按键盘上方向键 ← 或 → 可快速上下翻页，按键盘上的 Enter 键可回到本书目录页，按键盘上方向键 ↑ 可回到本页顶部！
————未阅读完？加入书签已便下次继续阅读！
7．按照传播媒介分类
按照计算机病毒的传播媒介来分类，可分为单机病毒和网络病毒。
（1）单机病毒
单机病毒的载体是磁盘，常见的是病毒从软盘传人硬盘，感染系统，然后再传染其他软盘，软盘又传染其他系统。
（2）网络病毒
网络病毒的传播媒介不再是移动式载体，而是网络通道，这种病毒的传染能力更强，破坏力更大。
8．按照寄生方式和传染途径分类
人们习惯将计算机病毒按寄生方式和传染途径来分类。计算机病毒按其寄生方式大致可分为两类，一是引导型病毒，
二是文件型病毒；它们再按其传染途径又可分为驻留内存型和不驻留内存型，驻留内存型按其驻留内存方式又可细分。
混合型病毒集引导型和文件型病毒特性于一体。
引导型病毒会去改写（即一般所说的“感染”）磁盘上的引导扇区（BOOTSECTOR）的内容，软盘或硬盘都有可能感染病毒。再不然就是改写硬盘上的分区表（FAT）。如果用已感染病毒的软盘来启动的话，则会感染硬盘。
引导型病毒是一种在ROMBIOS之后，系统引导时出现的病毒，它先于操作系统，依托的环境是BIOS中断服务程序。
引导型病毒是利用操作系统的引导模块放在某个固定的位置，并且控制权的转交方式是以物理地址为依据，而不是以操作系统引导区的内容为依据，因而病毒占据该物理位置即可获得控制权，而将真正的引导区内容搬家转移或替换，待病毒程序被执行后，将控制权交给真正的引导区内容，使得这个带病毒的系统看似正常运转，而病毒己隐藏在系统中伺机传染、发作。
有的病毒会潜伏一段时间，等到它所设置的日期时才发作。有的则会在发作时在屏幕上显示一些带有“宣示”或“警告”意味的信息。这些信息不外是叫您不要非法拷贝软件，不然就是显示特定的图形，再不然就是放一段音乐给您听……。病毒发作后，不是摧毁分区表，导致无法启动，就是直接FORMAT硬盘。也有一部分引导型病毒的“手段”没有那么狠，不会破坏硬盘数据，只是搞些“声光效果”让您虚惊一场。
引导型病毒几乎清一色都会常驻在内存中，差别只在于内存中的位置。（所谓“常驻”，是指应用程序把要执行的部分在内存中驻留一份。这样就可不必在每次要执行它的时候都到硬盘中搜寻，以提高效率）。
引导型病毒按其寄生对象的不同又可分为两类，即MBR（主引导区）病毒，BR（引导区）病毒。MBR病毒也称为分区病毒，将病毒寄生在硬盘分区主引导程序所占据的硬盘0头0柱面第1个扇区中。典型的病毒有大麻（Stoned）、2708等。BR病毒是将病毒寄生在硬盘逻辑0扇区或软盘逻辑0扇区（即0面0道第1个扇区）。典型的病毒有Brain、小球病毒等。
顾名思义，文件型病毒主要以感染文件扩展名为。、。EXE和，OVL等可执行程序为主。它的安装必须借助于病毒的载体程序，即要运行病毒的载体程序，方能把文件型病毒引人内存。已感染病毒的文件执行速度会减缓，甚至完全无法执行。有些文件遭感染后，一执行就会遭到删除。大多数的文件型病毒都会把它们自己的程序码复制到其宿主的开头或结尾处。这会造成已感染病毒文件的长度变长，但用户不一定能用DIR命令列出其感染病毒前的长度。也有部分病毒是直接改写“受害文件”的程序码，因此感染病毒后文件的长度仍然维持不变。
