案例研究：如何捕获计算机病毒样本_IT /计算机_信息

众所周知，计算机病毒不同于医学上的“病毒”。它们不是自然存在的。它们是具有某些功能的程序，某些人使用计算机软件和硬件的固有漏洞制作了这些程序。它可以通过某种方式潜入计算机存储介质（或程序）中，并且在满足某些条件时将被激活。它使用修改其他程序的方法将自己的精确副本或可能演变成的形式放入其他程序中，这是一组感染它们并破坏计算机资源的程序或指令集。那些长期使用计算机的人会发现，病毒通常会按照计算机的发展步伐进行更新。从最初的软件销毁到硬件的损坏，人们都在恐惧和憎恨计算机病毒，因此无法避免。因此，病毒的早期检测和清除是使病毒造成的损害最小化的重要手段。如果已安装防病毒软件，并且病毒定义代码和病毒检测引擎是最新版本，则该病毒仍会爆发并导致文件丢失或系统损坏，这是最新的病毒攻击。此时，应由反病毒专家对新病毒样本进行分析和研究，以便可以在最短的时间内更新病毒代码库。提取新病毒样本的方法如下：一、捕获引导型引导病毒。引导型病毒的提取非常简单。首先，使用格式A：/ S将引导系统文件复制到软盘，然后复制一些硬盘。系统可执行文件一起复制到软盘。

具体步骤如下：进入MS-DOS模式，格式化系统磁盘，格式化A：/ s，对于不同的系统，请将以下文件复制到同一张软盘中：对于Windows3.x：复制\ Windows \ System下的gdi.exe？ Rnl286.exe和progman.exe三个文件。对于Windows 95/98 / ME：在\ Windows \ System下复制三个文件gdi.exe，krnl386.exe和progman.exe。 （请参阅）height = 351，共3页：1内容导航对于Windows NT和Windows 2000：在\ Windows \ System32下复制三个文件gdi.exe，krnl386.exe和progman.exe。如果格式化软盘时发生崩溃，请按照以下步骤将其解压缩：请在软盘的标签上写上“在受感染的格式下作为启动盘损坏”。对于不同的系统，将上面列出的文件复制到不同的软盘上。方法与上述相同。二、文件类型文件/宏病毒捕获如果您怀疑病毒是文件类型，请将C驱动器根目录中的文件复制到软盘上，命名为命令，然后删除扩展名。

如果您怀疑该病毒是MS Word宏病毒，请替换目录C：\ Program Files \ Microsoft Office \ Templates中的“ normal.dot”文件以及C：\ Program Files \ Microsoft Office \中的文件Office \ Startup将所有文件复制到软盘上。 （请参见）height = 366如果您怀疑该病毒是MS Excel宏病毒，请将XLSTART目录中的所有文件复制到软盘上。在计算机上的多个位置找到XLSTART，然后使用Windows搜索功能找到“ XLSTART”的所有目录，然后将这些目录中的所有文件复制到软盘上。如果您怀疑该病毒是PowerPoint宏病毒，请执行以下操作：打开一个空的Power Point文件，然后将其另存为文件，选择保存类型为““演示文稿设计模板”，然后将文件扩展名复制.pot到软盘上，请在软盘的标签上写“包含受感染的文件”，并尝试用病毒保存尽可能多的文件。保存软盘制作映像文件三、捕获木马病毒的运行运行regedit.exe文件打开注册表编辑器，并记录以册表项中涉及的文件。

HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ CurrentVersion \ Run中涉及的文件。 （如3）height = 388 3页（共3页）所示：2内容导航HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ CurrentVersion \ RunServices涉及的文件。打开Win.INI文件，并设置“ load =“和“ run =在文件中记录该行中涉及的文件。根据上述信息，确定文件名和文件所在的目录，并将这些文件压缩为zip文件。四、几种病毒工具软件ClrText.zip：当您提交的病毒是Word或Excel宏病毒时，此工具软件可以清除受感染文件的内容，但仅保留宏，以避免泄露您的机密信息SaveMBR.zip：该工具软件可以读取RWFLOPY.zip：RWFloppy软件可以还原或生成软盘映像文件，它的功能是当您不想发送病毒时，将其发送到NAI进行病毒分析。通过邮寄一张软盘作为示例，您可以使用它生成一张软盘。文件通过电子邮件发送。

