1、2022-10-16 徐汇区教育局培训教材 1 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。今日主题今日主题o计算机病毒的发展计算机病毒的发展o病毒分类病毒分类o流行病毒的手工查杀方法流行病毒的手工查杀方法o检查病毒的常用工具检查病毒的常用工具o什么才是最佳病毒解决方案什么才是最佳病毒解决方案2022-10-16 徐汇区教育局培训教材 2 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。病毒的概念病毒的概念o“计算机病毒计算机病毒”最早是由美国计算机病
2、毒研究专家最早是由美国计算机病毒研究专家F.Cohen博士提出的。博士提出的。o计算机病毒是一个程序，一段可执行码。就像生物病毒计算机病毒是一个程序，一段可执行码。就像生物病毒一样，计算机病毒有独特的复制能力。计算机病毒可以一样，计算机病毒有独特的复制能力。计算机病毒可以很快地蔓延，又常常难以根除。它们能把自身附着在各很快地蔓延，又常常难以根除。它们能把自身附着在各种类型的文件上。当文件被复制或从一个用户传送到另种类型的文件上。当文件被复制或从一个用户传送到另一个用户时，它们就随同文件一起蔓延开来。一个用户时，它们就随同文件一起蔓延开来。o所以所以,计算机病毒就是能够通过某种途径潜伏在计算机计
3、算机病毒就是能够通过某种途径潜伏在计算机存储介质（或程序）里存储介质（或程序）里,当达到某种条件时即被激活的当达到某种条件时即被激活的具有对计算机资源进行具有对计算机资源进行破坏破坏作用的一组程序或指令集合作用的一组程序或指令集合。2022-10-16 徐汇区教育局培训教材 3 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。计算机病毒发展简史计算机病毒发展简史 o电脑病毒的概念其实源起相当早，在第一部商用电脑电脑病毒的概念其实源起相当早，在第一部商用电脑出现之前好几年时，电脑的先驱者冯出现之前好几年时，电脑的先驱者冯诺伊曼
4、（诺伊曼（John Von Neumann）在他的一篇论文）在他的一篇论文复杂自动装置的复杂自动装置的理论及组识的进行理论及组识的进行里，已经勾勒出病毒程序的蓝图里，已经勾勒出病毒程序的蓝图。2022-10-16 徐汇区教育局培训教材 4 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。历史的预见历史的预见o1977年夏天，托马斯年夏天，托马斯捷捷瑞安（瑞安（Thomas.J.Ryan）的科幻小说的科幻小说P-1的春天（的春天（The Adolescence of P-1）成为美国的畅销书，作者在这本书中描写了一）成为美国的
5、畅销书，作者在这本书中描写了一种可以在计算机中互相传染的病毒，病毒最后控制了种可以在计算机中互相传染的病毒，病毒最后控制了 7,000 台计算机，造成了一场灾难。台计算机，造成了一场灾难。2022-10-16 徐汇区教育局培训教材 5 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。第一个病毒的产生第一个病毒的产生o1983 年年 11 月月 3 日，弗雷德日，弗雷德科恩科恩(Fred Cohen)博博士研制出一种在运行过程中可以复制自身的破坏性程士研制出一种在运行过程中可以复制自身的破坏性程序序(该程序能够导致该程序能够导
6、致UNIX系统死机系统死机），伦），伦艾德勒曼艾德勒曼(Len Adleman)将它命名为计算机病毒将它命名为计算机病毒(computer viruses)，并在每周一次的计算机安全讨论会上正式，并在每周一次的计算机安全讨论会上正式提出。提出。2022-10-16 徐汇区教育局培训教材 6 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。“巴基斯坦巴基斯坦”病毒病毒 1986 年初，在巴基斯坦的拉合尔年初，在巴基斯坦的拉合尔(Lahore)，巴锡，巴锡特特(Basit)和阿姆杰德和阿姆杰德(Amjad)两兄弟经营着一家两兄弟
7、经营着一家 IBM-PC 机及其兼容机的小商店。他们编写了机及其兼容机的小商店。他们编写了Pakistan 病毒，即病毒，即Brain。在一年内流传到了世界各。在一年内流传到了世界各地。地。世界上世界上公认公认的第一个在个人电脑上广泛流行的病毒的第一个在个人电脑上广泛流行的病毒 通过软盘传播。通过软盘传播。2022-10-16 徐汇区教育局培训教材 7 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。“蠕虫莫里斯蠕虫莫里斯”o1988年冬天，正在康乃尔大学攻读的莫里斯，把一年冬天，正在康乃尔大学攻读的莫里斯，把一个被称为个被
