《計算機病毒分析與防范大全》是作者在信息安全領域多年經(jīng)驗的總結和提煉?！队嬎銠C病毒分析與防范大全》從計算機病毒的定義及特征開始，將目前發(fā)現(xiàn)的所有計算機病毒加以分類，總結出每一類病毒的共性和特征，提出具有針對性的防范建議，以便普通讀者揭開病毒的神秘面紗，構建自己的防范體系。《計算機病毒分析與防范大全》適合計算機安全領域的從業(yè)者及愛好者閱讀，對計算機普通用戶更深入地了解計算機病毒也有莫大的幫助。
簡介
裝幀：平裝
開本：16
定價:65.00元
作者簡介
韓筱卿，1971年生，現(xiàn)任北京瑞星公司副總裁。從1995年開始涉足計算機反病毒技術研究領域；1997年，參與開發(fā)的瑞星第一代產(chǎn)品獲中國國家科委(現(xiàn)科技部)國家科技成果獎；參與了CIH病毒、BO黑客、紅色代碼、尼姆達、HappyTime等多種典型流行病毒的解決處理過程。2000年組織籌備成立了瑞星數(shù)據(jù)修復中心，經(jīng)過多年的發(fā)展，使之成為計算機用戶數(shù)據(jù)災難恢復的首選之地。先后在清華大學、北京大學、北京理工大學、北京航空航天大學、同濟大學、四川科技大學等多所高校做關于計算機反病毒技術的專題報告。
王建鋒，1971年生，現(xiàn)任北京瑞星公司客戶服務總經(jīng)理。多年來一直從事反病毒技術研究及技術支持工作。2000年以來，主要負責重大惡性計算機病毒的應急處理工作，組織并參與創(chuàng)建瑞星客戶服務中心呼叫中心系統(tǒng)及計算機病毒應急處理平臺，在新型病毒預警、分析以及反病毒策略研究等領域具有豐富的經(jīng)驗。
鐘瑋，1976年生，現(xiàn)任北京瑞星公司客戶服務副總經(jīng)理兼數(shù)據(jù)安全部經(jīng)理，全面負責信息安全增值服務的管理與拓展工作。2002年以來，參與國務院新聞辦、港澳辦、中組部、華遠集團等國內(nèi)20余家政府部門及大型企業(yè)信息安全整體解決方案及安全外包方案的制訂與實施；為中糧集團、中國中央電視臺、微軟、國務院中共中央直屬機關事務管理局、聯(lián)合國駐京機構等30余家重點單位長期提供數(shù)據(jù)安全、數(shù)據(jù)恢復咨詢及數(shù)據(jù)安全管理項目實施；多次組織并參與信息產(chǎn)業(yè)部電子教育中心、清華大學、中科院計算所等國內(nèi)權威機構信息安全培訓項目的實施，具有豐富的信息安全項目實踐經(jīng)驗。
編輯推薦
將目前發(fā)現(xiàn)的所有計算機病毒加以分類，總結出每類的共性和特征，提出具有針對性的防范建議
以專業(yè)的視角介紹反病毒行業(yè)病毒分析的流程，幫助讀者構建自己的病毒分析實驗室
為初學者設計了非常實用的小實驗，并錄制了實驗內(nèi)容和實驗步驟
光盤附贈豐富的病毒查殺工具
目錄
第一篇 認識計算機病毒
第1章 什么是計算機病毒 2
1.1 計算機病毒的定義 2
計算機病毒（Computer 病毒）在《中華人民共和國計算機信息系統(tǒng)安全保護條例》中被明確定義，病毒指“編制者在計算機程序中插入的破壞計算機功能或者破壞數(shù)據(jù)，影響計算機使用并且能夠自我復制的一組計算機指令或者程序代碼”。與醫(yī)學上的“病毒”不同，計算機病毒不是天然存在的，是某些人利用計算機軟件和硬件所固有的脆弱性編制的一組指令集或程序代碼。它能通過某種途徑潛伏在計算機的存儲介質(zhì)（或程序）里，當達到某種條件時即被激活，通過修改其他程序的方法將自己的精確拷貝或者可能演化的形式放入其他程序中，從而感染其他程序，對計算機資源進行破壞，所謂的病毒就是人為造成的，對其他用戶的危害性很大！
1.2 計算機病毒的特征 3
繁殖性
計算機病毒可以像生物病毒一樣進行繁殖，當正常程序運行的時候，它也進行運行自身復制，是否具有繁殖、感染的特征是判斷某段程序為計算機病毒的首要條件。
破壞性
