電腦病毒基礎知識大全

1996年 首次出現針對微軟公司Office的 "宏病毒"。

1997年 1997年被公認為計算機反病毒界的 "宏病毒"年。"宏病毒"主要感染WORD、EXCEL等文件。如Word宏病毒，早期是用一種專門的Basic語言即WordBasic所編寫的程序，後來使用Visual Basic。與其它計算機病毒一樣，它能對用戶系統中的可執行文件和數據文本類文件造成破壞。常見的如：Tw no. 1（臺灣一號）、Setmd、Consept、Mdma等。

1998年 出現針對Windows95/98系統的病毒，如CIH（1998年被公認為計算機反病毒界的CIH病毒年）。CIH病毒是繼DOS病毒、Windows病毒、宏病毒後的第四類新型病毒。這種病毒與DOS下的傳統病毒有很大不同，它使用面向Windows的VXD技術編制。1998年8月份從臺灣傳入國內，共有三個版本：1. 2版/1. 3版/1. 4版，發作時間分別是4月26日/6月26日/每月26日。該病毒是第一個直接攻擊、破壞硬件的計算機病毒，是迄今為止破壞最為嚴重的病毒。它主要感染Windows95/98的可執行程序，發作時破壞計算機Flash BIOS芯片中的系統程序，導致主板損壞，同時破壞硬盤中的數據。病毒發作時，硬盤驅動器不停旋轉，硬盤上所有數據（包括分區表）被破壞，必須重新FDISK方才有可能挽救硬盤；同時，對於部分廠牌的主板（如技嘉和微星等），會將Flash BIOS中的系統程序破壞，造成開機後系統無反應。

1999年 Happy99等完全通過Internet傳播的病毒的出現標誌著Internet病毒將成為病毒新的增長點。其特點就是利用Internet的優勢，快速進行大規模的傳播，從而使病毒在極短的時間內遍佈全球。

四、病毒的特徵

提起病毒，大家都很熟悉，可說到病毒到底有哪些特徵，能有說出個所以然的用戶卻不多，許多用戶甚至根本搞不清到底什麼是病毒，這就嚴重影響了對病毒的防治工作。有鑑於此，特將常見病毒的特徵簡要介紹如下，希望廣大用戶能藉以對病毒有一個較完善的靈性認識。

1. 傳染性

傳染性是病毒的基本特徵。在生物界，通過傳染病毒從一個生物體擴散到另一個生物體。在適當的條件下，它可得到大量繁殖，並使被感染的生物體表現出病症甚至死亡。同樣，計算機病毒也會通過各種渠道從已被感染的計算機擴散到未被感染的計算機，在某些情況下造成被感染的計算機工作失常甚至癱瘓。與生物病毒不同的是，計算機病毒是一段人為編制的計算機程序代碼，這段程序代碼一旦進入計算機並得以執行，它會搜尋其他符合其傳染條件的程序或存儲介質，確定目標後再將自身代碼插入其中，達到自我繁殖的目的。只要一臺計算機染毒，如不及時處理，那麼病毒會在這臺機子上迅速擴散，其中的大量文件（一般是可執行文件）會被感染。而被感染的文件又成了新的傳染源，再與其他機器進行數據交換或通過網絡接觸，病毒會繼續進行傳染。

正常的計算機程序一般是不會將自身的代碼強行連接到其它程序之上的。而病毒卻能使自身的代碼強行傳染到一切符合其傳染條件的未受到傳染的程序之上。計算機病毒可通過各種可能的渠道，如軟盤、計算機網絡去傳染其它的計算機。當你在一臺機器上發現了病毒時，往往曾在這臺計算機上用過的軟盤已感染上了病毒，而與這臺機器相聯網的其它計算機也許也被該病毒侵染上了。是否具有傳染性是判別一個程序是否為計算機病毒的最重要條件。

一般正常的程序是由用戶調用，再由系統分配資源，完成用戶交給的任務。其目的對用戶是可見的、透明的。而病毒具有正常程序的一切特性，它隱藏再正常程序中，當用戶調用正常程序時竊取到系統的控制權，先於正常程序執行，病毒的動作、目的對用戶時未知的，是未經用戶允許的。

