檢視计算机病毒的原始碼

{| class="wikitable" align="right"

|-

| style="background: #008080" align= center|  '''<big>计算机病毒</big> '''

|-

| 
[[File:Ac6eddc451da81cbdcb447e85166d01609243141.jpg|缩略图|居中|[http://jingyan.baidu.com/album/a3f121e4e51238fc9052bb8d.html 原图链接][http://jingyan.baidu.com/album/a3f121e4e51238fc9052bb8d.html 来自 搜狗 的图片]]]
	
|-	

| style="background: #008080" align= center|

|-

| align= light|

|} 
电脑病毒（Computer Virus）是编制者在计算机程序中插入的破坏计算机功能或者数据的代码，能影响计算机使用，能自我复制的一组计算机指令或者程序代码。

电脑病毒具有传播性、隐蔽性、感染性等特点。其生命周期：开发期→传染期→[[潜伏期]]→发作期→发现期→消化期→消亡期。

'''声明'''

作为一名医学工作者再次声明　“病毒”与计算机病毒不是同义词，“计算机病毒”只是用生物“病毒”作比喻，请在百科中完善病毒词条的相关内容分布，并让使用者在搜索时能获得全面信息。

计算机病毒（Computer Virus）在《中华人民共和国计算机信息系统安全保护条例》中被明确定义，病毒指“编制者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码”。与医学上的“病毒”不同，计算机病毒不是天然存在的，是某些人利用计算机软件和硬件所固有的脆弱性编制的一组指令集或程序代码。它能通过某种途径潜伏在计算机的存储介质（或程序）里，当达到某种条件时即被激活，通过修改其他程序的方法将自己的精确拷贝或者可能演化的形式放入其他程序中。从而感染其他程序，对计算机资源进行破坏，所谓的病毒就是人为造成的，对其他用户的危害性很大。

'''法律定义'''

行政法规及规章对病毒的定义能否适用于刑法

国务院颁布的《中华人民共和国计算机信息系统安全保护条例》，以及公安部出台的《计算机病毒防治管理办法》将计算机病毒均定义如下：计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。这是官方最权威的关于计算机病毒的定义，此定义也被通行的《计算机病毒防治产品评级准则》的国家标准所采纳。

'''定义'''

计算机病毒(Computer Virus)在《中华人民共和国计算机信息系统安全保护条例》中被明确定义，病毒指“编制者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自 我复制的一组计算机指令或者程序代码”。而在一般教科书及通用资料中被定义为:利用计算机软件与硬件的缺陷或操作系统漏洞，由被感染机内部发出的破坏计算机数据并影响[[计算机]]正常工作的一组指令集或程序代码 。

计算机病毒最早出现在70年代 David Gerrold 科幻小说 When H.A.R.L.I.E. was One.最早科学定义出现在 1983:在Fred Cohen (南加大) 的博士论文 “计算机病毒实验”“一种能把自己(或经演变)注入其它程序的计算机程序”启动区病毒,宏(macro)病毒,脚本(script)病毒也是相同概念传播机制同生物病毒类似.生物病毒是把自己注入细胞之中。

'''预防'''

病毒往往会利用计算机操作系统的弱点进行传播，提高系统的安全性是防病毒的一个重要方面，但完美的系统是不存在的，过于强调提高系统的安全性将使系统多数时间用于病毒检查，系统失去了可用性、实用性和易用性，另一方面，信息保密的要求让人们在泄密和抓住病毒之间无法选择。病毒与反病毒将作为一种技术对抗长期存在，两种技术都将随计算机技术的发展而得到长期的发展。

'''产生'''

病毒不是来源于突发或偶然的原因。病毒来自于一次偶然的事件，那时的研究人员为了计算出当时互联网的在线人数，然而它却自己“繁殖”了起来导致了整个服务器的崩溃和堵塞，有时一次突发的停电和偶然的错误，会在计算机的磁盘和内存中产生一些乱码和随机指令，但这些代码是无序和混乱的，病毒则是一种比较完美的，精巧严谨的代码，按照严格的秩序组织起来，与所在的系统网络环境相适应和配合起来，病毒不会通过偶然形成，并且需要有一定的长度，这个基本的长度从概率上来讲是不可能通过随机代码产生的。现在流行的病毒是由人为故意编写的，多数病毒可以找到作者和产地信息，从大量的统计分析来看，病毒作者主要情况和目的是：一些天才的程序员为了表现自己和证明自己的能力，出于对上司的不满，为了好奇，为了报复，为了祝贺和求爱，为了得到控制口令，为了软件拿不到报酬预留的陷阱等．当然也有因政治，军事，[[宗教]]，民族．专利等方面的需求而专门编写的，其中也包括一些病毒研究机构和黑客的测试病毒．

'''出现'''

计算机病毒的产生是计算机技术和以计算机为核心的社会信息化进程发展到一定阶段的必然产物。它产生的背景是：

（1）计算机病毒是计算机犯罪的一种新的衍化形式

计算机病毒是高技术犯罪, 具有瞬时性、动态性和随机性。不易取证, 风险小破坏大, 从而刺激了犯罪意识和犯罪活动。是某些人恶作剧和报复心态在计算机应用领域的表现；

（2）计算机软硬件产品的脆弱性是根本的技术原因

计算机是电子产品。数据从输入、存储、处理、输出等环节, 易误入、篡改、丢失、作假和破坏；程序易被删除、改写；计算机软件设计的手工方式, 效率低下且生产周期长；人们至今没有办法事先了解一个程序有没有错误, 只能在运行中发现、修改错误, 并不知道还有多少错误和缺陷隐藏在其中。这些脆弱性就为病毒的侵入提供了方便。

'''特点'''

计算机病毒具有以下几个特点：

'''寄生性'''

计算机病毒寄生在其他程序之中，当执行这个程序时，病毒就起破坏作用，而在未启动这个程序之前，它是不易被人发觉的。

'''传染性'''

计算机病毒不但本身具有破坏性，更有害的是具有传染性，一旦病毒被复制或产生变种，其速度之快令人难以预防。传染性是病毒的基本特征。在生物界，病毒通过传染从一个生物体扩散到另一个生物体。在适当的条件下，它可得到大量繁殖，并使被感染的生物体表现出病症甚至死亡。同样，计算机病毒也会通过各种渠道从已被感染的计算机扩散到未被感染的计算机，在某些情况下造成被感染的计算机工作失常甚至瘫痪。与生物病毒不同的是，计算机病毒是一段人为编制的计算机程序代码，这段程序代码一旦进入计算机并得以执行，它就会搜寻其他符合其传染条件的程序或存储介质，确定目标后再将自身代码插入其中，达到自我繁殖的目的。只要一台计算机染毒，如不及时处理，那么病毒会在这台电脑上迅速扩散，计算机病毒可通过各种可能的渠道，如软盘、计算机网络去传染其他的计算机。当您在一台机器上发现了病毒时，往往曾在这台计算机上用过的软盘已感染上了病毒，而与这台机器相联网的其他计算机也许也被该病毒染上了。是否具有传染性是判别一个程序是否为计算机病毒的最重要条件。

'''潜伏性'''

有些病毒像定时炸弹一样，让它什么时间发作是预先设计好的。比如黑色星期五病毒，不到预定时间一点都觉察不出来，等到条件具备的时候一下子就爆炸开来，对系统进行破坏。一个编制精巧的计算机病毒程序，进入系统之后一般不会马上发作，因此病毒可以静静地躲在磁盘或磁带里呆上几天，甚至几年，一旦时机成熟，得到运行机会，就又要[[四处繁殖]]、扩散，继续为害。潜伏性的第二种表现是指，计算机病毒的内部往往有一种触发机制，不满足触发条件时，计算机病毒除了传染外不做什么破坏。触发条件一旦得到满足，有的在屏幕上显示信息、图形或特殊标识，有的则执行破坏系统的操作，如格式化磁盘、删除磁盘文件、对数据文件做加密、封锁键盘以及使系统死锁等。

'''隐蔽性'''

计算机病毒具有很强的隐蔽性，有的可以通过病毒软件检查出来，有的根本就查不出来，有的时隐时现、变化无常，这类病毒处理起来通常很困难。

'''破坏性'''

计算机中毒后，可能会导致正常的程序无法运行，把计算机内的文件删除或受到不同程度的损坏 。通常表现为：增、删、改、移。

'''可触发性'''

病毒因某个事件或数值的出现，诱使病毒实施感染或进行攻击的特性称为可触发性。为了隐蔽自己，病毒必须潜伏，少做动作。如果完全不动，一直潜伏的话，病毒既不能感染也不能进行破坏，便失去了杀伤力。病毒既要隐蔽又要维持杀伤力，它必须具有可触发性。病毒的触发机制就是用来控制感染和破坏动作的频率的。病毒具有预定的触发条件，这些条件可能是时间、日期、文件类型或某些特定数据等。病毒运行时，触发机制检查预定条件是否满足，如果满足，启动感染或破坏动作，使病毒进行感染或攻击；如果不满足，使病毒继续潜伏。