計算機中毒后，可能會導致正常的程序無法運行，把計算機內(nèi)的文件刪除或受到不同程度的損壞。通常表現(xiàn)為：增、刪、改、移。
傳染性
計算機病毒不但本身具有破壞性，更有害的是具有傳染性，一旦病毒被復制或產(chǎn)生變種，其速度之快令人難以預防。傳染性是病毒的基本特征。在生物界，病毒通過傳染從一個生物體擴散到另一個生物體。在適當?shù)臈l件下，它可得到大量繁殖，并使被感染的生物體表現(xiàn)出病癥甚至死亡。同樣，計算機病毒也會通過各種渠道從已被感染的計算機擴散到未被感染的計算機，在某些情況下造成被感染的計算機工作失常甚至癱瘓。與生物病毒不同的是，計算機病毒是一段人為編制的計算機程序代碼，這段程序代碼一旦進入計算機并得以執(zhí)行，它就會搜尋其他符合其傳染條件的程序或存儲介質(zhì)，確定目標后再將自身代碼插入其中，達到自我繁殖的目的。只要一臺計算機染毒，如不及時處理，那么病毒會在這臺電腦上迅速擴散，計算機病毒可通過各種可能的渠道，如軟盤、硬盤、移動硬盤、計算機網(wǎng)絡去傳染其他的計算機。當您在一臺機器上發(fā)現(xiàn)了病毒時，往往曾在這臺計算機上用過的軟盤已感染上了病毒，而與這臺機器相聯(lián)網(wǎng)的其他計算機也許也被該病毒染上了。是否具有傳染性是判別一個程序是否為計算機病毒的最重要條件。
潛伏性
有些病毒像定時炸彈一樣，讓它什么時間發(fā)作是預先設計好的。比如黑色星期五病毒，不到預定時間一點都覺察不出來，等到條件具備的時候一下子就爆炸開來，對系統(tǒng)進行破壞。一個編制精巧的計算機病毒程序，進入系統(tǒng)之后一般不會馬上發(fā)作，因此病毒可以靜靜地躲在磁盤或磁帶里呆上幾天，甚至幾年，一旦時機成熟，得到運行機會，就又要四處繁殖、擴散，繼續(xù)危害。潛伏性的第二種表現(xiàn)是指，計算機病毒的內(nèi)部往往有一種觸發(fā)機制，不滿足觸發(fā)條件時，計算機病毒除了傳染外不做什么破壞。觸發(fā)條件一旦得到滿足，有的在屏幕上顯示信息、圖形或特殊標識，有的則執(zhí)行破壞系統(tǒng)的操作，如格式化磁盤、刪除磁盤文件、對數(shù)據(jù)文件做加密、封鎖鍵盤以及使系統(tǒng)死鎖等。
隱蔽性
計算機病毒具有很強的隱蔽性，有的可以通過病毒軟件檢查出來，有的根本就查不出來，有的時隱時現(xiàn)、變化無常，這類病毒處理起來通常很困難。
可觸發(fā)性
病毒因某個事件或數(shù)值的出現(xiàn)，誘使病毒實施感染或進行攻擊的特性稱為可觸發(fā)性。為了隱蔽自己，病毒必須潛伏，少做動作。如果完全不動，一直潛伏的話，病毒既不能感染也不能進行破壞，便失去了殺傷力。病毒既要隱蔽又要維持殺傷力，它必須具有可觸發(fā)性。病毒的觸發(fā)機制就是用來控制感染和破壞動作的頻率的。病毒具有預定的觸發(fā)條件，這些條件可能是時間、日期、文件類型或某些特定數(shù)據(jù)等。病毒運行時，觸發(fā)機制檢查預定條件是否滿足，如果滿足，啟動感染或破壞動作，使病毒進行感染或攻擊；如果不滿足，使病毒繼續(xù)潛伏。
1.3 計算機病毒的結構 8
1.3.1 計算機病毒的程序結構 8
1.3.2 計算機病毒的存儲結構 8
1.4 計算機病毒的分類 10
1.4.1 根據(jù)寄生的數(shù)據(jù)存儲方式劃分 11
1.4.2 根據(jù)感染文件類型劃分 12
1.4.3 根據(jù)病毒攻擊的操作系統(tǒng)劃分 12
1.4.4 根據(jù)病毒攻擊的計算機類型劃分 13
1.4.5 根據(jù)病毒的鏈接方式劃分 13
1.4.6 根據(jù)病毒的破壞情況劃分 14
1.4.7 根據(jù)傳播途徑劃分 14
1.4.8 根據(jù)運行的連續(xù)性劃分 15
1.4.9 根據(jù)激發(fā)機制劃分 15
1.4.10 根據(jù)病毒自身變化性劃分 15