8、称为“蠕虫蠕虫”的电脑病毒送进了美国最大的电脑网的电脑病毒送进了美国最大的电脑网络络互联网。互联网。1988年年11月月2日下午日下午5点，互联网的点，互联网的管理人员首次发现网络有不明入侵者。当晚，从美国管理人员首次发现网络有不明入侵者。当晚，从美国东海岸到西海岸，互联网用户陷入一片恐慌。东海岸到西海岸，互联网用户陷入一片恐慌。2022-10-16 徐汇区教育局培训教材 8 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。CIHCIH CIH病毒，又名病毒，又名“切尔诺贝利切尔诺贝利”，是一种可怕的电脑，是一种可怕的电脑病
9、毒。它是由台湾大学生陈盈豪编制的，九八年五月病毒。它是由台湾大学生陈盈豪编制的，九八年五月间，陈盈豪还在大同工学院就读时，完成以他的英文间，陈盈豪还在大同工学院就读时，完成以他的英文名字缩写名字缩写“CIH”名的电脑病毒起初据称只是为了名的电脑病毒起初据称只是为了“想纪念一下想纪念一下1986的灾难的灾难”或或“使反病毒软件公司难使反病毒软件公司难堪堪”。2022-10-16 徐汇区教育局培训教材 9 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。CodeRedCodeRedo2001年年7月月19日日 lIIS服务的.i
10、da漏洞（Indexing Service中的漏洞）l损失20亿美元 oCodeRed IIl损失12亿美元2022-10-16 徐汇区教育局培训教材 10 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。冲击波冲击波 年仅年仅18岁的高中生杰弗里岁的高中生杰弗里李李帕森因为涉嫌是帕森因为涉嫌是“冲击冲击波波”电脑病毒的制造者于电脑病毒的制造者于2003年年8月月29日被捕。对此日被捕。对此，他的邻居们表示不敢相信。在他们的眼里，杰弗里，他的邻居们表示不敢相信。在他们的眼里，杰弗里李李帕森是一个电脑天才，而决不是什么黑客，更
11、不帕森是一个电脑天才，而决不是什么黑客，更不会去犯罪。会去犯罪。2022-10-16 徐汇区教育局培训教材 11 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。计算机病毒的分类计算机病毒的分类o引导区病毒引导区病毒o文件型病毒文件型病毒o宏病毒宏病毒o脚本病毒脚本病毒o蠕虫病毒蠕虫病毒o木马程序木马程序2022-10-16 徐汇区教育局培训教材 12 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。一个引导病毒传染的实例一个引导病毒传染的实例o 假定用硬
12、盘启动，且该硬盘已染上了小球病毒，那么加电自检假定用硬盘启动，且该硬盘已染上了小球病毒，那么加电自检以后，小球病毒的引导模块就把全部病毒代码以后，小球病毒的引导模块就把全部病毒代码1024字节保护到字节保护到了内存的最高段，即了内存的最高段，即97C0：7C00处；然后修改处；然后修改INT 13H的中断的中断向量，使之指向病毒的传染模块。以后，一旦读写软磁盘的操向量，使之指向病毒的传染模块。以后，一旦读写软磁盘的操作通过作通过INT 13H的作用，计算机病毒的传染块便率先取得控制权的作用，计算机病毒的传染块便率先取得控制权，它就进行如下操作：，它就进行如下操作：o1）读入目标软磁盘的自举扇区
13、（）读入目标软磁盘的自举扇区（BOOT扇区）。扇区）。o2）判断是否满足传染条件。判断是否满足传染条件。o3）如果满足传染条件（即目标盘如果满足传染条件（即目标盘BOOT区的区的01FCH偏移位置为偏移位置为5713H标志），则将病毒代码的前标志），则将病毒代码的前512字节写入字节写入BOOT引导程序引导程序，将其后，将其后512字节写入该簇，随后将该簇标以坏簇标志，以保护字节写入该簇，随后将该簇标以坏簇标志，以保护该簇不被重写。该簇不被重写。o4）跳转到原跳转到原INT 13H的入口执行正常的磁盘系统操作。的入口执行正常的磁盘系统操作。2022-10-16 徐汇区教育局培训教材 13 上海
