电脑病毒知多少 电脑病毒是什么？ 所谓电脑病毒（Computer Virus），是指那些能够通过修改程序并把自身包括在内去“传染”其它程序的程序。所以说，病毒的本质是“程序”，是一组能执行的、并且是满足一定条件才被执行的指令。 衡量病毒的标准 病毒的最大特点是具有“主动传染性”。 病毒可以侵入到整个系统，使其受到感染，而每个受感染的程序又可能成为一个病毒，继续将病毒传染给其它程序。这使它有别于同样具有隐蔽性、激发性和攻击性的逻辑炸弹、特洛伊木马等。传染性成为判定一个程序是否为病毒的首要条件。
电脑病毒的传播途径
电脑病毒主要是通过一个从磁盘装入的带病毒的程序，或者通过一个从网络通信交换的带病毒的程序侵入系统的。
电脑用户共享软件或使用来历不明的软盘是病毒传播的主要途径。尤其是PC电脑采用开放式系统，电脑病毒很容易在其间传播。
更严重的是，在网络上大家共享服务器上的软件，一旦病毒通过任何一台工作站侵入服务器，那么另一工作站调用执行服务器上的带病毒的程序时，病毒就传播出去了。
另外，电子布告栏（BBS）也是病毒传播的一种途径，其感染与网络的情况相似。
电脑病毒的组成部分
从电脑病毒的运作过程来看，病毒大体上可以分为三个部分，即病毒引导程序、病毒传染程序、病毒病发程序。
电脑病毒是如何运作的
电脑病毒的运作，可分为引导、传染、病发三个阶段。
病毒引导阶段 ：电脑病毒被执行并开始活动。由于一个人不会故意去执行一个明知是病毒的程序，所以电脑病毒势必要附着（寄生）在其它可执行的程序（即宿主程序）上，以便在宿主程序被执行时，顺便执行自身。对于需要驻留内存的病毒，引导时会将病毒主体程序引导到内存的适当位置，并设置必要的参数。
病毒传染阶段 ：病毒被引导之后，开始以各种方式将自身复制并附着到更多其它的宿主程序上。这是电脑病毒的最大特色。病毒的传染方式基本可分为两大类，一是立即传染，即病毒在被执行的瞬间，抢在宿主程序开始执行前，立即感染磁盘上的其它程序，然后再执行宿主程序；二是驻留内存并伺机传染，内存中的病毒检查当前系统环境，在执行一个程序或DIR等操作时传染磁盘上的程序，驻留在系统内存中的病毒程序在宿主程序运行结束后，仍可活动，直至关闭电脑。
病毒病发阶段：它使潜伏在系统中的病毒处于发作就绪状态，一旦引发病毒，就执行病毒发作所需的操作。
病毒定名的常用方法
定名病毒的常用方法有以下几种：
（1）以病毒激发时间定名：这种定名取决于病毒表现或破坏系统的激发时间，这类病毒的表现或破坏部分一般为定时炸弹，如“黑色星期五”，是因为该病毒在某月的13日恰逢星期五时破坏执行的文件而得名；又如“米氏”病毒，其病发时间是3月6日，而3月6日是世界著名艺术家米开朗琪罗的生日，于是得名“米开朗琪罗”病毒（简称为“米氏”病毒）。
（2）以病毒表现症状定名：以病毒发作时的表现现象来定名，如“小球”病毒，是因为该病毒病发时在屏幕上出现小球不停地运动而得名；又如“火炬”病毒，是因为该病毒病发时在屏幕上出现五支闪烁的火炬而得名；再如Yankee病毒，因为该病毒激发时将演奏Yankee Doodle乐曲，于是人们将其定名为Yankee病毒。
（3）以病毒自身包含的标志定名：以病毒中出现的字符串、病毒标识、存放位置或在病发表现时病毒自身宣布的名称来定名，如“大麻”病毒中含有Marijunana及Stoned字样，所以人们将该病毒定名为Marijunana（译为“大麻”）和Stoned病毒；又如“Liberty”病毒，是因为该病毒中含有该标识；再如“Disk Killer”病毒，该病毒自称为Disk Killer（磁盘杀手）。