1.4.11 根據(jù)與被感染對象的關系劃分 15
1.4.12 其他幾種具有代表性的病毒類型 16
1.5 計算機病毒的入侵方式 17
1.6 計算機病毒的命名 17
1.7 計算機病毒的生命周期 18
1.8 計算機病毒的傳播 19
第2章 計算機病毒發(fā)展史 20
2.1 計算機病毒的起源 20
2.2 計算機病毒的發(fā)展階段 26
2.2.1 根據(jù)病毒的特點劃分 26
2.2.2 根據(jù)病毒的技術性劃分 28
2.3 計算機病毒大事記 30
2.4 計算機病毒的發(fā)展趨勢 39
2.4.1 智能化 39
2.4.2 人性化 39
2.4.3 隱蔽化 39
2.4.4 多樣化 39
2.4.5 專用病毒生成工具的出現(xiàn) 40
2.4.6 攻擊反病毒軟件 40
第3章 計算機病毒的危害 41
3.1 計算機病毒編制者的目的 41
3.1.1 惡作?。ㄩ_玩笑） 41
3.1.2 報復心理 42
3.1.3 保護版權 43
3.1.4 娛樂需要 43
3.1.5 政治或軍事目的 43
3.2 計算機病毒對計算機應用的影響 44
3.2.1 破壞數(shù)據(jù) 44
3.2.2 占用磁盤存儲空間 44
3.2.3 搶占系統(tǒng)資源 45
3.2.4 影響計算機運行速度 45
3.2.5 計算機病毒錯誤與不可預見的危害 45
3.2.6 計算機病毒的兼容性對系統(tǒng)運行的影響 45
3.2.7 計算機病毒給用戶造成嚴重的心理壓力 46
3.3 計算機病毒發(fā)作癥狀 46
3.4 計算機故障與病毒現(xiàn)象的區(qū)分 47
3.4.1 計算機病毒的現(xiàn)象 48
3.4.2 與病毒現(xiàn)象類似的硬件故障 48
3.4.3 與病毒現(xiàn)象類似的軟件故障 49
3.5 計算機病毒造成的經(jīng)濟損失 50
3.6 計算機病毒在軍事上的影響 53
3.6.1 直面軍事信息安全的挑戰(zhàn) 53
3.6.2 高度依賴信息系統(tǒng)的美軍青睞計算機病毒武器 55
3.6.3 防患未然要從細節(jié)做起 56
3.7 計算機病毒的預防 56
第二篇 計算機病毒分析
第4章 追根溯源——傳統(tǒng)計算機病毒概述 60
4.1 早期的DOS病毒介紹 60
4.1.1 dos簡介 60
4.1.2 DOS病毒 60
4.2 Microsoft Office殺手——宏病毒 61
4.2.1 什么是“宏” 61
4.2.2 宏病毒的定義 62
4.2.3 宏病毒的特點 63
4.2.4 宏病毒的發(fā)作現(xiàn)象及處理 63
4.2.5 典型的宏病毒——“七月殺手”病毒 65
4.2.6 防范宏病毒的安全建議 66
4.3 變化多端的文件型病毒 67
4.3.1 文件型病毒的復制機制 67
4.3.2 文件型病毒的分類 68
4.3.3 文件型病毒的發(fā)展史 68
4.3.4 文件型病毒簡介 70
4.3.5 典型的文件型病毒——
4.3.5 WIN95.CIH病毒解剖 73
4.3.6 新CIH病毒（WIN32.Yami）剖析 77
4.4 攻擊磁盤扇區(qū)的引導型病毒 77
4.4.1 引導型病毒背景介紹 77
4.4.2 引導型病毒的主要特點和分類 80
4.4.3 引導型病毒的發(fā)作現(xiàn)象及處理 80
4.4.4 典型的引導型病毒——WYX病毒解析 83
4.4.5 防范引導區(qū)病毒的安全建議 86
第5章 互聯(lián)網(wǎng)時代的瘟疫——蠕蟲病毒 87
5.1 背景介紹 87
5.1.1 蠕蟲病毒的起源 88
5.1.2 蠕蟲病毒與普通病毒的比較 89
5.1.3 蠕蟲病毒造成的破壞 89
5.1.4 蠕蟲病毒的特點和發(fā)展趨勢 89
5.1.5 蠕蟲病毒的傳播 90
5.2 病毒的特點及危害 90
5.2.1 蠕蟲病毒的特點 90
5.2.2 蠕蟲病毒造成的社會危害 93