感染病毒的文件被执行后，病毒通常会趁机再对下一个文件进行感染。有的高明一点的病毒，会在每次进行感染的时候，针对其新宿主的状况而编写新的病毒码，然后才进行感染，因此，这种病毒没有固定的病毒码—以扫描病毒码的方式来检测病毒的查毒软件，遇上这种病毒可就一点用都没有了。但反病毒软件随着病毒技术的发展而发展，针对这种病毒现在也有了有效手段。
大多数文件型病毒都是常驻在内存中的。
文件型病毒分为源码型病毒、嵌入型病毒和外壳型病毒。源码型病毒是用高级语言编写的，若不进行汇编、链接则无法传染扩散。嵌入型病毒是嵌入在程序的中间，它只能针对某个具体程序，如dBASE病毒。这两类病毒受环境限制尚不多见。目前流行的文件型病毒几乎都是外壳型病毒，这类病毒寄生在宿主程序的前面或后面，并修改程序的第一个执行指令，使病毒先于宿主程序执行，这样随着宿主程序的使用而传染扩散。
文件外壳型病毒按其驻留内存方式可分为高端驻留型、常规驻留型、内存控制链驻留型、设备程序补丁驻留型和不驻留内存型。
混合型病毒综合系统型和文件型病毒的特性，它的“性情”也就比系统型和文件型病毒更为“凶残”。此种病毒透过这两种方式来感染，更增加了病毒的传染性以及存活率。不管以哪种方式传染，只要中毒就会经开机或执行程序而感染其他的磁盘或文件，此种病毒也是最难杀灭的。
引导型病毒相对文件型病毒来讲，破坏性较大，但为数较少，直到90年代中期，文件型病毒还是最流行的病毒。但近几年情形有所变化，宏病毒后来居上，据美国国家计算机安全协会统计，这位“后起之秀”已占目前全部病毒数量的80％以上。另外，宏病毒还可衍生出各种变形变种病毒，这种“父生子子生孙”的传播方式实在让许多系统防不胜防，这也使宏病毒成为威胁计算机系统的“第一杀手”。
随着微软公司Word字处理软件的广泛使用和计算机网络尤其是Internet的推广普及，病毒家族又出现一种新成员，这就是宏病毒。宏病毒是一种寄存于文档或模板的宏中的计算机病毒。一旦打开这样的文档，宏病毒就会被激活，转移到计算机上，并驻留在Normal模板上。从此以后，所有自动保存的文档都会“感染”上这种宏病毒，而且如果其他用户打开了感染病毒的文档，宏病毒又会转移到他的计算机上。
黑客基本入侵手段：
随着黑客活动的日益猖獗，信息安全问题越来越多地被各级政府和网络管理部门提到重要议事日程上来。黑客攻击网络的手段十分丰富，令人防不胜防。分析和研究黑客活动的手段和采用的技术，对我们加强网络安全建议、防止网络犯罪有很好的借鉴作用。本文简要介绍了黑客攻击网络的一般过程以及常用的网络攻击工具。
远程攻击的一般过程
1。收集被攻击方的有关信息，分析被攻击方可能存在的漏洞
黑客首先要确定攻击的目标。在获取目标机及其所在的网络类型后，还需进一步获取有关信息，如目标机的IP地址、操作系统类型和版本、系统管理人员的邮件地址等，根据这些信息进行分析，可得到有关被攻击方系统中可能存在的漏洞。如运行一个host命令，可以获得目标网络中有关机器的IP地址信息，还可识别出目标机的操作系统类型。利用WHOIS查询，可了解技术管理人员的名字信息。运行一些Usernet和Web查询可了解有关技术人员是否经常上Usernet，等等。
收集有关技术人员的信息是很重要的。系统管理员的职责是维护站点的安全。当他们遇到问题时，有些人会迫不及待地将问题发到Usernet上或邮件列表上寻求解答。而这些邮件中往往有他们的组织结构、网络拓扑和所面临的问题等信息。另外，若一个系统管理员经常在安全邮件列表或论坛中讨论各种安全技术和问题，就说明他有丰富的经验和知识，对安全有深入的了解，并作好了抵御攻击的准备。反之，若一个系统管理员提出的问题是初级的，甚至没有理解某些安全概念，则说明此人经验不丰富。
