编程接口，专门制作的一个或多个具有病毒特点的宏的集合，这种病毒宏的集合影响到计算机使用，并能通过.DOC文档及.DOT模板进行自我复制及传播。宏病毒与以往的计算机病毒不同，它是感染微软Word文档文件.DOC和模板文件.DOT等的一种专向病毒。宏病毒与以往攻击DOS和Windows文件的病毒机理完全不一样，它以VB（WORDBASIC）高级语言的方式直接混杂在文件中，并加以传播，不感染程序文件，只感染文档文件。也许有人会问：MicrosoftWordforWindows所生成的.DOC文件难道不是数据文件吗？回答既是肯定的又是否定的。.DOC文件是一个代码和数据的综合体。虽然这些代码不能直接运行在x86的CPU上，但是可以由Word 解释执行操作，因此他们的结果是一样的。宏病毒是针对微软公司的字处理软件Word 编写的一种病毒。微软公司的字处理软件是最为流行的编辑软件，并且跨越了多种系统平台，宏病毒充分利用了这一点得到恣意传播。 Word的文件建立是通过模板来创建的，模板是为了形成最终文档而提供的特殊文档，模板可以包括以下几个元素：菜单、宏、格式（如备忘录等）。模板是文本、图形和格式编排的蓝图，对于某一类型的所有文档来说，文本、图像和格式编排都是类似的。
Word提供了几种常见文档类型的模板，如备忘录、报告和商务信件。您可以直接使用模板来创建新文档，或者加
以修改，也可以创建自己的模板。一般情况下，Word自动将新文档基于缺省的公用模板（Normal.dot）。可以看出，模板在建立整个文档中所起的作用，作为基类，文档继承模板的属性，包括宏、菜单、格式等。WORD处理文档需要同时进行各种不同的动作，如打开文件、关闭文件、读取数据资料以及储存和打印等等。每一种动作其实都对应着特定的宏命令，如存文件与FileSave相对应、改名存文件对应着FileSaveAS、打印则对应着Fil_ePrint等。WORD打开文件时，它首先要检查是否有AutoOpen宏存在，假如有这样的宏，WORD就启动它，除非在此之前系统已经被“取消宏（DisableAutoMacros）”命令设置成宏无效。当然，如果Auto Close宏存在，则系统在关闭一个文件时，会自动执行它。
（2）清除方法：
①手工：以Word为例，选取“工具”菜单中“宏”一项，进入“管理器”，选取标题为“宏”的一页，在“宏有效范围”下拉列表框中打开要检查的文档。这时在上面的列表框中就会出现该文档模板中所含的宏，将不明来源的自动执行宏删除即可。
②使用专业杀毒软件：目前杀毒软件公司都具备清除宏病毒的能力，当然也只能对已知的宏病毒进行检查和清除, 对于新出现的病毒或病毒的变种则可能不能正常地清除，或者将会破坏文件的完整性，此时还是手工清理为妙。
2.6蠕虫病毒
（1）特征及原理：
蠕虫病毒不需要将其自身附着到宿主程序，它是一种独立智能程序。有两种类型的蠕虫：主机蠕虫与网络蠕虫。主计算机蠕虫完全包含（侵占）在它们运行的计算机中，并且使用网络的连接仅将自身拷贝到其他的计算机中，主计算机蠕虫在将其自身的拷贝加入到另外的主机后，就会终止它自身(因此在任意给定的时刻，只有一个蠕虫的拷贝运行)，这种蠕虫有时也叫"野兔"，蠕虫病毒一般是通过1434端口漏洞传播。
蠕虫利用的端口是UDP/1434，该端口是SQL Server Resolution服务。Microsoft SQL Server 2000支持在单个物理主机上伺服多个SQL服务器的实例，每个实例操作需要通过单独的服务，不过多个实例不能全部使用标准SQL服务会话会话端口(TCP 1433)，所以SQL Server Resolution服务操作监听在UDP 1434端口，提供一种使客户端查询适当的网络末端用于特殊的SQL服务实例的途径。
当SQL Server Resolution服务在UDP 1434端口接收到第一个字节设置为0x04的UDP包时，SQL监视线程会获取UDP包中的数据并使用此用户提供的信息来尝试打开注册表中的某一键值，如发送x04x41x41x41x41类似的UDP 包，SQL服务程序就会打开如下注册表键：HKLMSoftwareMicrosoftMicrosoft SQL ServerAAAAMSSQLServerCurrentVersion攻击者可以通过在这个UDP包后追加大量字符串数据，当尝试打开这个字符串相对应的键值时，会发生基于栈的缓冲区溢出，通过包含"jmp esp"或者"call esp"指令的地址覆盖栈中保存的返回地址，可导致以SQL Server进程的权限在系统中执行任意指令。
蠕虫溢出成功取得系统控制权后，就开始向随机IP地址发送自身，由于这是一个死循环的过程，发包密度仅和机器性能和网络带宽有关，所以发送的数据量非常大。在绿盟科技安全小组的测试中，和被感染机器在同一网段的每一台分析机每秒钟都收到了近千个数据包。
该蠕虫对被感染机器本身并没有进行任何恶意破坏行为，也没有向硬盘上写文件。对于感染的系统，重新启动后就可以清除蠕虫，但是仍然会重复感染。由于发送数据包占用了大量系统资源和网络带宽，形成Udp Flood，感染了该蠕虫的网络性能会极度下降。一个百兆网络内只要有一两台机器感染该蠕虫就会导致整个网络访问阻塞。
（2）清除方法
修补漏洞，安装最新补丁。(请务必安装补丁，避免二次中毒)
手动清除方法：
第一步，用任务管理器结束avserve进程
第二步，删除windows目录(WINNT、WINDOWS等)下的avserve.exe；查找是否在系统目录(SYSTEM32、SYSTEM)下存在<随机字符>_UP.EXE的文件，如果有则删除
第三步，删除注册表中的键值
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun"avser ve.exe "="%WINDOWS%avserve.exe "
三、结束语
目前计算机病毒种类繁多，而且新的病毒不断出现，本文仅介绍几种常见典型病毒的特征、原理及其清除方法，对于绝大多数病毒我们应严加警惕，实时更新自己的杀毒软件和防病毒工具，只有做到时时预防，时时警惕，才能保证我们的电脑不被攻击。
