1、第二章经典信息安全2.1信息安全发展古语曰：知人则哲，知史则智。整个信息安全的防御与对抗正是这句话的形象阐述。了解信息安全的历史，了解黑客的行为对于现代社会的人们来说成了一项不可或缺的基本功。由于信息技术互联网技术深入到人们生活的方方面面，为了自身的安全，也为了整个网络空间的健康发展，我们有必要深入学习信息安全技术。纵观历史，信息安全的概念与内涵随着时间推移不断更新。随着电子获取、携带与传输的愈加方便，它所带来的安全保障问题也更为多见，信息介质从有形到无形的改变使得隐秘性增加。中投顾问在2016-2020年中国信息安全产业投资分析及前景预测报告中指出，信息安全是随着信息技术的发展而发展，总体来
2、说大致经历了4个时期。第一个时期是通信安全时期，其主要标志是1949年香农发表的保密通信的信息理论。这个时期通信技术还不发达，电脑只是零散地位于不同的地点，信息系统的安全仅限于保证电脑的物理安全以及通过密码解决通信安全的保密问题，密码技术获得发展，欧美国家有了信息安全产业的萌芽。第二个时期为计算机安全时期，以二十世纪70-80年代可信计算机评估准则(TCSEC)为标志。半导体和集成电路技术的飞速发展推动了计算机软、硬件的发展，计算机和网络技术的应用进人了实用化和规模化阶段。人们对安全的关注已经逐渐扩展为以保密性、完整性和可用性为目标，中国信息安全开始起步，关注物理安全、计算机病毒防护等。第三个
3、时期是在二十世纪90年代兴起的网络时代。由于互联网技术的飞速发展，信息无论是企业内部还是外部都得到了极大的开放，而信息安全的焦点已经从传统的保密性、完整性和可用性三个原则衍生为诸如可控性、抗抵赖性、真实性等其他的原则和目标。中国安全企业研发的防火墙、入侵检测、安全评估、安全审计、身份认证与管理等产品与服务百花齐放，百家争鸣。第四个时期是进入二十一世纪的信息安全保障时代，其主要标志是信息保障技术框架(IATF)。面向业务的安全防护已经从被动走向主动，安全保障理念从风险承受模式走向安全保障模式。不断出现的安全体系与标准、安全产品与技术带动信息安全行业形成规模，入侵防御、下一代防火墙、APT攻击检测
4、、MSS/SaaS服务等新技术、新产品、新模式走上舞台。总体来说，中国信息安全市场与成熟的欧美市场相比，从安全体系与标准，到安全产品与技术，还有一定差距，当前国家重视、资本追逐为中国安全企业提供一个很好的追赶国际领先企业的机会。信息安全行业的上游主要为软件及工控设备，其供给及价格变化直接影响行业的成本和利润；下游需求市场则包括各级渠道合作伙伴以及以政府、电信、金融、能源、军队、军工等为代表的各行业用户在信息化建设中的信息安全保障需求，包括国家基础设施领域、电子政务领域、电子商务领域、产业信息化领域和城市信息化领域。中国计算机安全和网络安全的发展可以分为以下三个阶段。(1)宣传启蒙阶段(70-8
5、0年代)：1986年中国计算机学会计算机安全专业委员会的正式成立，1987年国家信息中心信息安全处等专门安全机构的成立，从一个侧面反映中国的计算机安全事业的起步。这个阶段的典型特征是国家尚没有相应的的法律法规，和完整的计算机系统安全规章，安全标准也比较少，缺少国家统一管理，只是在物理安全及保密通信等个别环节上有些规定；同时因为互联网并没有大量普及，所以整体网络安全意识淡薄。(2)法规初设阶段(80-90年代)从八十年代末以后，随着我国计算机应用的迅速拓展，各个行业、企业的安全需求也开始显现。除了此前已经出现的病毒问题，内部信息泄漏和系统宕机等成为企业不可忽视的问题。此外，九十年代初，世界信息技
6、术革命使许多国家把信息化作为国策，美国“信息高速公路”等政策也让中国意识到了信息化的重要性，在此背景下我国信息化开始进入较快发展期，中国的计算机安全事业也开始起步。这个时期一个典型的标志是-关于计算机安全的法律法规开始出现。1994年公安部颁布了中华人民共和国计算机信息系统安全保护条例，这是我国第一个计算机安全方面的法律，较全面地从法规角度阐述了关于计算机信息系统安全相关的概念、内涵、管理、监督、责任。同时金融与税务等企事业单位开始把信息安全作为系统建设中的重要内容之一来对待，加大投入，专设安全部门来保障信息安全。(3)步入正轨阶段(90年代至今)1999年国家计算机网络与信息安全管理协调小组