（4）以病毒的发现地定名：以病毒首先发现的地点来定名，如“黑色星期五”又称Jurusalem（耶路撒冷）病毒，是因为该病毒首先在Jurusalem发现；又如 Vienna（维也纳）病毒是首先在维也纳发现的。
（5）以病毒的字节长度定名：以病毒传染文件时文件的增加长度或病毒自身代码的长度来定名，如1575、2153、1701、1704、1514、4096等。
引导型病毒及其主要特点
引导型病毒是一种在BIOS启动之后，系统引导时出现的病毒，它先于操作系统，依托的环境是BIOS中断服务程序。引导型病毒是利用操作系统的引导模块放在某个固定的位置，并且控制权的转交方式是以物理位置为依据，而不是以操作系统引导区的内容为依据，因而病毒占据该物理位置即可获得控制权，而将真正的引导区内容搬家转移或替换，待病毒程序执行后，将控制权交给真正的引导区内容，使得这个带病毒的系统看似正常运转，而病毒已隐藏在系统中并伺机传染、发作。
引导型病毒按其寄生对象的不同又可分为两类，即MBR（主引导区）病毒和BR（引导区）病毒。MBR病毒也称为分区病毒，将病毒寄生在硬盘分区主引导程序所占据的硬盘０头０柱面第１个扇区中。典型的病毒有大麻(Stoned)、2708、INT60病毒等。BR病毒是将病毒寄生在硬盘逻辑０扇或软盘逻辑０扇（即０面０道第１个扇区）。典型的病毒有Brain、小球病毒等。
由于引导型病毒是在安装操作系统之前进入内存，寄生对象又相对固定，所以该类型病毒基本上不得不采用减少操作系统所掌管的内存容量(0:413H单元)方法来驻留内存高端，为了使病毒能传染给软盘，普遍修改INT 13H的中断向量，而新INT 13H中断向量段址必定指向内存高端。不驻留内存的引导型病毒极少见。
文件型病毒及其驻留方式
文件型病毒是一种感染文件扩展名为COM、EXE和 OVL等可执行程序的病毒。它的安装必须借助于病毒的载体程序，即要运行病毒的载体程序，方能把文件型病毒引入内存。
文件型病毒分为源码病毒、嵌入型病毒和外壳型病毒。源码病毒是用高级语言编写的，若不进行汇编、链接则无法传染扩散。嵌入型病毒是嵌入在程序的中间，它只能针对某个具体程序，如dBASE病毒。这两类病毒受环境限制尚不多见。目前流行的文件型病毒几乎都是外壳型病毒，这类病毒寄生在宿主程序的前面或后面，并修改程序的第一个执行指令，使病毒先于宿主程序执行，这样随着宿主程序的使用而传染扩散。
文件外壳型病毒按其驻留内存方式可分为高端驻留型、常规驻留型、内存控制链驻留型、设备程序补丁驻留型、不驻留内存型。
(1) 高端驻留型病毒是通过申请一个与病毒体大小相同的内存块来获得内存控制块链中最后一个区域头，并通过减少最后一个区域头的分配块节数来减少内存容量，而使病毒驻留内存高端可用区。典型的病毒有 Yankee。
(2) 常规驻留型病毒是采用DOS功能调用中的常驻退出的调用方式，将病毒驻留在系统分配给宿主程序的空间中。为了避免与宿主程序的合法驻留相冲突，这类病毒通常采用二次创建进程的方式，把宿主程序分离开来，并将病毒体放在宿主程序的物理位置的前面，从而使得病毒只驻留病毒体本身。典型的病毒有 Jerusalem(黑色星期五)、Sunday。
(3) 内存控制链驻留型病毒是将病毒驻留在系统分配给宿主程序的位置，并为宿主程序重新创建一个内存块，通过修改内存控制块链，使得宿主程序结束后只回收宿主程序的内存空间，从而达到病毒驻留内存的目的。典型的病毒有 Cascade/1701。
(4) 设备程序补丁驻留型病毒是将病毒作为补丁驻留到设备驱动程序区，并通过修改设备链，使病毒体成为某个设备驱动程序的一部分，并获得优先执行权。这类病毒一般跟DOS版本有些关系。典型的病毒有DIR 2。
