南京航空航天大学计算机病毒及防治上机实验报告
学院：理学院
专业：信息与计算科学
学号：081310128
姓名：王晨雨
授课老师：薛明富
二〇一六年十二月
目录
实验一：引导型病毒实验 (2)
实验二：Com病毒实验 (6)
实验三：PE文件格式实验 (9)
实验四：32位文件型病毒实验 (11)
实验五：简单的木马实验 (14)
实验七：木马病毒清除实验（选做） (19)
实验八：Word宏病毒实验（一） (22)
实验九：Word宏病毒实验（二） (27)
实验十：Linux脚本病毒实验（选做） (32)
实验十二：基于U盘传播的蠕虫病毒实验 (33)
实验十三：邮件型病毒实验 (36)
实验十四：Web恶意代码实验 (39)
实验一：引导型病毒实验
【实验目的】
通过实验，了解引导区病毒的感染对象和感染特征，重点学习引导病毒的感染机制和恢复感染病毒文件的方法，提高汇编语言的使用能力。
实验内容
引导阶段病毒由软盘感染硬盘实验。通过触发病毒，观察病毒发作的现象和步骤，学习病毒的感染机制：阅读和分析病毒的代码。
DOS运行时病毒由硬盘感染软盘的实现。通过触发病毒，观察病毒发作的现象和步骤，学习病毒的感染机制：阅读和分析病毒的代码。
【实验平台】
VMWare Workstation 12 PRO
MS-DOS 7.10
【试验内容】
第一步：环境安装
安装虚拟机VMWare，在虚拟机环境内安装MS-DOS 7.10环境。
第二步：软盘感染硬盘
1)运行虚拟机，检查目前虚拟硬盘是否含有病毒，图1表示没有病毒正常启动硬盘的
状态。
2)在附书资源中复制含有病毒的虚拟软盘virus.img
3)将含有病毒的软盘插入虚拟机引导，可以看到闪动的字符*^_^*，如图2所示，按
任意键进入图3。
第三步：验证硬盘已经被感染
1)取出虚拟软盘，通过硬盘引导，再次出现了病毒的画面如图4。
2)按任意键后正常引导了DOS系统如图5。可见，硬盘已被感染。
第四步：硬盘感染软盘
1)下载empty.img，并且将它插入虚拟机，启动计算机，由于该盘为空，如图6.
2)取出虚拟软盘，从硬盘启动，通过命令format A:/q快速格式化软盘。可能提示出
错，这时只要按R键即可。如图7.
3)成功格式化后的结果如图8。
4)不要取出虚拟软盘，重新启动虚拟机，这时是从empty.img引导，可以看到病毒的
画面，如图9。按任意键进入图10.可见，病毒已经成功由硬盘传染给了软盘。
实验截图：1.软盘启动后：
2.硬盘启动后：
实验二：Com病毒实验
【实验目的】
1、掌握COM病毒的传播原理。
2、掌握MASM611编译工具的使用。
【实验平台】
1、MS-DOS 7.10
2、MASM611
【试验内容】
1、安装MS-DOS 7.10环境。虚拟机安装该环境亦可，步骤在此不再赘述。
2、在MS-DOS C:\MASM目录下安装MASM611，然后将binr目录下的link.exe复制到bin
目录下。
3、在com目录下复制病毒程序Virus.asm及测试程序源代码BeInfected.asm
4、编译链接BeInfected.asm，形成BeInfectedcom测试程序
5、编译链接virus.asm，生成病毒程序virus.exe。
6、在C:\MASM\Bin目录下建立del.txt文件，并且将“https://www.doczj.com/doc/eb10453196.html,”和病毒代码2“virus.asm”
复制到此目录下。
7、执行“https://www.doczj.com/doc/eb10453196.html,”观察结果。
8、编译并连接“virus.asm”生成“virus.exe”，执行此exe文件以感染“https://www.doczj.com/doc/eb10453196.html,”
文件并且自动删除del.txt，而后执行“https://www.doczj.com/doc/eb10453196.html,”可以发现感染后的结果。
实验截图：
1.编译存储好文件：
2.Dos下查看文件夹内容：
3.查看TEST的内容：
4.运行病毒程序：
5.查看感染病毒后文件夹内容：
6.查看感染病毒后TEST的内容：
实验三：PE文件格式实验
【实验目的】
了解PE文件基本结构
【实验环境】
运行环境：Windows 2000、Windows 9x、Windows NT 以及 Windows XP
编译环境： Visual Studio 6.0
【实验步骤】
使用编译环境打开源代码工程，编译后可以生成winpe.exe。
预备步骤：找任意一个Win32下的Exe文件作为查看对象。
实验内容：运行winpe.exe，并打开任一exe文件，选择不同的菜单，可以查看到exe文件的内部结构。
实验截图：
感染前感染后
第一处：
第二处：
第三处：
第四处：
第五处：感染前：
感染后：
实验四：32位文件型病毒实验
【实验目的】
●了解文件型病毒的基本制造过程
●了解病毒的感染、破坏机制，进一步认识病毒程序
●掌握文件型病毒的特征和内在机制
【实验环境】
运行环境Windows 2000、Windows 9x、Windows NT 和 Windows XP
【实验步骤】
目录中的virus.rar包中包括Virus.exe(编译的病毒程序)、软件使用说明书.doc(请仔细阅读)、源代码详解.doc（对代码部分加入了部分注释）以及pll.asm(程序源代码)。Example.rar包中选取的是一个常用程序(ebookedit)安装后的安装目录下的程序，用于测试病毒程序。
预备步骤：将example.rar解压到某个目录。解压完毕后，应该在该目录下有Buttons 目录、ebookcode.exe、ebookedit.exe、ebrand-it.exe以及keymaker.exe等程序，然后把virus.rar包解压后的Virus.exe复制到该目录中。
实验内容：通过运行病毒程序观看各步的提示以了解病毒的内在机制。
实验截图：1.感染前准备：
2.感染过程：
3.感染后：
4.感染文件比对
实验五：简单的木马实验
【实验目的】
掌握木马的基本原理
【实验环境】
●Windows XP 操作系统
●Visual Studio 6.0 编程环境
【实验步骤】