7、和2001年国务院信息化工作办公室成立专门的小组负责网络与信息安全相关事宜的协调、管理与规划，是国家信息安全走向正轨的重要标志。与此同时，国家在信息安全的法律、规章、原则、方针上都有对应措施。同时，这个阶段安全产业和市场开始迅速发展，增长速度明显加快。1998年中国信息安全市场销售额仅4.5亿元人民币左右，之后十年以惊人的速度发展，至2012年，市场预计接近300亿元左右。从安全发展史来看，防御工作其实一直都是在被动局面下的转变过程。面对安全威胁的层出不穷，想做到完全的主动防御是相对困难的，这也正是业内人士不断努力的方向。2.1.1物联网存在的攻击2014年，全球发生了首例物联网攻击案例。黑客
8、通过智能电视、冰箱以及无线扬声器发起攻击，10余万台互联网“智能”家电在黑客的操控下构成了一个恶意网络，并在两周时间内向那些毫无防备的受害者发送了约75万封网络钓鱼邮件。2016年10月21日，网络攻击者用木马病毒“Mirai”感染超过10万个物联网终端设备，网络摄像头与硬盘录像(DVR)设备，通过这些看似与网络安全无关的硬件设备，向其提供动态DNS服务的DynDNS公司发动了DDoS(DistributedDenialofService分布式拒绝服务攻击)攻击造成美国超过半个互联网瘫痪了6个小时。2019年万豪国际酒店表示，大数据泄露事件影响到的客户数量3.83亿，其中有超过500万个未加密
9、的护照号码和大约860万个加密信用卡号码被盗。下图给出了攻击者可能采用的具体攻击方法，包括监听，截获数据，篡改，伪造数据等。攻击者可能对网络每一层协议漏洞或软件缺陷等加以攻击。信息技术的高速发展给安全研究者带来了新的挑战。移动互联网和大数据的连接，使得信息科技工作者也更多地关注如何能够有效地提高网络安全性，包括传统有线和智能无线网络的物理层安全设计，网络层安全规划，深入分析攻击者的行为模式和常用攻击手段，及时填补系统漏洞，升级系统硬件和软件设计，改善用户体验，增强用户信赖度，进一步促进整个行业的良性和规范化发展。下图中进一步展示了在物联网中可能遭受到的网络攻击多样化。2.1.2物联网的防御体系
10、如图给出我国物联网网络安全和信息安全的防御体系架构。物联网的安全包括三大体系：基础理论体系、技术理论体系与应用理论体系。作为一种多网络融合的网络，物联网安全涉及到各个网络的不同层次，在这些独立的网络中已实际应用了多种安全技术。物联网应用不仅面临信息采集的安全性，也要考虑到信息传送的私密性，要求信息不能被篡改和非授权用户使用，同时，还要考虑到网络的可靠、可信和安全。物联网能否大规模推广应用，很大程度上取决于其是否能够保障用户数据和稳私的安全。数据处理过程中涉及到基于位置的服务与在信息处理过程中的隐私保护问题。基于位置服务中的隐私内容涉及两个方面，一是位置隐私，二是查询隐私。2.1.3物联网安全模
11、型物联网的应用中伴随着安全问题，轻则稳私泄露，重则毁损基础设施。信息复制的成本很低，而物理世界的克隆成本很高，特别是涉及到人身安全时更是无法弥补。物联网的感知层、传输层、处理层都面临着不同的安全隐患，面对各种常见的安全隐患，需要针对性地采用相应的安全策略和解决思路，以便保障物联网安全地运行。物联网主要由传感器、传输系统(泛在网)，以及处理系统三个要素组成。物理安全：即传感器的安全(包括对传感器的干扰、屏蔽、信号截获等)，是物联网的特殊性的体现。运行安全：存在于各个要素中，涉及到传感器、传输系统及处理系统的正常运行，与传统信息系统安全基本相同。数据安全：存在于各个要素中，涉及到传感器、传输系统、
12、处理系统中的信息不会被窍取、被篡改、被抵赖等。2.2信息安全关键技术2.2.1病毒机理与防御病毒是一类特殊的程序代码，通常在用户不知晓也未经授权的情况下潜入到计算机系统中，对系统产生不良影响。在信息系统安全的反复博弈中，恶意代码花样不断翻新，种类不断增加。其中，最多见的是病毒(virus)、蠕虫(worm)、特洛伊木马(Trojanhorse)、细菌(bacteria)、陷门(trapdoors)、僵尸(bot)等。它们的区别主要是存在形式、自繁殖性、传播机制、运行机制和攻击机制等方面。下表为几种典型恶意代码的主要区别。恶意代码恶意代码存在形式存在形式自繁殖性自繁殖性传播机制传播机制运行机制运
13、行机制攻击机制攻击机制病毒病毒寄生有文件感染传播自主运行，条件触发文件感染蠕虫蠕虫独立有利用网络，主动传播自主运行消耗资源加恶意行为特洛伊木马特洛伊木马欺骗性，独立无被植入受控运行窃取网络信息细菌细菌独立有自传播自主运行消耗计算机资源一、病毒及其特征1)病毒的概念在中华人民共和国计算机信息系统安全保护条例中，明确定义为：“计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据、影响计算机使用，并能自我复制的一组计算机指令或者程序代码。”通常，人们也简单地把计算机病毒定义为：利用计算机软件与硬件的缺陷，破坏计算机数据并影响计算机正常工作的一组指令集或程序代码。更广义地说，凡是能够