电脑病毒的几种激发方式
通俗地说，一般的电脑病毒就是会传染的逻辑炸弹，激发逻辑炸弹的主要方式有以下几种：
（1）某个数据的出现。
（2）某个特定时间的到来。如“黑色星期五”的激发条件是某月13日逢星期五的日子。
（3）一天的某个时刻。如Yankee 病毒的激发条件是每天下午5点多。
（4）开机后的某个时刻。如“小球”病毒的激发条件是开机后的半点或整点。
（5）自我复制或运行N次之后。如2708病毒的激发条件是该病毒传染硬盘后，硬盘启动32次。
（6）做某件工作时。如“反CPAV”病毒的激发条件是用CPAV进行病毒检查时。
（7）按某个组合键时。如AIDS病毒的激发时间是从键盘按序输入A、I、D、S键时。
（8）组合型。如“侵略者”病毒的激发时间是开机后机器运行时间和病毒传染个数成某个比例时，恰好按Ctrl+Alt+Del组合键试图重新启动系统则病发。
电脑病毒有哪些破坏方式
电脑病毒激发后，就可能进行破坏活动，轻者干扰屏幕显示，降低电脑运行速度，重者使电脑软硬盘文件、数据被肆意篡改或全部丢失，甚至使整个电脑系统瘫痪。
常见的破坏方式有：
（1）删除磁盘上特定的可执行文件或数据文件。如“黑色星期五”、“新世纪”病毒。
（2）修改或破坏文件中的数据。如DBASE病毒。
（3）在系统中产生无用的新文件。如APOLLO病毒。
（4）对系统中用户储存的文件进行加密或解密。如“密码”病毒。
（5）毁坏文件分配表。如SRI848病毒。
（6）改变磁盘上目标信息的存储状态。如DIR病毒。
（7）更改或重新写入磁盘的卷标。如Brain病毒。
（8）在磁盘上产生“坏”的扇区，减少盘空间，达到破坏有关程序或数据文件的目的。如“雪球”病毒。
（9）改变磁盘分配，使数据写入错误的盘区。
（10）对整个磁盘或磁盘的特定磁道进行格式化。如“磁盘杀手”。
（11）系统空挂，造成显示屏幕或键盘的封锁状态。如1701病毒。
（12）影响内存常驻程序的正常运行。
（13）改变系统的正常运行过程。
（14）盗取有关用户的重要数据。
电脑病毒的本质弱点
电脑病毒是一些能够自我复制的程序段，它能附在应用程序或系统文件的可执行部分。在宿主程序执行的某些阶段，它能够获得执行控制权。按病毒传染机理可分为两大类：一类是系统引导型，它感染系统引导时的程序（系统引导扇区、操作系统的某些模块、设备驱动程序等）；另一类是文件型，它感染可执行的程序文件（即应用程序，含COM文件、EXE文件或覆盖文件等）。
透过各种病毒的分析，可以发现病毒有三个本质弱点：
（1）病毒的宿主目标必须是电脑系统的可执行程序，也就是说它们只能感染系统引导程序或应用程序。
（2）病毒的感染总是以某种方式改变被感染的程序段，如果附在现存程序上，它会改变程序的开头、结尾或程序中间的某些部分，如果它隐藏在磁盘的某些区，它会更改这些区的内容。
（3）如果病毒要存活、传播，那么它的程序代码必须能够被执行，即病毒必须把自身或一部分定位于宿主程序的特殊位置，以便获得控制权。
实际上，现有PC病毒都是通过改变宿主程序的第一条执行的指令，达到先于宿主程序执行的目的。对于COM文件，病毒替换它的第一条指令（因为COM文件入口地址固定为CS:100H）；对于EXE文件，病毒改变入口指针（在文件头）；对于中断服务程序，也类似地改变它的中断向量。因此，病毒破坏了被感染程序的数据真实性，准确地说是破坏了被感染程序第一条被执行指令的真实性。所以，对应用程序的校验只要针对第一条执行的指令和附近的数据，既可保证准确性，又减少检测时间。
（林 军）