14、三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。一个文件病毒传染的实例一个文件病毒传染的实例o 假如假如VVV.COM（或（或.EXE）文件已染有耶路撒冷病毒）文件已染有耶路撒冷病毒，那么运行该文件后，耶路撒冷病毒的引导模块会修，那么运行该文件后，耶路撒冷病毒的引导模块会修改改INT 21H的中断向量，使之指向病毒传染模块，并的中断向量，使之指向病毒传染模块，并将病毒代码驻留内存，此后退回操作系统。以后再有将病毒代码驻留内存，此后退回操作系统。以后再有任何加载执行文件的操作，病毒的传染模块将通过任何加载执行文件的操作，病毒的传染
15、模块将通过INT 21H的调用率先获得控制权，并进行以下操作：的调用率先获得控制权，并进行以下操作：o1）读出该文件特定部分。）读出该文件特定部分。o2）判断是否传染。判断是否传染。o3）如果满足条件，则用某种方式将病毒代码与该可）如果满足条件，则用某种方式将病毒代码与该可执行文件链接，再将链接后的文件重新写入磁盘。执行文件链接，再将链接后的文件重新写入磁盘。o4）转回原）转回原INT 21H入口，对该执行文件进行正常加入口，对该执行文件进行正常加载。载。2022-10-16 徐汇区教育局培训教材 14 上海三零卫士信息安全有限公司30wish Information Security资料仅供
16、参考,不当之处，请联系改正。一个脚本病毒传染的实例一个脚本病毒传染的实例o万花谷病毒万花谷病毒o该病毒是嵌在该病毒是嵌在 HTML 网页中的一段网页中的一段 Java 脚本程序，它最初出现脚本程序，它最初出现在在 http:/ 个人网站上，随后其他一个人网站上，随后其他一些个人主页也模仿或被感染了该病毒代码。些个人主页也模仿或被感染了该病毒代码。和普通脚本病毒有所不同的是，用和普通脚本病毒有所不同的是，用“查看源文件查看源文件”的方法来查看的方法来查看感染感染“万花谷万花谷”病毒的网页代码时，只能看到一大段的杂乱字符病毒的网页代码时，只能看到一大段的杂乱字符。为了具有隐蔽性，该病毒采用了。为了
17、具有隐蔽性，该病毒采用了 JavaScript 的的 escape()函数函数进行了字符处理，把某些符号、汉字等变成乱码以达到迷惑人的进行了字符处理，把某些符号、汉字等变成乱码以达到迷惑人的目的。程序运行时再调用目的。程序运行时再调用 unescape()解码到本地机器上运行。解码到本地机器上运行。o登陆某个网站后，机器莫名其妙地死机；重新启动后你会看到一登陆某个网站后，机器莫名其妙地死机；重新启动后你会看到一个奇怪的提示：个奇怪的提示：“欢迎你来万花谷，你中了欢迎你来万花谷，你中了“万花谷病毒万花谷病毒”请与请与QQ：4040465联系联系”。进入。进入 Windows 后，你会发现后，你会
18、发现 C:盘不能盘不能使用了，使用了，“开始开始”菜单上的菜单上的“运行运行”、“注销注销”和和“关机关机”项都项都不见了。打开不见了。打开 IE 浏览器你会发现窗口的标题也变成了浏览器你会发现窗口的标题也变成了“欢迎来欢迎来到万花谷到万花谷!请与请与OICQ:4040465联系联系!”。这时，你已经感染了一个。这时，你已经感染了一个俗称俗称“万花谷万花谷”的的 JS.On888 脚本病毒！脚本病毒！2022-10-16 徐汇区教育局培训教材 15 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。万花谷脚本病毒原理万花谷脚本
19、病毒原理o该病毒的感染主要是通过修改注册表来实现的。以下为其设置该病毒的感染主要是通过修改注册表来实现的。以下为其设置或修改的注册表项：或修改的注册表项：设置设置“HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoRun 为为 01(取消开始菜单上的取消开始菜单上的“运行运行”项项)设置设置”HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoClose“为为 01(取消开始菜单上的取消开始菜单上的“关闭关闭”项项)设置设置”HKCUSoftwareMicr
20、osoftWindowsCurrentVersionPoliciesExplorerNoLogOff“为为 01(取消开始菜单上的取消开始菜单上的“注销注销”项项)设置设置”HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoDrives“为为”00000004“(取消对取消对 C:盘的访问权限盘的访问权限)设置设置”HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesSystemDisableRegistryTools“为为”00000001“(使注册表工具使注册表工具不可用不