每个操作系统都有自己的一套漏洞，有些是已知的，有些则需要仔细研究才能发现。而管理员不可能不停地阅读每个平台的安全报告，因此极有可能对某个系统的安全特性掌握的不够。
通过对上述信息的分析，就可以得到对方计算机网络可能存在的漏洞。
2。建立模拟环境，进行模拟攻击，测试对方可能的反应
根据第一步所获得的信息，建立模拟环境，然后对模拟目标机进行一系列的攻击。通过检查被攻击方的日志，可以了解攻击过程中留下的“痕迹”。这样攻击者就知道需要删除哪些文件来毁灭其入侵证据。
3。利用适当的工具进行扫描
收集或编写适当的工具，并在对操作系统分析的基础上，对工具进行评估，判断有哪些漏洞和区域没有覆盖到。然后在尽可能短的时间内对目标进行扫描。完成扫描后，可对所获数据进行分析，发现安全漏洞，如FTP漏洞、NFS输出到未授权程序中、不受限制的X服务器访问、不受限制的调制解调器、Sendmail的漏洞、NIS口令文件访问等。
4。实施攻击
根据己知的漏洞，实施攻击。通过猜测程序可对截获的用户帐号和口令进行破译；利用破译程序可对截获的系统密码文件进行破译；利用网络和系统本身的薄弱环节和安全漏洞可实施电子引诱（如安放特洛伊木马）等等。黑客们或者修改网页进行恶作剧，或破坏系统程序或放病毒使系统陷入瘫痪，或窃取政治、军事、商业秘密；或进行电子邮件骚扰或转移资金账户，窃取金钱等等。
常用工具介绍
扫描器
在Internet安全领域，扫描器是最出名的破解工具。所谓扫描器，实际上是自动检测远程或本地主机安全性弱点的程序。扫描器选通TCP/IP端口和服务，并记录目标机的回答，以此获得关于目标机的信息。理解和分析这些信息，就可能发现破坏目标机安全性的关键因素。常用的扫描器有很多，有些可以在Internet上免费得到，下面做一简要介绍。
NSS（网络安全扫描器）：是用Perl语言编写的，可执行Sendmail、匿名FTP、NFS出口、TFTP、Hosts。equiv、Xhost等常规检查。
Strobe（超级优化TCP端口检测程序）：是一个TCP端口扫描器，可以记录指定机器的所有开放端口，快速识别指定机器上正在运行什么服务，提示什么服务可以被攻击。
SATAN
（安全管理员的网络分析工具）：用于扫描远程主机，发现漏洞。包括：FTPD的漏洞和可写的FTP目录、NFS漏洞、NIS漏洞、RSH漏洞、Sendmail、X服务器漏洞等。
Jakal：是一个秘密扫描器，它启动但并不完成与目标主机的SYN/ACK过程，因此可以扫描一个区域而不留下任何痕迹，能够避开端口扫描探测器的探测追踪。
IdengTCPscan：是一个更加专业化的扫描器，能够识别指定TCP端口进程的使用者，即能够测出该进程的UID；
CONNECT：用于扫描TFTP服务器子网。
FSPScan：用于扫描FSP服务器。
XSCAN：扫描具有X服务器漏洞的子网或主机。
SAFESuite：是快速、先进、全面的UNIX网络安全扫描器。可以对指定网络执行各种不同的攻击，探测网络环境中特定的安全漏洞，包括：Sendmail、TFP、NNTP、Telnet、
RPC、NFS等。
扫描器还在不断发展变化，每当发现新的漏洞，检查该漏洞的功能就会被加入已有的