电脑病毒的运作

电脑病毒的运作,可分为引导、传染、病发三个阶段。病毒引导阶段:电脑病毒被执行并开始活动。由于一个人不会故意去执行一个明知是病毒的程序、所以电脑病毒势必要附着(寄生)在其它可执行的程序(即宿主程序)上,以便在宿主程序被执行时,顺便执行自身。对于需要驻留内存的病毒,引导时会将病毒主体程序引导到内存的适当位置,并设置必要的参数。病毒传染阶段:病毒被引导之后,开始以各种方式将自身复制并附     

1759病毒的解剖与消除

笔者最近在一张游戏盘中发现了一种病毒,用CPAV消毒软件无法检测出来。由于该病毒自身长度为1759字节,故在本文中称为1759病毒。 一、病毒的特征和传播 1、该病毒为常驻内存的文件型病毒。一旦执行带毒程序后,病毒即驻留内存。以后只要执行某一个可执行文件病毒即对其进行传染。     

计算机病毒程序的机理

１计算机病毒程序模型和机理 计算机病毒程序按寄生方式来分，可分为三大类：引导型病毒、文件型病毒、复合型病毒。引导型病毒是寄生在操作系统中，文件型病毒是寄生在可执行文件中，复合型病毒则是将引导型病毒和文件型病毒结合在一起，它既感染文件，又感染引导区。但不管怎     

一种新的DOS病毒——新世纪病毒

最近笔者在学校机房中又发现一种新的DOS病毒,这种病毒用现有的反病毒软件如CPAV,KILL,SCAN等都查不出来,因病毒代码内写有“the new sentry of computer”的字样,故称其为新世纪病毒,这可能是我国又一国产病毒。一、病毒的破坏作用新世纪病毒既是文件型病毒,又是引导区病毒,即病毒既感染可执行文件(COM,EXE),又将自己覆盖在硬盘的主引导扇区,成为BOOT型病毒,该病毒原长为3K字节,感染文件时,对COM型文件直接写在文件尾,对EXE型文件则将3K以上的字节写在文件尾,对传染条件来说,该病毒只要驻留于内存中,则传染是无条件的:你运行一个文件,它感染一个文件,除非磁盘是写保护的,该病毒感染后的EXE文件     

PC─cillin──电脑病毒免疫系统

PC－cillin是一套结合软件防毒程序与硬件免疫锁的病毒免疫系统。其功能强大的智慧型病毒陷阱能侦察到所有已知及未知的病毒，以保护PC机不受病毒的威胁。PC－。illin在安装前扫描系统（硬盘）并清除被感染的文件，其监测程序以内存驻留方式时刻保护PC机免受病毒侵扰；其硬件免疫锁在PC－cillin安装时能安全地备份硬盘引导园区（B00t）及硬盘分区表（FAT）信息，用以硬盘引导扇区遭感染时的自动修复。计算机病毒增长速度之快是大家所有目共睹的，因此需要一种比较完善的防毒产品（除了有预防已知和未知病毒的功能外，还具有查毒、清毒…     

一种新型病毒的分析和防治

笔者发现一种微机病毒,可你为333病毒(病毒代码长度为333字节),它是“引导区寄生型”病毒,表现为良性.CPAV(2.O)和公安部推出的KILL均查不出此病毒.通过万析,可以看出这种病毒的驻留和传播机制同以往的“引导区寄生型”病毒有很大的下同,其特殊的驻留和传播机制甚至可以使某些防病毒卡(如瑞星防病毒卡Ⅱ型)无法检测其存在,也不能阻止其传染.由于没有表现部分,加之其特殊的驻留和传播机制,使病毒具有极强的隐蔽性.     