14、引起计算机故障，破坏计算机数据的程序代码都可称为计算机病毒。2)病毒的特征(1)隐藏性,病毒程序代码驻留在磁盘等媒体上，无法以操作系统提供的文件管理方法观察到。(2)传染性,当用户利用磁盘片、网络等载体交换信息时，病毒程序趁机以用户不能察觉的方式随之传播。(3)潜伏性，病毒程序感染正常的计算机之后，一般不会立即发作，而是潜伏下来，等到激发条件(如日期、时间、特定的字符串等)满足时才产生破坏作用。(4)破坏性，当病毒程序发作时，通常会在屏幕上输出一些不正常的信息，同时破坏数据文件和程序。(5)非授权执行性与寄生性,一个正常的程序是由用户调用的。被调用时，要从系统获得控制权，得到系统分配的相应资源
15、，来实现用户要求的任务。二、计算机病毒发展史1)病毒诞生计算机病毒这个概念的原型首次提出于1949年，当时第一部商用计算机尚未出现。冯诺依曼在复杂自动机组织论上提出了最初的计算机病毒的概念：一种能够在内存中自我复制的计算机程序。该理论成为计算机病毒发展的理论基础。1960年，美国的约翰康维编写了一个称为“生命游戏”程序，他的游戏程序运行时，会在屏幕上生成许多“生命元素”图案。这些元素图案会不断地发展变化，如果屏幕上的元素图案过多而填满屏幕时，有些元素图案会因缺少生存空间而死亡；如果元素图案过于稀疏，则会由于相互隔绝失去生命支持系统，也会死亡。这个游戏首次实现了程序自我复制技术，能够自我复制并进
16、行传播。2)初始作俑1977年夏天，托马斯捷瑞安的科幻小说P-1的青春成为美国的畅销书，轰动了科幻界。作者幻想世界上第一个计算机病毒，可以从一台计算机传染到另一台计算机，最终控制了7000台计算机，酿成了一场灾难。而真正的计算机病毒是在1983年的一次安全讨论会上提出来的。弗雷德科恩博士研制出一种在运行过程中可以复制自身的破坏性程序，伦艾德勒曼将它命名为计算机病毒。专家们在VAX11/750计算机系统上运行第一个病毒试验成功，一周后又获准进行5个试验的演示，从而在实验室中验证了计算机病毒的存在。实验室里诞生的病毒并没有广泛流传，它只不过证明了一种危害存在的可能性，而这种危害最终被病毒制造者大规
17、模地实施起来。1986年，巴基斯坦有一家销售IBMPC机及其兼容机的小商店，其经营者为两兄弟拉合尔巴锡特和阿姆杰德。他们也常为客户编写一些应用程序并为盗版而烦恼。为了打击那些盗版软件的使用者，他们设计了一个名为“巴基斯坦智囊”的病毒，该病毒只传染软盘引导扇区。这是最早在世界上流行的一个真正的病毒。1988年3月2日，第一个苹果机上的计算机病毒发作，这天受感染的苹果机停止工作。病毒并没有进行破坏，只是显示“向所有苹果计算机的使用者宣布和平的信息”，这一天是苹果机的生日。早期的病毒一般通过软盘传播，尽管这些病毒在国外兴风作浪，不过当时并没有真正流传到国内。国内第一个广泛流传的计算机病毒是小球病毒。
18、由于当时软盘是计算机之间交换信息的主要手段，因此这个病毒很快在国内流传开来。3)疯狂猖獗计算机病毒首次真正造成大规模破坏是1988年11月2号。美国康乃尔大学23岁研究生罗伯特莫里斯编写了一个蠕虫病毒，并将蠕虫释放到互联网中。莫里斯蠕虫感染了网络中的6000多台计算机，并使其中的5000台计算机被迫停机数小时，导致的直接经济损失达9600万美元。1988至1989年，我国也相继出现了能感染硬盘和软盘引导区Stone(石头)病毒，该病毒体代码中有明显的标志“YourPCnewStoned!”、“LEGALISEMARIJUANA”,也称为“大麻”病毒等。1990年1月发现首例隐藏型计算机病毒“4
19、096”，它不仅攻击程序还破坏数据文件。1991年发现首例网络计算机病毒“GPI”，它突破了NOVELL公司的Netware网络安全机制。随着国外病毒大量进入中国，国内计算机爱好者通过剖析病毒体，很快就清楚了病毒的自我复制、传播等技术，计算机病毒对中国计算机用户已不再神秘。大量的关于计算机病毒的文章以及这个时期出版的各种剖析计算机病毒的书刊让国内的计算机爱好者迅速掌握了病毒的编写技术。这段时期诞生了很多的国产病毒，典型的如：广东一号、中国炸弹和毛毛虫等。病毒的编写者几乎都是当时在读的大学生。20世纪90年代初，感染文件的病毒有Jerusalem(黑色13号星期五)、YankeeDoole、Li