（1）复制实验文件到实验的计算机上。其中，SocketListener目录下是木马Server端源代码，SocketCommand目录下是木马Client端源代码。
（2）用Visual Studio 6.0环境分别编译这两部分代码。
（3）运行SocketListener应用程序，也就是启动了木马被控端。
（4）运行SocketCommand应用程序，也就是启动了木马的控制端，可以在控制端执行命令来控制被控制端。实验支持的命令参考表：
实验截图：
1.建立连接：
2.发送指令及成功后结果：（1）运行程序：
（2）关闭木马：
（3）获得文件：
（5）查看文件：
（7）重启计算机：
实验七：木马病毒清除实验（选做）
【实验目的】
掌握木马病毒清除的基本原理
【实验平台】
●Windows 32 位操作系统
●Visual Studio 7.0 编译环境
【实验步骤】
文件Antitrojan.sln为工程文件。使用Visual Studio编译该工程，生成Antitrojan.exe可执行程序。执行Antitrojan.exe观察执行效果。
实验截图：
1.确认木马存在：
计算机病毒知识与防治 电脑感染了病毒后常出现的异常表现有以下几种： 感染病毒的异常表现： 1、开机运行几秒后突然黑屏 2、外部设备无法找到 3、硬盘无法找到 4、电脑发出异样声音 硬盘引导区感染病毒的异常表现 1、无法正常启动硬盘 2、引导时出现死机现象 3、执行C盘时显示“Not ready error drive A Abort，Retry，Fail?” 操作系统病感染病毒的异常表现： 1、引导系统时间变长 2、计算机处理速度比以前明显减慢 3、系统文件出现莫名其妙的丢失，或字节变长，日期修改等现象 4、系统生成一些特殊的文件 5、驱动程序被修改使得某些外设不能正常工作 6、软驱、光驱丢失 7、计算机经常死机或重新启动 应用程序感染病毒的异常表现 1、启动应用程序出现“非法操作”对话框 2、应用程序文件变大 3、应用程序不能被复制、移动、删除 4、硬盘上出现大量无效文件 5、某些程序运行时载入时间变长 预防电脑病毒要做好以下几点： 1、尽量少从别人的电脑中复制资料到自己的电脑中使
用，如果必须复制资料到自己的电脑中使用，那么，在使用资料前，请先用杀毒软件查杀病毒，确保无病毒后，再进行使用。如果您还没有安装杀毒软件，请尽快安装。 2、提倡使用正版电脑光盘。尽量少使用盗版电脑光盘，在使用盗版电脑光盘前也请先用杀毒软件查病毒，确保无病毒后，再进行使用。 3、在进入互联网前，一定要启动杀毒软件的病毒防火墙，现在的病毒防火墙技术已经相当成熟了，病毒防火墙不但可预防感染病毒，而且还可查杀部份黑客程序。 4、经常更新杀毒软件病毒库，并使用杀毒软件进行查杀病毒。 5、不要轻易下载小网站的软件与程序。 6、不要光顾那些很诱惑人的小网站，因为这些网站很有可能就是网络陷阱。 有效地预防病毒要做到以下几点: 1、安装新的计算机系统时，要注意打系统补丁，防止震荡波类的恶性蠕虫病毒传播感染； 2、上网的时候要打开杀毒软件实时监控； 3、安装个人防火墙，隔绝病毒跟外界的联系，防止木马病毒盗窃资料。 4、防邮件病毒，收到邮件时首先要进行病毒扫描，不要随意打开陌生人的附件； 5、防木马病毒，从网上下载任何文件后，一定要先进行病毒扫描再运行； 6、防恶意“好友”，当收到好友通过QQ、Msn发过来的网址连接或文件，不要随意打开。
蠕虫的行为特征描述和工作原理分析* 郑辉＊＊ 李冠一 涂菶生 （南开大学 20-333# ，天津，300071） E-mail: zhenghui@https://www.doczj.com/doc/eb10453196.html, https://www.doczj.com/doc/eb10453196.html,/students/doctor/spark/zhenghui.htm 摘要：本文详细讨论了计算机蠕虫和计算机病毒的异同，指出它们除了在复制和传染方面具有相似性之外，还有很多不同点，如蠕虫主要以计算机为攻击目标，病毒主 要以文件系统为攻击目标；蠕虫具有主动攻击特性，而病毒在传播时需要计算机 使用者的触发。通过详细区分它们的不同行为特征，确定了在计算机网络安全防 范体系中不同角色的责任。然后描述了蠕虫发展的历史，从中可以看到，蠕虫产 生了越来越大的危害。通过分析计算机蠕虫的工作原理、功能结构、实体组成， 提出了蠕虫的统一功能结构模型，并给出了有针对性的对计算机蠕虫攻击进行防 范的措施。最后本文分析了一些新的蠕虫技术发展趋势，指出计算机蠕虫本质上 是黑客入侵行为的自动化，更多的黑客技术将被用到蠕虫编写当中来，由此可以 看出对蠕虫攻击的防治和对抗将是长期而困难的工作。 关键词：蠕虫，计算机病毒，计算机网络安全，蠕虫定义，蠕虫历史，行为特征，功能模型 一、 引言 计算机病毒给世界范围内的计算机系统带来了不可估量的危害，给人们留下了深刻的印象。同时给人们一种误解，认为危害计算机的程序就是病毒。从而不加区分把计算机病毒（Virus）、计算机蠕虫（Worm）、木马程序（Trojan Horse）、后门程序（Backdoor）、逻辑炸弹（Logic Bomb）等等这些概念都称为计算机病毒。这种误解不仅体现在媒体的宣传中，而且体现在病毒技术研究人员的文章[1][2]中，反病毒厂商对产品的介绍说明中，甚至政府部门制定的法律法规[3]当中。这种相近概念上的误解导致不能有效的给出针对不同类型危害计算机安全的程序的有效防治措施，也为整体的计算机安全防护带来了一定困难。另外，同一程序的不同分类也不利于对其性质的进一步研究和分析。 计算机病毒和计算机蠕虫在传播、复制等特性上非常相似，尤其容易造成人们的误解。导致误解的原因有很多，一方面由于反病毒技术人员自身知识的限制，无法对这两种程序进行清楚细致的区分；另一方面虽然病毒的命名有一定的规范[4][5]，但病毒编写者在为自己的程序起名字的时候并不一定遵循这个规范，利用网络功能如电子邮件进行传播的病毒常常被病毒编写者冠以蠕虫的名字，这也给人们带来一些误导。为了照顾这种病毒的命名，曾有文献试图将蠕虫细分为活动蠕虫和邮件蠕虫[6]。由于用计算机病毒这个称谓不能涵盖所有危害计算机的程序的特征，而且容易产生误导，所以有的文献采用了含义更广泛的称谓“恶意软件”（malware）[7]来统一称呼它们。从蠕虫产生开始，十几年来，很多研究人员对蠕 *高等学校博士点学科点专项科研基金资助课题（编号：2000005516）。 **作者简介：郑辉（1972～），男，吉林伊通人，博士研究生，主要研究领域为网络与信息安全。李冠一（1978～），女，辽宁鞍山人，硕士研究生，主要研究领域为模式识别，计算机视觉与图像处理等。涂奉生（1937～），江西南昌人，博士生导师，主要研究领域为CIMS， DEDS理论，制造系统及通讯理论。
