和病毒不能开这个小小的玩笑

《电脑》杂志94年第9期《和病毒开个小小的玩笑》一文中指出,病毒根据其破坏的性质和特点,可以分为几个种类,但无论那种类型的病毒都只感染扩展名为.COM和.EXE的文件.这种说法大绝对了,以病毒的引导方式划分.病毒可分为文件型、引导型和复合型三种,且不说引导型和复合型病毒,对文件型病毒来说,也不是只感染.COM和.EXE文件,对于别的扩展名文件也感染,例如覆盖文件.OVL等.     

713病毒的分析与清除

近来,本校流行一种新的病毒,用cpav、scan、kill(各种版本)、duchv、ve多种消毒软件均不能正确检测与消除.这种病毒具有系统引导型病毒和外壳型病毒的特点,不但感染硬盘主引导,而且感染EXE文件及COM文件.由于此病毒发作时间为7月13日,因此暂且把命它名为713病毒.下面先对其进行分析,再给出消除方法.一、病毒的引入机制1.可执行文件中病毒的引入     

引导扇区型病毒的广谱检测算法与实现

本文详细分析了引异扇区型病毒驻留、传染、隐藏和破坏的原理，提出了用引导扇区的特殊规律检测所有引导扇区型病毒的广谱算法，即用引导扇区的特殊串和首指令变化、分区表数据的特殊性和正常引导扇区程序不可能包括的指令来检查引导扇区型病毒的算法。该算法具有可检查已知和未知的所有引导扇区型病毒和混合型病毒的引导扇区部分的特点，大大优于国内外流行的商品软件（如ＳＣＡＮ、ＣＰＡＶ、ＫＶ２００、ＫＩＬＬ等）常用的基于病毒的特征串的检查方法。最后讨论了防治和清除引导扇区型病毒常规方法。     

2708病毒的剖析和诊治

本文剖析了2708病毒的传染机理,给出了诊治这种病毒的方法,对分析和清除其它替换 BOOT 扇的系统引导型病毒者有一定的借鉴。     

“染毒”硬盘主引导区的恢复程序

通过分析恢复硬盘主引导记录块的各种方法和优缺点和“引导型”病毒的特点，本文提出了一种恢复硬盘主引导记录的方法，并编写了程序，可以方便地被应用于各种硬盘。本程序还可以消除未知的“引导型”病毒。     

FLIP病毒的变种——FLIP-2153B

最近,我们发现了兼有文件引导型和系统引导型病毒特点的FLIP病毒的变种FLIP-2153B。其特点是:在带毒文件中,距文件尾部48H处的病毒特征字节是0EB9,在被感染硬盘的主引导扇区,距首部第28字节处的病毒特征字节是5959。病毒从已被感染的可执行文件进入系统时,硬盘立即被感染,但是系统内存不减少;从系统引导过程中进入系统时,系统内存则减少3KB的空间。国家安全局编制的病毒检测软件ScAN 3.1版和查毒软件CPAV能发现位于硬盘主引导扇区的病毒,却不能发现被感染文件中的病毒。病毒编制者修改了病毒的特征字节和部分病毒程序主要是为了逃避查毒软件的检测。     

浅谈病毒程序对两种计算机资源的依赖性

计算机病毒一般可分为两种类型:引导型病毒和文件型病毒,少数病毒介于两者之间,称为综合性病毒。引导型病毒程序的编制原理基本相同,都是通过修改硬盘0柱0头1扇区中的主引导程序或DOS分区中的分区引导程序来实现的。目前比较有效的防治方法是事先保存主引导扇区和分区引导区的内容,当发现引导型病毒时杀除后再予恢复,消毒过程简单可靠。而真正有威胁的文件型病毒则具有隐蔽性好、传播速度快、破坏性强、不易察觉等特点,因此对文件型病毒程序的检查、对抗和清除很难实现。有感于此,笔者将自己分析病毒特性的体验介绍给广大同行,以求共同商榷。     

引导扇区型病毒通用清除软件——KV—BOOT

笔者经过深入分析引导扇区型病毒的传播机理、操作系统引导过程中的自举程序及8086/8088微处理器的汇编指令,编制了引导扇区(即操作系统)型病毒通用清除软件,改变了尾追病毒的被动局面。本程序具有如下特点:(1)使用方便,语法为:KV—BOOT[drive:]     

无名引导型病毒的分析与防治

本文对一种新的系统引导型病毒的特点、引导过程和传播方式进行了详细的分析,并给出了具体的诊断和防治方法。     

引导区软保护

引导型病毒通常攻击主引导区和DOS引导区,一旦引导区被病毒感染,开机引导时病毒将首先得到控制权,这时用一般的中断调用读取引导区内容,某些病毒就会把假的引导区复制一份给你,达到以假乱真的目的。 引导型病毒可用杀毒软件清除,如KV200等,但需要以干净盘启动,再杀除,操作不是很方便,特别对于象我们这种单位,单用户计算机数量较大,杀毒将化费很多时间,因此本文将企图找到一种能通过软件的方法自动清除引导区病毒,达到对引导区的软保护目的。     

带毒环境下检测清除病毒方法的探讨

近年来,新的计算机病毒不断出现,而且这些新病毒更加隐敝、复杂,某些新病毒所具有的破坏性更大,所带来的损失无法估量。这表明计算机病毒的防治工作尤为重要,同时所面临的形势也更加严峻。本文试就在带毒环境下检测清除病毒的方法问题提出一点体会与看法。 一、带毒环境下检测清除病毒的意义 目前在我国流行的病毒一般可分为引导型病毒、文件型病毒和混合型病毒。引导型病毒的特点是它寄生在软盘的DOS引导扇区和硬盘的主引导记录或DOS引导区中,开机时由计算机自动读入内存     