'''分类'''

前言

　　根据多年对计算机病毒的研究，按照科学的、系统的、严密的方法，计算机病毒可分类如下：按照计算机病毒属性的方法进行分类，计算机病毒可以根据下面的属性进行分类：

'''存在的媒体'''

根据病毒存在的媒体，病毒可以划分为网络病毒，文件病毒，引导型病毒。网络病毒通过计算机网络传播感染网络中的可执行文件，文件病毒感染计算机中的文件（如：COM，EXE，DOC等），引导型病毒感染启动扇区（Boot）和硬盘的系统引导扇区（MBR），还有这三种情况的混合型，例如：多型病毒（文件和引导型）感染文件和引导扇区两种目标，这样的病毒通常都具有复杂的算法，它们使用非常规的办法侵入系统，同时使用了加密和变形算法。

'''传染的方法'''

根据病毒传染的方法可分为驻留型病毒和非驻留型病毒，驻留型病毒感染计算机后，把自身的内存驻留部分放在内存（RAM）中，这一部分程序挂接系统调用并合并到操作系统中去,他处于激活状态,一直到关机或重新启动.非驻留型病毒在得到机会激活时并不感染计算机内存,一些病毒在内存中留有小部分,但是并不通过这一部分进行传染,这类病毒也被划分为非驻留型病毒。

'''破坏的能力'''

无害型：除了传染时减少磁盘的可用空间外，对系统没有其它影响。

无危险型：这类病毒仅仅是减少内存、[[显示图像]]、发出声音及同类音响。

危险型：这类病毒在计算机系统操作中造成严重的错误。

非常危险型：这类病毒删除程序、破坏数据、清除系统内存区和操作系统中重要的信息。这些病毒对系统造成的危害，并不是本身的算法中存在危险的调用，而是当它们传染时会引起无法预料的和灾难性的破坏。由病毒引起其它的程序产生的错误也会破坏文件和扇区，这些病毒也按照他们引起的破坏能力划分。一些现在的无害型病毒也可能会对新版的DOS、Windows和其它操作系统造成破坏。例如：在早期的病毒中，有一个“Denzuk”病毒在360K磁盘上很好的工作，不会造成任何破坏，但是在后来的高密度软盘上却能引起大量的数据丢失。

'''病毒的算法'''

伴随型病毒，这一类病毒并不改变文件本身，它们根据算法产生EXE文件的伴随体，具有同样的名字和不同的扩展名（COM），例如：XCOPY.EXE的伴随体是XCOPY-COM。病毒把自身写入COM文件并不改变EXE文件，当DOS加载文件时，伴随体优先被执行到，再由伴随体加载执行原来的EXE文件。

“蠕虫”型病毒，通过计算机网络传播，不改变文件和资料信息，利用网络从一台机器的内存传播到其它机器的内存，计算网络地址，将自身的病毒通过网络发送。有时它们在系统存在，一般除了内存不占用其它资源。

寄生型病毒除了伴随和“蠕虫”型，其它病毒均可称为寄生型病毒，它们依附在系统的引导扇区或文件中，通过系统的功能进行传播，按其算法不同可分为：练习型病毒，病毒自身包含错误，不能进行很好的传播，例如一些病毒在调试阶段。

诡秘型病毒它们一般不直接修改DOS中断和扇区数据，而是通过设备技术和文件缓冲区等DOS内部修改，不易看到资源，使用比较高级的技术。利用DOS空闲的数据区进行工作。

变型病毒（又称幽灵病毒）这一类病毒使用一个复杂的算法，使自己每传播一份都具有不同的内容和长度。它们一般的作法是一段混有无关指令的解码算法和被变化过的病毒体组成。

'''发展'''

在病毒的发展史上，病毒的出现是有规律的，一般情况下一种新的病毒技术出现后，病毒迅速发展，接着反病毒技术的发展会抑制其流传。操作系统升级后，病毒也会调整为新的方式，产生新的病毒技术。它可划分为： 

'''引导阶段'''

1987年，计算机病毒主要是引导型病毒，具有代表性的是“小球”和“石头”病毒。当时的计算机硬件较少,功能简单,一般需要通过软盘启动后使用.引导型病毒利用软盘的启动原理工作,它们修改系统启动扇区,在计算机启动时首先取得控制权,减少系统内存,修改磁盘读写中断,影响系统工作效率,在系统存取磁盘时进行传播；

1989年,引导型病毒发展为可以感染硬盘,典型的代表有“石头2”；

'''可执行阶段'''

1989年,可执行文件型病毒出现,它们利用DOS系统加载执行文件的机制工作,代表为“耶路撒冷”,“星期天”病毒,病毒代码在系统执行文件时取得控制权,修改DOS中断,在系统调用时进行传染,并将自己附加在可执行文件中,使文件长度增加。

1990年,发展为复合型病毒,可感染COM和EXE文件。

'''批次型阶段'''

1992年,伴随型病毒出现,它们利用DOS加载文件的优先顺序进行工作，具有代表性的是“金蝉”病毒,它感染EXE文件时生成一个和EXE同名但扩展名为COM的伴随体；它感染文件时,改原来的COM文件为同名的EXE文件,再产生一个原名的伴随体,文件扩展名为COM，这样,在DOS加载文件时,病毒就取得控制权.这类病毒的特点是不改变原来的文件内容,日期及属性,解除病毒时只要将其伴随体删除即可。在非DOS操作系统中,一些伴随型病毒利用操作系统的描述语言进行工作,具有典型代表的是“海盗旗”病毒,它在得到执行时,询问用户名称和口令,然后返回一个出错信息,将自身删除。批次型病毒是工作在DOS下的和“海盗旗”病毒类似的一类[[病毒]]。

'''多形阶段'''

1994年,随着汇编语言的发展,实现同一功能可以用不同的方式进行完成,这些方式的组合使一段看似随机的代码产生相同的运算结果。幽灵病毒就是利用这个特点,每感染一次就产生不同的代码。例如“一半”病毒就是产生一段有上亿种可能的解码运算程序,病毒体被隐藏在解码前的数据中,查解这类病毒就必须能对这段数据进行解码,加大了查毒的难度。多形型病毒是一种综合性病毒,它既能感染引导区又能感染程序区,多数具有解码算法,一种病毒往往要两段以上的子程序方能解除。

'''变体机阶段'''

1995年,在汇编语言中,一些数据的运算放在不同的通用寄存器中,可运算出同样的结果,随机的插入一些空操作和无关指令,也不影响运算的结果,这样,一段解码算法就可以由生成器生成，当生成器的生成结果为病毒时,就产生了这种复杂的“病毒生成器” ，而变体机就是增加解码复杂程度的指令生成机制。这一阶段的典型代表是“病毒制造机” VCL,它可以在瞬间制造出成千上万种不同的病毒,查解时就不能使用传统的特征识别法,需要在宏观上分析指令,解码后查解病毒。

'''网络蠕虫阶段'''

1995年,随着网络的普及,病毒开始利用网络进行传播,它们只是以上几代病毒的改进.在非DOS操作系统中,“蠕虫”是典型的代表,它不占用除内存以外的任何资源,不修改磁盘文件,利用网络功能搜索网络地址,将自身向下一地址进行传播，有时也在网络服务器和启动文件中存在。

'''视窗阶段'''

1996年,随着Windows和Windows95的日益普及,利用Windows进行工作的病毒开始发展,它们修改(NE,PE)文件,典型的代表是DS.3873,这类病毒的机制更为复杂,它们利用保护模式和API调用接口工作,解除方法也比较复杂。

'''宏病毒阶段'''

1996年,随着Windows Word功能的增强,使用Word宏语言也可以编制病毒,这种病毒使用类Basic语言、编写容易、感染Word文档等文件，在Excel和AmiPro出现的相同工作机制的病毒也归为此类，由于Word文档格式没有公开，这类病毒查解比较困难。

'''互联网阶段'''

1997年,随着因特网的发展,各种病毒也开始利用因特网进行传播,一些携带病毒的数据包和邮件越来越多,如果不小心打开了这些邮件,机器就有可能中毒；

'''邮件炸弹阶段'''

1997年,随着万维网（Wold Wide Web）上Java的普及,利用Java语言进行传播和资料获取的病毒开始出现,典型的代表是JavaSnake病毒，还有一些利用邮件服务器进行传播和破坏的病毒，例如Mail-Bomb病毒，它会严重影响因特网的效率。

'''行为'''