蠕虫病毒有什么危害如何杀 时间:2013-01-15 19:26来源:https://www.doczj.com/doc/eb10453196.html,作者:xp系统下载点击:170次电脑的蠕虫病毒是什么，会给电脑系统造成什么危害呢？“2003蠕虫王”（https://www.doczj.com/doc/eb10453196.html,Killer2003）感染该蠕虫病毒后网络带宽被大量占用，导致网络瘫痪，该蠕虫是利用SQL SERVER 2000 的解析端口1434的缓冲区溢出漏洞，对其网络进行攻击。由于“2003蠕虫王”具有极强的传播能力，目前在亚洲、美洲、澳大利亚等地迅速传播，已经造成了全球性的网络灾害。由于1月25日正值周末，其造成的恶果首先表现为公用互联网络的瘫痪，预计在今后几天继续呈迅速蔓延之势。 小编建议您使用360免费杀毒进行查杀，然后再根据查杀情况进行相应措施。 蠕虫病毒传播过程 2003蠕虫病毒是一个极为罕见的具有极其短小病毒体却具有极强传播性的蠕虫病毒。该蠕虫利用Microsoft SQL Server 2000缓冲区溢出漏洞进行传播，详细传播过程如下： 该病毒入侵未受保护的机器后，取得三个Win32 API地址，GetTickCount、socket、sendto，接着病毒使用GetTickCount获得一个随机数，进入一个死循环继续传播。在该循环中蠕虫使用获得的随机数生成一个随机的ip地址，然后将自身代码发送至1434端口（Microsoft SQL Server开放端口），该蠕虫传播速度极快，其使用广播数据包方式发送自身代码，每次均攻击子网中所有255 台可能存在机器。易受攻击的机器类型为所有安装有Microsoft SQL Server 2000的NT系列服务器，包括WinNT/Win2000/WinXP等。所幸该蠕虫并未感染或者传播文件形式病毒体，纯粹在内存中进行蔓延。病毒体内存在字符串 “h.dllhel32hkernQhounthickChGet”、“Qh32.dhws2_f”、“etQhsockf”、“toQhsend”。该病毒利用的安全漏洞于2002年七月被发现并在随后的MS SQL Server2000补丁包中得到修正。 蠕虫病毒的特征 该蠕虫攻击安装有Microsoft SQL 的NT系列服务器，该病毒尝试探测被攻击机器的1434/udp端口，如果探测成功，则发送376个字节的蠕虫代码。1434/udp 端口为Microsoft SQL开放端口。该端口在未打补丁的SQL Server平台上存在缓冲区溢出漏洞，使蠕虫的后续代码能够得以机 会在被攻击机器上运行进一步传播。 该蠕虫入侵MS SQL Server系统，运行于MS SQL Server 2000主程序sqlservr.exe应用程序进程空间，而MS SQL Server 2000拥有最高级别System 权限，因而该蠕虫也获得System级别权限。受攻击系统：未安装MS SQL
计算机病毒与防范基础知识考试题及答案 (单选);姓名得分: 注:每题5分，满分100分; 1.下面是关于计算机病毒的两种论断，经判断___; (1)计算机病毒也是一种程序，它在某些条件上激活;A)只有(1)正确B)只有 (2)正确;C)(1)和(2)都正确D)(1)和(2)都不正; 2.通常所说的“计算机病毒”是指______; A)细菌感染 B)生物病毒感染; C)被损坏的程序 D)特制的具 计算机病毒知识测试题(单选) 姓名得分: 注: 每题5分，满分100分
1.下面是关于计算机病毒的两种论断，经判断______ (1)计算机病毒也是一种程序，它在某些条件上激活，起干扰破坏作用，并能传染到其他程序中去;(2)计算机病毒只会破坏磁盘上的数据. A)只有(1)正确 B)只有(2)正确 C)(1)和(2)都正确 D)(1)和(2)都不正确 2.通常所说的“计算机病毒”是指______ A)细菌感染 B)生物病毒感染 C)被损坏的程序 D)特制的具有破坏性的程序 3.对于已感染了病毒的U盘，最彻底的清除病毒的方法是_____ A)用酒精将U盘消毒 B)放在高压锅里煮 C)将感染病毒的程序删除 D)对U盘进行格式化
4.计算机病毒造成的危害是_____ A)使磁盘发霉 B)破坏计算机系统 C)使计算机内存芯片损坏 D)使计算机系统突然掉电 5.计算机病毒的危害性表现在______ A)能造成计算机器件永久性失效 B)影响程序的执行，破坏用户数据与程序 C)不影响计算机的运行速度 D)不影响计算机的运算结果，不必采取措施 6.计算机病毒对于操作计算机的人，______ A)只会感染，不会致病 B)会感染致病 C)不会感染 D)会有厄运
【摘要】：凡能够引起计算机故障，破坏计算机数据的程序统称为计算机病毒。所以从这个意义上说，蠕虫也是一种病毒。蠕虫病毒，作为对互联网危害严重的一种计算机程序，其破坏力和传染性不容忽视。与传统的病毒不同，蠕虫病毒以计算机为载体，以网络为攻击对象。本文主要介绍蠕虫病毒的分类、概念、特点传播途径、典型蠕虫、防范措施和发展趋势等。 【关键词】：蠕虫病毒影响防范发展
目录 第一章蠕虫病毒概述 (1) 1.1 蠕虫病毒的概念 (1) 1.2 蠕虫病毒的成因 (1) 1.3 蠕虫病毒的特性 (1) 第二章蠕虫病毒分析 (2) 2.1 蠕虫病毒分类分析 (2) 2.1.1主机蠕虫 (2) 2.1.2 网络蠕虫 (2) 2.2 蠕虫病毒传播途径 (2) 2.3 典型蠕虫病毒 (3) 2.3.1 熊猫烧香病毒的概念 (3) 2.3.2 熊猫烧香病毒的危害 (3) 2.3.3熊猫烧香病毒的现象 (3) 第三章蠕虫病毒的防范 (5) 3.1 怎样防范蠕虫病毒 (5) 3.2 蠕虫病毒的解决方案（例：熊猫烧香病毒） (6) 第四章蠕虫病毒发展趋势 (11) 参考文献 (12)