“郑州”病毒的清除

鉴于这种病毒体内带有“ＺｈｅｎｇＺｈｏｕＣｉｎａ”标志，故称其为“郑州”病毒。该病毒具有引导型病毒及外壳型病毒的双重特征，而且现有解毒软件不能发现与消除它，为此，介绍了“郑州”病毒的表现形式，传染途径以及清除该病毒的方法。     

警惕!尚未达到发作条件的“东方红”病毒

最近在微机中出现了一种传染性很强的病毒,它在发作时会不停地演奏乐曲“东方红”,暂且称之为“东方红”病毒,它至今还未达到发作条件。现就其表现形式及特点、传染的原理和病毒的检测、消除作些介绍,以便广大计算机用户对染上这种病毒的计算机采取相应的措施。 一、“东方红”病毒的表现形式及特点 这种病毒在1994年及1994年后的每逢9月9日和12月26日发作,发作时会不停地演奏乐曲“东方红”,因为它的发作条件比较特殊,并且用高版本的消毒软件也无法检测出来,所以病毒具有较大的隐蔽性。这种病毒只感染可执行文件,染毒后的文件会加长1465个字节。染上病毒后计算机运行速度减慢,硬盘操作次数增加,有时还会使一些较大的可执行文件运行死机,造成永久性破坏。但它不感染系统引导区,属于文件型病毒。     

计算机病毒程序的机理

１计算机病毒程序模型和机理 计算机病毒程序按寄生方式来分，可分为三大类：引导型病毒、文件型病毒、复合型病毒。引导型病毒是寄生在操作系统中，文件型病毒是寄生在可执行文件中，复合型病毒则是将引导型病毒和文件型病毒结合在一起，它既感染文件，又感染引导区。但不管怎     

一种新型病毒的分析和防治

笔者发现一种微机病毒,可你为333病毒(病毒代码长度为333字节),它是“引导区寄生型”病毒,表现为良性.CPAV(2.O)和公安部推出的KILL均查不出此病毒.通过万析,可以看出这种病毒的驻留和传播机制同以往的“引导区寄生型”病毒有很大的下同,其特殊的驻留和传播机制甚至可以使某些防病毒卡(如瑞星防病毒卡Ⅱ型)无法检测其存在,也不能阻止其传染.由于没有表现部分,加之其特殊的驻留和传播机制,使病毒具有极强的隐蔽性.     

一种基于设备驱动程序的微机防病毒方法

本文在分析计算机病毒特点的基础上，提出了一种病毒预警方法，可以有效地阻止各种（山知或未知）引导扇区型病毒、混合型病毒以及已知的各种文件型病毒侵入微机，具有较高的实用价值。     

引导型计算机病毒剖析

引导型病毒的机制,剖析基于DOS高版本及Windows9X的新型引导型病毒的结构,并提出引导型病毒的检测和防治方法。     

发现引导型病毒的一种简捷方法

引导型病毒比较容易被清除,但不容易被发觉.当现有的查毒/消毒软件不能查出新的引导型病毒时,我们常借助手工的方法来查找,在手工查找中,读取引导区内容加以比较分析是较为常用的方法,以后我们称这种方法为比较法.比较法的实施需要三个条件:第一、要在内存无毒的条件下进行;第二、要会正确读取引导区内容;第三、要对原正常引导区内容相当熟悉,最好是有一份原正常引导区内容的硬拷贝,以便于比较分析.一般来说,绝大多数引导型病毒都是可以用比较法查出来的.如果用比较法来经常性地检查系统中是否感染引导型病毒的话,则明显感到比较麻烦劳神,因为要保证内存无毒,往往都是要用干净无毒的系统盘来启动机器,而且所用的工具软件如debug也要保证没被病毒感染,同时,读出引导区内容后必须认真细致地审查,稍为疏忽大意,则极可能对那些只修改了原引导记录极少量代码的新型引导型病毒造成漏检.笔者在反病毒实践中,找到了一种较为简捷的发现引导型病毒的方法,让我用两个例子来予以说明.     

FORMAT.COM源程序分析及其在软硬盘自动修复和反系统病毒技术中的应用

在微机日常使用过程中,引导盘的引导信息(BOOT区,IBMBIO,IBMD OS,COMMAND.COM)经常由于意外和病毒原因造成损害,对于前一种,特别是硬盘BOOT区破坏时,由于其中BPB因磁盘类型和dos版本不同而不同,很难简单恢复,解决这种问题的方法通常是重新格式化,通过这种方法虽然能够恢复系统信息,但是磁盘中用户信息将遭破坏,为此事先要做大量备份工作,而且耗费较长时间。本文以DOS 3.3 FORMAT.CDM程序为例,对其进行分析,只需简单修改就能使其只生成磁盘引导信息,而不会改变磁盘用户信息,若引导信息改变是由系统型病毒引起,通过这种方法则能达到覆盖病毒,恢复系统的目的,而不必考虑系统型病毒的内在细节。     

“格式化”病毒的检测和消除

最近,在本校的机房中出现了一种以前未见过的病毒,这种病毒的传染性和破坏性都较强,如果达到一定的条件,它会对硬盘实施格式化,所以笔者称之为″格式化″病毒。这种病毒的出现已经给我校微机房带来了不小的破坏。笔者通过对此病毒的深入分析,采取了一些有效的措施,控制了它的传播和破坏。 一、病毒的特征,传播和引导 1.特征:该病毒用KV200检查时,提示在硬盘主引导区中有病毒但并未给出明确的名称,可见是一种不常见的病毒。这种病毒占据硬盘的主引导扇区0头0柱面1扇区,或软盘的DOS引导扇区,而把原软盘的DOS引导扇区放在1面79道18扇区中。它的主要标志是距病毒程序首部03AH中的字节DC,而病毒