计算机病毒的破坏行为体现了病毒的杀伤能力。病毒破坏行为的激烈程度取决于病毒作者的主观愿望和他所具有的技术能量。数以万计不断发展扩张的病毒，其破坏行为千奇百怪，不可能穷举其破坏行为，而且难以做全面的描述，根据现有的病毒资料可以把病毒的破坏目标和攻击部位归纳如下： 攻击系统数据区，攻击部位包括：硬盘主引寻扇区、Boot扇区、FAT表、文件目录等。迫使计算机空转，计算机速度明显下降。攻击磁盘，攻击磁盘数据、不写盘、写操作变读操作、写盘时丢字节等。 扰乱屏幕显示，病毒扰乱屏幕显示的方式很多，可列举如下：字符跌落、环绕、倒置、显示前一屏、光标下跌、滚屏、抖动、乱写、吃字符等。

键盘病毒，干扰键盘操作，已发现有下述方式：响铃、[[封锁键盘]]、换字、抹掉缓存区字符、重复、输入紊乱等。 喇叭病毒，许多病毒运行时，会使计算机的喇叭发出响声。有的病毒作者通过喇叭发出种种声音，有的病毒作者让病毒演奏旋律优美的世界名曲，在高雅的曲调中去杀戮人们的信息财富，已发现的喇叭发声有以下方式：演奏曲子、警笛声、炸弹噪声、鸣叫、咔咔声、嘀嗒声等。 攻击CMOS ， 在机器的CMOS区中，保存着系统的重要数据，例如系统时钟、磁盘类型、内存容量等，并具有校验和。有的病毒激活时，能够对CMOS区进行写入动作，破坏系统CMOS中的数据。 干扰打印机，典型现象为：假报警、间断性打印、更换字符等。

'''危害'''

计算机资源的损失和破坏，不但会造成资源和财富的巨大浪费，而且有可能造成社会性的灾难，随着信息化社会的发展，计算机病毒的威胁日益严重，反病毒的任务也更加艰巨了。1988年11月2日下午5时1分59秒，美国康奈尔大学的计算机科学系研究生，23岁的莫里斯（Morris）将其编写的蠕虫程序输入计算机网络，致使这个拥有数万台计算机的网络被堵塞。这件事就像是计算机界的一次大地震，引起了巨大反响，震惊全世界，引起了人们对计算机病毒的恐慌，也使更多的计算机专家重视和致力于计算机病毒研究。1988年下半年，中国在统计局系统首次发现了“小球”病毒，它对统计系统影响极大，此后由计算机病毒发作而引起的“病毒事件”接连不断，前一段时间发现的CIH、美丽莎等病毒更是给社会造成了很大损失。

'''症状'''

1.计算机系统运行速度减慢。

2.计算机系统经常无故发生死机。

3.计算机系统中的文件长度发生变化。

4.计算机存储的容量异常减少。

5.系统引导速度减慢。

6.丢失文件或文件损坏。

7.计算机屏幕上出现异常显示。

8.计算机系统的蜂鸣器出现异常声响。

9.磁盘卷标发生变化。

10.系统不识别硬盘。

11.对存储系统异常访问。

12.键盘输入异常。

13.文件的日期、时间、属性等发生变化。

14.文件无法正确读取、复制或打开。

15.命令执行出现错误。

16.虚假报警。

17.换当前盘。有些病毒会将当前盘切换到C盘。

18.时钟倒转。有些病毒会命名系统时间倒转，逆向计时。

19.WINDOWS操作系统无故频繁出现错误。

20.系统异常重新启动。

21.一些外部设备工作异常。

22.异常要求用户输入密码。

23.WORD或EXCEL提示执行“宏”。

24.使不应驻留内存的程序驻留内存。

'''检查'''

如何检查笔记本是否中了病毒？以下就是?检查步骤：

一、进程

首先排查的就是进程了，方法简单，开机后，什么都不要启动！

第一步：直接打开任务管理器，查看有没有可疑的进程，不认识的进程可以Google或者百度一下。

第二步：打开冰刃等软件，先查看有没有隐藏进程（冰刃中以红色标出），然后查看系统进程的路径是否正确。

第三步：如果进程全部正常，则利用Wsyscheck等工具，查看是否有可疑的线程注入到正常进程中。

二、自启动项目

进程排查完毕，如果没有发现异常，则开始排查启动项。

第一步：用msconfig察看是否有可疑的服务，开始，运行，输入“msconfig”，确定，切换到服务选项卡，勾选“隐藏所有Microsoft服务”复选框，然后逐一确认剩下的服务是否正常（可以凭经验识别，也可以利用搜索引擎）。

第二步：用msconfig察看是否有可疑的自启动项，切换到“启动”选项卡，逐一排查就可以了。

第三步，用Autoruns等，查看更详细的启动项信息（包括服务、驱动和自启动项、IEBHO等信息）。

三、网络连接

ADSL用户，在这个时候可以进行虚拟拨号，连接到Internet了。

然后直接用冰刃的网络连接查看，是否有可疑的连接，对于IP地址

如果发现异常，不要着急，关掉系统中可能使用网络的程序（如迅雷等下载软件、杀毒软件的自动更新程序、IE浏览器等），再次查看网络连接信息。

四、安全模式

重启，直接进入安全模式，如果无法进入，并且出现蓝屏等现象，则应该引起警惕，可能是病毒入侵的后遗症，也可能病毒还没有清除！

五、映像劫持

打开注册表编辑器，定位到HKEY_LOCAL_MACHINE SOFTWARE Microsoft Windows NT Current Version Image File Execution Opti，查看有没有可疑的映像劫持项目，如果发现可疑项，很可能已经中毒。

六、CPU时间

如果开机以后，系统运行缓慢，还可以用CPU时间做参考，找到可疑进程，方法如下：

打开任务管理器，切换到进程选项卡，在菜单中点“查看”，“选择列”，勾选“CPU时间”，然后确定，单击CPU时间的标题，进行排序，寻找除了System Idle Process和SYSTEM以外，CPU时间较大的进程，这个进程需要引起一定的警惕。

这些办法足以应付常见的病毒和木马了。

'''方式'''

很多时候大家已经用杀毒软件查出了自己的机子中了例如Backdoor.Rmt Bomb.12 、Trojan.Win32.Send IP.15 等等这些一串英文还带数字的病毒名，这时有些人就蒙了，那么长一串的名字，我怎么知道是什么病毒啊？

其实只要我们掌握一些病毒的命名规则，我们就能通过杀毒软件的报告中出现的病毒名来判断该病毒的一些共有的特性了：一般格式为：<病毒前缀>.<病毒名>.<病毒后缀>

病毒前缀是指一个病毒的种类，他是用来区别病毒的种族分类的。不同的种类的病毒，其前缀也是不同的。比如我们常见的木马病毒的前缀 Trojan ，蠕虫病毒的前缀是 Worm 等等还有其他的。

病毒名是指一个病毒的家族特征，是用来区别和标识病毒家族的，如以前著名的CIH病毒的家族名都是统一的“ CIH ”，振荡波蠕虫病毒的家族名是“ Sasser ”。

病毒后缀是指一个病毒的变种特征，是用来区别具体某个家族病毒的某个变种的。一般都采用英文中的26个字母来表示，如 Worm.Sasser.b 就是指 振荡波蠕虫病毒的变种B，因此一般称为 “振

荡波B变种”或者“振荡波变种B”。如果该病毒变种非常多，可以采用数字与字母混合表示变种标识。

'''主名称'''

病毒的主名称是由分析员根据病毒体的特征字符串、特定行为或者所使用的编译平台来定的，如果无法确定则可以用字符串”Agent”来代替主名称，小于10k大小的文件可以命名为“Samll”。

'''版本信息'''

版本信息只允许为数字，对于版本信息不明确的不加版本信息。

'''主名称变种号'''

如果病毒的主行为类型、行为类型、宿主文件类型、主名称均相同，则认为是同一家族的病毒，这时需要变种号来区分不同的病毒记录。如果一位版本号不够用则最多可以扩展3位，并且都均为小写字母a—z，如：aa、ab、aaa、aab以此类推。由系统自动计算，不需要人工输入或选择。

'''附属名称'''

病毒所使用的有辅助功能的可运行的文件，通常也作为病毒添加到病毒库中，这种类型的病毒记录需要附属名称来与病毒主体的病毒记录进行区分。附属名称有以下几种：

Client 说明：后门程序的控制端

KEY_HOOK 说明：用于挂接键盘的模块

API_HOOK 说明：用于挂接API的模块

Install 说明：用于安装病毒的模块

Dll 说明：文件为动态库，并且包含多种功能

（空） 说明：没有附属名称，这条记录是病毒主体记录

'''附属名称变种号'''

如果病毒的主行为类型、行为类型、宿主文件类型、主名称、主名称变种号、附属名称均相同，则认为是同一家族的病毒，这时需要变种号来区分不同的病毒记录。变种号为不写字母a—z，如果一位版本号不够用则最多可以扩展3位，如：aa、ab、aaa、aab以此类推。由系统自动计算，不需要人工输入或选择。