5.3 蠕蟲病毒的發(fā)作現(xiàn)象及處理方法 94
5.3.1 尼姆達（Nimda）病毒 95
5.3.2 “魔波（Worm.Mocbot.a）”蠕蟲病毒 98
5.3.3 SCO炸彈（Worm.Novarg） 101
5.3.4 惡性蠕蟲病毒“斯文（Worm.Swen）” 101
5.4 典型蠕蟲病毒解析 103
5.4.1 “熊貓燒香”病毒解析 103
5.4.2 Worm.Win32.WebDown.a 112
5.5 防范蠕蟲病毒的安全建議 115
5.6 蠕蟲病毒防范實驗 116
5.6.1 實驗目的 117
5.6.2 實驗大綱 117
5.6.3 實驗工具軟件 117
5.6.4 實驗內(nèi)容 117
5.6.5 實驗步驟 120
第6章 隱藏的危機——木馬病毒分析 121
6.1 木馬病毒的背景介紹 121
6.2 木馬病毒的隱藏性 122
6.3 典型的木馬病毒 127
6.3.1 灰斑鳩（Backdoor.Huigezi） 127
6.3.2 馬吉斯蠕蟲（Worm.Magistr.g） 131
6.4 防范木馬病毒的安全建議 133
第7章 網(wǎng)頁沖浪的暗流——網(wǎng)頁腳本病毒分析 135
7.1 腳本病毒的背景知識介紹 135
7.1.1 VBScript概述 135
7.1.2 “WSH”概述 136
7.1.3 有關注冊表的基本知識 136
7.2 腳本病毒的特點 137
7.3 腳本病毒的發(fā)作現(xiàn)象及處理 138
7.4 典型腳本病毒——歡樂時光病毒解析 143
7.4.1 HAPPYTIME病毒分析 143
7.4.2 情人谷惡意網(wǎng)頁分析 146
7.5 防范腳本病毒的安全建議 149
7.6 腳本及惡意網(wǎng)頁實驗 151
7.6.1 實驗目的 151
7.6.2 實驗內(nèi)容 151
7.6.3 實驗用工具軟件及操作系統(tǒng) 151
7.6.4 實驗背景知識及說明 151
7.6.5 實驗流程 157
7.7 注冊表維護實驗 159
7.7.1 實驗目的 159
7.7.2 實驗內(nèi)容 159
7.7.3 實驗工具軟件 159
7.7.4 實驗步驟 159
7.7.5 實驗流程 168
第8章 不要和陌生人說話——即時通信病毒分析 170
8.1 即時通信病毒背景介紹 170
8.1.1 什么是IM 170
8.1.2 主流即時通信軟件簡介 170
8.1.3 IM軟件的基本工作原理 172
8.2 即時通信病毒的特點及危害 173
8.3 即時通信病毒發(fā)作現(xiàn)象及處理方法 175
8.4 典型的即時通信病毒——“MSN性感雞”解析 178
8.5 防范即時通信病毒的安全建議 180
第9章 無孔不入——操作系統(tǒng)漏洞攻擊病毒分析 181
9.1 漏洞攻擊病毒背景介紹 181
9.2 漏洞攻擊病毒造成的危害 182
9.2.1 沖擊波病毒造成的危害 182
9.2.2 振蕩波病毒造成的危害 183
9.2.3 嚴防微軟MS05-040漏洞 183
9.3 漏洞攻擊病毒發(fā)作現(xiàn)象及處理 184
9.3.1 紅色代碼發(fā)作現(xiàn)象 184
9.3.2 沖擊波病毒的發(fā)作現(xiàn)象 185
9.3.3 振蕩波病毒發(fā)作現(xiàn)象 189
9.3.4 針對ARP協(xié)議安全漏洞的網(wǎng)絡攻擊 191
9.4 防范漏洞攻擊病毒的安全建議 196
第10章 病毒發(fā)展的新階段——移動通信病毒分析 198
10.1 移動通信病毒背景介紹 198
10.2 移動通信病毒的特點 200
10.2.1 手機病毒的傳播途徑 200
10.2.2 手機病毒的傳播特點 202
10.2.3 手機病毒的危害 202
10.3 移動通信病毒的發(fā)作現(xiàn)象 202
