网络安全-恶意代码原理、检测与分析

清华大学计算机系研究生专业课<<计算机网络安全技术>>课件

恶意代码/恶意软件 Malicious Code, Malware

清华大学计算机系研究生专业课<<计算机网络安全技术>>课件

提纲一．恶意移动代码简介 二．计算机病毒 三．网络蠕虫和木马 四．恶意代码分析与研究 五．近年来趋势分析

清华大学计算机系研究生专业课<<计算机网络安全技术>>课件

病毒、蠕虫与木马的比较特性宿主病毒需要蠕虫不需要 独立的文件木马需要 伪装成其他文件表现形式 嵌入分区表或文件，不以文件形式 存在 质、用户的干预 系统完整性 依靠用户主动传 播 留下后门，窃取 信息 慢传播方式 依赖宿主文件、介 自主传播 主要危害 破坏数据完整性、 侵占资源传播速度 快极快

清华大学计算机系研究生专业课<<计算机网络安全技术>>课件

其他形式的Malware 其他可执行的内容– Macro ,Java Applet,ActiveX,Java Scripts,VB Scripts – Php/perl/jsp/…script Logic Bomb Spammer Programs Flooders Key loggers Rootkit Spyware Rogue Ware …

清华大学计算机系研究生专业课<<计算机网络安全技术>>课件

恶意代码的命名标准：CARO[<type>://][<platform>/]<family>[.<group>][.<length>] .<variant>[<modifiers>][!<comment>] E.g.: W32.Worm.Krn132.60168, W32.Worm.SoBig.E Type: virus, trojan,backdoor, Platform:DOS, W32,VBS, W97, ….– virus://{VBS,W97M,Win32}/Foo.A@mm Family:only part of a virus scanner must report Modifiers: e.g. virus://W97M/Foo.A@irc@mm.Current Status of the CARO Malware Naming Scheme Dr. Vesselin Bontchev, anti–virus researcher FRISK Software International Thverholt 18, IS–105 Reykjavik, Iceland

清华大学计算机系研究生专业课<<计算机网络安全技术>>课件

提纲一．恶意移动代码简介 二．计算机病毒 三．网络蠕虫和木马 四．恶意代码分析与研究 五．近年来趋势分析

清华大学计算机系研究生专业课<<计算机网络安全技术>>课件

计算机病毒的产生 1949, John von Neumann: Theory of Self-Reproducing Automata

清华大学计算机系研究生专业课<<计算机网络安全技术>>课件

The Early computer virus Robert Morris– RedCode/PDP-1 – Core War Simplest program:– MOV 0，1

清华大学计算机系研究生专业课<<计算机网络安全技术>>课件

计算机病毒的分类 平台分类：DOS,Win32，MAC，Unix,… 按宿主分类：– 引导型 主引导区 操作系统引导区– 文件型 操作系统 应用程序 宏病毒

清华大学计算机系研究生专业课<<计算机网络安全技术>>课件

引导型病毒—引导记录 主引导记录（MBR）引导代码及 出错信息 主分区表 (64字节） 结束标记 （2字节）主引导程序(446字节) A 分区1(16 字节) 分区2(16 字节) 分区3(16 字节) 分区4(16 字节) 55AA

清华大学计算机系研究生专业课<<计算机网络安全技术>>课件

引导型病毒—感染与执行过程系统引导区。体 毒 病。。 病毒 。引导 留 行 行 正常执行 驻 执 执 毒 毒 病 带 病病毒 。。 。。系 导 统引如果病毒文件太大。。。

清华大学计算机系研究生专业课<<计算机网络安全技术>>课件

文件型病毒—文件结构 .COM文件PSP Header (256 bytes) Code, Data, Stack Segment(s) (64K Bytes) 代码、数据、堆栈在通 一段中 在内存中的.COM是磁 盘文件的镜像.EXE 文件PSP Header (512 bytes) Code Segment(s) (64K ) Data Segment(s) (64K ) Stack Segment(s) (64K )

清华大学计算机系研究生专业课<<计算机网络安全技术>>课件

文件型病毒感染机理病毒程序头 病毒程序头 病毒程序头 病毒程序头 病毒程序头 病毒程序头 病毒程序头 病毒程序头 病毒程序头 病毒程序头 病毒程序头 头 头 头 头 头 头 头 头 头 头 头 头 序 序 序 序 序 序 序 序 序 头 序 序 序 程 程 程 程 头 头 头 头 头 头 头 头 头 程 程 程 程 程 序 程 程 程 头 头 头 序 序 序 序 序 序 序 序 序 程 序 序 头 序 头 头 头 头 头 程 程 程 程 程 程 程 程 程 程 程 序 程 序 序 序 序 序 头 头 头 程 程 程 程 程 程正常 序 序 序 程 程 程 正常 正常 正常 正常 序头 正常 程 程序头 正常 正常 正常 正常 正常 正常 正常 正常 正常 正常 程序 程序头 程序 正常 正常 程序 正常 程序 程序 正常 正常 正常 正常 正常 程序 程序头 程序头 程序 程序 程序 程序 程序头 程序 程序 程序 程序 程序 程序 程序 程序 程序 程序 程序 程序 程序 程序 程序头 病毒程序 病毒程序 病毒程序 程序头 程序头 病毒程序 程序头 程序头 病毒程序 病毒程序 病毒程序 病毒程序 病毒程序 程序头 程序头 程序头 程序头 程序头 程序头 程序头 程序头 程序头 程序头 程序头

清华大学计算机系研究生专业课<<计算机网络安全技术>>课件

PE（Portable Executable ）文件This program cannot run in DOS modeSection table代码段：.text 资源：.rsrc

清华大学计算机系研究生专业课<<计算机网络安全技术>>课件

pedump

清华大学计算机系研究生专业课<<计算机网络安全技术>>课件

文件感染技术Overwriting VirusesAppending Virusesprepender virusclassic parasitic virus