计算机病毒的防治
本章主要内容：
1．计算机病毒
2．计算机病毒的传播
3．计算机病毒的特点及破坏行为
4．宏病毒及网络病毒
5 ．病毒的预防、检查和清除
6 ．病毒防御解决方案
2021/4/21 计算机网络安全基础
什么是计算机病毒
计算机病毒是一种“计算机程序”，它不
仅能破坏计算机系统，而且还能够传播、感染
到其它系统。 通常，计算机病毒可分为
下列几类。
（1）文件病毒。
（2）引导扇区病毒。
（3）多裂变病毒。
（4）秘密病毒。
（5）异形病毒。
（6）宏病毒。
2021/4/21 计算机网络安全基础
计算机病毒的传播
计算机病毒的由来
计算机病毒是由计算机黑客们编写的，
这些人想证明它们能编写出不但可以干扰
和摧毁计算机，而且能将破坏传播到其它
系统的程序。
2021/4/21 计算机网络安全基础
计算机病毒的传播
计算机病毒的传播
计算机病毒通过某个入侵点进入系统
来感染该系统。最明显的也是最常见的入
侵点是从工作站传到工作站的软盘。
病毒一旦进入系统以后，通常用以下
两种方式传播：
（1）通过磁盘的关键区域；
（2）在可执行的文件中。
2021/4/21 计算机网络安全基础
计算机病毒的传播
计算机病毒的工作方式
一般来说，病毒的工作方式与病毒所能表现出来的
特性或功能是紧密相关的。
1．感染
任何计算机病毒的一个重要特性或功能是对计算机
系统的感染。
（1）引导扇区病毒
2021/4/21 计算机网络安全基础
计算机病毒的传播
（2）文件型病毒
文件型病毒与引导扇区病毒最大的不同之处是，
它攻击磁盘上的文件。
2021/4/21 计算机网络安全基础
计算机病毒的传播
覆盖型文件病毒的一个特点是不改变
文件的长度，使原始文件看起来非常正常。
前依附型文件病毒将自己加在可
执行文件的开始部分，而后依附型文件病
毒将病毒代码附加在可执行文件的末尾。
伴随型文件病毒为.exe文件建立一个
相应的含有病毒代码的.com文件。
2021/4/21 计算机网络安全基础
计算机病毒的传播
2．变异
变异又称变种，这是病毒为逃避病毒
扫描和其它反病毒软件的检测，以达到逃
避检测的一种“功能”。
3．触发
不少计算机病毒为了能在合适的时候
从事它的见不得人的勾当，往往需要预先
设置一些触发的条件，并使之先置于未触
发状态。
2021/4/21 计算机网络安全基础
计算机病毒的传播
4．破坏
修改数据、破坏文件系统、删除系统
上的文件、视觉和听觉效果。
5．高级功能病毒
计算机病毒逃避检测，躲开病毒扫描
和反病毒软件。
多态病毒特点能变异，新病毒都与上
一代有差别，每个新病毒都各不相同。
2021/4/21 计算机网络安全基础
计算机病毒的特点及破坏行为
计算机病毒的特点
病毒有以下几个主要特点。
1．刻意编写人为破坏
2．自我复制能力
3．夺取系统控制权
4．隐蔽性
5．潜伏性
6．不可预见性
2021/4/21 计算机网络安全基础
计算机病毒的特点及破坏行为
计算机病毒的破坏行为
（1）攻击系统数据区。硬盘主引导扇区、Boot扇区、FAT表、文件
目录。
（2）攻击文件。删除、改名、替换内容、丢失簇或对文件加密。
（3）攻击内存。大量占用、改变内存总量、禁止分配和蚕食内存等。
（4）干扰系统运行，使运行速度下降。
（5）干扰键盘、喇叭或屏幕。
（6）攻击CMOS。系统时钟、磁盘类型和内存容量等，乱写某些主
板BIOS芯片，损坏硬盘。
（7）干扰打印机。如假报警、间断性打印或更换字符。
（8）网络病毒破坏网络系统，非法使用网络资源，破坏电子邮件，
发送垃圾信息，占用网络带宽等。
2021/4/21 计算机网络安全基础
宏病毒及网络病毒
宏病毒
所谓宏，就是软件设计者为了在使用软件工作时，
避免一再的重复相同的动作而设计出来的一种工具。
1．宏病毒的行为和特征
所谓“宏病毒”，就是利用软件所支持的宏命令编
写成的具有复制、传染能力的宏。
（1）宏病毒行为机制
Word模式定义出一种文件格式，将文档资料以及