3. 隱蔽性

病毒一般是具有很高編程技巧、短小精悍的程序。通常附在正常程序中或磁盤較隱蔽的地方，也有個別的以隱含文件形式出現。目的是不讓用戶發現它的存在。如果不經過代碼分析，病毒程序與正常程序是不容易區別開來的。一般在沒有防護措施的情況下，計算機病毒程序取得系統控制權後，可以在很短的時間裡傳染大量程序。而且受到傳染後，計算機系統通常仍能正常運行，使用戶不會感到任何異常。試想，如果病毒在傳染到計算機上之後，機器馬上無法正常運行，那麼它本身便無法繼續進行傳染了。正是由於隱蔽性，計算機病毒得以在用戶沒有察覺的情況下擴散到上百萬臺計算機中。大部分的病毒的代碼之所以設計得非常短小，也是為了隱藏。病毒一般只有幾百或1k字節，而PC機對DOS文件的存取速度可達每秒幾百KB以上，所以病毒轉瞬之間便可將這短短的幾百字節附著到正常程序之中，使人非常不易被察覺。

4. 潛伏性

大部分的病毒感染系統之後一般不會馬上發作，它可長期隱藏在系統中，只有在滿足其特定條件時才啟動其表現（破壞）模塊。只有這樣它才可進行廣泛地傳播。如 "PETER-2"在每年2月27日會提三個問題，答錯後會將硬盤加密。著名的"黑色星期五"在逢13號的星期五發作。國內的"上海一號"會在每年三、六、九月的13日發作。當然，最令人難忘的便是26日發作的CIH。這些病毒在平時會隱藏得很好，只有在發作日才會露出本來面目。

5. 破壞性

任何病毒只要侵入系統，都會對系統及應用程序產生程度不同的影響。輕者會降低計算機工作效率，佔用系統資源，重者可導致系統崩潰。由此特性可將病毒分為良性病毒與惡性病毒。良性病度可能只顯示些畫面或出點音樂、無聊的語句，或者根本沒有任何破壞動作，但會佔用系統資源。這類病毒較多，如：GENP、小球、W-BOOT等。惡性病毒則有明確得目的，或破壞數據、刪除文件或加密磁盤、格式化磁盤，有的對數據造成不可挽回的破壞。這也反映出病毒編制者的險惡用心（最著名的恐怕就是CIH病毒了）。

6. 不可預見性

從對病毒的檢測方面來看，病毒還有不可預見性。不同種類的病毒，它們的代碼千差萬別，但有些操作是共有的（如駐內存，改中斷）。有些人利用病毒的這種共性，製作了聲稱可查所有病毒的程序。這種程序的確可查出一些新病毒，但由於目前的軟件種類極其豐富，且某些正常程序也使用了類似病毒的操作甚至借鑑了某些病毒的技術。使用這種方法對病毒進行檢測勢必會造成較多的誤報情況。而且病毒的製作技術也在不斷的提高，病毒對反病毒軟件永遠是超前的。

看了上面的介紹，你是不是對計算機病毒有了一個初步的瞭解？

五、病毒的傳播途徑

1. 通過不可移動的計算機硬件設備進行傳播(即利用專用ASIC芯片和硬盤進行傳播)。這種病毒雖然極少，但破壞力卻極強，目前尚沒有較好的檢測手段對付。

2. 通過移動存儲設備來傳播（包括軟盤、磁帶等）。其中軟盤是使用最廣泛移動最頻繁的存儲介質，因此也成了計算機病毒寄生的"溫床"。

3. 通過計算機網絡進行傳播。隨著Internet的高速發展，計算機病毒也走上了高速傳播之路，現在通過網絡傳播已經成為計算機病毒的第一傳播途徑。

4. 通過點對點通信系統和無線通道傳播。

六、病毒的分類

各種不同種類的病毒有著各自不同的特徵，它們有的以感染文件為主、有的以感染系統引導區為主、大多數病毒只是開個小小的玩笑、但少數病毒則危害極大（如臭名昭著CIH病毒），這就要求我們採用適當的方法對病毒進行分類，以進一步滿足日常操作的需要：