第一章蠕虫病毒概述 1.1 蠕虫病毒的概念 1.2 蠕虫病毒的成因 利用操作系统和应用程序的漏洞主动进行攻击此类病毒主要是“红色代码”和“尼姆亚”，以及依然肆虐的“求职信”等。由于IE浏览器的漏洞（IFRAMEEXECCOMMAND），使得感染了“尼姆亚”病毒的邮件在不去手工打开附件的情况下病毒就能激活，而此前即便是很多防病毒专家也一直认为，带有病毒附件的邮件，只要不去打开附件，病毒不会有危害。“红色代码”是利用了微软IIS服务器软件的漏洞(idq.dll远程缓存区溢出)来传播，SQL蠕虫王病毒则是利用了微软的数据库系统的一个漏洞进行大肆攻击。 1.3 蠕虫病毒的特性 蠕虫和传统病毒都具有传染性和复制功能，这两个主要特性上的一致，导致人们在二者之间非常难区分。尤其是近年来，越来越多的传统病毒采取了部分蠕虫的技术，而具有破坏性的蠕虫也采取了部分传统病毒的技术，从而更加剧了这种情况。表1-2给出了传统病毒和蠕虫病毒的一些差别。
计算机病毒知识与防治学习资料 一、什么是计算机病毒 “计算机病毒”为什么叫做病毒。首先，与医学上的“病毒”不同，它不是天然存在的，是某些人利用计算机软、硬件所固有的脆弱性，编制具有特殊功能的程序。其能通过某种途径潜伏在计算机存储介质(或程序)里，当达到某种条件时即被激活，它用修改其他程序的方法将自己的精确拷贝或者可能演化的形式放入其他程序中，从而感染它们，对计算机资源进行破坏的这样一组程序或指令集合。1994年2月18日，我国正式颁布实施了《中华人民共和国计算机信息系统安全保护条例》，在《条例》第二十八条中明确指出：“计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。”此定义具有法律性、权威性。 二、病毒起源 最早由冯·诺伊曼提出一种可能性----现在称为病毒，但没引起注意. 1975 年，美国科普作家约翰·布鲁勒尔(JOHN BRUNNER) 写了本名为《震荡波骑士》(SHOCK WAVE RIDER) 的书，该书第一次描写了在信息社会中，计算机作为正义和邪恶双方斗争的工具的故事，成为当年最佳畅销书之一 1977年夏天，托马斯·捷·瑞安(THOMAS.J.RYAN) 的科幻小说《P-1的春天》(THE ADOLESCENCE OF P-1) 成为美国的畅销书，作者在这本书中描写了一种可以在计算机中互相传染的病毒，病毒最后控制了7，000 台计算机，造成了一场灾难。 1983年11月3日，弗雷德·科恩(FRED COHEN) 博士研制出一种在运行过程中可以复制自身的破坏性程序，伦·艾德勒曼(LEN ADLEMAN) 将它命名为计算机病毒(COMPUTER VIRUSES)，并在每周一次的计算机安全讨论会上正式提出，8小时后专家们在VAX11/750计算机系统上运行，第一个病毒实验成功，一周后又获准进行5个实验的演示，从而在实验上验证了计算机病毒的存在。 1986 年初，在巴基斯坦的拉合尔(LAHORE)，巴锡特(BASIT) 和阿姆杰德(AMJAD) 两兄弟经营着一家IBM-PC 机及其兼容机的小商店。他们编写了PAKISTAN 病毒，即
COM病毒实验报告 我们小组已经成功的实现了COM病毒感染实验。 在整个实验过程中，由于是初次配置Dos环境，我们遇到了很多问题，也花了很多时间去解决问题，因此，我们在此写出我们整个配置过程的主要步骤及其遇到的问题。 一．配置MS-Dos 1. 新建一个虚拟机 2. 用虚拟机的软驱载入，安装程序的第一个镜像 DOS71_1.IMG （在安装时设备里面没有floppy时只需add一下就好，选择物理软盘驱动器） 3．此时MS-DOS虚拟机处于半安装状态，然后开始命令配置 先创建一个文件夹tmp md tmp 复制软盘A的文件到C copy A:\ C:\tmp 关机 shutdown -s 4.用虚拟机的软驱载入安装程序的第二个镜像 DOS71_2.IMG 复制软盘A的文件到C copy A:\ C:\tmp 5.开始配置 先进入到tmp文件夹下 运行setup.bat (在此运行过程中，出现死机，原因不明，最后通过重启解决此问题) 6. 然后一路next和ok完成配置 二．安装MASM611 1.下载MASM611（里面包括5个DISK） 2.在虚拟机里面通过映射到磁盘（我们所做实验为Z盘），在映射过程中，特别注意把只读属性去掉，然后把下载的MASM611拷贝到此磁盘 3.打开MS-DOS系统，进入到MASM611下的DISK1文件目录下 4.开始安装 运行命令 setup.exe 5.在安装过程中，特别注意在第二次选项时应选择MS-DOS/Microsoft
Windows,否则无法使用link链接命令 6.其它一律按默认值点击确定，安装成功 三．实验过程 1.在使用MASM611前，应在MASM611目录下进行路径的配置（这点要特别注意） 路径配置命令 set PATH=C:\DOS71;..;C:\MASM611\BIN; 2.编译链接test文件（test文件是正常文件），在此实验中，链接后需要把test.exe改为https://www.doczj.com/doc/eb10453196.html,文件 编译test文件时出错 unmatched block nesting:main(解决方法：在test 文件中加入一句与main匹配的代码main endp) 3.运行test文件(命令为https://www.doczj.com/doc/eb10453196.html,),运行成功，显示字符串：This a simple com program for a test 4.编译链接virus文件（virus文件为病毒）,此时virus.exe文件已经生成 编译virus文件时出错 invalid character in file（解决方法：在相应的出错处加上分号;） 6.新建一个文件del.txt 命令 echo aaa >del.txt 7.查看MASM611下的文件目录，此时可以看到del.txt文件 8.运行virus.exe，成功后出现字符串 You are infected by a simple com virus，（但在运行该命令时，系统有时会死机，原因不明，最后解决方法，强制关掉MS-DOS系统后重新启动） 9.然后运行https://www.doczj.com/doc/eb10453196.html,，此时运行结果为 You are infected by a simple com virus 以及相关的乱码等等 10.此时在MASM611目录下查找刚刚新建的文件del.txt,可以发现del.txt不 见了,并且https://www.doczj.com/doc/eb10453196.html,文件变大 11.实验结束，病毒virus文件成功感染test文件