21、可用)等等2022-10-16 徐汇区教育局培训教材 16 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。宏病毒的传播宏病毒的传播o一般来说，一个宏病毒传播发生在被感染的宏指令覆盖、改写一般来说，一个宏病毒传播发生在被感染的宏指令覆盖、改写及增加全局宏指令表中的宏及增加全局宏指令表中的宏,由此进一步感染随后打开和存贮的由此进一步感染随后打开和存贮的所有所有Doc文档。文档。当当Word打开一个打开一个.doc文件时，先检查里面有没有模板文件时，先检查里面有没有模板/宏代码宏代码,如果有的话就认为这不是普通的如果有的话就认为
22、这不是普通的doc文件，而是一个模版文件文件，而是一个模版文件,并执行里面的并执行里面的auto类的宏类的宏(如果有的话如果有的话)。一般染毒后的一般染毒后的.doc被打开后，通过被打开后，通过Auto宏或菜单、快捷键来激宏或菜单、快捷键来激活，随后感染诸如活，随后感染诸如Normal.dot或或powerup.dot等全局模板文件等全局模板文件得到系统得到系统永久永久控制权。夺权后，当系统有文档存储动作时，控制权。夺权后，当系统有文档存储动作时，病毒就把自身复制入此文档并储存成一个后缀为病毒就把自身复制入此文档并储存成一个后缀为.doc 的模板文的模板文件；另外，当一定条件满足时，病毒就会干
23、些小小的或者大大件；另外，当一定条件满足时，病毒就会干些小小的或者大大的破坏活动。的破坏活动。2022-10-16 徐汇区教育局培训教材 17 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。特洛伊木马特洛伊木马o特洛伊木马是一个包含在一个合法程序中的非法的程特洛伊木马是一个包含在一个合法程序中的非法的程序。序。o一种黑客程序，本身不破坏数据，黑客利用其远程操一种黑客程序，本身不破坏数据，黑客利用其远程操纵受害计算机。纵受害计算机。o一般的木马都有客户端和服务器端两个执行程序。一般的木马都有客户端和服务器端两个执行程序。o通
24、过各种途径放置木马程序。通过各种途径放置木马程序。2022-10-16 徐汇区教育局培训教材 18 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。蠕虫病毒蠕虫病毒蠕虫的定义蠕虫的定义oInternet 蠕虫是无须计算机使用者干预即可运行的独蠕虫是无须计算机使用者干预即可运行的独立程序，它通过不停的获得网络中存在漏洞的计算机立程序，它通过不停的获得网络中存在漏洞的计算机上的部分或全部控制权来进行传播。上的部分或全部控制权来进行传播。o蠕虫与病毒的最大不同在于它不需要人为干预，且能蠕虫与病毒的最大不同在于它不需要人为干预，且能
25、够自主不断地复制和传播。够自主不断地复制和传播。2022-10-16 徐汇区教育局培训教材 19 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。蠕虫的工作流程蠕虫的工作流程o蠕虫程序的工作流程可以分为蠕虫程序的工作流程可以分为漏洞扫描、攻击、传染漏洞扫描、攻击、传染、现场处理、现场处理四个阶段四个阶段2022-10-16 徐汇区教育局培训教材 20 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。o蠕虫程序扫描到有漏洞的计算机系统后，将蠕虫主体蠕虫程序扫
26、描到有漏洞的计算机系统后，将蠕虫主体迁移到目标主机。然后，蠕虫程序进入被感染的系统迁移到目标主机。然后，蠕虫程序进入被感染的系统，对目标主机进行现场处理。现场处理部分的工作包，对目标主机进行现场处理。现场处理部分的工作包括：隐藏、信息搜集等。同时，蠕虫程序生成多个副括：隐藏、信息搜集等。同时，蠕虫程序生成多个副本，重复上述流程。不同的蠕虫采取的本，重复上述流程。不同的蠕虫采取的IP生成策略可生成策略可能并不相同，甚至随机生成。各个步骤的繁简程度也能并不相同，甚至随机生成。各个步骤的繁简程度也不同，有的十分复杂，有的则非常简单。不同，有的十分复杂，有的则非常简单。2022-10-16 徐汇区教育
