Pei-Ting’s blog

轉貼–判斷電腦是否中毒(二)

一月 14th, 2005

病毒的分類及各自的特徵
　　要真正地識別病毒，及時的查殺病毒，我們還有必要對病毒有一番較詳細的瞭解，而且越詳細越好！
　　病毒因為由眾多分散的個人或組織單獨編寫，也沒有一個標準去衡量、去劃分，所以病毒的分類可按多個角度大體去分。

如按傳染物件來分，病毒可以劃分為以下幾類：
　　a、引導型病毒
　　這類病毒攻擊的物件就是磁片的引導磁區，這樣就能使系統在啟動時獲得優先的執行權，從而達到控制整個系統的目的，這類病毒因為感染的是引導磁區，所以造成的損失也就比較大，一般來說會造成系統無法正常啟動，但查殺這類病毒也較容易，多數殺毒軟體都能查殺這類病毒，如KV300、KILL系列等。
　　b、檔型病毒
　　早期的這類病毒一般是感染以exe、com等為副檔名的可執行檔，這樣的話當你執行某個可執行檔時病毒程式就跟著啟動。近期也有一些病毒感染以dll、ovl、sys等為副檔名的檔，因為這些檔通常是某程式的配置、鏈結檔，所以執行某程式時病毒也就自動被子載入了。它們載入的方法是通過插入病毒代碼整段落或分散插入到這些檔的空白位元組中，如CIH病毒就是把自己拆分成9段嵌入到PE結構的可執行檔中，感染後通常檔的位元組數並不見增加，這就是它的隱蔽性的一面。
　　c、網路型病毒
　　這種病毒是近幾來網路的高速發展的產物，感染的物件不再局限于單一的模式和單一的可執行檔，而是更加綜合、更加隱蔽。現在一些網路型病毒幾乎可以對所有的OFFICE檔進行感染，如WORD、EXCEL、電子郵件等。其攻擊方式也有轉變，從原始的刪除、修改檔到現在進行檔加密、竊取用戶有用資訊（如黑客程式）等，傳播的途經也發生了質的飛躍，不再局限磁片，而是通過更加隱蔽的網路進行，如電子郵件、電子廣告等。
　　d、複合型病毒
　　把它歸為“複合型病毒”，是因為它們同時具備了“引導型”和“檔型”病毒的某些特點，它們即可以感染磁片的引導磁區檔，也可以感染某此可執行檔，如果沒有對這類病毒進行全面的清除，則殘留病毒可自我恢復，還會造成引導磁區檔和可執行檔的感染，所以這類病毒查殺難度極大，所用的殺毒軟體要同時具備查殺兩類病毒的功能。

以上是按照病毒感染的物件來分，如果按病毒的破壞程度來分，我們又可以將病毒劃分為以下幾種：
　　a、良性病毒：
　　這些病毒之所以把它們稱之為良性病毒，是因為它們入侵的目的不是破壞你的系統，只是想玩一玩而已，多數是一些初級病毒發燒友想測試一下自己的開發病毒程式的水平。它們並不想破壞你的系統，只是發出某種聲音，或出現一些提示，除了佔用一定的硬碟空間和CPU處理時間外別無其他壞處。如一些木馬病毒程式也是這樣，只是想竊取你電腦中的一些通訊資訊，如密碼、IP位址等，以備有需要時用。
　　b、惡性病毒
　　我們把只對軟體系統造成干擾、竊取資訊、修改系統資訊，不會造成硬體損壞、資料丟失等嚴重後果的病毒歸之為“惡性病毒”，這類病毒入侵後系統除了不能正常使用之外，別無其他損失，系統損壞後一般只需要重裝系統的某個部分檔後即可恢復，當然還是要殺掉這些病毒之後重裝系統。
　　c、極惡性病毒
　　這類病毒比上述b類病毒損壞的程度又要大些，一般如果是感染上這類病毒你的系統就要徹底崩潰，根本無法正常啟動，你保分留在硬碟中的有用資料也可能隨之不能獲取，輕一點的還只是刪除系統檔和應用程式等。
　　d、災難性病毒
　這類病毒從它的名字我們就可以知道它會給我們帶來的破壞程度，這類病毒一般是破壞磁片的引導磁區檔、修改檔分配表和硬碟分區表，造成系統根本無法啟動，有時甚至會格式化或鎖死你的硬碟，使你無法使用硬碟。如果一旦染上這類病毒，你的系統就很難恢復了，保留在硬碟中的資料也就很難獲取了，所造成的損失是非常巨大的，所以我們進化論什麼時候應作好最壞的打算，特別是針對企業用戶，應充分作好災難性備份，還好現在大多數大型企業都已認識到備份的意義所在，花鉅資在每天的系統和資料備份上，雖然大家都知道或許幾年也不可能遇到過這樣災難性的後果，但是還是放鬆這“萬一”。我所在的雀巢就是這樣，而且還非常重視這個問題。如98年4.26發作的CIH病毒就可劃歸此類，因為它不僅對軟體造成破壞，更直接對硬碟、主板的BIOS等硬體造成破壞。

如按其入侵的方式來分為以下幾種：
　　a、源代碼嵌入攻擊型
　　從它的名字我們就知道這類病毒入侵的主要是高階語言的根源程式，病毒是在根源程式編譯之前插入病毒代碼，最後隨根源程式一起被編譯成可執行檔，這樣剛生成的檔就是帶毒檔。當然這類檔是極少數，因為這些病毒開發者不可能輕易得到那些軟體發展公司編譯前的根源程式，況且這種入侵的方式難度較大，需要非常專業的編程水平。
　　b、代碼取代攻擊型
　　這類病毒主要是用它自身的病毒代碼取代某個入侵程式的整個或部分模組，這類病毒也少見，它主要是攻擊特定的程式，針對性較強，但是不易被發現，清除起來也較困難。
　　c、系統修改型
　　這類病毒主要是用自身程式覆蓋或修改系統中的某些檔來達到調用或替代作業系統中的部分功能，由於是直接感染系統，危害較大，也是最為多見的一種病毒類型，多為檔型病毒。
　　d、外殼附加型
　　這類病毒通常是將其病毒附加在正常程式的頭部或尾部，相當於給程式添加了一個外殼，在被感染的程式執行時，病毒代碼先被執行，然後才將正常程式調入記憶體。目前大多數檔型的病毒屬於這一類。

Entry Filed under: 防毒防駭