病毒查找及清除实验 应用场景 计算机病毒是一个程序，一段可执行码,对计算机的正常使用进行破坏，使得电脑无法正常使用甚至整个操作系统或者电脑硬盘损坏。就像生物病毒一样，计算机病毒有独特的复制能力。计算机病毒可以很快地蔓延，又常常难以根除。它们能把自身附着在各种类型的文件上。当文件被复制或从一个用户传送到另一个用户时，它们就随同文件一起蔓延开来。这种程序不是独立存在的，它隐蔽在其他可执行的程序之中，既有破坏性，又有传染性和潜伏性。轻则影响机器运行速度，使机器不能正常运行；重则使机器处于瘫痪，会给用户带来不可估量的损失。通常就把这种具有破坏作用的程序称为计算机病毒。 除复制能力外，某些计算机病毒还有其它一些共同特性：一个被污染的程序能够传送病毒载体。当你看到病毒载体似乎仅仅表现在文字和图像上时，它们可能也已毁坏了文件、再格式化了你的硬盘驱动或引发了其它类型的灾害。若是病毒并不寄生于一个污染程序，它仍然能通过占据存贮空间给你带来麻烦，并降低你的计算机的全部性能。 病毒往往会利用计算机操作系统的弱点进行传播，提高系统的安全性是防病毒的一个重要方面，但完美的系统是不存在的，过于强调提高系统的安全性将使系统多数时间用于病毒检查，系统失去了可用性、实用性和易用性，另一方面，信息保密的要求让人们在泄密和抓住病毒之间无法选择。病毒与反病毒将作为一种技术对抗长期存在，两种技术都将随计算机技术的发展而得到长期的发展。 一般正常的程序都是由用户调用，再由系统分配资源，完成用户交给的任务，其目的对用户是可见的、透明的。而病毒则隐藏在正常的程序中，当用户在调用正常程序时窃取到系统的控制权，先于正常程序执行，病毒的动作、目的对用户来说是未知的，是未经允许的。一般病毒都具有以下一些特征： 1.传染性。正常的计算机程序一般是不会将自身的代码强行连接到其它程序之上的，而病毒却能使自身的代码强行传染到一切符合其传染条件的未受到传染的程序之上。是否具有传染性是判别一个程序是否为计算机病毒的最重要的判断依据。 2. 隐蔽性。计算机病毒一般是具有很高的编程技巧并且短小精悍的程序，很大部分的病毒代码往往只有几百K 甚至更小。为了达到隐藏自己的目的，病毒程序通常附在正常的应用程序中或磁盘较隐蔽的地方，一些则以隐藏文件的形式出现。通过各种手段的伪装，使得在没有经过特别分析的情况下很难将病毒程序与正常程序区别开来。正是由于隐蔽性，计算机病毒才得以在用户没有察觉的情况下扩散到上百万台计算机中。 3. 潜伏性。大部分的计算机病毒感染系统之后一般不会马上发作，它可以长期隐藏在系统中，只有在满足特定条件时才启动其破坏模块。如著名的“黑色星期五”病毒在每逢13 号的星期五发作。 4. 破坏性。病毒一般按其破坏性可分为良性病毒和恶性病毒。良性病毒只是计算机病毒家族中很小的一部分，它的危害较小，一般不会造成严重后果。该类病毒通常表现为占用一定的内存和磁盘空间，降低计算机系统的运行速度，干扰显示器屏幕的显示等。恶性病毒
（1）课堂知识点： 项目七计算机病毒知识与防范 主要知识点 一、计算机病毒概述 计算机病毒是指“编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码”。 一般地，计算机病毒都具有以下特性： 1．寄生性2．传染性3．潜伏性 4．可触发性5．针对性6．隐蔽性 二、计算机病毒的防范、检测 用防病毒软件来防范病毒需要定期自动更新或者下载最新的病毒定义、病毒特征。但是防病毒软件的问题在于它只能为防止已知的病毒提供保护。因此，防病毒软件只是在检测已知的特定模式的病毒和蠕虫方面发挥作用。 三、计算机木马及其防护 全称“特洛伊木马（Trojan Horse）”，古希腊士兵藏在木马内进入敌城，占领敌城的故事 计算机木马指：黑客在可供网络上传下载的应用程序或游戏中，添加可以控制用户计算机系统的程序，可能造成用户的系统被破坏甚至瘫痪。 四、与计算机病毒相关的一些知识 漏洞：系统上的软件再编写的时候总有疏漏的地方这些疏漏会引起软件的不兼容（死机）还有就是容易被黑客利用破环电脑。 （2）上机任务（可以先做习题再阅读材料） 一、阅读资料里的材料：（100分钟） 1、CHI病毒； 2、病毒演示； 3、灰鸽子； 4、计算机病毒； 5、熊猫烧香； 6、梅丽莎病毒； 7、手机病毒；8、九大流氓软件 二、完成以下习题：（50分钟） 1、病毒的传染性是指它可以通过自我复制进行传播并感染其它文件。（A）
A：对B：错 2、通常所说的“计算机病毒”是指（D） A：细菌感染B：生物病毒感染C：被损坏的程序D：特制的具有破坏性的程序 3、下列四个选项中不属于计算机病毒特征的有：（ D ） A：文件大B：可触发性C：破坏性D：欺骗性 4、对于已感染了病毒的U盘，最彻底的清除病毒的方法是（D ） A.用酒精将U盘消毒 B.放在高压锅里煮 C.将感染病毒的程序删除 D.对U盘进行格式化 5、以下措施不能防止计算机病毒的是（A） A.保持计算机清洁 B.先用杀病毒软件将从别人机器上拷来的文件清查病毒 C.不用来历不明的U盘 D.经常关注防病毒软件的版本升级情况，并尽量取得最高版本的防毒软件 6、下列4项中，不属于计算机病毒特征的是_（D） A.潜伏性 B.传染性 C.激发性 D.免疫性 多选 1、在日常使用电脑时我们应该怎样预防计算机病毒（ABCD ）。 A：在交换使用软盘或光盘时一定要用反病毒软件进行扫描查毒工作。 B：管理好自己的电脑，最好不要让别人随便乱动。 C：要时常关心病毒的活动动向，定期定时升级你的反病毒软件。 D：不访问不合法和反动的网站。 2、常用的杀毒软件有（ABCD）。 A：瑞星2008 B：江民2007 C：360安全卫士 D：卡巴斯基 3、计算机病毒是指具有自我复制能力的程序或脚本语言，常见的计算机病毒有（ABCD ）。 A：引导型病毒。 B：文件型病毒。 C：混合型病毒。 D：电子邮件病毒。 4、计算机病毒的特点有：（ABCD ） A：程序短小 B：寄生 C：感染 D：传播 简答题： 1、谈谈你对网络道德的认识，你认为社会责任应该包括哪些？ 所谓网络道德，是指以善恶为标准，通过社会舆论、内心信念和传统习惯来评价人们的上网行为，调节网络时空中人与人之间以及个人与社会之间关系的行为规范。 社会责任包括企业环境保护、社会道德以及公共利益等方面，由经济责任、持续发展责任、