27、局培训教材 21 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。蠕虫的行为特征蠕虫的行为特征 自我繁殖：自我繁殖：蠕虫在本质上已经演变为黑客入侵的自动化工具蠕虫在本质上已经演变为黑客入侵的自动化工具，当蠕虫被释放（当蠕虫被释放（release）后，从搜索漏洞，到利）后，从搜索漏洞，到利用搜索结果攻击系统，到复制副本，整个流程全由蠕用搜索结果攻击系统，到复制副本，整个流程全由蠕虫自身主动完成。就自主性而言，这一点有别于通常虫自身主动完成。就自主性而言，这一点有别于通常的病毒。的病毒。2022-10-16 徐汇区教育局培训教材
28、 22 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。o利用软件漏洞：利用软件漏洞：任何计算机系统都存在漏洞，这些就蠕虫利用系任何计算机系统都存在漏洞，这些就蠕虫利用系统的漏洞获得被攻击的计算机系统的相应权限，使之统的漏洞获得被攻击的计算机系统的相应权限，使之进行复制和传播过程成为可能。这些漏洞是各种各样进行复制和传播过程成为可能。这些漏洞是各种各样的，有操作系统本身的问题，有的是应用服务程序的的，有操作系统本身的问题，有的是应用服务程序的问题，有的是网络管理人员的配置问题。正是由于漏问题，有的是网络管理人员的配置问题。正
29、是由于漏洞产生原因的复杂性，导致各种类型的蠕虫泛滥。洞产生原因的复杂性，导致各种类型的蠕虫泛滥。2022-10-16 徐汇区教育局培训教材 23 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。o造成网络拥塞：造成网络拥塞：在扫描漏洞主机的过程中，蠕虫需要：判断其它在扫描漏洞主机的过程中，蠕虫需要：判断其它计算机是否存在；判断特定应用服务是否存在；判断计算机是否存在；判断特定应用服务是否存在；判断漏洞是否存在等等，这不可避免的会产生附加的网络漏洞是否存在等等，这不可避免的会产生附加的网络数据流量。同时蠕虫副本在不同机器之间传
30、递，或者数据流量。同时蠕虫副本在不同机器之间传递，或者向随机目标的发出的攻击数据都不可避免的会产生大向随机目标的发出的攻击数据都不可避免的会产生大量的网络数据流量。即使是不包含破坏系统正常工作量的网络数据流量。即使是不包含破坏系统正常工作的恶意代码的蠕虫，也会因为它产生了巨量的网络流的恶意代码的蠕虫，也会因为它产生了巨量的网络流量，导致整个网络瘫痪，造成经济损失。量，导致整个网络瘫痪，造成经济损失。2022-10-16 徐汇区教育局培训教材 24 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。o消耗系统资源：消耗系统资源：
31、蠕虫入侵到计算机系统之后，会在被感染的计算蠕虫入侵到计算机系统之后，会在被感染的计算机上产生自己的多个副本，每个副本启动搜索程序寻机上产生自己的多个副本，每个副本启动搜索程序寻找新的攻击目标。大量的进程会耗费系统的资源，导找新的攻击目标。大量的进程会耗费系统的资源，导致系统的性能下降。这对网络服务器的影响尤其明显致系统的性能下降。这对网络服务器的影响尤其明显。2022-10-16 徐汇区教育局培训教材 25 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。o留下安全隐患：留下安全隐患：大部分蠕虫会搜集、扩散、暴露系统敏感信息
32、（大部分蠕虫会搜集、扩散、暴露系统敏感信息（如用户信息等），并在系统中留下后门。这些都会导如用户信息等），并在系统中留下后门。这些都会导致未来的安全隐患。致未来的安全隐患。2022-10-16 徐汇区教育局培训教材 26 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。蠕虫病毒与一般病毒的异同蠕虫病毒与一般病毒的异同病毒类型：病毒类型：普通病毒普通病毒 蠕虫病毒蠕虫病毒 存在形式：存在形式：寄存文件寄存文件独立程序独立程序传染机制：传染机制：宿主程序运行宿主程序运行主动攻击主动攻击 传染目标：传染目标：本地文件本地文件网络计
33、算机网络计算机2022-10-16 徐汇区教育局培训教材 27 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。防范蠕虫病毒措施防范蠕虫病毒措施就像防治非典一样，我们要做好以下三点就像防治非典一样，我们要做好以下三点预防预防隔离隔离查杀查杀免疫免疫2022-10-16 徐汇区教育局培训教材 28 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。蠕虫病毒的预防蠕虫病毒的预防NIDS蠕虫王：蠕虫王：alert udp$EXTERNAL_NET any-$HOM