该文档所需要的宏混在一起放在后缀为.doc的文件之中，
这种作法已经不同于以往的软件将资料和宏分开存储的
方法。
2021/4/21 计算机网络安全基础
（2）宏病毒特征
①宏病毒会感染.doc文档和.dot模板文件。
②宏病毒的传染通常是Word在打开一个带宏病毒的文
档或模板时，激活宏病毒。
③多数宏病毒包含AutoOpen、AutoClose、AutoNew和
AutoExit等自动宏。
④宏病毒中总是含有对文档读写操作的宏命令。
⑤宏病毒在.doc文档、.dot模板中以.BFF（Binary File
Format）格式存放。
宏病毒及网络病毒
2021/4/21 计算机网络安全基础
宏病毒及网络病毒
2．宏病毒的防治和清除方法
（1）使用选项“提示保存Normal模板”
（2）不要通过Shift键来禁止运行自动宏
（3）查看宏代码并删除
（4）使用DisableAutoMacros宏
（5）使用Word 97的报警设置
（6）设置的只读属性
（7）的密码保护
2021/4/21 计算机网络安全基础
宏病毒及网络病毒
网络病毒
1．网络病毒的特点
计算机网络的主要特点是资源共享。。病毒
的会在这种环境下迅速传播、再生、发作将造成
比单机病毒更大的危害。它对于系统的敏感数据，
一旦遭到破坏，后果就不堪设想。因此，网络环
境下病毒的防治就显得更加重要了。
病毒入侵网络的主要途径是通过工作站传播
到服务器硬盘，再由服务器的共享目录传播到其
它工作站。
2021/4/21 计算机网络安全基础
宏病毒及网络病毒
2．病毒在网络上的传播与表现
大多数公司使用局域网文件服务器，
用户直接从文件服务器复制已感染的文件。
因特网是文件病毒的载体。
引导病毒在网络服务器上的表现：如
果网络服务器计算机是从一块感染的软盘
上引导的，那么网络服务器就可能被引导
病毒感染。
2021/4/21 计算机网络安全基础
宏病毒及网络病毒
3．专攻网络的GPI病毒
4．电子邮件病毒
对电子邮件系统进行病毒防护可从以下几
个方面着手。
（1）使用优秀的防毒软件对电子邮件进行专门的
保护
（2）使用防毒软件同时保护客户机和服务器
（3）使用特定的SMTP杀毒软件
2021/4/21 计算机网络安全基础
病毒的预防、检查和清除
病毒的预防
通过采取技术上和管理上的措施，计算机病毒是完全可以防
范的。
（1）对新购置的计算机系统用检测病毒软件检查已知病毒，用人工
检测方法检查未知病毒。
（2）新购置的硬盘或出厂时已格式化好的软盘可能有病毒。对硬盘
可以进行检测或进行低级格式化，因为对硬盘只做DOS的Format
格式化是不能去除主引导区（分区表扇区）病毒的。
（3）新购置的计算机软件也要进行病毒检测。
（4）在保证硬盘无病毒的情况下，能用硬盘引导启动的，尽量不要
用软盘去启动。
（5）很多PC机可以通过设置CMOS参数，使启动时直接从硬盘引导
启动 。
2021/4/21 计算机网络安全基础
病毒的预防、检查和清除
（6）定期与不定期地进行磁盘文件备份工作。
（7）对于软盘，要尽可能将数据和程序分别存放，装程
序的软盘要进行写保护。
（8）在别人的机器上使用过自己的已打开了写保护的软
盘，再在自己的机器上使用，就应进行病毒检测。
（9）应保留一张写保护的、无病毒的并带有各种命令文
件的系统启动软盘，用于清除病毒和维护系统。
（10）用Bootsafe等实用程序或用Debug编程提取分区表
等方法做好分区表、DOS引导扇区等的备份工作，在进
行系统维护和修复工作时可作为参考。
2021/4/21 计算机网络安全基础
病毒的预防、检查和清除
（11）对于多人共用一台计算机的环境，应建立登记上机
制度，做到使问题能尽早发现，有病毒能及时追查、清
除，不致扩散。
（12）启动Novell网或其它网络的服务器时，一定要坚持
用硬盘引导启动，否则在受到引导扇区型病毒感染和破
坏后，遭受损失的将不是一个人的机器，而会影响到连
接整个网络的中枢。