20、berty、1575、Traveller、1465、2062、4096等，主要感染.COM和.EXE文件。这类病毒修改了部分中断向量表，被感染的文件明显地增加了字节数，并且病毒主体代码没有加密，也容易被查出和解除。这些病毒中略有对抗反病毒手段的只有YankeeDoole病毒，当它发现您用DEBUG工具跟踪时，它会自动从文件中逃走。以后又出现了引导区、文件型“双料病毒”，这类病毒既感染磁盘引导区、又感染可执行文件，常见的有flip/Omicron、Xqr(Newcentury)、Invader/入侵者、Plastique/塑料炸弹、3584/郑州(狼)、3072(秋天的水)、ALFA/3072-
21、2、Ghost/OneHalf/3544(幽灵)、NATAS(幽灵王)、TPVO/3783等。其中，Flip/Omicron(颠倒)、Xqr(NewCentury新世纪)这两种病毒都设计有对抗反病毒技术的手段，Flip(颠倒)病毒对其自身代码进行了随机加密，变化无穷，使绝大部分病毒代码与前一被感染目标中的病毒代码几乎没有三个连续的字节是相同的，该病毒在主引导区只潜藏了少量代码，病毒能将自身全部代码潜藏于硬盘最后6个扇区中，并将硬盘分区表和DOS引导区中的磁盘实用扇区数减少6个扇区。Xqr(Newcentury新世纪)病毒又有它更狡猾的一面，它监视着INT13、INT21中断有关参数，当您要查看
22、或搜索被其感染了的主引导记录时，病毒就调换出正常的主引导记录给你查看或让您搜索，使您认为一切正常，病毒却蒙混过关。这类病毒还有Mask(假面具)、2709/ROSE(玫瑰)、One_Half/3544(幽灵)、Natas/4744、Monkey、PC_LOCK、DIE_HARD/HD2、RranmaGrave/Burglar/1150、3783病毒等。之后出现的INT60(0002)病毒隐藏得更加神秘，它不修改主引导记录，只将硬盘分区表修改两个字节，使那些只检查主引导记录的程序认为完全正常，病毒主体却隐藏在这两个字节所指向的区域。硬盘引导时，ROM-BIOS程序会稀里糊涂地按这两个字节的指向将
23、病毒激活。而Monkey(猴子)、PC_LOCK(加密锁)病毒将硬盘分区表加密后再隐藏起来，如果轻易将硬盘主引导记录更换，或用FDISK/MBR格式轻易将硬盘主引导记录更换，那就再也进不了硬盘了，数据也取不出来了。硬件防病毒卡成为当时反病毒市场的主流，国外的反病毒软件SCAN和TBAV等开始进入中国市场，国内的计算机专业人员也开始开发自己的杀毒软件。病毒与反病毒双方的斗争开始进入白热化阶段。4)邪不压正DIR2之后，病毒的发展进入了一个相当缓慢的时期，各种各样的病毒在以KV系列、KILL为首的众多杀毒软件的围剿下已没有过去的生机。即使诞生了新的病毒，由于没有什么新的技术，也只是昙花一现，掀不起
24、什么大的波澜。特别是随着微软Windows95操作系统的推出，大量的用户升级使用新的操作系统，过去依赖DOS的很多病毒失去了生存的土壤，消失得无影无踪，而病毒编写者还没有完全掌握在新的操作系统下的病毒编写技术。一切的迹象似乎都显示，病毒已经发展到了尽头，甚至有乐观者发表文章，宣布病毒威胁时代已经过了。5)余烬复燃而事实证明，病毒沉默是为了更大规模的爆发。国外出现了各种专门讨论计算机病毒技术的地下站点，他们编写病毒杂志，相互交流编写病毒的心得体会和经验，并传播各种专门的计算机病毒引擎。在1995年时，出现了一个更危险的信号，在我们对众多的病毒剥析中，发现部分病毒好象出于一个家族，其“遗传基因”相
25、同，简单地说，是“同族”病毒。但绝不是其他好奇者简单修改部分代码而产生的“改形”病毒。大量具有相同“遗传基因”的“同族”病毒涌现，使人不得不怀疑“病毒生产机”软件死灰复燃。1996年下半年在国内终于发现了“G2、IVP、VCL”三种“病毒生产软件”。这种“病毒生产机”软件可不用绞尽脑汁去编程序，便会轻易地自动生产出大量的“同族”新病毒。这些病毒代码长度各不相同，自我加密、解密的密匙也不相同，原文件头重要参数的保存地址不同，病毒的发作条件和现象不同，但是这些病毒的主体构造和原理基本相同。“病毒生产机”软件，有专门能生产变形病毒的、有专门能生产普通病毒的。目前，国内发现的、或有部分变形能力的病毒生