检测硬盘与内存中病毒痕迹四种方法

病毒要进行传染，必然会留下痕迹。生物医学病毒如此，电脑病毒也是一样。检测电脑病毒，就要到病毒寄生场所去检查，发现异常情况，并进而验明“正身”，确认电脑病毒的存在。电脑病毒静态时存储于硬盘中，被激活时驻留在内存中，因此对电脑病毒的检测可以分为对硬盘的检测和对内存的检测。     

动态监视抗病毒程序—VSAFE.COM

Vsafe．corn是杀病毒软件CPAV中一个很有用的程序，它是以驻留内存的形式来动态监视病毒活动的。CPAVVZ．0中的Vsafe驻留内存后约占47K内存空间。键人ALT－V键后控制窗口便会被激活，窗口显示8个选择项。为了充分利用这些选择项，可在AU－TOEXEC．BAT文件中设置如下选择项，以达到最佳的防毒效果。C：＼CPAV＼Vsafe／l＋／2－／3－／4＋／5＋／6＋／7－／8＋。这样一旦出现硬盘将被低级格式化、执行文件带毒、引导扇区染毒、硬盘引导区将被改变、执行文件将被改变时，就会发出警告信息，用户可根据具体情况采取相应措施。第一…     

DABI（1465）病毒的原理及诊治

计算机病毒会严重干扰计算机的正常工作，破坏用户的数据和程序，甚至造成严重的损失，令大多数计算机用户“谈素色变”。这对计算机的推广和应用带来了一定影响。其实，计算机病毒并不十分可怕，只要我们了解它的原理，掌握它的防治方法，就一定能预防它的传染，即使传染也一定能把它清除，保证工作的正常进行。下面本文将介绍DABI（1465）病毒的原理及诊治。一、DABI（1465）病毒的原理DABI（1465）病毒是文件型病毒。病毒传染计算机时，首先在内存高瑞申请一块长为6COH字节的内存块（段地址为9F94H），并将病毒程序移到该内存块继…     

1349病毒分析

近日发现一种新病毒,用公安部KILL77和McAFee的SCAN117等查毒软件不能发现该病毒,于是对该病毒进行了分析,弄清了病毒程序的执行过程.一、传染机理该病毒长度基数为545H(1349)字节,感染文件时附在文件尾部.它先于正常程序进入内存后,修改最后一个内存控制块MCB,使其减少6AH节(1696字节),然后驻留内存,地址从CS:0100开始.CS:0000——CS:00FF为病毒运行的数据区.用PCTOOLS看内存容量时,内存总量减少2KB.病毒驻留内存后更改INT21H(DOS功能调用)为XXXX:0287H,更改INT 1CH(时钟中断)为     

万能脱壳工具软件RCOPY03

按传染方式,计算机病毒大致可分为三类,即:①感染引导分区的引导区型病毒;②感染可执行文件的文件型病毒;③既感染引导分区又感染可执行文件的混合型病毒。一般认为,只要在系统正常时保存一份干净的引导分区付本,则对于消除感染了引导分区的病毒,是很容易的。然而,对于文件型病毒,则就困难了。能否找到一种通用或比较通用的办法来消除未知的文件型病毒,而对使用者又没有很高的技术要求呢?答案是肯定的,笔者最近就遇到一个这样的例子。 不久前,一个用户拿来McAfee     

走出病毒误区

对染毒软盘进行dir操作会感染病毒吗？不会,如果计算机的内存没有病毒,那么只有在执行了带有病毒的程序（文件）后才会感染计算机。而dir命令是DOS的内部命令。不需要执行任何外部程序（文件）,因此对染毒软盘进行协操作不会感染病毒。不过需要注意的是,如果计算机内存已有病毒（或者说计算机已染毒）,即使对没有染病毒的软盘进行山r操作,也可能会感染软盘。是否将文件改为只读方式就不会感染病毒？不对。这对防范病毒设有任何用处。既然你可以通过计算机将文件改为只读方式,那么以传播为目的的病毒当然也可以通过计算机将文件改回…     

引导扇区型病毒的广谱检测算法与实现

本文详细分析了引异扇区型病毒驻留、传染、隐藏和破坏的原理，提出了用引导扇区的特殊规律检测所有引导扇区型病毒的广谱算法，即用引导扇区的特殊串和首指令变化、分区表数据的特殊性和正常引导扇区程序不可能包括的指令来检查引导扇区型病毒的算法。该算法具有可检查已知和未知的所有引导扇区型病毒和混合型病毒的引导扇区部分的特点，大大优于国内外流行的商品软件（如ＳＣＡＮ、ＣＰＡＶ、ＫＶ２００、ＫＩＬＬ等）常用的基于病毒的特征串的检查方法。最后讨论了防治和清除引导扇区型病毒常规方法。     