社会调查报告日志——影响校园不和谐因素 4月25号天气晴 今天天气非常不错，对于报告，以前或许弄过，不过并不是很正规，所以这次让我感觉稍稍有些麻烦，不过没关系，什么事情都是慢慢尝试开来的。在之前社会调查报告题目上报后，开始备案和构思。首先当然要从整个调查的背景和意义出发。所以我开始找资料和思考。希望这此报告能顺利完成 晚上通知调查组内同学开会讨论，确定社会调查报告的方向及调查对象，调查时间，调查方式，包括范围，大家对调查内容进行积极讨论，并提出许多看法及意见，当然还有一些疑问我们尚且没完全弄清，像问卷调查方式或是访谈方式的选择，照片的拍摄注意事项，报告的注意问题及格式我们都一知半解。 之后我四处找人了解报告的写法，问卷的内容设计，规格及注意事项，还有照片拍摄的要求，规范及数量，问了很多人，最后终于从弄过的学姐处确定了上述的问题。有时我也会询问再弄调查同学的进况以期了解得更加清楚。 最近晚上自己一直在查资料，确定搜索对象然后一个个查下来，晚上都能查到十一、二点，有时真觉得这个比读书还累，没办法，抱怨并不会有什么用，继续fighting吧！满世界的百度谷歌开始了，逛
网站，浏览贴吧，凡是能找的地方我都会去，颈椎开始痛了，脖子要掉下来了，手也酸了，吃不消了，睡觉吧，不然明天起来要黑眼圈了呀 4月28日天气晴由于之前制定调查计划，并进行修改完善，确定各项日程表（主要是大致时间）以及各事项先后顺序，前两天和组内同学讨论通过并且每个人都分配好各自任务，组织整理资料，编辑，拍照，修改及完善的分配，还有问卷的分配同时规定完成的大致时间，我主要承担了资料及照片的工作。 今天趁着有时间加上天气不错，出去做问卷，问卷是组内同学设计的，包括单选及多选还有论述，看起来是经过精心安排的，问题简单易懂不需考虑太久，比较切合实际能够反映人们对我们课题的看法。 上午我12点到了教学楼平台处，然后开始拿出问卷干活了，走到下课的学生人群中问道：“你好，请问能占用您几分钟时间吗”“不好意思，我是大学生，能不能帮忙配合一下做个问卷呢”在人来人往的熙攘中发放抽查，大多数人赶着匆忙的脚步，不太愿意停留下来花时间填问卷，并对问卷显示出兴趣，略有所思地答了起来，碰到不太确定的会斟酌一小会儿，答完后笑着把问卷还给我，看得出是认真参与的，我对这些人也非常感谢，回报以善意真诚的笑容。时间一分一
4、请给出一个计算机病毒的样本，并剖析其工作原理。没有计算机病毒样本数据的同学，可以求助于老师。（20分） 举一个“hello word”例子。 下面是一个简单的DOS批处理病毒源程序autoexec.bat（假设从A盘启动）：程序语句程序注解 IF exist c:\\autoexec.bat goto Virus REM 首先检查时机 Goto No_Virus REM 若时机不成熟则潜伏 :Virus REM 时机成熟时（子程序） c: REM 转到C盘 ren autoexec.bat auto.bat REM 将正常文件改名，准备冒名顶替 copy a:\\autoexec.bat c:\\ REM 自我复制，开始繁殖 echo Hello Word! REM 病毒发作，表现症状 :No_Virus REM 正常程序入口 a: REM 转回A盘 /auto REM 执行正常程序 pause REM 暂停等待按任意键继续 这个程序非常简单，但却包含了计算机病毒的典型结构，引导部分、传染部分、激发部分等五脏俱全。其触发机制是：C盘存在autoexec.bat文件，当我们用带有此病毒的启动软盘启动微机时，若C盘也有autoexec.bat文件，则病毒将C盘原autoexec.bat文件改名为auto.bat，把自身复制到C盘并显示“Hello Word！”。如果按以前的分类，它可以算是个良性病毒（但再良的病毒都要占用系统资源）。当然它还无加密和没有严重破坏系统的行为，但要是把echo Hello Word！改为format c:或deltree c:/y等那就……糟了~~~
计算机病毒的特点有哪些 计算机病毒也是一台电脑一台电脑的传染，也有他的传播途径，比如现在大部分恶意病毒(有些其实不能算病毒，算是恶意程序)通过下载传播的，一起来看看计算机病毒的特点有哪些，欢迎查阅! 计算机病毒的特征、分类与防治 1计算机病毒的概念 计算机病毒(Computer Viruses CV)：是一种人为编制的具有破坏作用的计算机程序。2计算机病毒的的特征(特点) 破坏性 传染性 隐蔽性 潜伏性 可激发性 3计算机病毒的分类 ①根据病毒存在的媒体分类 根据病毒存在的媒体，病毒可以划分为网络病毒，文件病毒，引导型病毒 ②根据病毒破坏的能力分类 无害型：除了传染时减少磁盘的可用空间外，对系统没有其它影响。 无危险型：这类病毒仅仅是减少内存、显示图像、发出声音及同类音响。 危险型：这类病毒在计算机系统操作中造成严重的错误。 非常危险型：这类病毒删除程序、破坏数据、清除系统内存区和操作系统中重要的信息。 ③根据病毒特有的算法分类 伴随型病毒：这一类病毒并不改变文件本身，它们根据算法产生EXE文件的伴随体，具有同样的名字和不同的扩展名(COM)，例如：XCOPY.EXE的伴随体是 https://www.doczj.com/doc/9911503246.html,。 “蠕虫”型病毒：通过计算机网络传播，不改变文件和资料信息，利用网络从一台机器的内存传播到其它机器的内存，计算网络地址，将自身的病毒通过网络发送。有时它们在系统存在，一般除了内存不占用其它资源。
