Linux病毒研究与分析(2)

其中一种情况是，当用户复制磁盘或文件时，他们将病毒从一种媒介复制到另一种媒介。或通过网络上的信息传输，将病毒程序从一方传播到另一方。这种传播方法称为计算机病毒的被动传播。

另一种情况是，计算机病毒是计算机系统运行和激活病毒程序的先决条件。当病毒处于活动状态时，只要满足感染条件，病毒程序就可以将病毒本身主动感染到另一个载体或另一个系统。这种传播方法称为计算机病毒主动传播。

2、计算机病毒的感染过程

对于病毒的被动感染，感染过程是通过复制磁盘或文件来进行的；对于计算机病毒的主动感染，感染过程是这样的：当系统运行时，病毒进入通过病毒载体的系统内部内存（即系统的外部内存）驻留在内存中，并在系统内存中监视系统的操作。当病毒引导模块将病毒感染模块驻留在内存中时，通常需要修改系统中断向量的入口地址（例如INT 13H或INT 21H），以使中断向量指向病毒程序感染模块。这样，一旦系统执行磁盘读取和写入操作或系统功能调用，病毒感染模块就会被激活。在满足感染条件的情况下，感染模块使用系统INT 13H读写磁盘中断将病毒本身感染到读写磁盘上。或加载的程序，即执行病毒感染，然后转移到原始中断服务程序以执行原始操作。

计算机病毒的感染方法基本上可以分为两类。一种是立即感染，即在病毒被执行的那一刻，它会在主机程序开始执行之前立即感染磁盘上的其他程序，然后执行主机。程序;第二是留在记忆中，等待机会被感染。执行程序或D1R操作时，内存中的病毒会检查当前系统环境并感染磁盘上的程序。在主机程序运行之后，驻留在系统内存中的病毒程序。 ，在计算机关闭之前一直处于活动状态。

五、病毒防护

事实上，Linux下的安全机制已经相当完善，但是鉴于上述病毒摘要，个人需要进行以下保护：

1、做好系统加固。

2、注意安全公告并及时修复漏洞。

3、请勿在日常操作中使用root特权。

4、不要安装来自未知来源的各种设备的驱动程序。

5、请勿在重要服务器上运行来源不明的可执行程序或脚本。

6、尝试安装防病毒软件并定期更新病毒代码库。

7、对于连接到Internet的Linux服务器，应定期检查Linux病毒。是否存在蠕虫和木马。8、对于提供文件服务的Linux服务器，最好部署可以同时检查并杀死Windows和Linux病毒的软件。

9、对于提供邮件服务的Linux服务器，最好使用电子邮件病毒扫描程序。

10、尽可能经常检查下载的软件包的PGP或MD5值

1 1、从受信任的网站下载程序

六、防病毒工具

Linux系统本身没有自己的防病毒软件，因为它很少包含病毒。随着Linux的发展，一些第三方防病毒软件陆续出现，但是它们通常可以自由检查病毒，并且需要对防病毒功能进行收费。因此，Linux在防病毒和防病毒方面相对较弱，因为没有很多好的第三方防病毒软件来支持它。

1、 AviraAntiVir个人免费防病毒软件

AntiVir Personal-FREE的Unix版本支持32位Linux / FreeBSD / OpenBSD / Solaris操作系统，并打包在45MB的TAR.GZ文件中。没有提供RPM / DEB安装包。安装使用全英文的Bash脚本，在此期间，将提供有关实时病毒检测，电子邮件病毒提示和代理服务器更新的配置向导。按照提示完成操作。尽管内置了实时病毒检测功能，但不包含Dazuko的源代码包，因此，如果要使用实时病毒检测功能，则需要单独下载Dazuko源代码包并进行编译。进入内核模块。安装后，需要根据需要将“ -b / usr / lib / AntiVir”添加到/etc/prelink.conf文件中。此外，需要将使用AntiVir Personal-FREE的普通用户添加到新创建的antivir用户组中。

2、 Freeavast！ Linux家庭版

免费！ Linux Home Edition是捷克共和国的免费防病毒软件。 Windows版本以强大的脱壳能力和精美的外观而闻名。它的Linux版本使用类似于Windows版本的防病毒内核。自2003年以来，它已连续五年获得VB100％认证，这是一个长期的声誉。另外，我发现了avast！ PDA Edition甚至具有Palm OS平台（仅30KB！），显示了avast的可移植性！防病毒内核。作为商业软件，它的家庭版本也可以免费使用，但是您每年需要通过注册电子邮件获取新证书。

免费！ Linux Home Edition提供了32位RPM / DEB / TAR.GZ三种安装方法，大约11 MB。使用RPM软件包在作者的系统下安装非常方便。下载完成后，只需双击即可。除了GTK2之外没有其他特殊的依赖项，并且可以在应用程序菜单中找到相应的启动器。首次运行时，系统会要求您提供证书。目前，您需要通过官方网站进行注册，在邮箱中找到证书，然后将其复制到此处。整个过程不涉及要更新的代理服务器的内容。

3、 ClamTk病毒扫描程序

ClamTk病毒扫描程序是著名的开源防病毒软件ClamAV的图形前端，该软件由GTK2-Perl脚本生成，可以在32位/ 64位系统上运行。 ClamTk Virus Scanner也是一个开源代码，因此可以在任何地方免费使用，包括商业公司，营利组织等。与使用KDE组件的Klamav相比，ClamTK更适合使用GNOME作为其桌面的用户环境。

