计算机病毒及防治

李新丽

摘要：随着计算机技术的发展和互联网络的广泛应用，计算机已成为人们日常工作必不可缺少的工具。但日益严重的计算机病毒也在以几何数级的速度猛增。对计算机的安全构成了严重的威胁，一旦电脑感染病毒，经常会给用户造成严重后果，因此研究计算机病毒防治，对我们维护计算机的安全有着重要意义。

关键词：安全计算机病毒防治

一、计算机病毒的概念及特征

按照“中华人民共和国计算机信息系统安全保护条例”对计算机病毒的概念定义为：是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。此定义具有法律性、权威性。其特征有：传染性、隐蔽性、潜伏性、破坏性、针对性、衍生性(变种)、寄生性、不可预见性。

二、计算机病毒的分类

（一）按破坏性分

⑴良性病毒

⑵恶性病毒

⑶极恶性病毒

⑷灾难性病毒

（二）按传染方式分

⑴引导区型病毒

引导区型病毒主要通过软盘在操作系统中传播，感染引导区，蔓延到硬盘，并能感染到硬盘中的"主引导记录"。

⑵文件型病毒

文件型病毒是文件感染者，也称为寄生病毒。它运行在计算机存储器中，通常感染扩展名为COM、EXE、SYS等类型的文件。

⑶混合型病毒

混合型病毒具有引导区型病毒和文件型病毒两者的特点。

⑷宏病毒

宏病毒是指用BASIC语言编写的病毒程序寄存在Office文档上的宏代码。宏病毒影响对文档的各种操作。

（三）按连接方式分

⑴源码型病毒

它攻击高级语言编写的源程序，在源程序编译之前插入其中，并随源程序一起编译、连接成可执行文件。源码型病毒较为少见，亦难以编写。

⑵入侵型病毒

入侵型病毒可用自身代替正常程序中的部分模块或堆栈区。因此这类病毒只攻击某些特定程序，针对性强。一般情况下也难以被发现，清除起来也较困难。

⑶操作系统型病毒

操作系统型病毒可用其自身部分加入或替代操作系统的部分功能。因其直接感染操作系统，这类病毒的危害性也较大。

⑷外壳型病毒

外壳型病毒通常将自身附在正常程序的开头或结尾，相当于给正常程序加了个外壳。大部份的文件型病毒都属于这一类

三、计算机病毒的命名

（一）计算机病毒的命名规则

世界上那么多的病毒，反病毒公司为了方便管理，他们会按照病毒的特性，将病毒进行分类命名。虽然每个反病毒公司的命名规则都不太一样，但大体都是采用一个统一的命名方法来命名的。

病毒前缀是指一个病毒的种类，他是用来区别病毒的种族分类的。不同的种类的病毒，其前缀也是不同的。比如常见的木马病毒的前缀?Trojan?，蠕虫病毒的前缀是?Worm?等等还有其他的。

病毒名是指一个病毒的家族特征，是用来区别和标识病毒家族的，如以前著名的CIH病毒的家族名都是统一的“?CIH?”，还有近期闹得正欢的振荡波蠕虫病毒的家族名是“?Sasser?”。

病毒后缀是指一个病毒的变种特征，是用来区别具体某个家族病毒的某个变种的。一般都采用英文中的26个字母来表示，如Worm.Sasser.b就是指?振荡波蠕虫病毒的变种B，因此一般称为?“振荡波B变种”或者“振荡波变种B”。如果该病毒变种非常多（也表明该病毒生命力顽强?^_^），可以采用数字与字母混合表示变种标识。

（二）常见的计算机病毒

(1)系统病毒

系统病毒的前缀为：Win32、PE、Win95、W32、W95等。这些病毒的一般共有的特性是可以感染windows操作系统的*.exe和*.dll文件，并通过这些文件进行传播。如CIH病毒。

(2)蠕虫病毒

蠕虫病毒的前缀是：Worm。这种病毒的共有特性是通过网络或者系统漏洞进行传播，很大部分的蠕虫病毒都有向外发送带毒邮件，阻塞网络的特性。比如冲击波（阻塞网络），小邮差（发带毒邮件）等。