寄生型病毒：除了伴随和“蠕虫”型，其它病毒均可称为寄生型病毒，它们依附在系统 的引导扇区或文件中，通过系统的功能进行传播，按算法分为： 练习型病毒：病毒自身包含错误，不能进行很好的传播，例如一些病毒在调试阶段， 还不具备发作的条件。 诡秘型病毒：它们一般不直接修改DOS中断和扇区数据，而是通过设备技术和文件 缓冲区等DOS内部修改，不易看到资源，使用比较高级的技术。利用DOS空闲的数 据区进行工作。 变型病毒(又称幽灵病毒)：这一类病毒使用一个复杂的算法，使自己每传播一份都具 有不同的内容和长度。 4计算机病毒的防治。 ①病毒的防范 计算机病毒的传播途径主要有两个：软盘和网络。要防止病毒的侵入，就要以预防为主，堵塞病毒的传播途径。 ②病毒的检测和消除 检测和消除病毒的方法有两种，一是人工检测和消除，一是软件检测和消除。 计算机病毒的特点 01 计算机病毒的程序性。计算机病毒与其他合法程序一样，是一段可执行程序，但它不 是一个完整的程序，而是寄生在其他可执行程序上，因此它享有一切程序所能得到的权力。在病毒运行时，与合法程序争夺系统的控制权。计算机病毒只有当它在计算机 内得以运行时，才具有传染性和破坏性等活性。 02 计算机病毒的传染性。在生物界，病毒通过传染从一个生物体扩散到另一个生物体。 在适当的条件下，它会大量繁殖，井使被感染的生物体表现出病症甚至死亡。同样， 计算机病毒也会通过各种渠道从已被感染的计算机扩散到未被感染的计算机，在某些 情况下造成被感染的计算机工作失常甚至瘫痪。 03 计算机病毒的潜伏性。一个编制精巧的计算机病毒程序，进入系统之后一般不会马上 发作，可以在几周或者几个月内甚至几年内隐藏在合法文件中，对其他系统进行传染，
篇一：暑假社会调查报告日记 ２0１1年７月25日周一晴 今天由于要去社区进行大学生就业创业得调查报告，所以早上起了个大早！社区居委会得人员到八点才上班,所以我在七点五十准时从家里出发,到地方得时候她们得两个工作人员已经到了。我就把我做这份调查得内容、原因及目得给她们解释了一下，她们听后表示很支持我进行得这份调查,并且给我盖了章。把这一切得前序工作做好得时候已经快九点了,剩下得时间我 就开始在我们建蒲小区进行调查。 调查过程不能说有多顺利吧,因为我要一家一家得敲门,有得家里都没人,就算家里有人得家里也不一定有我要调查得对象。如果家里有符合我要调查得对象，我就耐心得给她们讲讲我做这份调查得内容、原因及目得。还好最后她们都欣然得表示愿意配合调查。与她们说好了明天我来收调查报告表。但就是这样得速度就是比较慢得,一直到中午才找到了五个符合要求得人。于就是只好等下午再继续在社区内进行调查。 很快就到了下午,下午得调查比上午快了一些,可能就是因为上午已经有了一定得经验吧。我 两点半开始工作，到四点半就又找到了五个符合要求得人,与她们或者她们得家人交代好说明天我来取报告表。然后这一天得工作就算就是结束了,回家去好好得想了想今天所做得,觉得 还算可以,十份得调查报告都发出去了,就等着明天去收表了。 晚上早早得休息了,然后一夜好眠。2011年７月26日周二雨 一大早起床就感觉天气很阴沉。这夏天得天气真得就是想娃娃得脸呀,说变就变。还就是早上七点五十从家出发，不同得就是今天没有往区委会跑,而就是直接去各家收我得调查报告了。每收一份都对她们表示感谢她们配合我得工作,她们都会很客气得说没事得，不麻烦！这让我心里觉得热热得，还就是我们家乡人可爱可亲呀(嘿嘿,这都属于题外话了)！ 收得很快,九点半就收齐到家了。到家之后开始整理收上来得调查问卷,对该做得统计都统计 得下,连我爸妈也加入了帮我统计得队伍中了去。所以到了下午五点各种数据都已经出来了, 只剩下写调查报告了。而调查报告我则放在了明天再写。 自己表示对今天得工作还算满意,剩下得就就是明天写调查报告了,这个就是个重点,不能掉以轻心。 ２01１年7月27日周三阴 今天没有起太早，八点才起床。洗漱好之后瞧就是写调查报告,在写之前先在网上查了一下人家得范文格式,知道了格式之后自己才开始写报告。 在写报告得过程中还用到了表格,有得不太会弄还就是在百度上搜索了怎么画表格才在最后弄出来了。 这个假期得这份调查报告算就是整出来了，接下来得几天可以放松一下了。篇二:社会调查报告日志 社会调查报告日志——朱家尖旅游现状及发展前景调查 8月８日天气晴 今天天气非常不错，因为之前有事没有时间进行调查报告稿,所以一直拖到现在,不过想想也 还就是来得及得,对于报告,以前或许弄过,不过并不就是很正规,所以这次让我感觉稍稍有些 麻烦,不过没关系,什么事情都就是慢慢尝试开来得。在之前社会调查报告题目上报后，开始 备案与构思。首先当然要从整个调查得背景与意义出发。所以我开始找资料与思考。希望这此报告能顺利完成 晚上通知调查组内同学开会讨论,确定社会调查报告得方向及调查对象，调查时间，调查方式,包括范围，大家对调查内容进行积极讨论,并提出许多瞧法及意见，当然还有一些疑问我们尚且没完全弄清,像问卷调查方式或就是访谈方式得选择，照片得拍摄注意事项，报告得注意问题及格式我们都一知半解,还要向弄过得学长学姐请教。 之后我四处找人了解报告得写法,问卷得内容设计,规格及注意事项,还有照片拍摄得要求,规 范及数量,问了很多人,最后终于从弄过得学姐处确定了上述得问题。有时我也会询问再弄调 查同学得进况以期了解得更加清楚。
历史上经典的计算机病毒有哪些 在当今历史上一些经典的计算机病毒有哪些呢？小编告诉你，有很多经典实例，下面由小编给你做出详细的历史上经典的计算机病毒介绍!希望对你有帮助! 历史上经典的计算机病毒介绍： 一、微软WMF漏洞被黑客广泛利用,多家网站被挂马 二、敲诈者 三、病毒假冒工行电子银行升级 四、魔鬼波病毒爆发 五、光大证券网站多款软件被捆绑木马 六、威金病毒大闹互联网 磁碟机、熊猫烧香、AV终结者、机器狗、灰鸽子，
电脑中毒了解决方法： 解释下用正版瑞星杀毒以后很多.exe的文件都被删除掉了 很多病毒都是感染可执行程序的破坏后使文件损坏 病毒一般不感染小型文件，病毒的源代码内有很多变量可控比如熊猫烧香的源代码(楼主去网上看看，蛮经典的--有分析) 杀毒的时候提示：windows 无法访问指定设备，路径或文件。您可能没有合适的权限访问这个项目。 只是由于病毒破坏了系统文件的缘故(建议备份重要文件后重新安装) 而且卡卡助手经常提示阻止了一些网页后缀都是.down的! 很明显这是木马下载器在向指定的网站下载病毒和木马
重装系统后C盘的病毒就没有了，但是其他盘可能有病毒的残留。但病毒已经不会随系统进程启动了。下载360后便可清除病毒残留 重新做系统也没用!各种版本的XP全试了!真郁闷~! 引导区的病毒会导致这种情况，用瑞星最新更新的病毒库因该可以搞定 重做系统没用，你用GHOST还原搞的吗?还是安装盘? 如果使还原系统一般不可靠，病毒会感染还原软件 我看你好像没什么重要文件，先把全部硬盘格式化后再安装系统比较理想。系统装好后下个杀软全盘杀一遍 (到安全模式中也行) 就这么多了，因该可以解决