26、产机有“G2、IVP、VCL“病毒生产机等十几种。具备变形能力的有CLME、DAME-SP/MTE病毒生产机等。网络蠕虫病毒I-WORM.AnnaKourmikova就是一种VBS/I-WORM病毒生产机生产的，短时间内就传遍了全世界。这种病毒生产机也传到了我国。Windows9x、Windows2000操作系统的发展，也使病毒种类和花样随其变化而变化。Win32.CAW.1XXX病毒是驻留内存的Win32病毒,他感染本地和网络中的PE格式文件.该病毒的产生来源一种32位的Windows“CAW病毒生产机”,该病毒生产机是由国际上一家有名病毒编写组织开发的.到1996年，Windows95操作
27、系统获得广泛使用，Windows95采用的技术也逐渐被病毒编写者掌握。计算机病毒技术有了新的发展，新的变形病毒采用了二维变形甚至多维变形技术以对抗防病毒软件的查杀。不过由于反病毒软件技术的及时跟进，这些病毒都没有能掀起太大的风浪。真正引起波浪的是关于防病毒厂商制造病毒的争论。病毒制造者是什么人一直是人们讨论的话题，其中有一种说法是防病毒软件的厂商也在自己制造并传播病毒，通过升级杀毒软件来获取利润。而在国内最受关注的当属KV300的逻辑锁事件。1997年，一个叫“毒岛论坛”的专门讨论反病毒技术的站点宣称发现在KV300中含有病毒，并在网上公布了病毒的反汇编代码。迫于舆论的压力，开发KV300的江
28、民公司承认软件中存在这样的代码，并称这不是一个病毒，只是一个“逻辑锁”，只有当用户使用盗版的KV300时，才会触发“逻辑锁”将硬盘锁住。这一事件的结果是江民公司被公安部以违反计算机安全管理条例罚款3000元、将逻辑锁从产品中去除并免费给购买了含逻辑锁的KV300的用户更换新的版本。6)大张旗鼓到1997年，微软的Office系列软件成为Windows95平台下的首选的办公套件，几乎每一台计算机上都安装了这个办公套件。由于Office中的文字处理软件Word和电子表格Excel都支持功能强大的宏，计算机病毒又找到了新的突破口，一种新型病毒随之诞生，这就是宏病毒。宏病毒主要感染Word、Excel
29、格式的文件并借助这两种文件进行传播。宏是一系列组合在一起的Word命令和指令，如果需要在Word中反复进行某项工作，那就可以利用宏来自动完成这项工作。它们形成了一个类似批处理的作业流程，以实现任务执行的自动化。7)巨大浩劫1998年，病毒发展中出现了一个有史以来最危险、最具破坏力的病毒，这就是CIH。CIH对计算机界影响之大以至于1998年被计算机病毒防范界公认为“CIH计算机病毒年”。CIH计算机病毒是继DoS计算机病毒、Windows计算机病毒、宏病毒后的第四类新型计算机病毒。它使用Windows95中的虚拟设备驱动程序(VxD)技术编制。CIH由台湾大同工业学院资讯工程系学生陈盈豪编写并
30、放到了大同工学院的校园网上。很快，CIH病毒就从台湾的校园网上传播开了，并以极快的速度蔓延到全世界。广泛流传的CIH共有三个版本：1.2版/1.3版/1.4版，发作时间分别是4月26号、6月26号和每月26号。CIH具有以下几个特征：CIH病毒是第一个流行的攻击PE格式32位保护模式程序的病毒。CIH病毒是第一个能破坏FLASHROM中的BIOS指令的病毒。CIH病毒利用VxD技术逃过了当时所有的反病毒软件的监测。CIH发作时破坏硬盘上的引导区，导致硬盘数据丢失。1999年4月26日，这是一个令计算机行业难以忘却的日子，也就是到了CIH-1.2病毒第二年的发作日，人们起早一上班便轻松地打开计算
31、机准备工作，可是打开一台计算机后，只看到屏幕一闪便就黑暗一片。再打开另外的几台，也同样一闪后就再也启动不起来了计算机史上病毒造成的又一次巨大浩劫发生了。8)风云再起互联网的快速发展和广泛应用给病毒的发展带来了更广阔的舞台，互联网使病毒的传播变得更加容易、更加快速。不仅老的病毒通过互联网获得了新的生命，重新流传，新的依赖于互联网的病毒类型也诞生了。互联网病毒是利用互联网技术开发、传染和破坏的所有病毒的统称，其中最典型的就是电子邮件病毒。Happy99、梅丽莎、Explore、IloveYou、Sircam、Nimda、求职信都是危害较大的电子邮件病毒。而伴随着互联网所诞生的脚本病毒更成为病毒发展
