5 计算机病毒传染原理

5.1 计算机病毒的传染过程分析

这里从Boot区传染病毒为例讨论计算机病毒在计算机系统完成一次传染的全过程、系统正常如下：

（1）开机后、由Boot时系统的基本设备进行检测；

（2）读入系统的逻辑第0扇区（即BOOT区）到内存的0000：7C00处；

（3）开始Boot（引导）；

（4）判断A盘是否为系统盘、如果该盘不是系统盘、则提示：non_system disk or disk error, Replace and strike any key when ready;否则读入Bios并转达入Bios；

（5）然后系统正常运行。

如系统绕带有病毒在执行过程中，首先读入是病毒程序的代码：

（1）将BOOT区中病毒的代码（或部分）读入内存的0000：7C00处；

（2）病毒将自身完整化，并将自身完整的病毒程序举向内存xxxx：xxxx地址，如：小球病毒将自身举向内存的97C0:7C00处；

（3）修改中断向量INT 13H 的向量入口，使之指向病毒的控制的摸块从而病毒程序得到控制权；

（4）读入正常的BOOT区内容列内存的0000：7C00处进行正常的启动过程；

（5）此时病毒获得控制权并监视系统的运行。

如在运行中，有受攻击的对象，病毒进行如下操作：

（1）读入目标的逻辑第0扇区（对于软盘）；

（2）判断是否传染；

（3）如果满足传染条件，则将病毒的全部或部分写入Boot区将病毒的部分代码及正常的Boot引导程序或者仅正常的Boot引导程序写入磁盘的特定位置；

（4）对于这一特定的存储空间，或以坏簇标志FF7、或不标；

针对可执行文件传染的病毒，其传染原理与对Boot区传染的病毒原理一样，只是病毒是在被传染的文件执行的病毒驻入内存，其驻入内存的过程如下（有一受染文件HZG.com并设其病毒x与其首链接）

（1）运行HZG.com；

（2）系统对这一文件进行读操作；

（3）由于病毒在文件的首部，因而可直接执行病毒程序X；

（4）X读入内存并完成自身的完整化；

（5）获得中断向量并使之转向病毒程序；

（6）病毒获得对系统的控制权，并监视系统运行；

（7）读入正常的HZG.COM文件并使之获得控制权；

此时，病毒X驻入系统的内存，开始监视系统的运行、当它发现被传染的目标时，做如下工作：

（1）读入HZG.COM前的特定地址信息（标识位）进行判断；

（2）满足条件，则利用中断INT 13H（磁盘读/写）将病毒与HZG.COM文件链接，并存入目标中；

（3）定成传染，继续监视系统的运行。

对病毒与文件的尾部连接情况而言，则病毒正传染过程中在正常的目标前头设置一条或几条JMP指令，使程序开始运行，即指向病毒程序，使其正常文件运行前首先运行了病毒程序，其传染与其上类似。

5.2 计算机病毒传染方式

计算机不运行时不存在对磁盘的读写或数据共享；没有磁盘的读写，病毒不能传入磁性存储介质、而只能驻留于内存之中或驻留于存储设备之中，不能驻入内存，那么计算机运行就含有很频繁的磁盘读写工作，所以就容易得到病毒传染的先决条件。

有了条件病毒是如何传染的呢？

（1）驻入内存：病毒要达到传染的目的必须驻留于内存之中，所以病毒传染的第一步是驻留内存；

（2）寻找传染机会：病毒驻入内存之后，首先寻找可进行攻击的对象，并判定这一对象是否可被传染（有些病毒的传染是无条件的）；

（3）进行传染：当病毒寻找到传染的对象并判定可进行传染之后，通过INT 13H这一磁盘中断服务程序达到传染磁盘的目的，并将其写入磁盘系统；

一般病毒将在内存中申请一空间，以便常驻内存或为常驻内存程序（TSR），病毒为使自己不被发现，此时一般不覆盖其它数据的，通常病毒程序写给于内存高端，其传染方式如上病毒存储方式。

6 计算机病毒来源渠道主要从以下5个方面

● 盗版软件

盗版软件在互相拷贝流传的过程中，根本无法保证不会被病毒所寄生；而且因为盗版是一种非法的行为，故制造病毒的人会专门利用盗版软件

● 公开软件

无论是完全公开的软件，或是半开放的公享软件，都是容许人们随便拷贝的，跟盗版软件一样，人们根本无法确认该公开软件是否有病毒寄生，但由于是合法的行为，故其带病毒的机率不如盗版软件高。

● 电子公告栏

在使用电子公告栏（BBS）时要注意，由于任何人都可随便地从公告上拦载或录下文件，所以根本无法保证录下来的程序是否有病毒寄生。

● 通讯与网络

与电子公告栏相似，我们无法保证传来的程序，或远程请求的程序有没有病毒寄生或感染。

● 正版软件

有些软件公司，为了避免被盗版使用，会在其产品中放入口令暗号检查的程序，这种程序可促动早已准备好的病毒并发，对盗版用户表示以惩戒。

7 结束语

综上所述，仅预防病毒软件已经不足以应付病毒攻击，我们需要一个全面的、积极的、自适应的安全威胁管理方法，它应该包括三方面要素：隔离（Isolate）——识别出正在进行的攻击；遏制（Contain）——防止安全威胁范围扩大；消灭（Extinguish）——用合适的补丁程序、杀毒工具等消除迫在眉睫的威胁，同时防火墙和其它反病毒类软件都是很好的安全产品，但是要让你的网络体系具有较高级别的安全等级，还需要你具有一定的主动性。一个具有主动性的网络安全模型是以一个良好的安全策略为起点的。之后你需要确保这个安全策略可以被彻底贯彻执行。最后，由于移动办公用户的存在，你的企业和网络经常处在变化中，你需要时刻对那些黑客、蠕虫、恶意员工以及各种互联网罪犯提前行动。要做到先行一步，你应该时刻具有主动性的眼光并在第一时刻更新的你安全策略，同时你要确保系统已经安装了足够的防护产品，来阻止黑客的各种进攻尝试。