'''病毒长度'''

病毒长度字段只用于主行为类型为感染型（Virus）的病毒，字段的值为数字。字段值为0，表示病毒长度可变。

'''途径'''

计算机病毒之所以称之为病毒是因为其具有传染性的本质。传统渠道通常有以下几种：

(1)通过软盘

通过使用外界被感染的软盘, 例如, 不同渠道来的系统盘、来历不明的软件、游戏盘等是最普遍的传染途径。由于使用带有病毒的软盘, 使机器感染病毒发病, 并传染给未被感染的“干净”的软盘。大量的软盘交换, 合法或非法的程序拷贝, 不加控制地随便在机器上使用各种软件造成了病毒感染、泛滥蔓延的温床。

(2)通过硬盘

通过硬盘传染也是重要的渠道, 由于带有病毒机器移到其它地方使用、[[维修]]等, 将干净的软盘传染并再扩散。

(3)通过光盘

因为光盘容量大，存储了海量的可执行文件，大量的病毒就有可能藏身于光盘，对只读式光盘，不能进行写操作，因此光盘上的病毒不能清除。以谋利为目的非法盗版软件的制作过程中，不可能为病毒防护担负专门责任，也决不会有真正可靠可行的技术保障避免病毒的传入、传染、流行和扩散。当前，盗版光盘的泛滥给病毒的传播带来了很大的便利。

(4)通过网络

这种传染扩散极快, 能在很短时间内传遍网络上的机器。

随着Internet的风靡，给病毒的传播又增加了新的途径，它的发展使病毒可能成为灾难，病毒的传播更迅速，反病毒的任务更加艰巨。Internet带来两种不同的安全威胁，一种威胁来自文件下载，这些被浏览的或是被下载的文件可能存在病毒。另一种威胁来自电子邮件。大多数Internet邮件系统提供了在网络间传送附带格式化文档邮件的功能，因此，遭受病毒的文档或文件就可能通过网关和邮件服务器涌入企业网络。网络使用的简易性和开放性使得这种威胁越来越严重。

'''传染'''

计算机病毒的传染分两种。一种是在一定条件下方可进行传染, 即条件传染。另一种是对一种传染对象的反复传染即无条件传染。

从蔓延传播病毒来看所谓条件传染, 是指一些病毒在传染过程中, 在被传染的系统中的特定位置上打上自己特有的示志。这一病毒在再次攻击这一系统时, 发现有自己的标志则不再进行传染, 如果是一个新的系统或软件, 首先读特定位置的值, 并进行判断, 如果发现读出的值与自己标识不一致, 则对这一系统或应用程序, 或数据盘进行传染, 这是一种情况；另一种情况, 有的病毒通过对文件的类型来判断是否进行传染, 如黑色星期五病毒只感染.COM或.EXE文件等等；还有一种情况有的病毒是以计算机系统的某些设备为判断条件来决定是否感染。例如大麻病毒可以感染硬盘, 又可以感染软盘, 但对B驱动器的软盘进行读写操作时不传染。但我们也发现有的病毒对传染对象反复传染。例如黑色星期五病毒只要发现.EXE文件就进行一次传染, 再运行再进行传染反复进行下去。

可见有条件时病毒能传染, 无条件时病毒也可以进行传染。

'''过程'''

在系统运行时, 病毒通过病毒载体即系统的外存储器进入系统的内存储器, 常驻内存。该病毒在系统内存中监视系统的运行, 当它发现有攻击的目标存在并满足条件时, 便从内存中将自身存入被攻击的目标, 从而将病毒进行传播。而病毒利用系统INT 13H读写磁盘的中断又将其写入系统的外存储器软盘或硬盘中, 再感染其他系统。

可执行文件感染病毒后又怎样感染新的可执行文件?

可执行文件.COM或.EXE感染上了病毒, 例如黑色星期五病毒, 它驻入内存的条件是在执行被传染的文件时进入内存的。一旦进入内存, 便开始监视系统的运行。当它发现被传染的目标时, 进行如下操作：

（1）首先对运行的可执行文件特定地址的标识位信息进行判断是否已感染了病毒；

（2）当条件满足, 利用INT 13H将病毒链接到可执行文件的首部或尾部或中间, 并存大磁盘中；

（3）完成传染后, 继续监视系统的运行, 试图寻找新的攻击目标。

操作系统型病毒是怎样进行传染的?

正常的PC DOS启动过程是：

（1）加电开机后进入系统的检测程序并执行该程序对系统的基本设备进行检测；

（2）检测正常后从系统盘0面0道1扇区即逻辑0扇区读入Boot引导程序到内存的0000: 7C00处；

（3）转入Boot执行；

（4）Boot判断是否为系统盘, 如果不是系统盘则提示；

non-system disk or disk error

Replace and strike any key when ready

否则, 读入IBM BIO-COM和IBM DOS-COM两个隐含文件；

（5）执行IBM BIOCOM和IBM DOS-COM两个隐含文件, 将COMMAND-COM装入内存；

（6）系统正常运行, DOS启动成功。

如果系统盘已感染了病毒, PC DOS的启动将是另一番景象, 其过程为：

（1）将Boot区中病毒代码首先读入内存的0000: 7C00处；

（2）病毒将自身全部代码读入内存的某一安全地区、常驻内存, 监视系统的运行；

（3）修改INT 13H中断服务处理程序的入口地址, 使之指向病毒控制模块并执行之。因为任何一种病毒要感染软盘或者硬盘, 都离不开对磁盘的读写操作, 修改INT 13H中断服务程序的入口地址是一项少不了的操作；

（4）病毒程序全部被读入内存后才读入正常的Boot内容到内存的0000: 7C00处, 进行正常的启动过程；

（5）病毒程序伺机等待随时准备感染新的系统盘或非系统盘。

如果发现有可攻击的对象, 病毒要进行下列的工作：

（1）将目标盘的引导扇区读入内存, 对该盘进行判别是否传染了病毒；

（2）当满足传染条件时, 则将病毒的全部或者一部分写入Boot区, 把正常的磁盘的引导区程序写入磁盘特写位置；

（3）返回正常的INT 13H中断服务处理程序, 完成了对目标盘的传染。

操作系统型病毒对非系统盘感染病毒后最简单的处理方法是什么?

因为操作系统型病毒只有在系统引导时才进入内存, 开始活动, 对非系统盘感染病毒后, 不从它上面引导系统, 则病毒不会进入内存。这时对已感染的非系统盘消毒最简单的方法是将盘上有用的文件拷贝出来, 然后将带毒盘重新格式化即可。

'''种类'''

系统病毒的前缀为：Win32、PE、Win95、W32、W95等。这些病毒的一般共有的特性是可以感染windows操作系统的 *.exe 和 *.dll 文件，并通过这些文件进行传播。如CIH病毒。

'''蠕虫病毒'''

蠕虫病毒的前缀是：Worm。这种病毒的共有特性是通过网络或者系统漏洞进行传播，很大部分的蠕虫病毒都有向外发送带毒邮件，阻塞网络的特性。比如冲击波（阻塞网络），小邮差（发带毒邮件） 等。

'''黑客病毒'''

木马病毒其前缀是：Trojan，黑客病毒前缀名一般为 Hack 。木马病毒的共有特性是通过网络或者系统漏洞进入用户的系统并隐藏，然后向外界泄露用户的信息，而黑客病毒则有一个可视的界面，能对用户的电脑进行远程控制。木马、黑客病毒往往是成对出现的，即木马病毒负责侵入用户的电脑，而黑客病毒则会通过该木马病毒来进行控制。现在这两种类型都越来越趋向于整合了。一般的木马如QQ消息尾巴木马 Trojan.QQ3344 ，还有大家可能遇见比较多的针对网络游戏的木马病毒如 Trojan.LMir.PSW.60 。这里补充一点，病毒名中有PSW或者什么PWD之类的一般都表示这个病毒有盗取密码的功能（这些字母一般都为“密码”的英文“password”的缩写）一些黑客程序如：网络枭雄（Hack.Nether.Client）等。

'''脚本病毒'''

脚本病毒的前缀是：Script。脚本病毒的共有特性是使用脚本语言编写，通过网页进行的传播的病毒，如红色代码（Script.Redlof）。脚本病毒还会有如下前缀：VBS、JS（表明是何种脚本编写的），如欢乐时光（VBS.Happytime）、十四日（Js.Fortnight.c.s）等。

'''宏病毒'''