预测未来病毒

病毒一般分为引导区引导的病毒、文件传染的病毒和复合型传染的病毒(既传染文件又传染引导区)三类,本文不讨论只感染主引导区的病毒,而只讨论感染文件的病毒(只感染运行文件或既感染运行文件又感染引导区)感染文件的方法,根据病毒传染运行文件的方法,提出了一种预测未来的传染运行文件病毒的方法,这就是许多病毒卡所声称的能     

计算机病毒的分类与防治技术

计算机病毒可分为两大类:一类是文件寄生型病毒,另一类则为扇区寄生型病毒。就传播途径而言,又可分为三种:一种通过电磁幅射,另一种则通过磁盘（或CD）,再者通过网络。前者,目前还很少见,但正在一些国家军方的高度保密下进行着实验。因此有人预言:下一世纪的秘密武器之一就是计算机病毒。这并非是危言耸听的,这里不作讨论。而后者则是     

计算机病毒(2)

计算机病毒可按照其感染系统的方式进行分类: 文件感染病毒:文件感染病毒将病毒代码加到可运行的程序文件中,因此这种病毒在运行程序时即被激活。当这种病毒被激活时,它就传播给其它程序文件。 引导扇区病毒:引导扇区是硬盘的一部分,当开机时它便控制操作系统如何动作。引导扇区病毒用它自己的数据来代替硬盘的原始引导扇区,并将病毒装入内存,病毒一旦进入内存,就可以传播给其它磁盘。     

1091病毒分析

该病毒用公安部的KILL 70.01和 McAFee的SCAN117等查毒软件均不能发现,对该病毒进行了分析,发现该病毒很类似1099(Random-formatting)病毒.可以说是其一个变种,正因为如此,一些清毒软件将其误认为1099病毒,产生误动作,将染毒文件弄得无法恢复.所以有必要对该病毒代码的执行过程介绍一下,希望能对大家有所帮助.传染机理:该病毒长度基数为443H(1091)字节,感染文件时附在文件尾部.它先于正常程序进入内存后,修改最后一个内存控制块MCB,使其减少6EH节(1760字节),然后驻留内存,地址从CS:0100开始.0054:0000开始的一段内     

清除1099病毒及其变形的方法

“1099”病毒是近年来流行的一种文件型病毒。激发时，将会随机性地改写硬盘，故有的资料称之为“随机格式化病毒”，被改写的硬盘中，文件数据全部丢失，所以是一种“恶性病毒”。1099病毒的感染能力很强，在运行了一个染毒文件后，它就驻留内存，然后在DIR命令下，每列一次目录时，就感染当前目录下的一个可执行文件，先感染．EXE文件，再感染．COM文件。一旦COMMAND．COM文件被感染，则每次开机后它就驻留内存，伺机继续感染其它的可执行文件。研究此病毒可以用如下方法：先把一个无毒的．EXE文件或者．COM文件以．CMP文件复…     

帝霸计算机反病毒服务网专用软件升级信息表

病毒分析: 该病毒发现于北京地区。它被命名为AAV。这是一种文件型病毒,只传染COM型文件。该病毒活动时驻留在内存低端,它截获DOS中断INT 21H以获取系统控制权。当系统时间大于等于1994年5月,在每个小时的30分45秒之后,病毒开始发作。屏幕上将显示如下信息:THIS FILE IS     

防毒知识百科大全：常见电脑病毒分类

引导区病毒:这类病毒隐藏在硬盘或软盘的引导区,当计算机从感染了引导区病毒的硬盘或软盘启动,或当计算机从受感染的软盘中读取数据时,引导区病毒就开始发作。一旦它们将自己拷贝到机器的内存中,马上就会感染其他磁盘的引导区,或通过网络传播到其他计算机上。文件型病毒:文件型病毒寄生在其他文件中,常常通过对它们的编码加密或使用其他技术来隐藏自己。文件型病毒劫夺用来启动主程序的可执行命令,用作它自身的运行命令。同时还经常将控制权还给主程序,伪装计算机系统正常运行。一旦运行被感染了病毒的程序文件,病毒便被激发,执行大量的操作…