计算机病毒的防范 随着计算机及计算机网络的发展，伴随而来的计算机病毒传播问题越来越引起人们的关注。随因特网的流行，有些计算机病毒借助网络爆发流行，如CIH计算机病毒、“爱虫”病毒等，它们与以往的计算机病毒相比具有一些新的特点，给广大计算机用户带来了极大的损失。 当计算机系统或文件染有计算机病毒时，需要检测和消除。但是，计算机病毒一旦破坏了没有副本的文件，便无法医治。隐性计算机病毒和多态性计算机病毒更使人难以检测。在与计算机病毒的对抗中，如果能采取有效的防范措施，就能使系统不染毒，或者染毒后能减少损失。 计算机病毒防范，是指通过建立合理的计算机病毒防范体系和制度，及时发现计算机病毒侵入，并采取有效的手段阻止计算机病毒的传播和破坏，恢复受影响的计算机系统和数据。 计算机病毒利用读写文件能进行感染，利用驻留内存、截取中断向量等方式能进行传染和破坏。预防计算机病毒就是要监视、跟踪系统内类似的操作，提供对系统的保护，最大限度地避免各种计算机病毒的传染破坏。 计算机病毒的工作方式是可以分类的，防杀计算机病毒软件就是针对已归纳总结出的这几类计算机病毒工作方式来进行防范的。当被分析过的已知计算机病毒出现时，由于其工作方式早已被记录在案，防杀计算机病毒软件能识别出来；当未曾被分析过的计算机病毒出现时，如果其工作方式仍可被归入已知的工作方式，则这种计算机病毒能被反病毒软件所捕获。这也就是采取积极防御措施的计算机病毒防范方法优越于传统方法的地方。 计算机病毒防范工作，首先是防范体系的建设和制度的建立。没有一个完善的防范体系，一切防范措施都将滞后于计算机病毒的危害。 计算机病毒防范体系的建设是一个社会性的工作，不是一两个人、一两家企业能够实现的，需要全社会的参与，充分利用所有能够利用的资源，形成广泛的、全社会的计算机病毒防范体系网络。 一.计算机病毒的技术预防措施 下面总结出一系列行之有效的措施供参考。 1、新购置的计算机硬软件系统的测试 新购置的计算机是有可能携带计算机病毒的。因此，在条件许可的情况下，要用检测计算机病毒软件检查已知计算机病毒，用人工检测方法检查未知计算机病毒，并经过证实没有计算机病毒感染和破坏迹象后再使用。
w32.downadup.b蠕虫病毒详解及清除攻略 最近经常到几个工厂走动，发现有的局域网都感染受了W32.Downadup.B蠕虫病毒。杀毒软件可以查杀，但是都不彻底，一边清除，一边又继续生成，让人不胜其烦。发这篇日志，就是让今后遇到该问题的朋友能够舒心点。 W32.Downadup.B可利用Microsoft Windows服务器服务RPC的远程代码执行漏洞进行传播，也可利用弱密码保护的网络共享进行感染。W32.Downadup.B会在硬盘上新建autorun.inf 文件，若用户进入硬盘空间，恶意代码便会自动运行。同时，它还会监控是否有其他可移动存储设备连接到已感染病毒的计算机上。一旦连接，此蠕虫病毒会在这个新硬盘空间建立一个autorun.inf文件。此外，W32.Downadup.B还会监测计算机发出的DNS请求中是否有某些特定字符串，并以“超时，访问不成功”的方式阻止计算机访问某些网站（如安全更新网站）。这意味着受感染的计算机可能无法安装补丁或更新杀毒软件，从而无法清除病毒威胁。 W32.Downadup.B病毒介绍 Worm:W32/Downadup.AL [F-Secure], Win32/Conficker.B [Computer Associates], W32/Confick-D [Sophos], WORM_DOWNAD.AD [Trend], Net-Worm.Win32.Kido.ih [Kaspersky] 蠕虫 Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows Vista, Windows XP W32.Downadup.B是蠕虫病毒，通过攻击 Microsoft Windows Server Service RPC Handling 远程编码执行漏洞 (BID 31874) 进行传播。它还尝试传播到弱密码保护的网络共享，并阻止访问与安全相关的网站。W32.Downadup.B病毒会修改 tcpip.sys 文件。 一旦执行，蠕虫会检查下列注册表项是否存在，如果不存在将创建这些注册表项： * HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Applets\"dl" = "0" * HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Applets\"dl" = "0" * HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Applets\"ds" = "0" * HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Applets\"ds" = "0" 然后，它会将其自身复制为下列文件中的一个或多个： * %ProgramFiles%\Internet Explorer\[RANDOM FILE NAME].dll * %ProgramFiles%\Movie Maker\[RANDOM FILE NAME].dll * %System%\[RANDOM FILE NAME].dll * %Temp%\[RANDOM FILE NAME].dll * C:\Documents and Settings\All Users\Application Data \[RANDOM FILE NAME].dll 它创建具有下列特征的新服务： 服务名称：[PATH TO WORM] 显示名称：[WORM GENERATED SERVICE NAME] 启动类型：自动 接下来通过创建下列的注册表项注册为服务： * HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\[WORM GENERATED SERVICE NAME]\Parameters\"ServiceDll" = "[PATH TO WORM]" * HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\[WORM GENERATED SERVICE NAME]\"ImagePath" = %SystemRoot%\system32\svchost.exe -k netsvcs