1. 按傳染方式分類

病毒按傳染方式可分為引導型病毒、文件型病毒和混合型病毒三種。其中引導型病毒主要是感染磁盤的引導區，我們在使用受感染的磁盤（無論是軟盤還是硬盤）啟動計算機時它們就會首先取得系統控制權，駐留內存之後再引導系統，並伺機傳染其它軟盤或硬盤的引導區，它一般不對磁盤文件進行感染；文件型病毒一般只傳染磁盤上的可執行文件（COM，EXE），在用戶調用染毒的可執行文件時，病毒首先被運行，然後病毒駐留內存伺機傳染其他文件或直接傳染其他文件，其特點是附著於正常程序文件，成為程序文件的一個外殼或部件；混合型病毒則兼有以上兩種病毒的特點，既染引導區又染文件，因此擴大了這種病毒的傳染途徑。

2. 按連接方式分類

病毒按連接方式分為源碼型病毒、入侵型病毒、操作系統型病毒、外殼型病毒等四種。其中源碼病毒主要攻擊高級語言編寫的源程序，它會將自己插入到系統的源程序中，並隨源程序一起編譯、連接成可執行文件，從而導致剛剛生成的可執行文件直接帶毒，不過該病毒較為少見，亦難以編寫；入侵型病毒則是那些用自身代替正常程序中的部分模塊或堆棧區的病毒，它只攻擊某些特定程序，針對性強，一般情況下也難以被發現，清除起來也較困難；操作系統病毒則是用其自身部分加入或替代操作系統的部分功能，危害性較大；外殼病毒主要是將自身附在正常程序的開頭或結尾，相當於給正常程序加了個外殼，大部份的文件型病毒都屬於這一類。

3. 按破壞性分類

病毒按破壞性可分為良性病毒和惡性病毒。顧名思義，良性病毒當然是指對系統的危害不太大的病毒，它一般只是作個小小的惡作劇罷了，如破壞屏幕顯示、播放音樂等（需要注意的是，即使某些病毒不對系統造成任何直接損害，但它總會影響系統性能，從而造成了一定的間接危害）；惡性病毒則是指那些對系統進行惡意攻擊的病毒，它往往會給用戶造成較大危害，如最近十分流行的CIH病毒就就屬此類，它不僅刪除用戶的硬盤數據，而且還破壞硬件（主板），實可謂 "十惡不赦"！

4. 按程序運行平臺分類

病毒按程序運行平臺分類可分為DOS病毒、Windows病毒、Windows NT病毒、OS/2病毒等，它們分別發作於DOS、Windows 9X、Windows NT、OS/2等操作系統平臺上的病毒。

5. 新型病毒

部分新型病毒由於其獨特性而暫時無法按照前面的類型進行分類，如宏病毒、黑客軟件、電子郵件病毒等。

宏病毒主要是使用某個應用程序自帶的宏編程語言編寫的病毒，如感染WORD系統的WORD宏病毒、感染EXCEL系統的EXCEL宏病毒和感染Lotus Ami Pro的宏病毒等。宏病毒與以往的病毒有著截然不同的特點，如它感染數據文件，徹底改變了人們的 "數據文件不會傳播病毒"的錯誤認識；宏病毒衝破了以往病毒在單一平臺上傳播的侷限，當WORD、EXCEL這類軟件在不同平臺(如WINDOWS、WINDOWS NT、OS/2和MACINTOSH等)上運行時，就可能會被宏病毒交叉感染；以往病毒是以二進制的計算機機器碼形式出現，而宏病毒則是以人們容易閱讀的源代碼形式出現，所以編寫和修改宏病毒比以往病毒更容易；另外宏病毒還具有容易傳播、隱蔽性強、危害巨大等特點。最終來說，宏病毒應該算是一種特殊的文件型病毒，同時它應該也可以算是"按程序運行平臺分類"中的一種特例。

黑客軟件本身並不是一種病毒，它實質是一種通訊軟件，而不少別有用心的人卻利用它的獨特特點來通過網絡非法進入他人計算機系統，獲取或篡改各種數據，危害信息安全。正是由於黑客軟件直接威脅各個廣大網民的數據安全，況且用戶手工很難對其進行防範的獨特特點，因此各大反病毒廠商紛紛將黑客軟件納入病毒範圍，利用殺毒軟件將黑客從用戶的計算機中驅逐出境，從而保護了用戶的網絡安全。