(3)木马病毒、黑客病毒

木马病毒其前缀是：Trojan，黑客病毒前缀名一般为Hack。木马病毒的共有特性是通过网络或者系统漏洞进入用户的系统并隐藏，然后向外界泄露用户的信息，而黑客病毒则有一个可视的界面，能对用户的电脑进行远程控制。木马、黑客病毒往往是成对出现的，即木马病毒负责侵入用户的电脑，而黑客病毒则会通过该木马病毒来进行控制。现在这两种类型都越来越趋向于整合了。一般的木马如QQ消息尾巴木马Trojan.QQ3344，还有大家可能遇见比较多的针对网络游戏的木马病毒如Trojan.LMir.PSW.60。这里补充一点，病毒名中有PSW或者什么PWD之类的一般都表示这个病毒有盗取密码的功能（这些字母一般都为“密码”的英文“password”的缩写）一些黑客程序如：网络枭雄（Hack.Nether.Client）等。

(4)脚本病毒

脚本病毒的前缀是：Script。脚本病毒的共有特性是使用脚本语言编写，通过网页进行的传播的病毒，如红色代码（Script.Redlof）。脚本病毒还会有如下前缀：VBS、JS（表明是何种脚本编写的），如欢乐时光（VBS.Happytime）、十四日（Js.Fortnight.c.s）等。

(5)宏病毒

其实宏病毒是也是脚本病毒的一种，由于它的特殊性，因此在这里单独算成一类。宏病毒的前缀是：Macro，第二前缀是：Word、Word97、Excel、Excel97（也许还有别的）其中之一。凡是只感染WORD97及以前版本WORD文档的病毒采用Word97做为第二前缀，格式是：Macro.Word97；凡是只感染WORD97以后版本WORD文档的病毒采用Word做为第二前缀，格式是：Macro.Word；凡是只感染EXCEL97及以前版本EXCEL文档的病毒采用Excel97做为第二前缀，格式是：Macro.Excel97；凡是只感染EXCEL97以后版本EXCEL文档的病毒采用Excel做为第二前缀，格式是：Macro.Excel，以此类推。该类病毒的共有特性是能感染OFFICE系列文档，然后通过OFFICE通用模板进行传播，如：着名的美丽莎（Macro.Melissa）。

(6)后门病毒

后门病毒的前缀是：Backdoor。该类病毒的共有特性是通过网络传播，给系统开后门，给用户电脑带来安全隐患。

(7)病毒种植程序病毒

这类病毒的共有特性是运行时会从体内释放出一个或几个新的病毒到系统目录下，由释放出来的新病毒产生破坏。如：冰河播种者（Dropper.BingHe2.2C）、MSN射手（Dropper.Worm.Smibag）等。

(8)破坏性程序病毒

破坏性程序病毒的前缀是：Harm。这类病毒的共有特性是本身具有好看的图标来诱惑用户点击，当用户点击这类病毒时，病毒便会直接对用户计算机产生破坏。如：格式化C盘（Harm.formatC.f）、杀手命令（Harm.Command.Killer）等。

(9)玩笑病毒

玩笑病毒的前缀是：Joke。也称恶作剧病毒。这类病毒的共有特性是本身具有好看的图标来诱惑用户点击，当用户点击这类病毒时，病毒会做出各种破坏操作来吓唬用户，其实病毒并没有对用户电脑进行任何破坏。如：女鬼（Joke.Girlghost）病毒。

(10)捆绑机病毒

捆绑机病毒的前缀是：Binder。这类病毒的共有特性是病毒作者会使用特定的捆绑程序将病毒与一些应用程序如QQ、IE捆绑起来，表面上看是一个正常的文件，当用户运行这些捆绑病毒时，会表面上运行这些应用程序，然后隐藏运行捆绑在一起的病毒，从而给用户造成危害。如：捆绑QQ（Binder.QQPass.QQBin）、系统杀手（Binder.killsys）等。

四、计算机病毒的传播途径

计算机病毒之所以称之为病毒是因为其具有传染性的本质。传统渠道通常有以下几种：

（1）通过软盘：通过使用外界被感染的软盘,例如,不同渠道来的系统盘、来历不明的软件、游戏盘等是最普遍的传染途径。由于使用带有病毒的软盘,使机器感染病毒发病,并传染给未被感染的“干净”的软盘。大量的软盘交换,合法或非法的程序拷贝,不加控制地随便在机器上使用各种软件造成了病毒感染、泛滥蔓延的温床。

