文件型電腦病毒冷門分類介紹
文件型電腦病毒冷門分類介紹
病毒的感染部分包括了一個(gè)小型的反匯編軟件，感染的時(shí)候，將被感染文件加載到內(nèi)存中，然后一條一條代碼的進(jìn)行反匯編，下面由學(xué)習(xí)啦小編給你做出詳細(xì)的文件型電腦病毒冷門分類介紹!希望對(duì)你有幫助!
文件型電腦病毒冷門分類介紹：
文件型電腦病毒冷門：覆蓋病毒
這種病毒沒有任何美感可言，也沒有體現(xiàn)出任何高明的技術(shù)，病毒制造者直接用病毒程序替換被感染的程序，這樣所有的文件頭也變成了病毒程序的文件頭，不用作任何調(diào)整。顯然，這種病毒不可能廣泛流行，因?yàn)楸桓腥镜某绦蛄⒖叹筒荒苷９ぷ髁?，用戶可以迅速的發(fā)現(xiàn)病毒的存在并采取相應(yīng)的措施。
文件型電腦病毒冷門：無(wú)入口點(diǎn)病毒
這種病毒并不是真正沒有入口點(diǎn)，只是在被感染程序執(zhí)行的時(shí)候，沒有立刻跳轉(zhuǎn)到病毒的代碼處開始執(zhí)行。也就是說(shuō)，沒有在COM文件的開始放置一條跳轉(zhuǎn)指令，也沒有改變EXE文件的程序入口點(diǎn)。病毒代碼無(wú)聲無(wú)息的潛伏在被感染的程序中，可能在非常偶然的條件下才會(huì)被觸發(fā)開始執(zhí)行，采用這種方式感染的病毒非常隱蔽，殺毒軟件很難發(fā)現(xiàn)在程序的某個(gè)隨機(jī)的部位，有這樣一些在程序運(yùn)行過程中會(huì)被執(zhí)行到的病毒代碼!
那么，這種病毒必須修改原來(lái)程序中的某些指令，使得在原來(lái)程序運(yùn)行中可以跳轉(zhuǎn)到病毒代碼處。我們知道x86機(jī)器的指令是不等長(zhǎng)，也就是說(shuō)無(wú)法斷定什么地方開始的是一條有效地、可以執(zhí)行到的指令，將這條指令改成跳轉(zhuǎn)指令就可以切換到病毒代碼了。聰明的病毒制造者從來(lái)不會(huì)被這種小兒科的問題難倒，他們發(fā)現(xiàn)了一系列的方法可以做這件事情:
大量的可執(zhí)行文件是使用C或者帕斯卡語(yǔ)言編寫的，使用這些語(yǔ)言編寫的程序有這樣一個(gè)特點(diǎn)，程序中會(huì)使用一些基本的庫(kù)函數(shù)，比如說(shuō)字符串處理、基本的輸入輸出等，在啟動(dòng)用戶開發(fā)的程序之前，編譯器會(huì)增加一些代碼對(duì)庫(kù)進(jìn)行初始化，病毒可以尋找特定的初始化代碼，然后使用修改這段代碼的開始跳轉(zhuǎn)到病毒代碼處，執(zhí)行完病毒之后再執(zhí)行通常的初始化工作。"紐克瑞希爾"病毒就采用了這種方法進(jìn)行感染。
病毒的感染部分包括了一個(gè)小型的反匯編軟件，感染的時(shí)候，將被感染文件加載到內(nèi)存中，然后一條一條代碼的進(jìn)行反匯編，當(dāng)滿足某個(gè)特定的條件的時(shí)候(病毒認(rèn)為可以很安全的改變代碼了)，將原來(lái)的指令替換成一條跳轉(zhuǎn)指令，跳轉(zhuǎn)到病毒代碼中，"CNTV"和"中間感染"病毒是用這種方法插入跳轉(zhuǎn)到病毒的指令。
還有一種方法僅僅適用于TSR程序，病毒修改TSR程序的中斷服務(wù)代碼，這樣當(dāng)操作系統(tǒng)執(zhí)行中斷的時(shí)候就會(huì)跳轉(zhuǎn)到病毒代碼中。(比如說(shuō)修改21H號(hào)中斷，這樣任何DOS調(diào)用都會(huì)首先通過病毒進(jìn)行了)
TSR(Terminal Still Resident中止仍然駐留)程序，是DOS操作系統(tǒng)下一類非常重要的程序，包括所有的DOS環(huán)境下的中文操作系統(tǒng)(CCDOS、中國(guó)龍等)等一大類程序都是TSR程序。這類程序的特點(diǎn)是程序執(zhí)行完畢之后仍然部分駐留在內(nèi)存中，駐留的部分基本上都是中斷服務(wù)程序，可以完成特定的中斷服務(wù)任務(wù)。
除此之外，還有另外一種比較少見的獲得程序控制權(quán)的方法是通過EXE文件的重定位表完成的
文件型電腦病毒冷門：伴隨病毒
這種病毒不改變被感染的文件，而是為被感染的文件創(chuàng)建一個(gè)伴隨文件(病毒文件)，這樣當(dāng)你執(zhí)行被感染文件的時(shí)候，實(shí)際上執(zhí)行的是病毒文件。