2012.4 37 计算机病毒行为特征的 检测分析方法 谢辰 国际关系学院 北京 100091 摘要：在研究计算机病毒之前，如果我们能先对被研究病毒的行为特征有足够的了解，那么对于之后的反汇编代码分析以及查杀工作都会起到事半功倍的效果。本文先介绍了计算机病毒行为特征，然后通过实验的方法，利用虚拟机和软件分析技术，从动态和静态两个角度，以new orz.exe 病毒为例，来阐述和总结检测分析计算机病毒行为特征的方法。 关键词：计算机病毒；行为特征；虚拟机；软件分析技术 0 引言 随着互联网技术的日渐普及和高速发展，全球化通信网络已经成为大势所趋。但网络在提供巨大便利的同时，也存在种种安全隐患和威胁，其中危害最大影响最广的莫过于计算机病毒。在网络带宽不断升级的今天，计算机病毒的传播速度和变种速度也随之加快，问题也越来越严重，引起了人们的广泛关注，并成为当前计算机安全技术研究的热点。据国内外各大反病毒公司统计，2008 年截获的各类新病毒样本数已经超过1000万，日均截获病毒样本数万。对于现如今计算机病毒变种的不断增加，反计算机病毒的一个研究方向便是怎样在不对病毒汇编代码分析的前提下，分析出已知或未知的计算机病毒的全部行为特征。 1 计算机病毒行为特征 (1) 传染性 传染性是计算机病毒最重要的特征，是判断一段程序代码是否为计算机病毒的依据。计算机病毒是一段人为编制的计算机程序代码，这段程序代码一旦进入计算机并得以执行，它会搜寻其他符合其传染条件的程序或存储介质，确定目标后再将自身代码插入其中，达到自我繁殖的目的。是否具有传染性是判别一个程序是否为计算机病毒的重要条件。 (2) 非授权性 病毒隐藏在合法程序中，当用户调用合法程序时窃取到系统的控制权，先于合法程序执行，病毒的动作、目的对用户是未知的，是未经用户允许的。 (3) 隐蔽性 病毒一般是具有很高编程技巧、短小精悍的程序，它们一般附着在合法程序之中，也有个别的以隐含文件形式出现，目的是不让用户发现它的存在。如果不经过代码分析，病毒程序与合法程序是不容易区别开来的。 (4) 潜伏性 大部分的病毒传染系统之后一般不会马上发作，它可长期隐藏在系统中，只有在满足其特定条件时才启动破坏模块。如著名的在每月26日发作的CIH 病毒。 (5) 破坏性 病毒可分为良性病毒与恶性病毒。良性病毒多数都是编制者的恶作剧，它对文件、数据不具有破坏性，但会浪费系统资源。而恶性病毒则会破坏数据、删除文件或加密磁盘、格式化磁盘等。 (6) 不可预见性 从对病毒检测方面看，病毒还有不可预见性。不同种类的病毒，它们的代码千差万别。虽然反病毒技术在不断发展，但是病毒的制作技术也在不断的提高，病毒总是先于相应反病毒技术出现。 (7) 可触发性 计算机病毒一般都有一个或者几个触发条件。如果满足其触发条件，将激活病毒的传染机制进行传染，或者激活病毒的表现部分或破坏部分。病毒的触发条件越多，则传染性越强。
市场营销实训报告及日志
————————————————————————————————作者：————————————————————————————————日期： 2
实训报告总结 一、实训目的 通过本阶段的实训,培养我们的具体营销策划能力. 主要培养以下能力: 1.培养企业运作与管理的理念与运用营销策划理论的能力; 2.培养创新精神与创新管理能力; 3.培养观察环境,配置资源,制定计划的能力; 4.培养分析界定问题,科学决策的能力; 5.培养分析组织结构,协调职权关系,制定组织规范的能力; 6.培养树立权威,有效指挥的能力; 7.培养协调关系和与他人沟通的能力; 8.培养对工作有效控制的能力; 9.培养搜集与处理信息的能力,特别是利用网上资源的能力; 10.总结与评价的能力. 二、实训内容 Simmarketing是以营销理论模型为基础以情景模拟为手段的教学工具可以让我们在复杂的模拟现实环境中演练学到的各种理论知识，充分体验企业从市场调查、竞争企业分析、营销战略制订到具体的营过程，熟悉和了解各种
市场调研预测工具销战术的决策组织的全部的应用。而本次课设我们小组以实验中的NEO公司为名以化妆品和手机为主打进行了6个季度的演练，从营销战略的高度考虑问题，并且在模拟的过程中不断地分析市场环境、实施和修正我们自己的营销策略，从中获分析对手的策略、然后组织益匪浅。 起初做的时候，我们都云里雾里的，不知从何入手，后来经过老师的讲解之后，大概知道该如何做了。 现在介绍我们组的营销实施步骤。由于科学技术的不断发展，手机消费者的消费理念日渐向理性与个性化方向发展，在模拟市场里我们和其他小组在围绕手机产品的竞争非常激烈。如何在激烈的市场竞争中不陷入价格战和同质化的泥潭是我们一直在面对的问题，以下从四个阶段分析我们小组的市场运行： 在第一季度的时候，我们公司就推出了一项新产品。其推广诉求点侧重于技术的先进性和高科技所带来的生活 便利性，但由于我们要求过高产品定价较为合理而且研发了新产品“NEOC”，股票也随之有所上升，第一季度下来我们保持了第四的优势，但成本的原因优势不明显。对于该产品，我们将其定位为外观追求型的。相对于另外两种产品---时间管理型和个人交往型的两款手机来说，这款新推出的手机处于中等水平。我们认为这样就占据了手机市场的不同档次级别的市场。不论消费者需要什么样的手机，都能购买到我