特别是对于引导扇区病毒，因为它隐藏在软盘的80、81扇区中，并且普通软件无法读取这两个扇区。 Readt80.zip：为了正确检测BOOT区域中的病毒，我们需要一张包含该病毒的软盘。可以通过在DOS状态下格式化系统软盘来获得它：FORMAT / SA：需要软盘的原因是：引导扇区病毒通常将自身隐藏在普通DOS软件无法读取的位置（对于1.44M软盘上有80个扇区，从0到79，引导扇区病毒将病毒代码隐藏在扇区80、81中）如果使用常规软件生成软盘映像文件，则该映像文件不包含80和81个扇区，因此无法分析病毒。该软件用于读取软盘中包含病毒代码的80、81扇区，并将其写入文件。 SYSU.zip：此软件用于还原受各种宏病毒感染的系统。 （编辑zhaohb zhaohb＃TEL：（010）68476636-8002）共3页：3内容导航）本周，Microsoft发布了今年8月的系统漏洞补丁程序。共有12个漏洞，其中Windows操作系统有10个漏洞补丁，Office文字处理软件Office有2个漏洞补丁。

它也根据漏洞修复过程的危险级别进行划分。其中，有7个针对Windows操作系统的严重漏洞补丁程序，2个针对办公室文字处理软件的严重漏洞补丁程序和3个重要的漏洞补丁程序。 Microsoft发布的12个漏洞补丁已修复Windows操作系统和Office文字处理软件Office中的20多个漏洞。国家计算机病毒紧急响应中心建议大多数计算机用户注意以下12个漏洞补丁。它们是：（一）MS06-040：Microsoft Windows Server服务远程缓冲区溢出漏洞，Microsoft Windows Server Service在RPC（远程过程调用）通信中处理恶意消息时存在一个溢出漏洞。恶意攻击者可以触发此漏洞。通过发送恶意的RPC消息，从而导致执行任意代码。（二）MS06-048：Microsoft Powerpoint远程执行任意代码漏洞，Microsoft Powerpoint是一种非常流行的演示工具。Powerpoint在分析特制文档中的某些字符串时出错，这可能使恶意攻击者诱骗用户打开恶意PPT文档，该文档可以在系统中的任何代码中进一步执行。

（三）MS06-049：Microsoft Windows 2000内核本地特权升级漏洞，本地恶意攻击者可以使用Microsoft Windows 2000内核中未经检查的缓冲区来获得系统特权升级，以便可以完全控制受影响的恶意攻击（四）MS06-051：Microsoft Windows未处理的异常远程执行代码漏洞，Microsoft Windows在处理驻留在内存中的应用程序时无法正确处理异常。如果计算机用户被欺骗访问，则是恶意网站或网页专家提醒：根据过去的经验，关于上述四个想法的漏洞修补程序，根据过去的经验，这些重要的漏洞修补程序很可能会被恶意攻击者用来执行以下操作：传播病毒，用户不应忽略它们，您应根据提示尽快下载并安装此补丁o您的系统状况，以防止类似的系统漏洞被用于恶意目的。发生攻击。 （负责编辑zhaohb zhaohb＃TEL：（010）68476636-8002）关键字：病毒，网络蠕虫，变态病毒，病毒生产机，木马，有害代码，防病毒软件，数据备份，快速升级，灾难恢复方面的总结文章简要地揭示了计算机病毒从简单到复杂的特征和目的，病毒编辑器还抛弃了“病毒自动生产机”软件。