（2）通过硬盘：通过硬盘传染也是重要的渠道,由于带有病毒机器移到其它地方使用、维修等,将干净的软盘传染并再扩散。

（3）通过光盘：因为光盘容量大，存储了海量的可执行文件，大量的病毒就有可能藏身于光盘，对只读式光盘，不能进行写操作，因此光盘上的病毒不能清除。以谋利为目的非法盗版软件的制作过程中，不可能为病毒防护担负专门责任，也决不会有真正可靠可行的技术保障避免病毒的传入、传染、流行和扩散。当前，盗版光盘的泛滥给病毒的传播带来了极大的便利。

（4）通过网络：这种传染扩散极快,能在很短时间内传遍网络上的机器。

随着Internet的风靡，给病毒的传播又增加了新的途径，它的发展使病毒可能成为灾难，病毒的传播更迅速，反病毒的任务更加艰巨。Internet带来两种不同的安全威胁，一种威胁来自文件下载，这些被浏览的或是被下载的文件可能存在病毒。另一种威胁来自电子邮件。大多数Internet邮件系统提供了在网络间传送附带格式化文档邮件的功能，因此，遭受病毒的文档或文件就可能通过网关和邮件服务器涌入企业网络。网络使用的简易性和开放性使得这种威胁越来越严重。

五、计算机病毒的防治

（一）计算机病毒的防治策略

计算机病毒的防治要从防毒、查毒、解毒三方面来进行；系统对于计算机病毒的实际防治能力和效果也要从防毒能力、查毒能力和解毒能力三方面来评判。

1.防毒。是指根据系统特性，采取相应的系统安全措施预防病毒侵入计算机。防毒能力是指通过采取防毒措施，可以准确、实时监测预警经由光盘、软盘、硬盘不同目录之间、局域网、互联网（包括FTP方式、E-MAIL、HTTP方式）或其它形式的文件下载等多种方式的病毒感染；能够在病毒侵入系统时发出警报，记录携带病毒的文件，即时清除其中的病毒；对网络而言，能够向网络管理员发送关于病毒入侵的信息，记录病毒入侵的工作站，必要时还要能够注销工作站，隔离病毒源。

2.查毒。是指对于确定的环境，能够准确地报出病毒名称，该环境包括，内存、文件、引导区（含主导区）、网络等。查毒能力是指发现和追踪病毒来源的能力，通过查毒能准确地发现信息网络是否感染有病毒，准确查找出病毒的来源，给出统计报告；查解病毒的能力应由查毒率和误报率来评判。

3.解毒。是指根据不同类型病毒对感染对象的修改，并按照病毒的感染特性所进行的恢复。该恢复过程不能破坏未被病毒修改的内容。感染对象包括：内存、引导区（含主引导区）、可执行文件、文档文件、网络等。解毒能力是指从感染对象中清除病毒，恢复被病毒感染前的原始信息的能力。

（二）计算机病毒的判断

我们如何指导自己的计算机系统已经感染了病毒呢?可以从下面现象去发现。

①系统不认识磁盘或是硬盘不能开机。

②整个目录变成一堆乱码。

③硬盘的指示灯无缘无故亮了。

④计算机系统蜂鸣器出现异常声响。

⑤没做写操作时出现“磁盘写保护”信息。

⑥异常要求用户输入口令。

⑦程序运行出现异常现象或不合理的结果。

六、常见的杀毒软件介绍

常见的国内外优秀杀毒软件有：瑞星，江民，金山毒霸，诺顿(Norton)，麦咖啡（macfee），卡巴斯基（Kaspersky?Anti-Virus）等。卡吧斯基，诺顿，麦咖啡是世界上排名前几位的杀毒软件。瑞星、金山毒霸、江民是国内几个比较不错的杀毒软件。

(1)卡吧斯基

首先介绍是卡巴斯基，从它的AVP3.5版本，到如今的卡巴斯基kav6.0版本，在资源占用和杀毒引擎上都有不少更新。网上讨论的最多的是卡吧斯基瑞士版的3.5版本，有人说它的监控比后来的版本更加灵敏，不过这一点并不突出，感觉大多使用它是因为它占资源小，在监控中也就是非扫描病毒状态下比以后的版本占内存小得多。卡巴斯基的产品扫描速度比较慢，首先是因为它的病毒库是号称世界上最大的（诺顿也号称）因为病毒库大的话它就要一个一个和我们的木马的特征码来对比，这样很显然速度肯定慢。不过它查毒确实很强，这一点诺顿和麦咖啡也承认。在2004年的评测中卡巴的avp4.5是世界第一，不过仅仅是查毒能力，而且这个版本一般用户用惯了它，别的版本用着就有点别扭，都是分模块。综合起来卡巴斯基杀毒和木马，及加壳的木马确实是最强的，不过它的方式也是关起门来捉鬼。