其中一種伴隨病毒利用了DOS執(zhí)行文件的一個(gè)特性，當(dāng)同一個(gè)目錄中同時(shí)存在同名的后綴名為.COM的文件和后綴名為.EXE的文件時(shí)，會(huì)首先執(zhí)行后綴名為COM的文件，例如，DOS操作系統(tǒng)帶了一個(gè)XCOPY.EXE程序，如果在DOS目錄中一個(gè)叫做XCOPY. COM的文件是一個(gè)病毒，那么當(dāng)你敲入"XCOPY (回車換行)"的時(shí)候，實(shí)際執(zhí)行的是病毒文件。
還有一種伴隨方式是將原來(lái)的文件改名，比如說(shuō)將XCOPY.EXE改成XCOPY.OLD，然后生成一個(gè)新的XCOPY.EXE(實(shí)際上就是病毒文件)，這樣你敲入"XCOPY (回車換行)"的時(shí)候，執(zhí)行的同樣是病毒文件，然后病毒文件再去加載原來(lái)的程序執(zhí)行。
另外一種伴隨方式利用了DOS或者視窗操作系統(tǒng)的搜索路徑，比如說(shuō)視窗系統(tǒng)首先會(huì)搜索操作系統(tǒng)安裝的系統(tǒng)目錄，這樣病毒可以在最先搜索目錄存放和感染文件同名的可執(zhí)行文件，當(dāng)執(zhí)行的時(shí)候首先會(huì)去執(zhí)行病毒文件，最新的"尼姆達(dá)"病毒就大量使用這種方法進(jìn)行傳染。
文件型電腦病毒冷門：文件蠕蟲:
文件蠕蟲和伴隨病毒很相似，但是不利用路徑的優(yōu)先順序或者其他手段執(zhí)行，病毒只是生成一個(gè)具有"INSTALL.BAT"或者"SETUP.EXE"等名字的文件(就是病毒文件的拷貝)，誘使用戶在看到文件之后執(zhí)行。
還有一些蠕蟲使用了更加高級(jí)的技術(shù)，主要是針對(duì)壓縮文件的，這些病毒可以發(fā)現(xiàn)硬盤上的壓縮文件，然后直接將自己加到壓縮包中，病毒支持的壓縮包主要是ARJ和ZIP，可能主要原因是因?yàn)檫@兩種壓縮格式的資料最全，壓縮算法也是公開的，所以病毒可以方便的實(shí)現(xiàn)自己的壓縮/增加方法。
針對(duì)批處理的病毒也存在，病毒會(huì)在以BAT結(jié)尾的批處理文件中增加執(zhí)行病毒的語(yǔ)句，從而實(shí)現(xiàn)病毒的傳播。
文件型電腦病毒冷門：鏈接病毒
這類病毒的數(shù)量比較少，但是有一個(gè)特別是在中國(guó)鼎鼎大名的"目錄2"(DIRII)病毒。病毒并沒有在硬盤上生成一個(gè)專門的病毒文件，而是將自己隱藏在文件系統(tǒng)的某個(gè)地方，"目錄2"病毒將自己隱藏在驅(qū)動(dòng)器的最后一個(gè)簇中，然后修改文件分配表，使目錄區(qū)中文件文件的開始簇指向病毒代碼，這種感染方式的特點(diǎn)是每一個(gè)邏輯驅(qū)動(dòng)器上只有一份病毒的拷貝。
簇:由于硬盤上每一個(gè)扇區(qū)的大小一般只有512字節(jié)，如果一個(gè)文件分布在很多的扇區(qū)中，要想完整的在文件分配表中表示這個(gè)文件占用的扇區(qū)將會(huì)使用非常多非常多的目錄空間，例如1個(gè)1M的文件，將需要2K字節(jié)的空間表示文件占用扇區(qū)的情況。所以所有的文件系統(tǒng)都引入了簇的概念，一個(gè)簇就是很多個(gè)扇區(qū)，但是組合在一起作為文件分配的最小單位，簇的大小有4K、16K、32K等多種。
在視窗NT和視窗2000操作系統(tǒng)中，還有一種新的鏈接病毒，這種病毒只存在于NTFS文件系統(tǒng)的邏輯磁盤上，使用了NTFS文件系統(tǒng)的隱藏流來(lái)存放病毒代碼，被這種病毒感染之后，殺毒軟件很難找到病毒代碼并且安全的清除。
文件型電腦病毒冷門：對(duì)象文件、庫(kù)文件和源代碼病毒
這類病毒的數(shù)量非常少，總數(shù)大概不會(huì)超過10個(gè)，病毒感染編譯器生成的中間對(duì)象文件(OBJ文件)，或者編譯器使用的庫(kù)文件(.LIB)文件，由于這些文件不是直接的可執(zhí)行文件，所以病毒感染這些文件之后并不能直接的傳染，必須使用被感染的OBJ或者LIB鏈接生成EXE(COM)程序之后才能實(shí)際的完成感染過程，所生成的文件中包含了病毒。
源代碼病毒直接對(duì)源代碼進(jìn)行修改，在源代碼文件中增加病毒的內(nèi)容，例如搜索所有后綴名是".C"的文件，如果在里面找到"main("形式的字符串，則在則在這一行的后面加上病毒代碼，這樣編譯出來(lái)的文件就包括了病毒。
看了“文件型電腦病毒冷門分類介紹”文章的還看了：
4.電腦病毒分類介紹