其实宏病毒是也是脚本病毒的一种，由于它的特殊性，因此在这里单独算成一类。宏病毒的前缀是：Macro，第二前缀是：Word、Word97、Excel、Excel97（也许还有别的）其中之一。凡是只感染WORD97及以前版本WORD文档的病毒采用Word97作为第二前缀，格式是：Macro.Word97；凡是只感染WORD97以后版本WORD文档的病毒采用Word做为第二前缀，格式是：Macro.Word；凡是只感染EXCEL97及以前版本EXCEL文档的病毒采用Excel97做为第二前缀，格式是：Macro.Excel97；凡是只感染EXCEL97以后版本EXCEL文档的病毒采用Excel做为第二前缀，格式是：Macro.Excel，以此类推。该类病毒的共有特性是能感染OFFICE系列文档，然后通过OFFICE通用模板进行传播，如：著名的美丽莎（Macro.Melissa）。

'''后门病毒'''

后门病毒的前缀是：Backdoor。该类病毒的共有特性是通过网络传播，给系统开后门，给用户电脑带来安全隐患。

'''种植程序病毒'''

这类病毒的共有特性是运行时会从体内释放出一个或几个新的病毒到系统目录下，由释放出来的新病毒产生破坏。如：冰河播种者（Dropper.BingHe2.2C）、MSN射手（Dropper.Worm.Smibag）等。

'''破坏性程序病毒'''

破坏性程序病毒的前缀是：Harm。这类病毒的共有特性是本身具有好看的图标来诱惑用户点击，当用户点击这类病毒时，病毒便会直接对用户计算机产生破坏。如：格式化C盘（Harm.formatC.f）、杀手命令（Harm.Command.Killer）等。

'''玩笑病毒'''

玩笑病毒的前缀是：Joke。也称恶作剧病毒。这类病毒的共有特性是本身具有好看的图标来诱惑用户点击，当用户点击这类病毒时，病毒会做出各种破坏操作来吓唬用户，其实病毒并没有对用户电脑进行任何破坏。如：女鬼（Joke.Girl ghost）病毒。

'''捆绑机病毒'''

捆绑机病毒的前缀是：Binder。这类病毒的共有特性是病毒作者会使用特定的捆绑程序将病毒与一些应用程序如QQ、IE捆绑起来，表面上看是一个正常的文件，当用户运行这些捆绑病毒时，会表面上运行这些应用程序，然后隐藏运行捆绑在一起的病毒，从而给用户造成危害。如：捆绑QQ（Binder.QQPass.QQBin）、系统杀手（Binder.killsys）等。

以上为比较常见的病毒前缀，有时候我们还会看到一些其他的，但比较少见，这里简单提一下：

DoS：会针对某台主机或者服务器进行DoS攻击；

Exploit：会自动通过溢出对方或者自己的系统漏洞来传播自身，或者他本身就是一个用于Hacking的溢出工具；

HackTool：黑客工具，也许本身并不破坏你的机子，但是会被别人加以利用来用你做替身去破坏别人。

你可以在查出某个病毒以后通过以上所说的方法来初步判断所中病毒的基本情况，达到知己知彼的效果。在杀毒无法自动查杀，打算采用手工方式的时候这些信息会给你很大的帮助

'''相关'''

Backdoor，危害级别：1，

说明： 中文名称—“后门”， 是指在用户不知道也不允许的情况下，在被感染的系统上以隐蔽的方式运行可以对被感染的系统进行远程控制，而且用户无法通过正常的方法禁止其运行。“后门”其实是木马的一种特例，它们之间的区别在于“后门”可以对被感染的系统进行远程控制（如：文件管理、进程控制等）。

Worm，危害级别：2，

说明： 中文名称—“蠕虫”，是指利用系统的漏洞、外发邮件、共享目录、可传输文件的软件（如：MSN、OICQ、IRC等）、可移动存储介质（如：U盘、软盘），这些方式传播自己的病毒。这种类型的病毒其子型行为类型用于表示病毒所使用的传播方式。

Mail，危害级别：1说明：通过邮件传播

IM，危害级别：2，说明：通过某个不明确的载体或多个明确的载体传播自己

MSN，危害级别：3，说明：通过MSN传播

QQ，危害级别：4，说明：通过OICQ传播

ICQ危害级别：5，说明：通过ICQ传播

P2P，危害级别：6，说明：通过P2P软件传播

IRC，危害级别：7，说明：通过IRC传播

其他，说明：不依赖其他软件进行传播的传播方式，如：利用系统漏洞、共享目录、可移动存储介质。

Trojan，危害级别：3，说明： 中文名称—“木马”，是指在用户不知道也不允许的情况下，在被感染的系统上以隐蔽的方式运行，而且用户无法通过正常的方法禁止其运行。这种病毒通常都有利益目的，它的利益目的也就是这种病毒的子行为。

Spy，危害级别：1，说明：窃取用户信息（如文件等）

PSW，危害级别：2，说明：具有窃取密码的行为

DL，危害级别：3，说明：下载病毒并运行，判定条款：没有可调出的任何界面,逻辑功能为:从某网站上下载文件加载或运行.

逻辑条件引发的事件:

事件1、.不能正常下载或下载的文件不能判定为病毒 ，操作准则:该文件不能符合正常软件功能组件标识条款的,确定为:Trojan.DL

事件2.下载的文件是病毒，操作准则: 下载的文件是病毒,确定为: Trojan.DL

IMMSG，危害级别：4，说明：通过某个不明确的载体或多个明确的载体传播即时消息（这一行为与蠕虫的传播行为不同，蠕虫是传播病毒自己，木马仅仅是传播消息）

MSNMSG，危害级别：5，说明：通过MSN传播即时消息

QQMSG，危害级别：6，说明：通过OICQ传播即时消息

ICQMSG，危害级别：7，说明：通过ICQ传播即时消息

UCMSG，危害级别：8，说明：通过UC传播即时消息

Proxy，危害级别：9，说明：将被感染的计算机作为代理服务器

Clicker，危害级别：10，说明：点击指定的网页 ，判定条款：没有可调出的任何界面,逻辑功能为:点击某网页。

操作准则：该文件不符合正常软件功能组件标识条款的,确定为:Trojan.Clicker。

(该文件符合正常软件功能组件标识条款,就参考流氓软件判定规则进行流氓软件判定)

Dialer，危害级别：12，说明：通过拨号来骗取Money的程序 ，注意：无法描述其利益目的但又符合木马病毒的基本特征，则不用具体的子行为进行描述

AOL、Notifier，按照原来病毒名命名保留。

Virus，危害级别：4，说明：中文名称—“感染型病毒”，是指将病毒代码附加到被感染的宿主文件（如：PE文件、DOS下的COM文件、VBS文件、具有可运行宏的文件）中，使病毒代码在被感染宿主文件运行时取得运行权的病毒。

Harm，危害级别：5，说明：中文名称—“破坏性程序”，是指那些不会传播也不感染，运行后直接破坏本地计算机（如：格式化硬盘、大量删除文件等）导致本地计算机无法正常使用的程序。

Dropper，危害级别：6，说明：中文名称—“释放病毒的程序”，是指不属于正常的安装或自解压程序，并且运行后释放病毒并将它们运行。

判定条款：没有可调出的任何界面，逻辑功能为:自释放文件加载或运行。

逻辑条件引发的事件:

事件1：.释放的文件不是病毒。 操作准则: 释放的文件和释放者本身没逻辑关系并该文件不符合正常软件功能组件标识条款的,确定为:Droper

事件2：释放的文件是病毒。 操作准则: 释放的文件是病毒，确定该文件为:Droper

Hack，危害级别：无 ，说明：中文名称—“黑客工具”，是指可以在本地计算机通过网络攻击其他计算机的工具。

Exploit，漏洞探测攻击工具

DDoser，拒绝服务攻击工具

Flooder，洪水攻击工具 ，注意：不能明确攻击方式并与黑客相关的软件，则不用具体的子行为进行描述

Spam，垃圾邮件

Nuker、Sniffer、Spoofer、Anti，说明：免杀的黑客工具

Binder，危害级别：无 ，说明：捆绑病毒的工具

正常软件功能组件标识条款：被检查的文件体内有以下信息能标识出该文件是正常软件的功能组件：文件版本信息,软件信息（注册表键值、安装目录）等。

'''宿主文件'''

宿主文件是指病毒所使用的文件类型，有是否显示的属性。宿主文件有以下几种。　

JS说明：JavaScript脚本文件

VBS说明：VBScript脚本文件

HTML说明：HTML文件

Java说明：Java的Class文件

COM说明：Dos下的Com文件

EXE说明：Dos下的Exe文件

Boot说明：硬盘或软盘引导区

Word说明：MS公司的Word文件

Excel说明：MS公司的Excel文件

PE说明：PE文件

WinREG说明：注册表文件

Ruby说明：一种脚本

Python说明：一种脚本

BAT说明：BAT脚本文件

IRC说明：IRC脚本

'''事件'''