34、E_NET 1434(msg:W32.SQLEXP.Worm propagation;content:|68 2E 646C 6C 68 65 6C 33 32 68 6B 65 72 6E|;content:|04|;offset:0;depth:1;)边界路由边界路由蠕虫王：蠕虫王：access-list 110 deny udp any any eq 1434打补丁打补丁蠕虫王：蠕虫王：Sql Server Sp3安装杀毒软件等安装杀毒软件等2022-10-16 徐汇区教育局培训教材 29 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不
35、当之处，请联系改正。蠕虫病毒的隔离蠕虫病毒的隔离o在确认计算机中了蠕虫病毒后，要立即中断本机于外在确认计算机中了蠕虫病毒后，要立即中断本机于外界的联系，防止蠕虫扩散。界的联系，防止蠕虫扩散。o单机隔离单机隔离o禁用本机网卡或者拔掉网线，防止蠕虫扩散到网络中禁用本机网卡或者拔掉网线，防止蠕虫扩散到网络中的其他计算机中的其他计算机中o网络隔离网络隔离o对出现蠕虫病毒的子网的出口路由设备进行配置，对对出现蠕虫病毒的子网的出口路由设备进行配置，对蠕虫的相应端口进行关闭，防止蠕虫扩散到别的网络蠕虫的相应端口进行关闭，防止蠕虫扩散到别的网络中去中去2022-10-16 徐汇区教育局培训教材 30 上海三零
36、卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。蠕虫病毒的查杀蠕虫病毒的查杀o基于特征的查杀基于特征的查杀提取特征码，网络特征、文件特征、传播特征提取特征码，网络特征、文件特征、传播特征根据特征码制作专杀工具进行查杀根据特征码制作专杀工具进行查杀o手工进行查杀手工进行查杀检查可疑进程，可疑端口，查找各类启动项，进入安检查可疑进程，可疑端口，查找各类启动项，进入安全模式手动进行查杀全模式手动进行查杀2022-10-16 徐汇区教育局培训教材 31 上海三零卫士信息安全有限公司30wish Information Security资料仅
37、供参考,不当之处，请联系改正。振荡波查杀实例振荡波查杀实例o感染判断感染判断l出现系统错误对话框，莫名其妙地死机或重新启动计算机；出现系统错误对话框，莫名其妙地死机或重新启动计算机；l任务管理器里有一个叫任务管理器里有一个叫avserve.exe、avserve2.exe或或者者skynetave.exe的进程在运行；的进程在运行；l在系统目录下，产生一个名为在系统目录下，产生一个名为avserve.exe、avserve2.exe、skynetave.exe的病毒文件；的病毒文件；l注册表注册表H_L_MSOFTWAREMicrosoftWindowsCurrentVersionRun项中存
38、在项中存在avserve.exe=%Windir%avserve.exe值值；l系统速度极慢，系统速度极慢，CPU占用占用100%。2022-10-16 徐汇区教育局培训教材 32 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。o手工查杀手工查杀 清除内存中的病毒进程清除内存中的病毒进程avserve.exe、avserve2.exe或者或者skynetave.exe 在系统目录下删除相应病毒文件在系统目录下删除相应病毒文件 删除注册表中删除注册表中H_L_MSOFTWAREMicrosoftWindowsCurrentV
39、ersionRun值值avserve.exe=%Windir%avserve.exe 系统打补丁系统打补丁 KB8457322022-10-16 徐汇区教育局培训教材 33 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。检查病毒的常用工具检查病毒的常用工具oNetstatoFportoPrcviewoSniffer2022-10-16 徐汇区教育局培训教材 34 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。实验2022-10-16 徐汇区教育局培训教材 35 上海三零卫士信息安全有限公司30wish Information Security资料仅供参考,不当之处，请联系改正。谢谢！