（13）在网络服务器安装生成时，应将整个文件系统划分
成多文件卷系统，而不是只划分成不区分系统、应用程
序和用户独占的单卷文件系统。
2021/4/21 计算机网络安全基础
病毒的预防、检查和清除
（14）安装服务器时应保证没有病毒存在，即安装环境不
能带病毒，而网络操作系统本身不感染病毒。
（15）网络系统管理员应将SYS系统卷设置成对其它用户
为只读状态，屏蔽其它网络用户对系统卷除读取以外的
其它所有操作，如修改、改名、删除、创建文件和写文
件等操作权限。
（16）在应用程序卷安装共享软件时，应由系统管理员进
行，或由系统管理员临时授权进行。
（17）系统管理员对网络内的共享电子邮件系统、共享存
储区域和用户卷进行病毒扫描，发现异常情况应及时处
理，不使其扩散。
2021/4/21 计算机网络安全基础
病毒的预防、检查和清除
（18）系统管理员的口令应严格管理，为了防止泄漏，要
定期或不定期地进行更换，保护网络系统不被非法存取、
感染上病毒或遭受破坏。
（19）在网络工作站上采取必要的抗病毒技术措施，可使
网络用户一开机就有一个良好的上机环境，不必再担心
来自网络内和网络工作站本身病毒。
（20）在服务器上安装Lan Protect等防病毒系统。实践表
明，这些简单易行的措施是非常有效的。
2021/4/21 计算机网络安全基础
病毒的预防、检查和清除
作为应急措施，网络系统管理员应牢记下列几条。
（1）隔离断网操作，清查病毒。
（2）对于传播速度快的恶性病毒要请求专业人员处理。
（3）注意观察下列现象：
●文件的大小和日期是否变化；
●系统启动速度是否比平时慢；
●不做写操作时出现“磁盘有写保护”信息；
●对贴有写保护的软盘操作时声音很大；
●系统运行速度异常慢；
●用MI检查内存发现不该驻留的程序已驻留；
●键盘、打印或显示有异常现象；
●有特殊文件自动生成；
●磁盘空间自动产生坏簇或磁盘空间减少；
●文件莫名其妙地丢失；
●系统异常死机的次数增加。
2021/4/21 计算机网络安全基础
病毒的预防、检查和清除
病毒的检查
计算机病毒要进行传染，必然会留下痕迹。
因此对计算机病毒的检测分为对内存的检测和
对磁盘的检测。
1．病毒的检查方法
检测的原理主要是基于下列四种方法
比较法
搜索法
特征字识别法
分析法
2021/4/21 计算机网络安全基础
病毒的预防、检查和清除
（1）比较法
比较法是用原始备份与被检测的引导扇区或被检测的文件进行比较。
（2）搜索法
搜索法是用每一种病毒体含有的特定字符串对被检测的对象进行扫
描。
（3）计算机病毒特征字的识别法
计算机病毒特征字的识别法是基于特征串扫描法发展起来的一种新
方法。
（4）分析法
本方法由专业反病毒技术人员使用。
分析法的目的在于：
①确认是否含有病毒
②确认病毒的类型和种类
③搞清结构，提取样本数据
④分析病毒代码
2021/4/21 计算机网络安全基础
病毒的预防、检查和清除
2．病毒扫描程序
这种程序找到病毒的主要办法之一就
是寻找扫描串，也被称为病毒特征。
3．完整性检查程序
检查文件与系统文件
4．行为封锁软件
该软件的目的是防止病毒的破坏。
2021/4/21 计算机网络安全基础
病毒的预防、检查和清除
计算机病毒的免疫
通过一定的方法，使计算机自身具有防御
计算机病毒感染的能力。
1．建立程序的特征值档案
2．严格内存管理
3．中断向量管理
2021/4/21 计算机网络安全基础
病毒的预防、检查和清除
计算机感染病毒后的恢复
1．防止和修复引导记录病毒
改变计算机的磁盘引导顺序，避免从软盘
引导。必须从软盘引导时，应该确认该软盘无
毒。
（1）修复感染的软盘
（2）修复感染的主引导记录
（3）利用反病毒软件修复
2．防止和修复可执行文件病毒
2021/4/21 计算机网络安全基础
病毒的预防、检查和清除
计算机病毒的清除
1．使用DOS命令处理病毒
2．引导型病毒的处理
与引导型病毒有关的扇区大概有下面三个部分。
（1）硬盘的物理第一扇区，即0柱面、0磁头、1扇区是开
