Word宏病毒及其防治 一、Word宏病毒 Word宏实际上是用Word本身提供的Word Basic编写的一段小程序，是为了方便用户编辑文档，避免重复相同动作而设计出来的一种工具。用户完全可以利用简单的语法，借助于Word Basic，把自己常用的动作写成Word宏，这样，当撰写文档时，就可以直接利用事先编好的Word宏，而不必重复繁琐的动作。 所谓Word宏病毒，实际上就是利用Word所包含的自动宏功能，作为其撰写病毒的工具，即利用Word宏写成的病毒。 一般而言，早期的Word宏病毒并不破坏硬盘，可是近来有趋向破坏硬盘资料的病毒出现，于是Word宏病毒的破坏力越来越不可忽视。
二、Word宏病毒的传播机制
由于Word宏病毒是利用Word宏写成的病毒，而Word宏又是用Word Basic编写的一段小程序。每个Word宏都是其触发条件，可以把Word宏与工具条按钮、菜单项或者热键联系起来。这样当按下该按钮、选择该菜单项或者按下该热键时，这段Word Basic程序就被执行。另外有一些Word宏在特定条件下还可以被自动调用。例如，如果新建立一个Word宏，Word退出时会提示是否保存，假设回答是，该宏就将被保存到模板Normal.dot文件中，并且以后每次进入Word都可调用该Word宏，由于Word本身所附带的Word Basic提供了丰富的函数，熟练地使用Word宏能够大大提高工作率，达到事半功倍的效果，但也是为病毒的产生提供了条件。
Word新建一个文件时总是使用模板文件Normal.dot，在该模板中保存了公用宏，除此之外，Word不允许每个文档文件包含私用宏，这些Word宏只能在文档打开时使用，关闭后不能使用。
Word宏的传播就是通过Word文件(*.doc)和模板文件Normal.dot进行的，被感染的Word文档中通常含有三个Word宏：AutoOpen、AutoClose、AutoNew。用“干净”的Word打开一个被感染的Word文档后，当保存该文件时，该文件中的AutoOpen宏被自动执行，这个宏利用函数MacroCopy将AutoOpen、AutoClose、AutoNew复制到模板文件Normal.dot。至此该Word已被感染，以后每当新建、打开或关闭一个Word文档，这三个宏都将被复制到“干净”的文档中去，Word宏病毒就是这样传播的。
三、Word宏病毒的诊断
我们已经了解Word宏病毒的传播机制，那么该如何发现和查找Word宏病毒呢?
一般说来，可以通过多种现象发现其存在。例如：
（1）Word运行时出现怪现象，如自动创建文件、开设窗口等等。
（2）使用过的文件属性被改变，或Word自动对一张写保护的软盘强行存盘。
（3）原Word文档无法另存为其它格式的文件。
注：以上所述只是部分Word宏病毒现象，而且不同的Word宏病毒现象也不尽相同，需要灵活处理。
通过上述现象只能初步断定Word宏病毒的存在。要想证实，还需要进一步查找验证。由于现有的Word病毒查找软件一般只能查出现有的宏病毒，不一定能够查出新出现的Word宏病毒，下面介绍一种简便有效的Word宏病毒查找方法(这里以Windows 98、Word 97为例)。其查找步骤如下：
1. 在Windows 98桌面上，依次单击“开始”→“查找”→“查找文件或文件夹”菜单项，在弹出的对话框的“名称”栏输入“*.doc”或“*.dot”，在“搜索”一栏输入待查找路径。
2.在“包含文字”一栏中输入“AutoOpen”。
3. 单击“文件”菜单中的“保存搜索”菜单选项，单击“开始查找”铵钮。
一般说来，经过上述操作所查找到的文件即为染有Word宏病毒的文件。为了进一步验证，可以打开相应文件(怀疑染有Word宏病毒的文件)，单击“工具→宏”菜单选项，再单击“管理器”按钮，这时可以看到两个列表框，分别列出Word文件和模板文件Normal.dot中的所有宏，在列表框中选取可疑的、来历不明的宏，再单击“编辑”按钮，就可以编辑宏的源代码，如果发现函数MacroCopy，就可以断定是Word宏病毒。
四、Word宏病毒的清除
一般说来，清除Word宏病毒有如下三种方法：手工清除、软件清除和自动清除。
(一)手工清除
所谓手工清除Word宏病毒，即用手工的方法将模板文件Normal.dot和Word文件中构成病毒的宏删除。
(二)软件清除
如果觉得手工清除Word宏病毒方法过于繁琐，可以从ftp.thu.edu.ew／antivirus／处下载Super Scanner超级病毒扫描者，文件名叫做ss961108.exe。
超级病毒扫描者的具体使用步骤如下：
在Windows 95的桌面上，单击“开始”→“运行”菜单项，在弹出的对话框中填入放置sscan.exe的路径名称及sscan，后面空一格，再键入要查找宏病毒的磁盘名称或路径名称，接着单击“确定”按钮，sscan就会开始查找Word宏病毒。一旦发现Word宏病毒，sscan就人询问是否要清除此Word宏病毒。请选择Y，则Word宏病毒即可被清除。
超级病毒扫描者是目前市场上查找Word宏病毒最为准确及清除宏病毒最为安全的程序。它同时可以查找清除末知的Word宏病毒。
(三)自动清除
如果无法得到有关Word宏病毒查找清除软件，则也可以根据Word宏病毒特性编写相应的宏来进行自动清除。
这种方法的优点是显而易见的，它能够有效地清除Word宏病毒，而且还可以进行扩充。有兴趣的读者完全可以写出更好的Word宏病毒清除程序。
（郭 俊）