1．Elk Cloner（1982年）

它被看作攻击个人计算机的第一款全球病毒，也是所有令人头痛的安全问题先驱者。它通过苹果Apple II软盘进行传播。这个病毒被放在一个游戏磁盘上，可以被使用49次。在第50次使用的时候，它并不运行游戏，取而代之的是打开一个空白屏幕，并显示一首短诗。

2．Brain（1986年）

Brain是第一款攻击运行微软的受欢迎的操作系统DOS的病毒，可以感染360K软盘的病毒，该病毒会填充满软盘上未用的空间，而导致它不能再被使用。

3．Morris（1988年）

Morris该病毒程序利用了系统存在的弱点进行入侵，Morris设计的最初的目的并不是搞破坏，而是用来测量网络的大小。但是，由于程序的循环没有处理好，计算机会不停地执行、复制Morris，最终导致死机。

4．CIH（1998年）

CIH病毒是迄今为止破坏性最严重的病毒，也是世界上首例破坏硬件的病毒。它发作时不仅破坏硬盘的引导区和分区表，而且破坏计算机系统BIOS，导致主板损坏。 此病毒是由台湾大学生陈盈豪研制的，据说他研制此病毒的目的是纪念1986年的灾难或是让反病毒软件难堪。

5．Melissa（1999年）

Melissa是最早通过电子邮件传播的病毒之一，当用户打开一封电子邮件的附件，病毒会自动发送到用户通讯簿中的前50个地址，因此这个病毒在数小时之内传遍全球。

6．Love bug（2000年）

Love bug也通过电子邮件附近传播，它利用了人类的本性，把自己伪装成一封求爱信来欺骗收件人打开。这个病毒以其传播速度和范围让安全专家吃惊。在数小时之内，这个小小的计算机程序征服了全世界范围之内的计算机系统。

7．“红色代码”（2001年）

被认为是史上最昂贵的计算机病毒之一，这个自我复制的恶意代码“红色代码”利用了微软IIS服务器中的一个漏洞。该蠕虫病毒具有一个更恶毒的版本，被称作红色代码II。这两个病毒都除了可以对网站进行修改外，被感染的系统性能还会严重下降。

8．“Nimda”（2001年）

尼姆达(Nimda)是历史上传播速度最快的病毒之一，在上线之后的22分钟之后就成为传播最广的病毒。

9．“冲击波”（2003年）

冲击波病毒的英文名称是Blaster，还被叫做Lovsan或Lovesan，它利用了微软软件中的一个缺陷，对系统端口进行疯狂攻击，可以导致系统崩溃。

10．“震荡波”（2004年）

震荡波是又一个利用Windows缺陷的蠕虫病毒，震荡波可以导致计算机崩溃并不断重启。

11．“熊猫烧香”（2007年）

熊猫烧香会使所有程序图标变成熊猫烧香，并使它们不能应用。

12．“扫荡波”(2008年)

同冲击波和震荡波一样，也是个利用漏洞从网络入侵的程序。而且正好在黑屏事件，大批用户关闭自动更新以后，这更加剧了这个病毒的蔓延。这个病毒可以导致被攻击者的机器被完全控制。

13．“Conficker”（2008年）

Conficker.C病毒原来要在2009年3月进行大量传播，然后在4月1日实施全球性攻击，引起全球性灾难。不过，这种病毒实际上没有造成什么破坏。

14．“木马下载器”(2009年)

本年度的新病毒,中毒后会产生1000~2000不等的木马病毒,导致系统崩溃,短短3天变成360安全卫士首杀榜前3名(现在位居榜首)

15.“鬼影病毒”（2010年）

该病毒成功运行后，在进程中、系统启动加载项里找不到任何异常，同时即使格式化重装系统，也无法将彻底清除该病毒。犹如“鬼影”一般“阴魂不散”，所以称为“鬼影”病毒。

16 .“极虎病毒”（2010年）

该病毒类似qvod播放器的图标。感染极虎之后可能会遭遇的情况：计算机进程中莫名其妙的有ping.exe

和rar.exe进程，并且cpu占用很高，风扇转的很响很频繁（手提电脑），并且这两个进程无法结束。某些文件会出现usp10.dll、lpk.dll文件，杀毒软件和安全类软件会被自动关闭，如瑞星、360安全卫士等如果没有及时升级到最新版本都有可能被停掉。破坏杀毒软件，系统文件，感染系统文件，让杀毒软件无从下手。极虎病毒最大的危害是造成系统文件被篡改，无法使用杀毒软件进行清理，一旦清理，系统将无法打开和正常运行，同时基于计算机和网络的帐户信息可能会被盗，如网络游戏帐户、银行帐户、支付帐户以及重要的电子邮件帐户等。

17. 磁碟机病毒

又名Dummycom，磁碟机病毒主要通过U盘和局域网ARP攻击传播，如果当你无法访问各个安全软件站点，或者从安全站点的官网上下载的安装程序有问题的话，极有可能是已经中了磁碟机病毒“磁碟机”（又名“千足虫”），病毒感染系统可执行文件，能够利用多种手段终止杀毒软件运行，并可导致被感染计算机系统出现蓝屏、死机等现象，严重危害被感染计算机的系统和数据安全。与其它关闭杀毒软件的病毒不同的是，该病毒利用了多达六种强制关闭杀毒软件和干扰用户查杀的反攻手段，许多自身保护能力不够强壮的杀毒软件在病毒面前纷纷被折。病毒在每个磁盘下生成pagefile.exe和Autorun.inf文件，并每隔几秒检测文件是否存在，修改注册表键值，破坏“显示系统文件”功能。每隔一段时间会检测自己破坏过的显示文件、安全模式、Ifeo、病毒文件等项，如被修改则重新破坏。病毒执行后，会删除病毒主体文件。病毒会监控lsass.exe、smss.exe、dnsq.dll文件，如果假设不存在的话则重新生成。当拷贝失败后，病毒会调用rd /s /q命令删除原来的文件，再重新写入。病毒会连接恶意网址下载大量木马病毒。

该病毒运行后会在系统目录中COM目录（默认为c:\windows\system32\com）下生成名为lsass.exe及smss.exe文件。该病毒会感染除windows及program files目录下所有的EXE格式可执行文件，会造成用户计算机运算速度缓慢，甚至造成系统蓝屏、死机。由于该病毒编写存在一些问题，可能会造成用户安装的软件被损坏，无法使用。             

'''起源'''

核心大战(core war)   

早在1949年, 距离第一部商用电脑的出现还有好几年时, 电脑先驱者德国科学家冯·诺伊曼(John Von Neumann) 在他所提出的一篇论文《复杂自动装置的理论及组织的进行》中, 就已把病毒程式的蓝图勾勒出来了, 当时绝大部份的电脑专家都无法想像这种会自我繁殖的程式是可能的。只有少数几个科学家默默地研究冯·诺伊曼所提出的概念。直到十年后, 在美国电话电报公司(AT&T) 的贝尔(Bell)实验室中，三个年轻的程序员道格拉斯·麦基尔罗伊(H, Douglas McIlroy)、 维克多·维索特斯克(Victor Vysottsky)以及罗伯特.莫里斯(Robert T. Morris)，当时三人年纪都只有二十多岁，常在工作后留在实验室里玩起他们自己创造的电子游戏，这种电子游戏叫做“核心大战(core war)“。

附注: Robert T. Morris就是后来写了一个Worm病毒把Internet搞的天翻地覆的那个Robert T.Morris Jr.的爸爸，当时大Morris刚好是负责Arpanet网路安全。

核心大战的玩法如下：双方各编一组再生程序，输入同一部电脑中，这两套程序在电脑的记忆系统内互相追杀,有时它们会设下一些关卡，有时会停下来修理(重新写)被对方破坏的几行指令，当它被困时，也可以把自己复制一次，逃离险境。

这个游戏的特点，在于双方的程序进入计算机内存后，玩游戏的人只能看著屏幕上显示的战况,而不能做任何更改，一直到某一方的程序被另一方的程序完全“吃掉”为止。

核心大战是个笼统的名称，事实上还可细分成好几种，麦基尔罗伊所写的叫“达尔文”这包含了“[物竞天择，适者生存”的意思。它的游戏规则跟以上所描述的最接近，双方以汇编语言(Assembly Language)各编一组再生程序，叫有机体(organism)，这两个“有机体”在电脑里争斗不休，直到一方把另一方杀掉而取代之，便算分出胜负。在比赛时 Morris经常击败对手。

另外有个叫爬行者的程序(Creeper)，每一次把它读出时，它便自己复制一个副本。此外，它也会从一部电脑“爬”到另一部与其连网的电脑。很快地电脑中原有资料便被这些爬行者挤掉了。爬行者的唯一生存目地是繁殖。

为了对付“爬行者”,有人便写出了“收割者(Reaper)”。它的唯一生存目的便是找到爬行者，把它们毁灭掉。当所有爬行者都被收割掉之后，收割者便执行程序中最后一项指令：毁灭自己，从电脑中消失。