32、史上一个新的亮点。脚本病毒使用目前互联网上较流行的脚本编程语言如VBS、WSH等编写而成，本身并不是可执行的程序，需要系统提供支持，进行解释才能执行。HappyTime就是影响最广泛的脚本病毒。蠕虫病毒也是互联网中最重要的一种病毒类型，它利用操作系统漏洞或者电子邮件在互联网中传播。采用多种技术、结合多种互联网病毒特性的混合型病毒将成为未来病毒发展的主流，这也将给病毒查杀带来新的难题。9)对垒永存随着计算机网络的发展和普及，越来越多的病毒通过网络传播，对整个网络的生存和使用造成了极大的危害。其中具有代表性的如“尼姆达”、“勒索”、“冲击波”等病毒，都给互联网造成过巨大的恶劣影响。计算机病毒的发展
33、史就是计算机技术的发展史，只要计算机技术在不断的发展，计算机病毒技术就也会随之不断的发展，这是无法改变的事实。任何新的计算机技术的出现，利用这种新技术编写的病毒很快就会产生，而随之的对抗技术也会产生。只要计算机还存在、还在不断发展，计算机病毒技术和反病毒技术的斗争就永远不会结束。三、典型的计算机病毒本节将阐述一些典型计算机病毒的感染和传播机理，并对相关病毒的源码进行分析，帮助大家了解病毒的本质。1)宏病毒宏病毒从某种意义上来讲也是一种文件型病毒，它是使用宏语言编写的程序，主要伴随着微软Office办公软件的出现而产生，可以在一些数据处理系统中运行(主要是微软的Office办公软件系统、字处理、
34、电子数据表和其它Office程序等支持宏的应用软件)，存在于字处理文档(Word)、数据表格(Excel)、数据库(Access)、演示文档(PowerPoint)等数据文件中，利用宏语言的功能将自己复制并且繁殖到其它数据文档里。所谓宏，就是指一段类似于批处理命令的多行代码的集合。宏可以记录命令和过程，然后将这些命令和过程赋值到一个组合键或工具栏的按钮上，当按下组合键时，计算机就会重复所记录的操作。从微软的字处理软件Word版本6.0、电子数据表软件Excel4.0开始，数据文件中就包括了宏语言的功能。早期的宏语言是非常简单的，主要用于记录用户在字处理软件中的一系列操作，然后进行重放，其可以实
35、现的功能非常有限。但随着Word97和Excel97的出现，微软逐渐将所有的宏语言统一到一种通用的语言：适用于应用程序的可视化BASIC语言(VBA)上，其编写越来越方便，语言的功能也越来越强大，可以采用完全程序化的方式对文本、数据表进行完整的控制，甚至可以调用操作系统的任意功能。正是有了足够强大的宏语言的支持，宏病毒才得以迅速发展。自1995年8月第一个Word宏病毒WordMacro/Concept出现并大面积流行之后。次年7月，第一个Excel宏病毒Laroux也被发现。1998年3月，Access也成为宏病毒的牺牲品，紧接着，PowerPoint也爆出宏病毒。此后，宏病毒的数量和影响继
36、续快速增长。同时出现了能感染多种类型文件的多重宏病毒，Triplicate就是已知的第一个能同时影响Word、Excel、PowerPoint的宏病毒。由于微软Office软件的流行和广泛应用，计算机之间的电子数据交换有很大一部分就是以Word文档、Excel电子表格等为载体的，这为宏病毒制造了一个天然的生存空间。任何计算机如果能够正确打开和理解Word文件(包括其中的宏代码)等都有可能感染宏病毒。以微软字处理软件Word为例，Word提供了一些“内建宏”，用于完成打开文件、保存文件、打印文件、关闭文件等操作。比如关闭文件之前查找“FileSave”宏，如果存在的话，首先执行这个宏，不过这些宏
37、只对当前文档有效。以“File”开始的预定义宏会在执行特定操作的时候触发，如使用菜单项打开和保存文件等。另外有一些以“Auto”开头的自动宏，如“AutoOpen”、“AutoClose”等，这些宏一般是全局宏，在适当的时候会自动执行。微软为用户提供了自定义宏功能，于是我们可以自己编写一些完成特定功能的宏。一般来说，宏病毒通过Office文件或者模板来传播自己，病毒在获得控制权以后，会将自己写入到Word模板Normal.dot中，这样，以后每次进行打开、新建等操作时，就会调用病毒代码，从而将病毒代码写到刚才打开或新建的文件中，以达到感染传播的目的。为了遏制宏病毒的肆虐，微软公司从Office