10.4 典型手機病毒分析 204
10.4.1 手機病毒發(fā)展過程 204
10.4.2 典型手機病毒Cabir 205
10.5 防范移動通信病毒的安全建議 205
第11章 防人之心不可無——網(wǎng)絡釣魚概述 207
11.1 網(wǎng)絡釣魚背景介紹 207
11.2 網(wǎng)絡釣魚的手段及危害 208
11.2.1 利用電子郵件“釣魚” 208
11.2.2 利用木馬程序“釣魚” 208
11.2.3 利用虛假網(wǎng)址“釣魚” 209
11.2.4 假冒知名網(wǎng)站釣魚 209
11.2.5 其他釣魚方式 210
11.3 防范網(wǎng)絡釣魚的安全建議 211
11.3.1 金融機構采取的網(wǎng)上安全防范措施 211
11.3.2 對于個人用戶的安全建議 212
第12章 強買強賣——惡意軟件概述 213
12.1 惡意軟件背景介紹 213
12.2 惡意軟件的分類及其惡意行徑 214
12.3 惡意軟件的危害 215
12.4 防范惡意軟件的安全建議 216
12.4.1 IE插件管理專家Upiea 216
12.4.2 超級兔子魔法設置 217
12.4.3 瑞星卡卡安全助手 217
12.4.4 微軟反間諜軟件（Giant Antispyware） 218
12.5 典型惡意軟件分析 219
12.5.1 病毒感染過程 219
12.5.2 清除方法 221
第13章 其他操作系統(tǒng)病毒 223
13.1 操作系統(tǒng)概述 223
13.1.1 Linux操作系統(tǒng) 223
13.1.2 蘋果公司的MAC OS 224
13.2 Linux與Unix病毒 225
13.3 MAC OS系統(tǒng)病毒 226
13.4 其他新型病毒簡介 226
第三篇 反病毒技術
第14章 反病毒技術發(fā)展趨勢 228
14.1 反病毒保護措施日益全面和實時 228
14.2 反病毒產(chǎn)品體系結構面臨突破 229
14.3 對未知病毒的防范能力日益增強 229
14.4 企業(yè)級別、網(wǎng)關級別的產(chǎn)品越來越重要 230
14.5 關注移動設備和無線產(chǎn)品的安全 230
第15章 基礎知識——常見文件格式 231
15.1 病毒與文件格式 231
15.1.1 常見的文件格式 231
15.1.2 文檔能夠打開但無法正常顯示時采取的措施 239
15.1.3 文檔打不開時采取的措施 240
15.1.4 常見的文件后綴 241
15.1.5 雙擴展名——病毒郵件所帶附件的特點之一 247
15.2 PE文件格式 248
15.2.1 PE文件格式一覽 248
15.2.2 檢驗PE文件的有效性 249
15.2.3 File Header 250
15.2.4 OptionalHeader 251
15.2.5 Section Table 252
15.2.6 Import Table（引入表） 253
15.2.7 Export Table（引出表） 255
第16章 搭建病毒分析實驗室 257
16.1 神奇的虛擬機 257
16.1.1 硬件要求與運行環(huán)境 257
16.1.2 威睿 258
16.1.3 Virtual PC 262
16.1.4 VMWare與Virtual PC的主要區(qū)別 267
16.1.5 病毒“蜜罐” 268
16.2 常用病毒分析軟件 269
16.2.1 系統(tǒng)監(jiān)測工具 269
16.2.2 文本編輯器 290
16.2.3 綜合軟件 297
16.3 靜態(tài)分析技術 306
16.3.1 基礎知識 306
16.3.2 W32Dasm簡介 307
16.3.3 IDA Pro 315
16.3.4 破解教程 318
16.4 動態(tài)分析技術 320
16.4.1 SoftICE和TRW2000的安裝與配置 320