计算机病毒处理常用办法 1、预防病毒的好习惯 1）建立良好的安全习惯。 对一些来历不明的邮件及附件不要打开，不要上一些不太了解的网站、不要执行从Internet 下载后未经杀毒处理的软件，不要共享有读写权限的文件夹或磁盘，机器间文件的拷贝要先进行病毒查杀； 2）经常升级安全补丁。 一部分病毒是通过系统安全漏洞进行传播的，像红色代码、尼姆达、SQL Slamer、冲击波、震荡波等病毒，我们应密切关注病毒、漏洞预警，即使修补系统漏洞补丁； 3）使用复杂的用户口令。 有许多病毒是通过猜测用户口令的方式攻击系统的。因此使用复杂的口令，会提高计算机的病毒防范能力；一般来讲，复杂的口令须具备：长度8位或8位以上，口令中必须含字母、数字而且字母分大小写； 4）迅速隔离受感染的计算机。 当计算机发现病毒或异常时应立刻断网，以防止计算机受到更多的感染，或者成为传播源； 5）了解一些病毒知识。 这样可以及时发现新病毒并采取相应措施，使自己的计算机免受病毒破坏。如果能了解一些注册表知识，就可以定期看一看注册表的自启动项是否有可疑键值；如果了解一些内存知识，就可以经常看看内存中是否有可疑程序。 6）安装专业的防毒软件进行全面监控。 在病毒日益增多的今天，应该使用防病毒软件进行病毒防范，在安装了防病毒软件之后，还要经常进行病毒库的升级，并打开实时监控（如文件双向监控）器进行监控。 2、怎样区别计算机病毒与故障 在清除计算机病毒的过程中，有些类似计算机病毒的现象纯属由计算机硬件或软件故障引起，同时有些病毒发作现象又与硬件或软件的故障现象相类似，如引导型病毒等。这给用户造成了了困惑，许多用户往往在用各种病毒软件查不出病毒时就去格式化硬盘，不仅影响了工作、减少了硬盘的寿命，而且还不能从根本上解决问题。所以，有必要正确区分计算机的病毒与故障，下面的经验供用户参考： 1）计算机病毒的现象 在一般情况下，计算机病毒总是依附某一系统软件或用户程序中进行繁殖和扩散，病毒发作时危及计算机的正常工作，破坏数据与程序，侵犯计算机资源。计算机在感染病毒后，往往有一定规律性地出现一些异常现象，比如： A. 屏幕显示异常。屏幕显示出不是由正常程序产生的画面或字符串, 出现显示混乱现象； B. 程序装载时间明显增长, 文件运行速度显著下降； C. 用户没有访问的设备出现异常工作信号； D. 磁盘出现莫名其妙的文件和坏块, 卷标发生变化； E. 系统自行引导； F. 丢失数据或程序, 文件字节数发生变化； G. 内存空间、磁盘空间异常减小； H. 异常死机或自动重启； I. 磁盘访问时间比平时明显增长； J. 系统引导时间明显增长。 2）与病毒现象类似的硬件故障 硬件的故障范围不太广泛，比较容易确认，但在处理计算机异常现象时易被忽略。排除硬件故障是解决问题的第一步。
病毒样本分析实例 0×01事件经过 2016年2月26日，一个网络安全相关的QQ群内，一名用户分享了一份名为“网络安全宝典.chm”的电子书供大家下载，网络安全工程师Bfish自然地下载了这本电子书，打算简单翻阅后决定是否收藏。当Bfish打开这个才12K大小的电子书时，感知到了计算机的异常行为，这让他意识到：这本电子书有问题。 在解开这份CHM文档后，网络安全工程师在一个html页面中找到了原因：这个电子书中的某个HTML页面内，嵌入了一段恶意代码，它可以下载一个PowerShell脚本并执行。顺藤摸瓜，Bfish最终确认了这是一个针对特定人群，以盗取用户帐号密码、文档资料为目的恶意攻击事件。这段CHM恶意代码如同幽灵一样被执行并作恶，故将此称之为幽灵电子书（ChmGhost）。 0×02主要危害 通过电子书散播，攻击受众有很强的群体性，对特定人群发起攻击简直易如反掌，而且电子书“诱饵”更容易迷惑大众。 目前看到的攻击代码，主要的危害为窃取用户隐私：Windows账户信息 和密码、各类应用程序的密码、计算机基本信息、屏幕截图、网络配置 和Wi-Fi信息、各类文档，造成用户敏感信息和资料泄漏。这些资料的 泄漏伴随着商业机密泄漏的风险，后续或造成更大的损失。 另外，攻击时所用的恶意代码，无论是二进制还是脚本，几乎都来自网络下载，攻击可以随时开启和关闭，攻击手法、攻击目的也都可以变化，这个“后门”的潜在危害也相当之大。
2月26日发现的CHM的标题是网络安全相关的，并且在网络安全相关的QQ群内散播，表明攻击者的目标是网络安全从业和对网络安全感兴趣的、有一定计算机安全基础的群体，但就算如此，仅一天时间就已经有多名受害者，如果攻击者转到其他领域，受众群体应该会更没有感知能力，危害也将更大。 0×03攻击实施纵览 0×04详细技术分析
阅读精选（1）： 计算机病毒的特点有：寄生性、传染性、潜伏性、隐蔽性、破坏性、可触发性等，本文将为您详细介绍计算机病毒的特点以及预防措施。 寄生性 计算机病毒寄生在其他程序之中，当执行这个程序时，病毒就起破坏作用，而在 未启动这个程序之前，它是不易被人发觉的。 传染性 潜伏性 有些病毒像定时炸弹一样，让它什么时间发作是预先设计好的。比如黑色星期五 病毒，不到预定时间一点都觉察不出来，等到条件具备的时候一下子就爆炸开来，对系统进行破坏。一个编制精巧的计算机病毒程序，进入系统之后一般不会立刻发作，因此病毒能够静静地躲在磁盘或磁带里呆上几天，甚至几年，一旦时机成熟，得到运行机会，就又要四处繁殖、扩散，继续为害。潜伏性的第二种表现是指，计算机病毒的内部往往有一种触发机制，不满足触发条件时，计算机病毒除了传染外不做什么破坏。触发条件一旦得到满足，有的在屏幕上显示信息、图形或特殊标识，有的则执行破坏系统的操作，如格式化磁盘、删除磁盘文件、对数据文件做加密、封锁键盘以及使系统死锁等； 隐蔽性 计算机病毒具有很强的隐蔽性，有的能够透过病毒软件检查出来，有的根本就查 不出来，有的时隐时现、变化无常，这类病毒处理起来通常很困难。 破坏性 计算机中毒后，可能会导致正常的程序无法运行，把计算机内的文件删除或受到 不一样程度的损坏。通常表现为：增、删、改、移。 可触发性 病毒因某个事件或数值的出现，诱使病毒实施感染或进行攻击的特性称为可触发性。为了隐蔽自我，病毒务必潜伏，少做动作。如果完全不动，一向潜伏的话，病毒既不能感染也不能进行破坏，便失去了杀伤力。病毒既要隐蔽又要维持杀伤力，它务必具有可触发性。病毒的触发机制就是用来控制感染和破坏动作的频率的。病毒具有预定的触发条件，这些条件可能是时间、日期、文件类型或某些特定数据等。病毒运行时，触发机制检查预定条件是否满足，如果满足，启动感染或破坏动作，使病毒进行感染或攻击；如果不满足，使病毒继续潜伏。 阅读精选（2）： 计算机病毒一般具有以下特性： 1．计算机病毒的程序性（可执行性） 计算机病毒与其他合法程序一样，是一段可执行程序，但它不是一个完整的程序，而是寄生在其他可执行程序上，