電子郵件病毒實際上並不是一類單獨的病毒，它嚴格來說應該劃入到文件型病毒及宏病毒中去，只不過由於這些病毒採用了獨特的電子郵件傳播方式（其中不少種類還專門針對電子郵件的傳播方式進行了優化），因此我們習慣於將它們定義為電子郵件病毒。

七、最新動態

近一段時間以來，計算機病毒不但沒有象人們想象的那樣隨著Internet的流行而趨於消亡，而是進一步的爆發流行，如CIH、Happy99等，它們與以往的病毒相比具有一些新的特點，如傳染性、隱蔽性、破壞性等，給廣大計算機用戶帶來了極大的經濟損失。為方便用戶的使用，現將計算機病毒的最新動態向大家做一個簡要介紹：

多形性病毒 多形性病毒又名 "幽靈"病毒，是指採用特殊加密技術編寫的病毒，這種病毒在每感染一個對象時採用隨機方法對病毒主體進行加密，因而完全多形性病毒的主要不同樣本中甚至不存在連續兩個相同的字節。這種病毒主要是針對查毒軟件而設計的，所以使得查毒軟件的編寫更困難，並且還會帶來許多誤報。

輕微破壞病毒 文件備份是人們用於對抗病毒的一種常用的方法，輕微破壞病毒就是針對備份而設計的。它每次只破壞一點點數據，用戶難以察覺，這就導致用戶每次備份的數據均是已被破壞的內容。當用戶發覺到數據被徹底破壞時，可能所有備份中的數據均是被破壞的，這時的損失是難以估計的。

宏病毒 宏病毒是使用某種應用程序自帶的宏編程語言編寫的病毒，目前國際上已發現五類：Word宏病毒、Excel宏病毒、Access宏病毒、Ami Pro宏病毒、Word Perfect宏病毒。其中Word宏病毒最多，流行最範圍最廣，96年下半年開始在我國出現，97年在全國各地廣泛流行，成為目前最主要的病毒，如Tw No. 1(臺灣一號)、Concept(概念)、SetMd、Cap、MdMa(無政府一號)等。

病毒生成工具 病毒生成工具通常是以菜單形式驅動，只要是具備一點計算機知識的人，利用病毒生成工具就可以象點菜一樣輕易地製造出計算機病毒，而且可以設計出非常複雜的具有偷盜和多形性特徵的病毒。如：G2、VCL、MTE、TPE等。

黑客軟件 黑客軟件本身並不是一種病毒，它實際上是一種通訊軟件，而不少別有用心的人卻利用它的獨特特點來通過網絡非法進入他人計算機系統，獲取或篡改各種數據，危害信息安全。正是由於黑客軟件直接威脅各個廣大網民的數據安全，況且用戶手工很難對其進行防範，因此各大反病毒廠商紛紛將黑客軟件納入病毒範圍，利用殺毒軟件將黑客從用戶的計算機中驅逐出境（黑客軟件對既沒有上Internet、又沒有連局域網純粹的單機沒有危害）。

電子郵件病毒 電子郵件病毒實際上並不是一類單獨的病毒，它嚴格來說應該劃入到文件型病毒及宏病毒中去，只不過由於這些病毒採用了獨特的電子郵件傳播方式（其中不少種類還專門針對電子郵件的傳播方式進行了優化，如前一段時間曾爆發流行的Happy99），因此我們習慣於將它們定義為電子郵件病毒。