“侏儒(Dwarf)”并没有“达尔文”等程序那样聪明，却是个极端危险的家伙，它在内存系统中迈进，每到第五个地址(address)便把那里所储存的东西变为零，使得原来的正常程序停止。

最奇特的就是一个叫“印普(Imp)”的战争程式了，它只有一行指令，那就是MOV 01.MOV代表“MOVE”即移动的意思。它把身处的地址中所载的“0”写(移)到下一个地址中,当印普展开行动之后，电脑中原有的每一行指令都被改为“MOV 01”。换句话说，屏光幕上留下一大堆“MOV 01”。

“双子星(Germini)”也是个有趣的家伙，它的作用只有一个：把自己复制，送到下一百个地址后，便抛弃掉“正本”。

从双子星衍生出一系列的程序“牺牲者(Juggeraut)”把自己复制后送到下十个地址之后，而“大雪人(Bigfoot)”则把正本和复制品之间的地址定为某一个大质数，想抓到大雪人可是非常困难的。此外，还有全录(Xerox)柏路阿图研究中心的约翰.索殊(John F.Shoch)所写的[蠕虫](Worm)，它的目的是要控制侵入的电脑。

1975年，美国科普作家约翰·布鲁勒尔(John Brunner)写了一本名为《震荡波骑士》(Shock Wave Rider)的书，该书第一次描写了在信息社会中，计算机作为正义和邪恶双方斗争的工具的故事，成为当年最佳畅销书之一。

1977年夏天，托马斯·捷·瑞安(Thomas.J.Ryan)的科幻小说《P-1的春天》(The Adolescence of P-1)成为美国的畅销书，作者在这本书中描写了一种可以在计算机中互相传染的病毒，病毒最后控制了7,000台计算机，造成了一场灾难。

1983年11月3日，弗雷德·科恩(Fred Cohen)博士研制出一种在运行过程中可以复制自身的破坏性程序，伦·艾德勒曼(Len Adleman)将它命名为计算机病毒(computer viruses)，并在每周一次的计算机安全讨论会上正式提出，8小时后专家们在VAX11/750计算机系统上运行，第一个病毒实验成功，一周后又获准进行5个实验的演示，从而在实验上验证了计算机病毒的存在。

在那些日子里，由于电脑都没有联网，因此并不会出现小莫里斯所引起的病毒瘟疫。如果有某部电脑受到“感染”失去控制，工作人员只需把它关掉便可。但是当电脑网络逐渐成为社会结构的一部份后，一个自我复制的病毒程序便很可能带来无穷的祸害了。因此长久以来，懂的玩“核心大战”游戏的电脑工作者都严守一项不成文的规定：不对大众公开这些程序的内容。

1983年，这项规定被打破了。科恩.汤普逊(Ken Thompson)是当年一项杰出电脑奖得奖人，在颁奖典礼上,他作了一个演讲，不但公开地证实了电脑病毒的存在，而且还告诉所有听众怎样去写自己的病毒程序。

1984年，《科学美国人》月刊(Scientific American)的专栏作家杜特尼(A. K. Dewdney)在五月号写了第一篇讨论“核心大战”的文章，并且只要寄上两块美金，任何读者都可以收到他所写的有关写程序的纲要，在自己家中的电脑中开辟战场。

在1985年三月份的《科学美国人》里，杜特尼再次讨论“核心大战”和病毒。在文章的开头他便说：“当去年五月有关‘核心大战’的文章印出来时，我并没有想过我所谈论的是那么严重的题目”。文中并第一次提到“病毒”这个名称。他说，意大利的罗勃吐.些鲁帝(Roberto Cerruti)和马高.么鲁顾帝(Marco Morocutti)发明了一种破坏软件的方法，他们想用病毒而不是蠕虫，来使得苹果二号电脑受感染。

Cerruti写了一封信给杜特尼,信内说:“Marco想写一个像病毒一样的程序，可以从一部苹果电脑传染到另一部苹果电脑，可是我们没法这样做。这病毒要先使磁盘受到感染，而电脑只是媒介，这样病毒就可以从一张磁盘传染到另一张磁盘了。”

1986年初，在巴基斯坦的拉合尔(Lahore)，巴锡特(Basit)和阿姆杰德(Amjad)两兄弟经营着一家IBM-PC机及其兼容机的小商店。他们编写了Pakistan病毒，即Brain。在一年内流传到了世界各地。

1988年3月2日，一种苹果机的病毒发作，这天受感染的苹果机停止工作，只显示"向所有苹果电脑的使用者宣布和平的信息"。以庆祝苹果机生日。

1988年11月2日，美国六千多台计算机被病毒感染，造成Internet不能正常运行。这是一次非常典型的计算机病毒入侵计算机网络的事件，迫使美国**立即作出反应，国防部成立了计算机应急行动小组。这次事件中遭受攻击的包括5个计算机中心和12个地区结点，连接着**、大学、研究所和拥有**合同的250,000台计算机。这次病毒事件，计算机系统直接经济损失达9600万美元。这个病毒程序设计者是罗伯特·莫里斯(Robert T.Morris)，当年23岁，是在康乃尔大学攻读学位的研究生。

罗伯特·莫里斯设计的病毒程序利用了系统存在的弱点。正由于罗伯特·莫里斯成了入侵ARPANET网的最大的电子入侵者，而获准参加康乃尔大学的毕业设计，并获得哈佛大学Aiken中心超级用户的特权。但他也因此被判3年缓刑，罚款1万美元，他还被命令进行400小时的新区服务。

1988年底，在中国的国家统计部门发现的小球病毒是中国的第一次病毒经历。

网易电子杂志《网络时代》关于电脑病毒的出现作如下总结（已略作改动）：

第一个计算机病毒发现于1981年，是一个苹果机病毒，但它不破坏数据。3年后，第一个与IBM PC兼容的DOS病毒出现。它会在硬盘的引导扇区和文件分配表写入大量垃圾，从而也就破坏了保存于硬盘中的数据。在它之后，更多的病毒便涌现了出来。

直到1987-1988年，病毒仍是一个稀有事物，但这种情形被3个著名的病毒的出现改变了，它们是耶路撒冷，米开朗基罗和醉酒（stoned）。通过媒体的炒作，人们的心理充满了恐惧，开始到处寻求帮助。在这种气氛下，开发反病毒软件的公司如雨后春笋般纷纷冒出，病毒真正成为了计算机领域令人关注的问题。

索非亚成为世界病毒的中心（1989-1992）

在“铁幕”落下后，欧洲前社会主义国家成为了病毒云集的地方，其中尤以保加利亚为最。索非亚成为了制造新病毒的肥沃土壤。连制造病毒更有效的工具也出自这里。

今天（梅丽莎，CIH，EVIL，.....）

新的制造病毒的技术被不断开发出来，而随着互联网及电子邮件的广泛使用，被病毒感染事件的数目呈直线上升态势。像美丽莎，CIH等病毒都通过电子邮件附件传播，如果你双击这些附件，它们便立即开始活动。像CIH在爆发时会覆盖你的BIOS，造成你计算机完全瘫痪。

'''注意'''

1. 建立良好的安全习惯

例如：对一些来历不明的邮件及附件不要打开，不要上一些不太了解的网站、不要执行从 Internet 下载后未经杀毒处理的软件等，这些必要的习惯会使您的计算机更安全。

2. 关闭或删除系统中不需要的服务

默认情况下，许多操作系统会安装一些辅助服务，如 FTP 客户端、Telnet 和 Web 服务器。这些服务为攻击者提供了方便，而又对用户没有太大用处，如果删除它们，就能大大减少被攻击的可能性。

3. 经常升级安全补丁

据统计，有80%的网络病毒是通过系统安全漏洞进行传播的，象蠕虫王、冲击波、震荡波等，所以我们应该定期到微软网站去下载最新的安全补丁，以防范未然。

4. 使用复杂的密码

有许多网络病毒就是通过猜测简单密码的方式攻击系统的，因此使用复杂的密码，将会大大提高计算机的安全系数。

5. 迅速隔离受感染的计算机

当您的计算机发现病毒或异常时应立刻断网，以防止计算机受到更多的感染，或者成为传播源，再次感染其它计算机。

6. 了解一些病毒知识

这样就可以及时发现新病毒并采取相应措施，在关键时刻使自己的计算机免受病毒破坏。如果能了解一些注册表知识，就可以定期看一看注册表的自启动项是否有可疑键值;如果了解一些内存知识，就可以经常看看内存中是否有可疑程序。

7. 最好安装专业的杀毒软件进行全面监控

在病毒日益增多的今天，使用杀毒软件进行防毒，是越来越经济的选择，不过用户在安装了反病毒软件之后，应该经常进行升级、将一些主要监控经常打开(如邮件监控)、内存监控等、遇到问题要上报， 这样才能真正保障计算机的安全。