蠕虫病毒深度解析 https://www.doczj.com/doc/eb10453196.html,日期：2004-11-22 15:44 作者：天极网来源：天极网 1．引言 近年来，蠕虫、病毒的引发的安全事件此起彼伏，且有愈演愈烈之势。从2001年爆发的CodeRed蠕虫、Nimda蠕虫，SQL杀手病毒（SQL SLAMMER蠕虫），到近日肆掠的“冲击波” 蠕虫病毒，无不有蠕虫的影子，并且开始与病毒相结合了。蠕虫病毒通常会感染Windows 2000/ XP/Server 2003系统，如果不及时预防，它们就可能会在几天内快速传播、大规模感染网络，对网络安全造成严重危害。看来，蠕虫病毒不再 是黑暗中隐藏的"黑手"，而是已露出凶相的"狼群"。 各类病毒各有特色，大有长江后浪推前浪之势：CodeRed蠕虫侵入系统后留下后门，Nimda一开始就结合了病毒技术，而SQL杀手病毒与“冲击波”病毒有着惊人的相似之处，此次病毒大规模爆发是从装有WINDOWS 2000以上操作系统的计算机，尤其是从网络服务器上向外扩散的，利用微软存在的系统漏洞，不同的是，SQL杀手病毒用“缓存区溢出”进行攻击，病毒传播路径都是内存到内存，不向硬盘上写任何文件。“冲击波”病毒则会发送指令到远程计算机，使其连接被感染的主机，下载并运行Msblast.exe。 由此可见，计算机蠕虫和计算机病毒联系越来越紧密，许多地方把它们混为一谈，然而，二者还是有很大不同的，因此，要真正地认识并对抗它们之前，很有必要对它们进行区分。只有通过对它们之间的区别、不同功能特性的分析，才可以确定谁是对抗计算机蠕虫的主要因素、谁是对抗计算机病毒的主要因素； 可以找出有针对性的有效对抗方案；同时也为对它们的进一步研究奠定初步的理论基础。 2．蠕虫原始定义 蠕虫这个生物学名词在1982年由Xerox PARC 的John F. Shoch等人最早引入计算机领域，并给出了计算机蠕虫的两个最基本特征：“可以从一台计算机移动到另一台计算机”和“可以自我复制”。他们编写蠕虫的目的是做分布式计算的模型试验，在他们的文章中，蠕虫的破坏性和不易控制已初露端倪。1988年Morris 蠕虫爆发后，Eugene H. Spafford 为了区分蠕虫和病毒，给出了蠕虫的技术角度的定义，“计算机蠕虫可以独立运行，并能把自身的一个包含所有功能的版本传播到另外的计算机上。”（Worm is a program that can run by itself and can propagate a fully working version of itself to other machines. ）。 3．病毒原始定义 在探讨计算机病毒的定义时，常常追溯到David Gerrold在1972年的发表的科幻小说《When Harlie Was One》，但计算机病毒从技术角度的定义是由Fred Cohen在1984年给出的，“计算机病毒是一种程序，它可以感染其它程序，感染的方式为在被感染程序中加入计算机病毒的一个副本，这个副本可能是在原病毒基础上演变过来的。” （A program that can infect other programs by modifying them to include a possibly evolved copy of itself.）。1988年Morris蠕虫爆发后，Eugene H. Spafford 为了区分蠕虫和病毒，将病毒的含义作了进一步的解释。“计算机病毒是一段代码，能把自身加到其它程序包括操作系统上。它不能独立运行，需要由它的宿主程序运行来激活它。”（virus is a piece of code that adds itself to other programs, including operating systems. It cannot run independently and it requires that its host program be run to activate it.）。 4．蠕虫/病毒
COM病毒实验 应用场景 计算机病毒是一个程序，一段可执行码,对计算机的正常使用进行破坏，使得电脑无法正常使用甚至整个操作系统或者电脑硬盘损坏。就像生物病毒一样，计算机病毒有独特的复制能力。计算机病毒可以很快地蔓延，又常常难以根除。它们能把自身附着在各种类型的文件上。当文件被复制或从一个用户传送到另一个用户时，它们就随同文件一起蔓延开来。这种程序不是独立存在的，它隐蔽在其他可执行的程序之中，既有破坏性，又有传染性和潜伏性。轻则影响机器运行速度，使机器不能正常运行；重则使机器处于瘫痪，会给用户带来不可估量的损失。通常就把这种具有破坏作用的程序称为计算机病毒。 除复制能力外，某些计算机病毒还有其它一些共同特性：一个被污染的程序能够传送病毒载体。当你看到病毒载体似乎仅仅表现在文字和图像上时，它们可能也已毁坏了文件、再格式化了你的硬盘驱动或引发了其它类型的灾害。若是病毒并不寄生于一个污染程序，它仍然能通过占据存贮空间给你带来麻烦，并降低你的计算机的全部性能。 病毒往往会利用计算机操作系统的弱点进行传播，提高系统的安全性是防病毒的一个重要方面，但完美的系统是不存在的，过于强调提高系统的安全性将使系统多数时间用于病毒检查，系统失去了可用性、实用性和易用性，另一方面，信息保密的要求让人们在泄密和抓住病毒之间无法选择。