八、病毒的破壞行為

不同病毒有不同的破壞行為，其中有代表性的行為如下：

1. 攻擊系統數據區 即攻擊計算機硬盤的主引尋扇區、Boot扇區、FAT表、文件目錄等內容（一般來說，攻擊系統數據區的病毒是惡性病毒，受損的數據不易恢復）。

2. 攻擊文件 是刪除文件、修改文件名稱、替換文件內容、刪除部分程序代碼等等。

3. 攻擊內存 內存是計算機的重要資源，也是病毒的攻擊目標。其攻擊方式主要有佔用大量內存、改變內存總量、禁止分配內存等。

4. 干擾系統運行 不執行用戶指令、干擾指令的運行、內部棧溢出、佔用特殊數據區、時鐘倒轉、自動重新啟動計算機、死機等。

5. 速度下降 不少病毒在時鐘中納入了時間的循環計數，迫使計算機空轉，計算機速度明顯下降。

6. 攻擊磁盤 攻擊磁盤數據、不寫盤、寫操作變讀操作、寫盤時丟字節等。

7. 擾亂屏幕顯示 字符顯示錯亂、跌落、環繞、倒置、光標下跌、滾屏、抖動、吃字符等。

8. 攻擊鍵盤 響鈴、封鎖鍵盤、換字、抹掉緩存區字符、重複輸入。

9. 攻擊喇叭 發出各種不同的聲音，如演奏曲子、警笛聲、炸彈噪聲、鳴叫、咔咔聲、嘀嗒聲

10. 攻擊CMOS 對CMOS區進行寫入動作，破壞系統CMOS中的數據。

11. 干擾打印機 間斷性打印、更換字符等。

九、防毒原則

1. 不使用盜版或來歷不明的軟件，特別不能使用盜版的殺毒軟件。

2. 寫保護所有系統盤，絕不把用戶數據寫到系統盤上。

3. 安裝真正有效的防毒軟件，並經常進行升級。

4. 新購買的電腦要在使用之前首先要進行病毒檢查，以免機器帶毒。

5. 準備一張乾淨的系統引導盤，並將常用的工具軟件拷貝到該軟盤上，然後加以保存。此後一旦系統受"病毒"侵犯，我們就可以使用該盤引導系統，然後進行檢查、殺毒等操作。

6. 對外來程序要使用盡可能多的查毒軟件進行檢查（包括從硬盤、軟盤、局域網、Internet、Email中獲得的程序），未經檢查的可執行文件不能拷入硬盤，更不能使用。

7. 儘量不要使用軟盤啟動計算機。

8. 一定要將硬盤引導區和主引導扇區備份下來，並經常對重要數據進行備份，防患於未然。

9. 隨時注意計算機的各種異常現象（如速度變慢、出現奇怪的文件、文件尺寸發生變化、內存減少等），一旦發現，應立即用殺毒軟件仔細檢查。

十、碰到病毒之後的解決辦法

1. 在解毒之前，要先備份重要的數據文件。

2. 啟動反病毒軟件，並對整個硬盤進行掃描。

3. 發現病毒後，我們一般應利用反病毒軟件清除文件中的病毒，如果可執行文件中的病毒不能被清除，一般應將其刪除，然後重新安裝相應的應用程序。同時，我們還應將病毒樣本送交反病毒軟件廠商的研究中心，以供詳細分析。

4. 某些病毒在Windows 98狀態下無法完全清除（如CIH病毒就是如此），此時我們應採用事先準備的乾淨的系統引導盤引導系統，然後在DOS下運行相關殺毒軟件進行清除。

十一、對計算機病毒的錯誤認識

隨著計算機反病毒技術的不斷髮展，廣大用戶對計算機病毒的瞭解也是越來越深，以前那種 "談毒色變"的情況再也不會出現了！不過本人在日常錯作過程中發現，許多用戶對病毒的認識還存在著一定的誤區，如"認為自己已經購買了正版的殺毒軟件，因而再也不會受到病毒的困擾了"、"病毒不感染數據文件"等，這些錯誤認識在一定程度上影響了用戶對病毒的正確處理（如前段時間不少被CIH病毒感染的計算機中都安裝有反病毒軟件，只不過由於用戶沒有及時升級殺毒軟件的病毒代碼才導致了這一悲劇）！為此，特將用戶的這些錯誤認識列舉如下，希望對大家今後的操作有所幫助。

錯誤認識一 "對感染病毒的軟盤進行瀏覽就會導致硬盤被感染"。我們在使用資源管理器或DIR命令瀏覽軟盤時，系統不會執行任何額外的程序，我們只要保證操作系統本身乾淨無毒，那麼無論是使用Windows 98的資源管理器還是使用DOS的DIR命令瀏覽軟盤都不會引起任何病毒感染的問題。

錯誤認識二 "將文件改為只讀方式可免受病毒的感染"。某些人認為通過將文件的屬性設置為只讀會十分有效的抵禦病毒，其實修改一個文件的屬性只需要調用幾個DOS中斷就可以了，這對病毒來說絕對是"小菜一碟"。我們甚至可以說，通過將文件設置為只讀屬性對於阻止病毒的感染及傳播幾乎是無能為力。