系统需求分析和概要设计 1 系统需求分析 1.1 开发背景 过去很多人都喜欢写文章写日记以及交流自己的文章和作品，以求实现相互间的沟通、展现自己的才华和让别人了解自己的想法观点。现在的网络已经成为人们生活中不可或缺的一个元素，所以自然而然诞生了博客这样一个新兴事物，它不仅仅能取代前面所说的功能，还能加入图片，而且使得作者更能无所拘束地生动地写出自己想写的，旁人也能非常便捷地阅读并且加以评论，并且它还能作为展示个人个性的窗户。个人博客现在已经成为很多人生活中必不可少的一个部分，方便了人与人之间的沟通和交流。 1.2 系统实现目标概述 基于个人博客以上的特点，本系统要实现个人博客的主要基本功能有主界面，博客用户登录发表文章（心情、日志），用户登录/退出，游客发表评论，分页浏览文章和评论等。这里其中比较主要的是区分了个人博客用户和游客。博客用户可以在任何时候写下自己的主张，记录下自己的点点滴滴。而游客主要的权限是阅读博客所有注册用户写的文章，阅读后可以发表评论和留言，还可以分页浏览所有注册用户上传的图片。以上是个人博客的系统功能目标，当然由于个人博客的网络流行特点以及个人个性的展示，还适当要求界面比较漂亮轻快，直观便捷，操作方式简单以及人性化。 1.3 系统功能需求 根据对系统的特点和应用的分析，可以得到本系统主要有如下功能： （1）登录 这部分功能又分为用户登录、用户退出两个部分。 登录：主要用于验证博客网站用户信息的真实身份，以便对博客网站进行管
理和维护。通过系统管理员写入的用户名，密码登录到网站。网站检测用户的用户名，密码并给予其相应的权限对博客网站进行操作。 用户退出：已经登陆的用户可以退出，释放自己所占有的各种信息资源。 （2）文章管理 文章管理主要有文章的发表、查询、浏览、评论和删除功能。 博客的系统管理员除了可以查询、浏览和评论文章外，还可以对系统中的所有文章以及评论进行修改、删除操作。这些维护和管理拥有最高权限，并且系统自动更新在服务器端数据库中的数据。 文章的发表：博客用户可以发表自己的文章，文章包括主题、正文、表情、图片等信息，作者通过各种元素来展示自己的想法和思想。系统接受这些信息并且存储在服务器端的数据库中。 文章的删除：博客用户可以删除自己已经发表的文章内容和各项信息，系统自动在服务器端数据库中删除这些记录。 文章的浏览：游客和博客用户根据所获得的用户权限获取服务器端数据存储的各篇文章并且浏览阅读文章的所有信息，包括标题、正文、表情、图片以及其它读者的留言评论。 文章的评论：文章的读者可以评论和回复所阅读的文章，发表自己的看法。系统自动将这些评论存储在服务器端的数据库中，并且可供博客作者以及其它读者浏览。 文章的查询：博客用户可以按文章题目或作者来查询想要查的文章。 文章中还可能包含一些图片视频等多媒体,所以文章管理中还包含了网站中媒体的管理。 媒体管理有添加，浏览、删除和查询功能。博客用户可以添加自己喜欢的图片或视频等，还可以查询和浏览系统中的所有媒体信息。游客只能浏览博客系统中的媒体信息。系统管理员拥有以上的所有权限，除此之外还可以删除媒体信息。 （3）博客管理员管理 博客管理员可以添加、删除新用户，用户的角色又分为订阅者、作者、编辑、投稿者、管理员。 还可以对博客主页的外观、博客使用的插件、工具进行添加、删除、设置。
《缉拿真凶──计算机病毒》教学案例 随着信息时代的到来，计算机已经走入千家万户，在我们使用的过程中，肯定出现过许多异常现象。到底是什么原因引起计算机工作异常呢？相信大部分学生都比较感兴趣。因此以此为切入点，引入新课。 但本课的容理论性较强，对于五年级的学生来说，如果用常规教学的模式来讲，就会显得枯燥无味。而且小学生一堂课上的注意力时间很短，所以本节课采取了角色扮演的形式，小组分工协作的方法，利用网络平台自主获取信息，处理信息的学习方式贯穿本节课。 【教学目标】 ·计算机病毒的定义。 ·了解计算机病毒的特点和危害。 ·当前计算机病毒传播的途径。 ·掌握预防计算机病毒的方法。 【教学重点】 ·了解计算机病毒的特点 ·知道计算机病毒的传播算途径 【教学难点】
掌握预防计算机病毒的方法 【课外延伸】 了解病毒、木马、黑客的关系。 【教学方法】 1．角色扮演 2．利用网络进行自主学习。 3．小组合作、互助。 【教学模式】 引课──小组分工──上网自主学习──小组获取信息、加工处理信息──各组汇报结果──师评、生评──归纳总结──德育渗透 【情感目标】 ·培养学生的信息安全意识。 ·培养学生正确的网络道德观。 ·培养学生团队合作精神。 【能力目标】 ·培养学生获取信息的能力、处理信息的能力。
·培养学生利用网络自主学习的能力。 【教学课时】 1课时 课前：在课间准备活动时，学生按顺序走进教室，播放杜娟唱歌的音乐，给学生制造轻松的气氛，并且预示大家准备上课了。 一、引课 师：同学们好 生：老师好 师：我有一个愿望，想与你们做朋友，因为你们的眼神告诉我你们很会学习，会捕获知识，而且你们是一个团结的集体，这让我非常喜欢们。 师：我呢，平时，喜欢在网上学习，下载软件，欣赏动漫。昨天我下载了一首我儿时最喜欢的歌曲，今天要与你们一起欣赏。 （播放课件，蓝精灵MV）----（播放到一半，突然计算机报错，提示需重新启动）（冲击波病毒症状） 师：嗯？怎么回事？谁的眼睛最亮，能不能告诉我们大家，刚才发生了什么奇怪的现象？ 生：回答刚才看到的奇怪现象。
