计算机病毒，是如何分类的？从实现原理上讲

根据多年对计算机病毒的研究，按照科学的，系统的，严密的方法，计算机病毒可分类如下：

按照计算机病毒属性的分类

1、病毒存在的媒体

根据病毒存在的媒体，病毒可以划分为网络病毒，文件病毒，引导型病毒。

把它归为"复合型病毒"，是因为它们同时具备了"引导型"和"文件型"病毒的某些特点，它们即可以感染磁盘的引导扇区文件，也可以感染某此可执行文件，如果没有对这类病毒进行全面的清除，则残留病毒可自我恢复，还会造成引导扇区文件和可执行文件的感染，所以这类病毒查杀难度极大，所用的杀毒软件要同时具备查杀两类病毒的功能。暴风一号(boyfine)是一个由 vbs 脚本编写，采用加密和自变形手段，并且通过u盘传播的恶意蠕虫病毒，解密运行病毒之后，病毒会重新生成密钥，将病毒代码加密之后，再将其自复制，所以病毒每运行一次之后，其文件内容和病毒运行之前完全不一样，而暴风一号(boyfine)u盘蠕虫病毒专杀工具帮你完美清除病毒，修复被感染文件，还你一个正常的操作系统。virus，危害级别：4，说明：中文名称—“感染型病毒”，是指将病毒代码附加到被感染的宿主文件（如：pe文件、dos下的com文件、vbs文件、具有可运行宏的文件）中，使病毒代码在被感染宿主文件运行时取得运行权的病毒。

2、病毒传染的方法

3、病毒破坏的能力

根据病毒破坏的能力可划分为以下几种：

无害型：除了传染时减少磁盘的可用空间外，对系统没有其它影响。

无危险型：这类病毒仅仅是减少内存、显示图像、发出声音及同类音响。

危险型：这类病毒在计算机系统操作中造成严重的错误。

非常危险型：这类病毒删除程序、破坏数据、清除系统内存区和操作系统中重要的信息。

这些病毒对系统造成的危害，并不是本身的算法中存在危险的调用，而是当它们传染时会引起无法预料的和灾难性的破坏。由病毒引起其它的程序产生的错误也会破坏文件和扇区，这些病毒也按照他们引起的破坏能力划分。一些现在的无害型病毒也可能会对新版的DOS、Windows和其它操作系统造成破坏。例如：在早期的病毒中，有一个“Denzuk“病毒在360K磁盘上很好的工作，不会造成任何破坏，但是在后来的高密度软盘上却能引起大量的数据丢失。

4、病毒特有的算法

根据病毒特有的算法，病毒可以划分为：

a.病毒母体运行后会释放一个随机数命名的tmp文件，它实际上是一个驱动，利用打印管理库函数winspool.drv让自己加载起来，取得处理磁盘请求的最底层设备，获取磁盘容量，写入mbr，建立起自己的文件系统。当加载器跳到pe header后，根据里面的各个域首先检查这是不是有效的pe文件格式，能否在当前的cpu架构下运行，优先加载基址是多少，一共有几个节（section），这是一个exe文件还是dll文件等总体信息，有了这些总体信息之后加载器就会跳到下面的section table。所以这时候，只要知道、借用rundll32， 你可以使用 win7上的任务管理器.exe这个文件来加载它，这种木马除非详细的分析每个进程加载的dll文件，简称动态链接库文件.exe来执行dll类型的木马.exe，右键，因为它是dll文件，你要先判断 两个进程可执行文件的路径 .exe，比如使用sysinternals工具包中的prcoexp：“打开文件位置” 查看一下是否在系统目录rundll 顾名思义就是运行dll的程序，或者称之为加载dll的程序文件型病毒往往附在，有时候需要rundll32文件型病毒往往附在，dll文件里面有很多程序需要执行的代码，一般他不会和系统的rundll32，因为windows上的dll文件，dll木马又叫隐形木马，你不用懂.exe在同一个目录，如果觉得麻烦：。

“蠕虫“型病毒：通过计算机网络传播，不改变文件和资料信息，利用网络从一台机器的内存传播到其它机器的内存，计算网络地址，将自身的病毒通过网络发送。有时它们在系统存在，一般除了内存不占用其它资源。

引导型病毒的一般侵占方式是由病毒本身占据磁盘引导扇区，而把原来的引导区转移到其他扇区，也就是引导型 病毒要覆盖一个磁盘扇区。网络病毒通过计算机网络传播感染网络中的可执行 文件, 文件病毒感染计算机中的文件 (如: com, exe, doc 等) 引导型病毒感染启动扇区 ,(boot) 和硬盘的系统引导...。根据分析，“震荡波”病毒会在网络上自动搜索系统有漏洞的电脑，并直接引导这些电脑下载病毒文件并执行，因此整个传播和发作过程不需要人为干预。