8. 用户还应该安装个人防火墙软件进行防黑

由于网络的发展，用户电脑面临的黑客攻击问题也越来越严重，许多网络病毒都采用了黑客的方法来攻击用户电脑，因此，用户还应该安装个人防火墙软件，将安全级别设为中、高，这样才能有效地防止网络上的黑客攻击。

'''处理'''

一般大范围传播的病毒都会让用户在重新启动电脑的时候能够自动运行病毒，来达到长时间感染计算机并扩大病毒的感染能力。

通常病毒感染计算机第一件事情就是杀掉他们的天敌--安全软件， 比如卡巴斯基，360安全卫士，NOD32 等等。这样我们就不能通过使用杀毒软件的方法来处理已经感染病毒的电脑。那么我说一下手动杀毒方法。

我们要解决病毒可以首先解决在计算机重启以后自我启动。

通常病毒会这样进行自我启动

直接自启动，1.引导扇区 2.驱动 3.服务4.注册表 。

间接自启动：印象劫持，autorun.inf文件，HOOK，感染文件。放置一个诱惑图标让用户点击……

知道上面病毒的启动原理，不难得出清理方式：首先删掉注册表文件中病毒的启动项。最最常见启动位置在[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] ，删除所有该子项内的字符串等，只留下cftmon.exe 。 立即按机箱上的重启键，不让病毒回写注册表（正常关机可能会激活病毒回写进启动项目，比如“磁碟机”）。如果病毒仍然启动，就要怀疑有服务，或者驱动。那么这个时候就需要有一定计算机能力的人，用批处理或者其他的程序同时找到并关闭病毒的服务和删除注册表，然后快速关机。驱动一般在系统下很难删除，所以可以用上面介绍的Xdelete 或者icesword，wsyscheck或者进入DOS，WPE等其他系统进行删除。

上面我说了通过不让病毒在重启电脑以后启动的 方法删除病毒，下面我来说一下通过直接删除病毒文件方法。

在病毒正在运行的系统里，直接删除病毒文件会很难的。如果在网上找到该病毒机理，进入DOS ，找到所有病毒文件路径，可以很轻松的删除病毒文件（除了感染型病毒）。我推荐最好用PE（不懂PE的上百科看），用有一个可以启动电脑的装PE 的U盘，或者光盘启动电脑，进入可以进入完全无毒的系统，然后使用绿色版的杀毒软件（网上有，我试过绿色卡巴和nod32，很好，可以在PE 运行）全盘查杀。杀毒完以后，我们先不要重新启动电脑，看看到底删除了什么，如果有被感染的系统文件删掉了，注意从相同系统拷贝一个，否则可能不能开机。然后重启，进系统用其他安全软件修复系统。

真正我们电脑感染上棘手的病毒，最简单有效的方法就是重装系统。如果C盘（系统盘）有重要资料先备份。不能开机，可以进入PE备份。

问： 为什么我重装了几次还是有病毒，是不是这个病毒很厉害？

答： 首先我要说明几点，一、重装以后的系统是干净的。二、遇到引导性病毒，感染BIOS病毒可能非常小，就像中彩票。

这种情况是由于其他盘仍然有病毒残留，比如有如果有autorun.inf 类型的病毒，双击打开DEF等盘的时候就会启动病毒，或者病毒感染了其他盘上的文件，你重装系统以后，运行这个文件的时候，就又启动病毒。 正确的方法是，找一个高手，或者不要打开除C：（系统盘）以外的任何盘，然后上网或者U盘下载一个杀毒软件，升级更新以后，全盘杀毒。

【预防】

1.杀毒软件经常更新,以快速检测到可能入侵计算机的新病毒或者变种。

2.使用安全监视软件（和杀毒软件不同比如360安全卫士，瑞星卡卡）主要防止浏览器被异常修改，插入钩子，安装不安全恶意的插件。

3.使用防火墙或者杀毒软件自带防火墙。

4,关闭电脑自动播放（网上有）并对电脑和移动储存工具进行常见病毒免疫。

5.定时全盘病毒木马扫描。

6. 注意网址正确性，避免进入山寨网站。

7.不随意接受、打开陌生人发来的电子邮件或通过QQ传递的文件或网址。

8.使用正版软件。

9.使用移动存储器前，最好要先查杀病毒，然后再使用。

下面推荐几款软件:

推荐：杀毒软件，卡巴斯基，NOD32，avast5.0 ，360杀毒

推荐：U盘病毒专杀：AutoGuarder2

推荐：安全软件：360安全卫士（可以查杀木马）

推荐：单独防火墙：天网，comodo，或者杀毒软件自带防火墙。

推荐：内网用户使用antiARP，防范内网ARP欺骗病毒（比如：磁碟机，机械狗）

推荐： 使用超级巡警免疫工具。

推荐：高手使用 SSM（system safety monitor）

'''介绍'''

Windows病毒的九大藏身地点

1.点击 开始-- 程序-- 启动，看一看里面有没有坏家伙

打开注册表（开始-- 运行 输入:regedit，回车），按以下路径展开注册表左边树状表

2.HKEY_CURRENT_USER\Software\Microsoft\WindowsNT\CurrentVersion\Windows\load，观察一下有没有可疑程序安家

3.HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon\Userinit，找找有没有病毒在这里申请运行

4.HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run

5.HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce

6.HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices

7.HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\Setup

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce\Setup

8.HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce

在XP中还有HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceEX

9.HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

p.s 这是微软的漏洞还是微软故意留下的，不得而知。

打开系统配置实用程序（开始-- 运行 输入:msconfig，回车）还能检查System.ini与Win.ini

总之病毒入侵防不胜防，大家还是花点人民币买杀毒软件吧

'''计算机病毒'''

根据众多高手的见解，总结如下：

计算机病毒类似于生物病毒，它能把自身依附着在文件上或寄生在存储媒体里，能对计算机系统进行各种破坏；同时有独特的复制能力，能够自我复制；具有传染性可以很快地传播蔓延，当文件被复制或在网络中从一个用户传送到另一个用户时，它们就随同文件一起蔓延开来，但又常常难以根除。与生物病毒不同的是几乎所有的计算机病毒都是人为地制造出来的，是一段可执行代码，一个程序。一般定义为：计算机病毒是能够通过某种途径潜伏在计算机存储介质（或程序）里, 当达到某种条件时即被激活的具有对计算机资源进行破坏作用的一组程序或指令集合。

'''解决'''

使用电脑win7系统浏览网页、下载软件是经常做也是简单的事情，这些细节往往最容易导致电脑系统抵御不住木马的入侵或者遭遇黑客的攻击，此时电脑系统中毒我们可以做什么呢？

第一步，准备一张DOS启动盘（干净的）和DOS下面正常运行的杀软，然后关机进行冷启动。第一点DOS启动盘必须是干净的，第二点杀软中毒后也可能会出现异常情况，因此我们也还需要准备一个能在DOS正常使用的杀软来操作，或者与原来的杀软交叉清理。

第二步、中毒后以最快速度备份或者转移重要文件，防止被木马持续损坏，建议将它们转移备份到别的可移动硬盘或者磁盘上，还有一点不要轻易直接关闭计算，因为一旦损坏严重极可能再次进入计算机比较麻烦。无论文件是否已经中毒应该先备份，最好标记上，清理完所有病毒再来处理也不晚。

第三步、GHOST的备份文件有时候很有用，可以尝试恢复一下系统，当然也是很保险的方法，但是必须先保证这个备份的安全性。

第四步、上网如果还在继续要立刻断网，尤其注意IE是否经常询问你进行一些操作，包括运行某些不可知的ActiveX控件等等，千万不要乱动，最好直接关闭。

两种上网被入侵特征：<ref>[https://mp.weixin.qq.com/s?src=11&timestamp=1632281879&ver=3329&signature=T374icb2ALq0q7S-IFuyBvDTy2ks9wZ4xnN75HS4-UQCDXaK8vmOLFOUNHVIXtGAzdg8QVXY1bB6og0mntNnmkOSdg5-RfW6IW8zMGfcQ39tKcyjB0OxLHHuZjz0oxsb&new=1   计算机病毒],搜狗, 2017-02-13</ref> 

1，浏览恶意代码的网页被恶意篡改，或者格式化磁盘重复某些windows指令，甚至最后导致计算机直接瘫痪。

2，潜在木马或者蠕虫病毒引诱你进行操作，最后直接将电脑系统中毒的病毒逐步扩散。

应对办法：断网是必须的，先避免多重被侵占的可能性，然后先不关闭计算机，继续进行下一步操作。

第五步、重新恢复win7系统后，一定要修改所有的账户密码，尤其是重要的账户密码，防止被二次侵占丢失重要信息。

=='''参考资料'''==
{{Reflist}}