38、97起给Office软件增加了宏安全性的设置。用户可以设置宏运行的安全性，这样在打开包含宏的文档时，系统会提示是否启用文档中的宏。如果能确认宏是安全的，可以选择启用宏。不过从安全的角度上来说，在打开文档提示存在宏的时候，最好要格外小心，确认即将打开的宏是你所知道并且确认是安全的，因为系统不能分辨文件里所带的宏是否是安全的。2)脚本病毒任何语言都是可以编写病毒的，而用简单易用的脚本语言编写病毒则尤为简单，并且具有传播快、破坏力大的特点，例如著名的爱虫病毒及新欢乐时光病毒等都是用VBS脚本编写的，另外还有PHP、JS脚本病毒等。VBS脚本病毒是用VBScript编写而成，该脚本语言功能非常强大，它
39、们利用Windows系统的开放性，通过调用一些现成的Windows对象、组件，可以直接控制文件系统、注册表。VBS脚本病毒具有如下几个特点：编写简单。由于VBS脚本语言的简单易用性，一个不太了解病毒原理的计算机使用者也可以在很短的时间里编写出一个新型脚本病毒。破坏力大。脚本病毒不仅会破坏文件系统和计算机配置，而且还可能导致服务器崩溃，网络严重阻塞。感染力强，病毒变种多。由于脚本是直接解释执行的，没有复杂的文件格式和字段处理，因此这类病毒可以直接通过自我复制的方式来感染其它同类文件，并且自我的异常处理变得非常容易。也正是因为同样的原因，这类病毒的源代码可读性非常强，造成其变种种类非常多，稍微改变
40、一下病毒结构，或者修改一下特征值，很多杀毒软件可能就无能为力。病毒生产机实现容易。所谓病毒生产机，就是可以按照用户的要求进行配置，以生成特定病毒的“机器”。这听起来似乎有些不可思议。由于脚本采用的是解释执行的方式，不需要编译，程序中也不需要校验和定位，每条语句分隔得比较清楚，因此可以先将病毒功能做成很多单独的模块，在用户做出病毒功能选择后，病毒生产机只需要将相应的功能模块拼接起来，再做相应的代码替换和优化即可，实现起来非常简单。正因为以上几个特点，脚本病毒发展非常迅猛，尤其是病毒生产机的出现，使得新型脚本病毒的生成变得非常容易。VBS脚本病毒一般是直接通过自我复制来感染文件的，病毒中的绝大部分
41、代码都可以直接附加在其他同类程序的中间，譬如新欢乐时光病毒可以将自己的代码附加在.htm文件的尾部，并在顶部加入一条调用病毒代码的语句，而爱虫病毒则是直接生成一个文件的副本，将病毒代码拷入其中，并以原文件名作为病毒文件名的前缀,.vbs作为后缀。下面我们通过爱虫病毒的部分关键代码具体分析一下这类病毒的感染原理。setfso=createobject(scripting.filesystemobject)/创建一个文件系统对象setself=fso.opentextfile(wscript.scriptfullname,1)/读打开当前文件(即病毒本身)vbscopy=self.readall/
42、读取病毒全部代码到字符串变量vbscopy.setap=fso.opentextfile(目标文件.path,2,true)/打开目标文件，准备写入病毒代码ap.writevbscopy/将病毒代码覆盖目标文件ap.closesetcop=fso.getfile(目标文件.path)/得到目标文件路径cop.copy(目标文件.path&.vbs)/创建另外一个病毒文件,以.vbs为后缀cop.delete(true)/删除目标文件病毒首先将自身代码赋给字符串变量vbscopy，然后将这个字符串覆盖写到目标文件，并创建一个以目标文件名为文件名前缀、.vbs为后缀的文件副本，最后删除目标文件。V
43、BS脚本病毒之所以传播范围广，主要依赖于它的网络传播功能。通过E-mail附件进行传播是VBS脚本病毒采用得非常普遍的一种传播方式。脚本病毒可以通过各种方法拿到合法的E-mail地址，最常见的就是直接取Outlook地址簿中的邮件地址，也可以通过程序在用户文档(如HTM文件)中搜索E-mail地址。下面我们通过一段E-mail附件传播的具体代码来分析VBS是如何做到这一点的。FunctionmailBroadcast()onerrorresumenextwscript.echo/创建一个OUTLOOK应用的对象SetoutlookApp=CreateObject(Outlook.Applica
44、tion)IfoutlookApp=OutlookThen/获取MAPI的名字空间SetmapiObj=outlookApp.GetNameSpace(MAPI)/获取地址表的个数SetaddrList=mapiObj.AddressListsForEachaddrInaddrListIfaddr.AddressEntries.Count0Then/获取每个地址表的Email记录数addrEntCount=addr.AddressEntries.Count/遍历地址表的Email地址For addrEntIndex=1 To addrEntCount/获取一个邮件对象实例Set item=ou