文章指出，计算机病毒本身的结构将主要朝着可以对抗反病毒方法的变形病毒方向发展，并将这种病毒概括为一维，二维，三维以及四维变形病毒，使人们站立在一定的高度上上面对变质病毒有更清晰的了解，因此将来可以采取有效措施进行积极的诊断和治疗。文章中提到的病毒名称均由作者本人编程并杀死。作者总结了多年的反病毒经验，并提出了最基本的反病毒方法：一种备份，两种快速升级以及三种灾难恢复。 2.我们将与该病毒长期共存。人类已进入信息社会并创造了智能机器（电子计​​算机），同时，他们还创造了机器（电子计​​算机）病毒。在信息社会中，人类更容易与机器（电子计​​算机）集成。但是，破坏整体的一个方面将是机器病毒（计算机病毒）。人类在与生物病毒作斗争时，还必须与机器病毒作斗争。 ，这就是人类在方便时也会使自己尴尬。它没有引起人们的注意。直到1987年，计算机病毒才在1983年首次被确认，并且这种病毒尚未在全世界得到广泛认可。 1989年，我国计算机行业发现了一种病毒。到目前为止，世界上已经发现了近万种病毒，并且它们仍在以高速度增长。由于计算机软件的脆弱性和Internet的开放性，我们将长期与病毒共存。此外，病毒的发展方向主要是能够更好地隐藏自身并与反病毒方法作斗争。

与此同时，人们已使用病毒将其独特的特性与其他功能结合起来进行有目的的活动。病毒的模式正在不断更新，编程方法也越来越高。特别是，Internet的广泛使用促进了病毒的空前活动。网络蠕虫的传播速度更快，范围更广，Windows病毒更加复杂，有害代码（例如具有黑客性质的病毒和木马）已经大量涌现。以下是一些病毒的特征的简要示例，按照它们的出现顺序来查看其发展过程。三种病毒的开发过程1960年代初期，美国贝尔实验室的三位年轻程序员编写了一款名为“ Core War”的游戏。游戏复制了自己，摆脱了另一方的控制。这就是所谓的“病毒”的第一个原型。 1970年代，美国作家雷恩（Wren）在他出版的书中构思了一种自我复制的计算机程序，并首次将其称为“计算机病毒”。 1983年11月，美国计算机专家首先将病毒程序放在VAX / 750上。在国际计算机安全研讨会上，对计算机进行了实验，世界上第一种计算机病毒在实验室诞生。在1980年代后期，巴基斯坦有两个兄弟靠软件谋生。为了打击盗版软件的用户，他们设计了一种名为“巴基斯坦智囊团”的病毒，该病毒只会感染软盘启动。

这是世界上第一个真正传播的病毒。从1988年到1989年，还可以感染硬盘和软盘引导区的Stoned（stone）病毒也出现在我国。病毒体代码有明显的迹象：“您的PC现在被扔了！”和“ LEGALISE MARIJUANA！”，也称为“病毒”等。此病毒感染软盘0侧0磁道1扇区，并修改了部分中断向量表。该病毒不会隐藏或加密自己的代码，因此很容易被检测和删除。类似的还有“小球”和具有这种特征的Azusa / Hong / Kong / 2708、Michaelangelo，它们都是从国外感染的。而国产病毒如Bloody，Torch，Disk Killer等，实际上大多数都是Stoned病毒的复制品。在1990年代初期，感染文件的病毒包括耶路撒冷（黑色星期13五），YankeeDoole，Liberty，1575、Traveller，1465、2062、4096等），主要感染.COM和.EXE文件。中断向量表中类似病毒的修改部分，并且受感染文件中的字节数明显增加，并且病毒代码的主体未加密，并且易于检测和删除。

在这些病毒中，只有洋基杜尔病毒具有轻微的反病毒方法。当发现您使用DEBUG工具进行跟踪时，它将自动从文件中转义。然后，一些可以简单地加密自己的病毒陆续出现，包括1366（大连），1824（N64)，1741（Dong），1100和其他病毒），其加密的目的主要是为了防止跟踪或隐藏相关信息。当内存中存在1741病毒时，使用DIR列出目录表，该病毒将掩盖受感染文件添加的字节数，使其看起来正常，但是1345-64185病毒为每个目标都被感染，文件增加到64185字节时被销毁，随后，启动扇区和文件类型的“双材料”病毒出现，这种病毒不仅感染磁盘的启动扇区，而且还感染可执行文件。 ，例如Flip / Omicron。，XqR（新世纪），入侵者/入侵者，塑料/塑料，3584 /郑州（狼），3072（秋天的水）ALFA / 3072-2、，Ghost / One_Half / 3544（鬼），娜塔丝（鬼），王），TPVO / 3783等，如果只删除了文件上的病毒，但是却删除了n硬盘的引导区域未移除，系统启动时病毒会转移到内存中，并且文件将被重新感染。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/shouji/article-337817-1.html