病毒与反病毒将作为一种技术对抗长期存在，两种技术都将随计算机技术的发展而得到长期的发展。 无论是.com 文件还是.exe 文件，或是操作系统的可执行文件，当启动已感染文件型病毒的程序时，暂时中断该程序，病毒完成陷阱的布置、感染工作后，再继续执行host 程序，使计算机使用者初期觉得可正常执行，而实际上，在执行期间，病毒已暗做传染工作，时机成熟时，病毒发作。 .com 文件结构比较简单，是一种单段执行结构，起源于cpm-86 操作系统。.com 文件包含程序的一个绝对映像，其文件代码和运行时内存映像完全相同，起始执行偏移地址为100H，对应于文件的偏移0。为了能准确地处理指令和内存中的数据，ms-dos 通过直接把该映像从文件拷贝到内存而加载.com 程序，不作任何改变。为加载一个.com 程序，ms-dos 首先试图分配内存。因为.com 程序必须位于一个64KB 的段中，所以.com 文件的大小不能超过65024B(64KB 减去用于psp 的256B 和用于一个起始堆栈的至少256B)。 VM 实验目标：
题目：计算机病毒解析与防范
摘要 计算机病毒被喻为21世纪计算机犯罪的五大手段之一,并排序为第二。计算机病毒的攻击性,在于它能够破坏各种程序并蔓延于应用领域。目前世界上上亿用户受着计算机病毒的困扰,有些还陷入极度的恐慌之中。事实上人们产生上述不安的原因,在与对计算机病毒的误解,广大计算机用户有必要对计算机病毒的一些知识有一个比较明确的认识和全面的科学态度。 关键词: 计算机病毒病毒的困扰病毒的误解病毒的认识
目录 1 绪论 (1) 2 计算机病毒的概述 (2) 2.1 计算机病毒的定义 (2) 2.2 计算机病毒的特性 (2) 3 计算机病毒的分类 (4) 3.1 计算机病毒的基本分类 (4) 4 计算机病毒防范和清除的基本原则和技术 (6) 4.1 计算机病毒防范的概念和原则 (6) 4.2 计算机病毒防范基本技术 (6) 4.3 清除计算机病毒的基本方法 (6) 4.4 典型计算机病毒的原理、防范和清除 (6) 5 “熊猫烧香”病毒剖析 (10) 总结 (11) 致谢 (12) 参考文献 (12)
1 绪论 入了信息社会，创造了计算机，计算机虽然给人们的工作和生活带来了便利和效率，然而计算机系统并不安全，计算机病毒就是最不安全的因素之一，它会造成资源和财富的巨大浪费，人们称计算机病毒为“21世纪最大的隐患”，目前由于计算机软件的脆弱性与互联网的开放性，我们将与病毒长期共存。因此，研究计算机病毒及防范措施技术具有重要的意义。
2 计算机病毒的概述 随着社会的不断进步，科学的不断发展，计算机病毒的种类也越来越多， 但终究万变不离其宗！ 2.1 计算机病毒的定义 一般来讲，只要能够引起计算机故障，或者能够破坏计算机中的资源的 代码，统称为计算机病毒。而在我国也通过条例的形式给计算机病毒下了一 个具有法律性、权威性的定义：“计算机病毒，是指编制或者在计算机程序 中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的 一组计算机指令或者程序代码。”这就是计算机病毒。 2.2 计算机病毒的特性 2.2.1 隐藏性与潜伏性 计算机病毒是一种具有很高编程技巧、短精悍的可执行程序。它通常内 附在正常的程序中，用户启动程序同时也打开了病毒程序。计算机病毒程序 经运行取得系统控制权，可以在不到1秒钟的时间里传染几百个程序。而 且在传染操作成后，计算机系统仍能运行，被感染的程序仍能执行，这就是 计机病毒传染的隐蔽性……计算机病毒的潜伏性则是指，某些编制巧的计算 机病毒程序，进入系统之后可以在几周或者几个月甚至年内隐藏在合法文件中，对其它系统文件进行传染，而不被人发现。 2.2.2 传染性 计算机病毒可通过各种渠道(磁盘、共享目录、邮件)从已被感染的计算机扩散到其他机器上，感染其它用户．在某情况下导致计算机工作失常。 2.2.3 表现性和破坏性 任何计算机病毒都会对机器产生一定程的影响，轻者占用系统资源，导致系统运行速度大幅降低．重者除文件和数据，导致系统崩溃。 2.2.4 可触发性病毒 具有预定的触发条件，可能是时间、日期、文类型或某些特定数据等。一旦满足触发条件，便启动感染或破坏作，使病毒进行感染或攻击；如不满足，继续潜伏。有些病毒针对特定的操作系统或特定的计算机。
计算机病毒实验报告 ——windows病毒实验 姓名：张艳秋 学号：081300607 班级：信安0802 指导老师：韦俊银 实验日期：2011.5.27
实验内容 1．PE文件感染实验（选） 2．暴风一号病毒 3．VBS病毒产生 4．宏病毒实验（选）
PE文件感染实验 实验目的 了解pe病毒的感染过程 实验环境 硬件设备 PC机一台（建议虚拟机） 软件工具 Office Word 2007 实验步骤 一：参照病毒感染PE文件的7个步骤，记录病毒是如何感染文件（文字和截屏形式） 病毒感染文件过程(以感染文件ebookcode.exe为例)： 重定位，获得所有API地址： …… 通过软件Stud_PE可查看可执行文件ebookcode.exe的结构可查看文件内容： 1．判断目标文件开始的两个字节是否为“MZ”：
2．判断PE文件标记“PE”： 3．判断感染标记，如果已被感染过则跳出继续执行宿主程序，否则继续： 4．读取IMAGE_FILE_HEADER的NumberOfSections域，获得Data Directory （数据目录）的个数，（每个数据目录信息占8个字节）： 5．得到节表起始位置。(数据目录的偏移地址+数据目录占用的字节数=节表起始位置)：
6．得到节表的末尾偏移（紧接其后用于写入一个新的病毒节信息）节表起始位置+节的个数*(每个节表占用的字节数28H)=节表的末尾偏移 7．开始写入节表,感染文件： 二：在掌握Stud_PE工具的基础上，比较文件感染前后有哪些变化。 感染前：
感染后： 由上两图可以看出，感染前后有4处发生了变化： 1：PE文件头中入口点： 感染病毒后ebookedit.exe程序的入口点变成了病毒文件的入口点 2：PointerToRawData域值，即该文件的偏移量发生了变化； 3：imag的大小发生了变化； 4：sections的数量发生了变化。 由.exe文件感染前后变化可知，PE病毒感染过程即在文件中添加一个新节，