计算机病毒预防考试的重点

第1章计算机病毒概述

1. ※电脑病毒定义

计算机病毒是指一组计算机指令或程序代码，它们会编译或插入到计算机程序中，从而损坏计算机功能或破坏数据，影响计算机使用并可以自我复制. 2.※电脑病毒的特征

破坏性，传染性，寄生性，隐蔽性，触发性（潜在）

3. 电脑病毒的发展趋势是什么？哪些病毒代表了这些趋势？病毒发展趋势: 网络化，化，简化，多样化，自动化，化. 代表性病毒: 蠕虫，木马4. ※计算机病毒的主要危害

直接伤害:

（1）病毒刺激了计算机数据信息的直接破坏（2）占用磁盘空间并破坏了信息（3）占用系统资源

（4）影响计算机的运行速度

（5）计算机病毒错误和不可预见的危害（6）计算机病毒兼容性对系统运行的影响间接危害:

（1）计算机病毒对用户造成严重的心理压力（2）造成业务损失（3）法律问题

5. ※计算机病毒和医学病毒有何相似之处？有什么区别？

相似之处: 它们与生物医学中的病毒具有相同的寄生，传染和破坏性特征，因此该术语源自生物医学中的“病毒”概念.

差异: 它不是自然存在的，但它是由某些人使用计算机软件和硬件的固有漏洞准备的具有特殊功能的程序. 6.（了解）木马病毒（闪存小偷，证券小偷，插件陷阱，我正在闪出的我的照片）7※计算机病毒的命名规则

1991年，计算机反病毒组织（CARO）提出了一套命名规则. 病毒的命名包括五个部分: 姓？组的名字？大变体？小变体？修饰符的CARO规则中的一些其他规则包括: ？没有地名

？没有公司或品牌名称

？如果已经有名称，将不会再次使用别名？变异病毒是原始病毒的子类

示例: 狡猾是Cascade的变体. 它可以在受到攻击时播放音乐，因此命名为Cascade.1701.A. 级联是姓氏，1701是组名. 由于级联病毒的变体大小不同（1701、1704、1621等），因此大小用于表示组名. A表示该病毒是组中的第一个变种. 行业补充:

防病毒软件供应商通常在CARO名称前添加前缀以指示病毒类型. 例如，WM表示MS Word宏病毒； Win32表示32位Windows病毒； VBS是指VB脚本病毒. Happy 99蠕虫称为Win32.Happy99.Worm.

第二章计算机病毒及其防护模型

1. ※电脑设计为无敌的是哪种型号？

随机访问计算机模型是带有累加器的计算机模型，该计算机中的指令无法自行修改. RAM由一个只读输入带，一个只写输入带以及一个程序和一个存储器组成. 在RAM模型中，由于该程序未存储在RAM内存中，因此无法对其进行修改，当然也不能被计算机病毒感染.

2. ※F. Cohen提出了四种病毒预防的理论模型: 基本的隔离计算机的病毒如何防治，分离，传播和限制解释3. ※在没有外部入侵的情况下，种群数量受制于差分系统4. ※关于传播的讨论蠕虫病毒的特征这三个数学模型的特征.

当一个群体中没有流行病时:

其人口（N）的增长服从差异系统SI（易感[感染]-感染）模型. 当有疾病传播时:

（1）流行病的传播遵循双线性传播率的SIS（易感感染-易感）模型. （2）SIR（敏感感染去除）模型的两个假设:

？被病毒感染的文件（文件）具有免疫力. •病毒的潜伏期很短，大约等于零.

第3章计算机病毒结构分析

1. ※电脑病毒的作用机理

2. ※病毒的四个主要模块: 引导，感染，破坏，触发

引导区域病毒启动过程

？重定位系统bootloader->替换为病毒bootloader

？在启动时->病毒启动模块->将感染，破坏和触发模块加载到内存中->使用驻留技术？最后，转到系统引导程序->引导系统

销毁销毁模块的对象: 系统数据区，文件，内存，系统运行速度，磁盘，CMOS，主板和网络等.

动态启动过程是静态的吗？居民记忆

？偷系统控制？恢复系统功能

3. 常见计算机病毒的技术特征

（1）驻留内存（2）病毒变种

（3）EPO（入口点模糊）技术（4）反分析技术（加密，反跟踪）（5）隐蔽病毒技术（6）多态病毒技术（7）插入病毒技术（8）超级病毒技术（9）破坏性感染技术

（10）网络病毒技术

4. ※多态性病毒水平

半多态，完全多态，带定点，带填充，固定算法，可变算法5. ※计算机病毒的攻击性与潜伏性之间的辩证关系？

在感染和攻击计算机病毒之前，它们通常必须确定是否满足某些特定条件. 如果他们满意，他们将被感染或受到攻击. 否则，它们将不会被感染或不会被感染，或仅被感染. 此条件是计算机病毒的触发条件. 触发模块的目的是调整病毒的攻击性和潜伏时间之间的平衡. 感染和频繁破坏可能会对用户造成严重损害，但是它们总是导致系统或多或少地异常并容易暴露病毒. 没有破坏或感染，该病毒将失去其特性. 可触发性是病毒侵略性和潜伏性之间的调节杠杆，它可以考虑杀伤力和潜伏性来控制病毒感染和破坏的频率. 6.※针对计算机病毒的两种反分析技术是什么？

自加密技术: 这是一种防止静态分析的技术，因此分析人员无法在不执行病毒的情况下读取加密的病毒程序. 包括数据加密和病毒代码加密. 反跟踪技术: 使分析人员无法动态跟踪病毒程序的运行. 第4章传统计算机病毒

MZ格式: 它是DOS中具有重定位功能的可执行文件格式. MZ可执行文件包含16位代码，并且在代码之前添加了文件头. 文件头包含各种描述数据，例如，可执行代码的第一句执行指令所需的文件入口点和堆栈位置，重定位表等. 1.（理解）PE文件结构及其操作原理<

PE（可执行文件）是Win32环境本身随附的可执行文件格式.

它的某些功能是从Unix Coff文件格式继承的. 可移植性意味着此文件格式是跨Win32平台的，即使Windows在非Intel CPU上运行，任何win32平台PE加载程序也可以识别和使用该文件格式. 当然，移植到不同CPU的PE高管必须进行一些更改. PE文件结构的整体分层分布

DOS MZ头DOS存根PE头分区表分区1分区2？第n节2. PE病毒如何感染其他文件

常见的方法是在文件中添加新的部分，然后将病毒代码和执行病毒后返回到宿主程序的代码写入新添加的部分，并修改PE中的入口点文件头，指向新添加的病毒代码条目. 这样，在程序运行时，首先执行病毒代码计算机的病毒如何防治，然后轮流执行病毒代码以执行主机程序.

“ MZ”格式标头Dos桩程序PE文件标头节表第1节第2节？第n节

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-211565-1.html