錯誤認識三 "病毒能感染處於寫保護狀態的磁盤"。前面我們談到，病毒可感染只讀文件，不少人由此認為病毒也能修改那些提供了寫保護功能的磁盤上的文件，而事實卻並非如此。一般來說，磁盤驅動器可以判斷磁盤是否寫保護、是否應該對其進行寫操作等，這一切都是由硬件來控制的，用戶雖然能物理地解除磁盤驅動器的寫保護傳感器，卻不能通過軟件來達到這一目的。

錯誤認識四 "反病毒軟件能夠清除所有已知病毒"。由於病毒的感染方式很多，其中有些病毒會強行利用自身代碼覆蓋源程序中的部分內容（以達到不改變被感染文件長度的目的）。當應用程序被這樣的病毒感染之後，程序中被覆蓋的代碼是無法復原的，因此這種病毒是無法安全殺除的（病毒雖然可以殺除，但用戶原有的應用程序卻不能恢復）。

錯誤認識五 "使用殺毒軟件可以免受病毒的侵擾"。目前市場上出售的殺毒軟件，都只能在病毒傳播之後才"一展身手"，但在殺毒之前病毒已經造成了工作的延誤、數據的破壞或其它更為嚴重的後果。因此廣大用戶應該選擇一套完善的反毒系統，它不僅應包括常見的查、殺病毒功能，還應該同時包括有實時防毒功能，能實時地監測、跟蹤對文件的各種操作，一旦發現病毒，立即報警，只有這樣才能最大程度地減少被病毒感染的機會。

錯誤認識六 "磁盤文件損壞多為病毒所為"。磁盤文件的損壞有多種原因，如電源電壓波動、掉電、磁化、磁盤質量低劣、硬件錯誤、其它軟件中的錯誤、灰塵、菸灰、茶水、甚至一個噴嚏都可能導致數據丟失（對保存在軟盤上的數據而言）。這些所作所為對文件造成的損壞會比病毒造成的損失更常見、更嚴重，這點務必引起廣大用戶的注意。

錯誤認識七 "如果做備份的時候系統就已經感染了病毒，那麼這些含有病毒的備份將是無用的"。儘管用戶所作的備份也感染了病毒的確會帶來很多麻煩，但這絕對不至於導致備份失效，我們可根據備份感染病毒的情況分別加以處理--若備份的軟盤中含有引導型病毒，那麼只要不用這張盤啟動計算機就不會傳染病讀；如果備份的可執行文件中傳染了病毒，那麼可執行文件就算白備份了，但是備份的數據文件一般都是可用的（除Word之類的文件外，其它數據文件一般不會感染病毒）。

錯誤認識八 "反病毒軟件可以隨時隨地防護任何病毒"。很顯然，這種反病毒軟件是不存在的！隨著各種新病毒的不斷出現，反病毒軟件必須快速升級才能達到殺除病毒的目的。具體來說，我們在對抗病毒時需要的是一種安全策略和一個完善的反病毒系統，用備份作為防病毒的第一道防線，將反病毒軟件作為第二道防線。而及時升級反病毒軟件的病毒代碼則是加固第二道防線的唯一方法。

錯誤認識九 "病毒不能從一種類型計算機向另一種類型計算機蔓延"。目前的宏病毒能夠傳染運行Word或Excel的多種平臺，如Windows 9X、Windows NT、Macintosh等。

錯誤認識十 "病毒不感染數據文件"。儘管多數病毒都不感染數據文件，但宏病毒卻可感染包含可執行代碼的MS-Office數據文件(如Word、Excel等)，這點務必引起廣大用戶的注意。

錯誤認識十一 "病毒能隱藏在電腦的CMOS存儲器裡"。不能！因為CMOS中的數據不是可執行的，儘管某些病毒可以改變CMOS數據的數值（結果就是致使系統不能引導），但病毒本身並不能在CMOS中蔓延或藏身於其中。

錯誤認識十二 "Cache中能隱藏病毒"。不能！Cache種的數據在關機後會消失，病毒無法長期置身其中。

怎麼樣？還不對照看看自己是不是陷入了某個認識上的誤區中？若真要是這樣，那可一定要小心噢！

閱讀更多 臥牛山井底蛙 的文章

關鍵字: 網絡安全 軟件 殺毒軟件