(2)麦咖啡

麦咖啡杀毒软件被国人开始接受不是很长时间，只有微软，通用汽车等大公司的杀毒软件大部分是用的它和诺顿。它的个人版是比较占内存，而且个人版的macfee2005对中文的操作系统支持不好，没有解决双字节问题。它的企业版现在是8i版，确实非常优秀，首先占内存比较小，还有缓冲区溢出保护以及文件保护等新功能非常不错。你安装完，查杀全盘一次后，开着监控一般就高枕无忧了，当然要有好的防火墙作保证（MACFEE的防火墙还是不错的），可惜企业版不自带防火墙，这样你也可以装别的防火墙。这款杀毒软件是一个很安静，查杀病毒很强，而且占内存比较小的杀毒软件，极力推荐企业版macfee8i，注意安装完后要装上7个补丁和附加病毒库。

(3)诺顿

诺顿，大家对它的讨论是不一致的。有人说它占内寸多，确实是，不过因为它获得了微软的部分源码，你看一下它跟微软的关系就知道了，所以它能把杀毒做到windows底层，层次低，总的层就多，占资源大也是在所难避的。首先我比较放心它的超大病毒库，号称过世界第一，也有人说是诺顿也企业版是使用用户最多的，这一点承认。再就是它的防火墙虽然在评测中不是很好，不过我感觉还是比较全面，适合个人用户。它的企业版占内存比较小，而且没有集成防火墙，比较不错，现在是9.0版。有人说有时候诺顿查到病毒却只能隔离，其实这里是存在偏见的，诺顿如此大公司想杀个病毒还是比较容易的，既然能查到，它就有方法杀掉。关键是它的杀毒引擎和别人的不一样，它是比较安全的措施，隔离是怕删错文件，我们国内的一些杀毒软件是如果杀不掉就直接删除了，那早晚出事。隔离后病毒就不会影响我们了，所以请大家放心。虽然是很中庸的方式不过还是很为用户着想，要不的话，我们看看麦咖啡年初因为删错文件被告上法庭。诺顿的2005个人版试用后感觉不错，虽然还是占内存大，大约40多M，这时候关掉sp2的防火墙据说可以节省将近30M内存。不过256内存的电脑跑起来还是没问题的，杀毒很快，就是查压缩包比较弱。推荐配置好的机子用这个，绝对能有所收获，我比较看好它和麦咖啡将要出的新版企业版。

(4)金山毒霸

功能好比傻瓜相机，占内存不大，启动也很快，我觉得对于一般的家庭用户，这些已经够用了。

(5)瑞星杀毒软件

瑞星我用过一段时间，界面朴实。启动也比较快，内存占用也还可以，附带小狮子卡卡又是它的一大特色。

(6)江民杀毒软件

江民在网上的评价还是比较高的，界面不错，有个同学使用的正版江民感觉比较专业，启动比较快，占内存还可以，他搭配的是天网，运行状况令人满意。

参考文献

[1]纪东华.计算机病毒的发展趋势与防治[J].信息网络安全,2003,(02)44～45.

[2]赵育新,赵连凤.计算机病毒的发展趋势与防治[J].辽宁警专学报,2006(06)45～47.

[3]乔聪,王移芝.计算机病毒的发展趋势及对策[J].铁路计算机应用,2002,(04)23～25.

[4]郑建明,陈鸿斌.计算机病毒的发展趋势及科学防治策略[J].中国金融电脑,2003（8）,68～70

[5]张健,苏圣魁,梁宏,张鑫,杜振华,刘威.2007年计算机病毒发展趋势展望[J].信息网络安全,2007,(01)42～45.

[6]孙丽华,张素霞.新一代计算机病毒的发展趋势及防治[J].河南气象,2006,(04)，84～85

[9]杨东燕.计算机病毒的发展趋势及预防措施[J].内蒙古科技与经济,2001,(05)，66～67.