45、tlookApp.CreateItem(0)/获取具体Email地址Set addrEnt=addr.AddressEntries(addrEntIndex)/填入收信人地址item.To=addrEnt.Address/写入邮件标题item.Subject=VBS脚本病毒传播实验/写入文件内容item.Body=这是VBS脚本病毒邮件传播测试，收到此信请不要慌张！/定义邮件附件Set attachMents=item.AttachmentsattachMents.Add fileSysObj.GetSpecialFolder(0)&test.jpg.vbs/信件提交后自动删除item.Del
46、eteAfterSubmit=TrueIfitem.ToThen/发送邮件item.Send/病毒标记，以免重复感染shellObj.regwriteHKCUsoftwareMailtestmailed,1EndIfNextEndIfNextEndifEndFunctionVBS还可以通过局域网共享来传播，它提供了一个对象WshNetwork，可以实现网上邻居共享文件夹的搜索与文件操作以及当前打印机连接状况，在知道了共享连接之后，就可以直接向目标驱动器读写文件，达到传播的目的。脚本病毒还可以感染html、asp、jsp、php等网页文件，通过WWW服务进行传播。3)蠕虫病毒蠕虫是一种特殊的病毒
47、类型。它最早于1982年由XeroxPARC的JohnF.Shoch等人最早引入计算机领域，他们编写蠕虫的目的是为了做分布式计算的模型试验，在他们的文章中，蠕虫的破坏性和不易控制性已经初露端倪。1988年莫里斯蠕虫爆发，开创了蠕虫时代。蠕虫与病毒最大的区别在于它自身的主动性和独立性。蠕虫主要是利用计算机系统的漏洞进行传播，搜索到网络中存在可利用漏洞的计算机后就主动进行攻击，传播过程不需要人工干预。局域网中的共享文件夹、电子邮件、网络中的恶意网页、大量存在漏洞的主机、服务器等都是蠕虫传播的良好途径和载体。4)“欢乐时光”病毒“欢乐时光”(VBS.Haptime.Amm)是一个VB源程序病毒，专门
48、感染。htm、.html、.vbs、.asp和.htt文件。它作为电子邮件的附件，并利用OutlookExpress的性能缺陷把自己传播出去，一个被人们所知的MicrosoftOutlookExpress的安全漏洞，可以在你没有运行任何附件时就运行自己。还利用OutlookExpress的信纸功能，使自己复制在信纸的Html模板上，以便传播。它结合了蠕虫特性和在用户不直接打开情况下直接运行特性，同时能够感染本地的网页以及脚本文件。5)勒索病毒2017年5月13日勒索病毒WannaCry在全球蔓延，据不完全统计，目前已经入侵99个国家7.5万台电脑，其中中国高校受到的伤害最严重。该勒索蠕虫一旦攻
49、击进入能连接公网的用户机器，则会扫描内网和公网的ip，若被扫描到的ip打开了445端口，则会使用“EternalBlue”(永恒之蓝)漏洞安装后门。一旦执行后门，则会释放一个名为WanaCrypt0r敲诈者病毒，从而加密用户机器上所有的文档文件，进行勒索。勒索软件采用的是RSA+AES加密算法加密文件，属于几乎无法在有限时间内破解的加密算法。主流的勒索病毒通常有两种操作文件的方式，一种是直接加密覆盖原文件，这种情况下没有勒索者的密钥，几乎是无法恢复的；另一种则是先加密生成副本文件，然后删除原文件，这种情况下是有可能恢复的。四、防御尽管反病毒技术一直在不断的发展，计算机病毒仍然对用户的计算机系统
50、构成了巨大的威胁。一些观点认为，这是病毒的发展一直领先于反病毒技术发展所造成的，反病毒技术是被动的，只有当新的病毒出现，相应的反病毒技术才出现。这是其中一个原因，但绝不是最重要的原因。因为无论技术发展到何种程度，要保护计算机的安全，人的操作和行为仍然是关键，这才是对付病毒最强有力的措施。1)安装反病毒软件并定期更新相对于新兴病毒而言，网络上流行的更多的是一些已被人们所掌控的病毒，安装反病毒软件将可以对这些已知病毒起到很好的防范作用，拦截大部分病毒的威胁。令人遗憾的是，仍然有相当数量的用户没有在自己的计算机中安装防病毒软件，他们常常认为计算机中并没有重要数据、或者计算机只是自己使用，很少与外边的