浅谈计算机病毒的检测技术 摘要：在互联网高速发展的今天，计算机病传染性越来越强，危害性也越来越大。计算机病毒的检测方法主要有长度检测法、病毒签名检测法、特征代码检测法、检验和法、行为监测法、感染实验法、病毒智能检测法等。本文对其特点以及优缺点逐一进行了叙述。 关键词：计算机病毒检测技术 一、引言 Internet改变了人们的生活方式和工作方式，改变了全球的经济结构、社会结构。它越来越成为人类物质社会的最重要组成部分。但在互联网高速发展的同时，计算机病毒的危害性也越来越大。在与计算机病毒的对抗中，早发现、早处置可以把损失降为最少。因此，本文对计算机病毒的主要检测技术逐一进行了讨论。计算机病毒的检测方法主要有长度检测法、病毒签名检测法、特征代码检测法、检验和法、行为监测法、感染实验法、病毒智能检测法等。这些方法依据原理不同，检测范围不同，各有其优缺点。 二、计算机病毒的检测方法 (1)长度检测法 病毒最基本特征是感染性，感染后的最明显症状是引起宿主程序增长，一般增长几百字节。在现今的计算机中，文件长度莫名其妙地增长是病毒感染的常见症状。长度检测法，就是记录文件的长度，运行中定期监视文件长度，从文件长度的非法增长现象中发现病毒。知道不同病毒使文件增长长度的准确数字后，由染毒文件长度增加大致可断定该程序已受感染，从文件增长的字节数可以大致断定文件感染了何种病毒。但是长度检测法不能区别程序的正常变化和病毒攻击引起的变化，不能识别保持宿主程序长度不变的病毒。 (2)病毒签名检测法 病毒签名(病毒感染标记)是宿主程序己被感染的标记。不同病毒感染宿主程序时，在宿主程序的不同位置放入特殊的感染标记。这些标记是一些数字串或字符串。不同病毒的病毒签名内容不同、位置不同。经过剖析病毒样本，掌握了病毒签名的内容和位置之后，可以在可疑程序的特定位置搜索病毒签名。如果找到了病毒签名，那么可以断定可疑程序中有病毒，是何种病毒。这种方法称为病毒签名检测方法。但是该方法必须预先知道病毒签名的内容和位置，要把握各种病毒的签名，必须解剖病毒。剖析一个病毒样本要花费很多时间，是一笔很大的开销。 (3)特征代码检测法
一.专业病毒分析师对提交的可疑文件进行分析的流程： 1.通过虚拟机模拟可疑文件的运行，检测他的动作。 2.反编译程序，通过汇编语言判断程序的性质 3.病毒分析师需要有熟练的各种分析软件的操作能力，还需要有强的汇编言知识，还需要对windows中程序底层运行方式有一定的了解 二.病毒的行为大致上分为4种: 1.对文件的操作 2.对注册表的的操作 3.对进程的操作 4.联网行为 所以，就要有分析这4种行为的工具. 三.具体分析过程 No.1 监视方法分析病毒. 分析过程中用到了大量的工具,这些工具分为专一型的，综合型的. ◆专一型的监视工具: 文件监视:FileMon 注册表监视:RegMon、Regsnap 进程监视:ProcView 网络监视:TcpView ◆综合型的监视工具: SSM:文件、注册表、进程、网络监视 E盾:文件、注册表、进程、网络监视 ProcMonitor:文件、注册表、进程监视 ◆内核分析、监视工具: 由于病毒大都会用内核方法隐藏自己，所以需要内核分析工具,常用的内核分析工具有下面的: IceSword SnipeSword Wsyscheck （推荐） ◆系统辅助分析工具: 其实有很多杀毒软件附带的工具就是很好的分析工具，举几个软件说下: 360安全卫士
卡卡上网安全助手 金山清理专家 ◆系统诊断工具: Sreng扫描报告 360安全卫士诊断工具 卡卡上网安全助手 瑞星听诊器 No.2反编译、调试方法分析病毒. 这种方法需要有更多的基础知识，需要了解系统内部工作原理和汇编语言.并且工具的运用也需要很多的训练… ※查壳工具 Peid FFI ※脱壳工具 FFI 各种壳的专用脱壳工具 ※反编译工具 W32dasm C32asm IDA pro ※文件hash校验工具 Hash HashCalc ※动态调试工具 OllyDbg SoftIce(这个比较难用) ※文件编辑工具
计算机病毒的传播方式以及应对方法 摘要：目前计算机的应用遍及到社会各个领域，同时计算机病毒也给我们带来了巨大的破坏力和潜在威胁，为了确保计算机系统能够稳定运行以及信息的安全性，了解计算机病毒的一些特征、传播方式及防范措施十分必要。 关键词：计算机病毒分类传播方式预防查杀 一、计算机病毒的定义： 一般来讲，凡是能够引起计算机故障，能够破坏计算机中的资源（包括软件和硬件）的代码，统称为计算机病毒。它通常隐藏在一些看起来无害的程序中，能生成自身的拷贝并将其插入其他的程序中，执行恶意的行动，其具有以下几个特点： 1、传染性。计算机病毒会通过各种渠道从被感染的计算机扩散到未被感染的计 算机，在某些情况下造成被感染计算机工作失常甚至瘫痪。 2、潜伏性。有些计算机病毒并不是一侵入机器就对机器造成破坏，它可能隐藏 在合法的文件中，静静的呆几周或者几个月甚至几年，具有很强的潜伏性，一旦时机成熟就会迅速繁殖、扩散。 3、隐蔽性。计算机病毒是一种具有很高编程技巧、短小精悍的可执行程序，如 不经过程序代码分析或计算机病毒代码扫描，病毒程序与正常程序很难区分开来。 4、破坏性。任何计算机病毒侵入到机器中，都会对系统造成不同程度的影响， 轻者占有系统资源，降低工作效率，重者数据丢失，机器瘫痪。 除了上述四个特点，计算机病毒还具有不可预见性、可触发性、衍生性、针对性、欺骗性、持久性等特点。正是由于计算机具有这些特点，给计算机病毒的预防、检测和清除工作带来了很大的麻烦。 二、计算机病毒的分类： 1、系统病毒。系统病毒的前缀为： Win32 、PE、Win95 、W3 2、W95 等。这种 病毒的公有的特性是可以感染windows操作系统的 *.exe 和 *.dll 文件，并通过这些文件进行传播。 2、蠕虫病毒。蠕虫病毒的前缀是：Worm 。这种病毒的公有特性是通过网络或者 系统漏洞进行传播，很大部分的蠕虫病毒都有向外发送带毒邮件，阻塞网络的特性。 3、木马病毒。木马病毒其前缀是：Trojan，它是一种会在主机上未经授权就自 动执行的恶意程序。木马病毒通过网络或者系统漏洞进入用户的系统并隐藏，然后向外界泄露用户的信息，对用户的电脑进行远程控制。 4、Arp病毒。Arp病毒也是一种木马病毒，它是对利用Arp协议漏洞进行传播的 一类病毒的总称。由于其在局域网中威胁比较大，所以单独列举一下。此病毒通过路由欺骗或网关欺骗的方式来攻击局域网，使用户电脑无法找到正确的网关而不能上网。 5、后门病毒。后门病毒的前缀是：backdoor。该类病毒的公有特性是通过网络 传播，给系统开后门，给用户电脑带来安全隐患。
西安翻译学院XI’AN FANYI UNIVERSITY 毕业论文 题目: 网络木马病毒的行为分析专业: 计算机网络技术 班级: 姓名: 彭蕊蕊 指导教师: 朱滨忠 5月 目录学号: 院系: 诒华