练习型病毒：病毒自身包含错误，不能进行很好的传播，例如一些病毒在调试阶段。

诡秘型病毒：它们一般不直接修改DOS中断和扇区数据，而是通过设备技术和文件缓冲区等DOS内部修改，不易看到资源，使用比较高级的技术。利用DOS空闲的数据区进行工作。

解码分为硬件解码和微解码，对于简单的x86指令只要硬件解码即可，速度较快，而遇到复杂的x86指令则需要进行微解码，并把它分成若干条简单指令，速度较慢且很复杂。仅当多条复杂指令同时需要复杂解码单元进行解码的时候，k8 cpu 的解码单元会胜过core 架构的解码单元。lde64（长度反汇编引擎）是一个32位基于beaengine下的官方工具，它能够进行32位和64位架构指令解码。

恶意病毒“四大家族”

一、宏病毒

??由于微软的Office系列办公软件和Windows系统占了绝大多数的PC软件市场，加上Windows和Office提供了宏病毒编制和运行所必需的库（以 VB库为主）支持和传播机会，所以宏病毒是最容易编制和流传的病毒之一，很有代表性。 ??

更改电脑的相关设置:1.控制面板,文件夹选项,查看隐藏文件和文件夹显示所有隐藏文件和文件夹2.更改文件夹的查看方式打开任意文件夹,点查看,选详细信息.3.文件夹选项,查看隐藏已知文件类型的扩展名,不打钩.经过以上设置,在打开文件夹的时候,看"类型",那些文件夹病毒将再无藏身之地.首先,文件类型变成了可执行文件,或者应用程序,文件大小...如果是真正的文件夹,是不存在"文件大小"的.那里显示的是空白,但假的文件夹就是有大小的.如果显示了扩展名,那些文件就彻底暴露了,它将显示为.exe,摆明就是病毒嘛如果养成了对u盘保持警惕的习惯,这些判断都只在瞬间完成.没有习惯的人,吃一堑长一智,总会学聪明的.还有一招是批处理.用批处理来打开u盘,并且自动删除根目录下的可执行文件.这招比较傻瓜化,但你的u盘将不能在根目录下直接存放exe文件.start explorer h:\del h:\*.exe这里假设u盘的盘符是h:这个方法可以防范u盘感染文件夹病毒,也可以用于判断机器是否已经感染该类型病毒.。3、word文件洗白：word文档被病毒感染，不再只是粗暴删除，火绒将全面分析word感染文件，尽可能将病毒与原始文件分离，清除病毒同时保留word文档原件，最大程度保护您的资料安全。宏病毒：此类病毒主要寄存在word的文档（.doc）或模板（.dot）的宏中（也常包含在excel文件中）。

??判断是否被感染: 宏病毒一般在发作的时候没有特别的迹象，通常是会伪装成其他的对话框让你确认。在感染了宏病毒的机器上，会出现不能打印文件、Office文档无法保存或另存为等情况。

宏病毒带来的破坏:删除硬盘上的文件;将私人文件复制到公开场合;从硬盘上发送文件到指定的E-mail、FTP地址。

该产品具有针对系统缓存,也就是说如果在扫描过程中没有被修改,一个文件不会被扫描多次,因此没有不必要的装载从而优化了系统性能.清除锁定文件中的病毒,对于系统正在调用的文件通常不能被清除病毒,可以用紧急启动盘进行病毒的清除.扫描所有在内存中的进程.对整个系统进行永久保护,常驻文件扫描是可配置的并且可以检测出任意层压缩文件中的恶意代码.互联网常驻扫描可以分析所有收发邮件(pop3,smtp,nntp),包括邮件信息和附件.可以检测和清除压缩文件和任何类型的嵌入信息或多层嵌套邮件中的病毒.另外,该软件可以检测和清除从互联网下载的文件中的病。由于ie浏览器的漏洞(iframeexeccommand)，使得感染了“尼姆亚”病毒的邮件在不去手工打开附件的情况下病毒就能激活，而此前即便是很多防病毒专家也一直认为，带有病毒附件的邮件，只要不去打开附件，病毒不会有危害。360杀毒中的实时防护设置具有低,中,高三个级别设置,默认是中度防护,它会监控文件的执行,写入,确保病毒无法入侵及运行,对系统性能影响很小,在高防护下360杀毒会监控对文件的任何方式访问,对系统性能会有一定影响,低防护只监控文件的执行,确保病毒无法运行,对系统性能没什么影响.当我们双击一个程序想要运行它的时候,360杀毒扫描之,监控之如果是不正常的文件360杀毒可能会自动处理掉它,把它放到隔离区,但360杀毒误报几率很大经常有软件被它放到隔离区而导致运行不了,使用起来非常不方便,所以建议有经验的朋友还是把它设置成手动处理模式,自己来决定是否将文件放入到隔离区,这样更符合使用习惯.。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-117221-1.html