ClamTk Virus Scanner提供了适用于多种发行版的软件包，包括Debian，Fedora，CentOS，SuSE，Mandriva，并且它也包含在Ubuntu资源仓库中，它只有97KB左右，非常小。我下载了适用于Fedora的RPM软件包，然后双击以开始安装。由于我需要更多的ClamAV和GTK2-Perl，因此我总共安装了21M个相关的支持包。安装后，需要注释掉/etc/freshclam.conf文件中的Example标记行以更新病毒。关于代理服务器和更新镜像设置，您只能手动修改配置文件才能完成。

七、防病毒原理和防病毒软件技术

1、防病毒软件的原理基础

我们知道机器内部使用的语言是二进制“ 1000111... 110”的机器语言。为了简化编程，我们将执行代码的特定部分定义为一些简单字符。例如，当正在运行的程序逐步在内存中执行指令时，它将遇到“ 11011000... 00011”指令。如果指令指示程序执行序列跳到另一个存储器地址以执行。然后我们将此命令定义为“ jmp”，我们在编程时无需记住冗长的“ 11011000... 00011”，而只需直接编写“ jmp”即可。这是汇编语言。它是比vb和c更底层的编程语言。该防病毒软件使用汇编语言进行检测和杀死。

运行时某个地方是否存在木马“ jmp”。普通程序应执行“ mov”（移动）命令。此时，防病毒已添加此功能。当您遇到木马时，您会认出它！但是，如果将“ jmp”更改为其他语句，则不会影响程序的运行。然后，防病毒软件不会将其视为木马。因为其病毒中没有相应的签名。

因此，真正杀死该软件的病毒和木马实际上已经“过时”。无法识别真正的病毒和木马。当然，还有其他一些技术可以保护我们的计算机。我们将在一堂课中进行解释！

对于我们的防病毒保护计算，除了功能代码定位之外，还有其他措施。例如，主动防御。所谓主动防御是一种防御未知和潜在病毒的方法。

计算机上程序的运行，尤其是启动时运行的程序。需要在注册表中写入数据并添加新服务。可以在开始运行输入regedt32处看到注册表。该服务位于“开始-设置-控制面板-管理工具”中。根据具体情况，不同的系统可能会或会略有不同，此处不讨论具体情况。修改注册表或添加新服务后，防病毒监视系统将发出警报。例如，当我们不安装该程序时，反软件会警告注册表已被修改，并询问是否允许该注册表，因此此时，必须在后台秘密运行一个木马程序。只要我们选择拒绝木马，我们就不会损害我们的计算机。 （当然，即使我们拒绝，某些木马仍然可以运行）。

防病毒软件的结构比木马或病毒复杂得多，因此其原理也更加复杂。考虑到木马病毒越来越向系统底部发展的事实，防病毒软件的编译技术也在不断接近系统底部。例如，当前的“主动防御”技术将应用RING0层的编译技能。在这里，我为您简要介绍基本组成。

防病毒软件通常由扫描仪，病毒和虚拟机组成，主程序将它们集成在一起。

扫描仪是防病毒软件的核心。它用于查找病毒。防病毒软件的防病毒效果直接取决于其扫描器的编译技术和算法是否先进，并且防病毒软件的不同功能通常对应于不同的扫描器，即大多数防病毒软件是由多个扫描器组成的。病毒用于存储病毒签名，其形式取决于扫描仪使用哪种扫描技术。它存储了病毒的许多独特特征，我们称之为“特征码”。虚拟机是最近引入的概念，可以使病毒在由防病毒软件构建的虚拟环境中执行，并且与实际的CPU，硬盘等完全隔离，从而可以进一步检测文件的安全性。

2、防病毒软件技术

（[1）功能代码技术

只有两个签名代码，文件签名和内存签名。

文件功能代码存在于一些未执行的文件中，例如EXE文件，RMVB文件，jpg文件，甚至是txt文件。文件功能代码可能存在。该技术使用受感染文件中剩余的病毒签名值进行检测。发现新病毒后，对其进行分析，根据其特征编译病毒代码，然后将其添加到中。将来，在执行病毒检查程序时，通过将文件中的病毒签名代码与病毒进行比较来检查文件中是否包含病毒。

内存签名仅存在于内存中正在运行的应用程序中。使用原则是某些病毒具有监视病毒的特定行为。

对于传统病毒，病毒代码扫描技术速度快且误报率低。这是检测已知病毒的最简单且低成本的方法。当前的大多数防病毒软件产品都装有此扫描引擎。

（[2）虚拟机技术（启发式扫描和杀死）

虚拟机技术也称为动态启发式技术，具有手动分析，智能高和病毒检测精度高的特点。这项技术的原理是：使用程序代码来虚拟CPU寄存器甚至硬件端口，使用调试器调用可疑的有毒样本，并将每个语句放在虚拟环境中执行，以便您可以通过内存的变化来了解，寄存器和端口程序的执行改变了过去的状况，即在获取样本后，害怕直接运行它，因此有必要跟踪其执行以查看是否有损坏或感染。由于虚拟环境可以反映程序的任何动态，因此病毒在虚拟机中执行后还必须反映其感染行为。但是，由于虚拟机技术中误杀的可能性较高（系统api功能太多，使用此功能将被视为病毒），目前仅用作签名检测技术的补充，以防止未知病毒。

（[3）主动内核技术

主动内核技术改变了传统的被动防御概念，将各种防病毒系统嵌入到操作系统内核中以实现无缝连接。 For example, functions such as real-time antivirus wall, file dynamic decompression, virus traps, and macro virus analyzer are combined and embedded in the operating system as a "patch" of the operating system itself, which is integrated with it. This technology can ensure that the anti-virus module is closely coordinated with various operating systems, networks, hardware, and application environments from the underlying kernel, ensuring that when a virus intrusion is found, the anti-virus operation will not harm the operating system kernel, and can kill it. Committed the virus.

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/shouji/article-344026-2.html