1 论文研究的背景及意义........................... 错误!未定义书签。 2 木马病毒的概况................................. 错误!未定义书签。 2.1 木马病毒的定义............................ 错误!未定义书签。 2.2 木马病毒的概述............................ 错误!未定义书签。 2.3 木马病毒的结构............................ 错误!未定义书签。 2.4 木马病毒的基本特征........................ 错误!未定义书签。 2.5木马病毒的分类............................. 错误!未定义书签。 2.6木马病毒的危害............................. 错误!未定义书签。 3 木马程序病毒的工作机制......................... 错误!未定义书签。 3.1 木马程序的工作原理........................ 错误!未定义书签。 3.2 木马程序的工作方式........................ 错误!未定义书签。 4 木马病毒的传播技术............................. 错误!未定义书签。 4.1 木马病的毒植入传播技术.................... 错误!未定义书签。 4.2 木马病毒的加载技术........................ 错误!未定义书签。 4.3 木马病毒的隐藏技术........................ 错误!未定义书签。 5 木马病毒的防范技术............................. 错误!未定义书签。 5.1防范木马攻击............................... 错误!未定义书签。 5.2 木马病毒的信息获取技术.................... 错误!未定义书签。 5.3 木马病毒的查杀............................ 错误!未定义书签。 5.4 反木马软件................................ 错误!未定义书签。 6 总结........................................... 错误!未定义书签。
《计算机病毒原理及防范技术》----秦志光张凤荔刘峭著 43.8万字 第1章计算机病毒概述 1.1.1计算机病毒的起源----第一种为科学幻想起源说，第二种为恶作剧，第三种为戏程序（70年代，贝尔实验室，Core War）, 第四种为软件商保护软件起源说。 1.计算机病毒的发展历史-----第一代病毒，传统的病毒， 第二代病毒（1989-1991年），混合型病毒（或“超级病毒”），采取了自我保护措施（如加密技术，反跟踪技术）；第三代病毒(1992-1995年)多态性病毒（自我变形病毒）首创者Mark Washburn-----“1260病毒”；最早的多态性的实战病毒----“黑夜复仇者”（Dark Avenger）的变种MutationDark Avenger ；1992年第一个多态性计算机病毒生成器MtE,第一个计算机病毒构造工具集（Virus Construction Sets）----“计算机病毒创建库”（Virus Create Library）, ”幽灵”病毒；第四代病毒（1996-至今），使用文件传输协议（FTP）进行传播的蠕虫病毒，破坏计算机硬件的CIH，远程控制工具“后门”（Bank Orifice）,”网络公共汽车”（NetBus）等。 2.计算机病毒的基本特征----1.程序性（利用计算机软、硬件所固有的弱点所编制的、具有特殊功能的程序），2、传染性，3、隐蔽性（兼容性、程序不可见性）4、潜伏性（“黑色星期五”，“上海一号”，CIH）,5、破坏性，6、可触发性，7、不可预见性，8、针对性，9、非授权可执行性，10、衍生性。 1.2.2.计算机病毒在网络环境下表现的特征------1.电子邮件成主要媒介（QQ，MSN等即时通讯软件，可移动存储设备，网页，网络主动传播，网络，“钓鱼”），2.与黑客技术相融合（“Nimda”,CodeRed,”求职信”），3.采取了诸多的自我保护机制（逃避、甚至主动抑制杀毒软件），4.采用压缩技术（压缩变形----特征码改变，压缩算法，“程序捆绑器”），5.影响面广，后果严重，6.病毒编写越来越简单，7.摆脱平台依赖性的“恶意网页”。 1.2.3.计算机病毒的生命周期----1.孕育期（程序设计，传播），2.潜伏感染期，3.发病期，4.发现期，5.消化期，6.消亡期。 第2章计算机病毒的工作机制 2.1.1计算机病毒的典型组成三大模块-----1.引导模块（将病毒引入计算机内存，为传染模块和表现模块设置相应的启动条件），2.感染模块（两大功能-----1.依据引导模块设置的传染条件，做判断；2启动传染功能）， 3.表现模块（两大功能----依据引导模块设置的触发条件，做判断；或者说表现条件判断子模块 2.1启动病毒，即表现功能实现子模块） 2.2.1计算机病毒的寄生方式-----1.替代法（寄生在磁盘引导扇区）；2.链接法（链接在正常程序的首部、尾部、或中间）。 2.2.2．计算病毒的引导过程-----1。驻留内存，2.获得系统控制权， 3.恢复系统功能。 2.4.1.计算机病毒的触发机制----1.日期，2.时间， 3.键盘 4.感染触发， 5.启动， 6.访问磁盘次数， 7.调用中断功能触发， 8.CPU型号/主板型号触发。 第三章计算机病毒的表现 3.1.计算机病毒发作前的表现----1.经常无故死机，操作系统无法正常启动，运行速度异常， 4.内存不足的错误， 5.打印、通信及主机接口发生异常， 6.无意中要求对软盘进行写操作， 7.以前能正常运行的应用程序经常死机或者出现非法错误， 8.系统文件的时、日期和大小发生变化， 9.宏病毒的表现现象，10、磁盘空间迅速减少，11.网络驱动器卷或者共享目录无法调用，陌生人发来的电子邮件，13.自动链接到一些陌生的网站。