16.4.2 SoftICE與TRW2000操作入門 330
16.4.3 常用的Win32 API函數(shù) 336
16.4.4 破解實例 338
第17章 計算機病毒慣用技術解密 341
17.1 壓縮與脫殼 341
17.1.1 自動脫殼 341
17.1.2 手動脫殼 350
17.1.3 脫殼技巧 353
17.2 郵件蠕蟲 361
17.2.1 郵件蠕蟲的局限與解決方法 361
17.2.2 垃圾郵件的關鍵技術 364
17.3 追蹤郵件來源 366
17.3.1 郵件頭分析 366
17.3.2 郵件傳輸過程 367
17.3.3 郵件頭分析實例 368
17.3.4 郵件偽造 370
17.3.5 垃圾郵件分析 370
17.3.6 總結 372
17.4 病毒分析常用工具實驗 373
17.4.1 實驗目的 373
17.4.2 實驗內(nèi)容 373
17.4.3 實驗工具 373
17.4.4 實驗步驟 374
17.4.5 實驗流程 379
第18章 捕捉計算機病毒 381
18.1 計算機病毒的癥狀 381
18.1.1 計算機病毒發(fā)作前的表現(xiàn)現(xiàn)象 381
18.1.2 計算機病毒發(fā)作時的表現(xiàn)現(xiàn)象 383
18.1.3 計算機病毒發(fā)作后的表現(xiàn)現(xiàn)象 385
18.2 Windows的自啟動方式 386
18.2.1 自啟動目錄 386
18.2.2 系統(tǒng)配置文件啟動 387
18.2.3 注冊表啟動 390
18.2.4 其他啟動方式 392
18.2.5 自啟動方式 394
18.3 名詞解釋 396
18.3.1 惡意軟件 396
18.3.2 惡意軟件類別詳述 397
18.3.3 惡意軟件的特征 398
18.3.4 攜帶者對象 398
18.3.5 傳輸機制 399
18.3.6 負載 400
18.3.7 觸發(fā)機制 402
18.3.8 防護機制 402
第19章 病毒代碼分析 404
19.1 2003蠕蟲王（SQL Server蠕蟲） 404
19.2 “振蕩波”（Worm.Sasser）病毒代碼 406
19.3 “莫國防”病毒（win32.mgf）的源程序 412
19.3.1 相關技術 412
19.3.2 危害估計 412
19.3.3 源代碼分析 412
19.4 木馬下載器 438
19.5 熊貓燒香的代碼 460
第20章 反病毒技術剖析 467
20.1 病毒診治技術剖析 467
20.1.1 反病毒技術概述 467
20.1.2 病毒診斷技術 468
20.1.3 虛擬機在反病毒技術中的應用 473
20.2 反病毒引擎技術剖析 476
20.2.1 反病毒引擎在整個殺毒軟件中的地位 476
20.2.2 反病毒引擎的發(fā)展歷程 477
20.2.3 反病毒引擎的體系架構 478
20.2.4 反病毒引擎的技術特征 478
20.2.5 反病毒引擎的發(fā)展方向 481
第四篇 反病毒產(chǎn)品及解決方案
第21章 中國反病毒產(chǎn)業(yè)發(fā)展概述 484
第22章 主流反病毒產(chǎn)品特點介紹 489
22.1 瑞星 489
22.2 江民殺毒軟件 491
22.3 金山毒霸 492
22.4 諾頓殺毒軟件 493
22.5 卡巴斯基 493
第23章 反病毒安全體系的建立 495
23.1 建設安全體系遵循的原則 495
23.1.1 法律 495
23.1.2 思想意識 497
23.1.3 技術手段 497
23.1.4 管理手段 498
23.1.5 技能手段 499
23.2 如何選擇反病毒產(chǎn)品 500
23.2.1 使用方面 500
23.2.2 服務方面 500
附錄A 計算機安全法規(guī) 501
附錄B 新病毒處理流程 512
……
參考資料 >