机之后存放的数据和程序是被最先访问和执行的。这个
扇区成为“硬盘主引导扇区”。在该扇区的前半部分，
称为“主引导记录”（Master Boot Record），简称
MBR。
（2）第二部分不是程序，而是非执行的数据，记录硬盘
分区的信息，即人们常说的“硬盘分区表”（Partition
Table），从偏移量1BEH开始，到1FDH结束。
2021/4/21 计算机网络安全基础
病毒的预防、检查和清除
（3）硬盘活动分区，大多是第一个分区的第一个扇区。
一般位于0柱面、1磁头、1扇区，这个扇区称为“活动
分区的引导记录”，它是开机后继MBR后运行的第二
段代码的运行所在。其它分区也具有一个引导记录
（BOOT），但是其中的代码不会被执行。
运行下面的程序来完成：
“Fdisk／MBR”用于重写一个无毒的MBR。
“Fdisk”用于读取或重写硬盘分区表。
“Format C：/S”或“SYS C：”会重写一个无毒的“
活动分区的引导记录”。对于可以更改活动分区的情况，
需要另外特殊对待。
2021/4/21 计算机网络安全基础
病毒的预防、检查和清除
3．宏病毒清除方法
对于宏病毒最简单的清除步骤为：
（1）关闭Word中的所有文档。
（2）选择“工具/模板/管理器/宏”选项。
（3）删除左右两个列表框中所有的宏（除了自己定义的）
（一般病毒宏为AutoOpen、AutoNew或AutoClose）。
（4）关闭对话框。
（5）选择“工具/宏”选项。若有 AutoOpen、AutoNew
或AutoClose等宏，删除之。
2021/4/21 计算机网络安全基础
病毒的预防、检查和清除
4．杀毒程序
杀毒程序是许多反病毒程序中的一员，但它在处理
病毒时，必须知道某种特别的病毒的信息，然后才能按
需要对磁盘进行杀毒。
对于文件型病毒，杀毒程序需要知道病毒的操作过程，
如它将病毒代码依附在文件头部还是尾部。一旦病毒被
从文件中清除，文件便恢复到原先的状态，原先保存病
毒的扇区被覆盖，从而消除了病毒被重新使用的可能性。
对于引导扇区病毒，在使用杀毒程序时需格外的小心谨
慎，因为在重新建立引导扇区和MBR（主引导记录）
时，如果出现错误，其后果是灾难性的，不但会导致磁
盘分区的丢失，甚至丢失硬盘上的所有文件，使系统再
也无法引导了。
2021/4/21 计算机网络安全基础
进程的相关知识
进程是什么
进程为应用程序的运行实例，是应用程
序的一次动态执行。假单理解：它是操作
系统当前运行的执行程序。
进程的分类：系统进程
应用进程
存在安全风险进程
– 其他进程
2021/4/21 计算机网络安全基础
如何结束进程如何结束进程
强制结束进程命令强制结束进程命令 ntsd -c q -p PID ntsd -c q -p PID
XPXP下的下的和和
1. 打开“终端服务管理器（任务管理器）”。
2. 在“进程”选项卡上的“用户”列下，右键单
击要结束的进程，然后单击“结束进程”。
注意
1. 必须具有完全控制权限才能结束进程。
2. 要打开“终端服务管理器”，请依次单击“开
始”和“控制面板”，双击“管理工具”，然后双击“
终端服务管理器”。
3. 请注意：在没有警告的情况下结束进程会导致
用户会话中的数据丢失。
4. 可能需要结束进程，因为应用程序没有响应。
5. 也可以使用 tskill 命令结束进程。
2021/4/21 计算机网络安全基础
习题与思考题
1．什么是计算机病毒？
2．计算病毒的基本特征是什么？
3．简述计算机病毒攻击的对象及所造成的危害。
4．病毒按寄生方式分为哪几类？
5．计算机病毒一般由哪几部分构成，各部分的作用是什
么？计算机病毒的预防有哪几方面？
6．简述检测计算机病毒的常用方法。
7．简述宏病毒的特征及其清除方法。
8．什么是计算机病毒免疫？
9．简述计算机病毒的防治措施。
10．什么是网络病毒，防治网络病毒的要点是什么？
2021/4/21 计算机网络安全基础
