计算机病毒与防范技术（第2版）

  本书依托"卓越工程师"项目由高校教师和业内明星企业专家共同编写而成,

　　《计算机病毒与防范技术（第2版）》比较全面地介绍了计算机病毒的基本理论和主要防治技术，对计算机病毒的产生机理、寄生特点、传播方式、危害表现以及防治和对抗进行了比较深入的分析和探讨。在计算机病毒的结构、原理部分，通过对源代码的具体分析，介绍了计算机病毒的自我隐藏、自加密、多态变形等基本的自我保护技术；在病毒防治技术部分，重点阐述了几种常见的病毒检测，比较详细地介绍了几款杀毒软件的工作原理和特点。与第1版相比，《计算机病毒与防范技术（第2版）》增加了有关移动通信病毒的剖析和防御技术的内容，更新了流行病毒的案例分析。
　　《计算机病毒与防范技术（第2版）》通俗易懂，注重可操作性和实用性，通过对典型计算机病毒的代码进行剖析，可使读者能够举一反三。《计算机病毒与防范技术（第2版）》可用作信息安全等计算机类学科的本科生教材，也可用作计算机信息安全职业培训的教材。同时，《计算机病毒与防范技术（第2版）》也可供广大计算机用户、计算机安全技术人员学习参考。

  赖英旭 博士、教授。从事网络安全、可信计算等方面的教学科研工作十余年。主持和参与了多个国家及省部级科研项目。刘思宇，北京瑞星科技股份有限公司副总裁。从事信息安全研究工作十余年，熟悉操作系统、应用系统安全构架，熟悉信息安全标准，流行的安全防御设备及软件。曾领导建立了瑞星互联网攻防实验室，构思并建立了瑞星云安全体系，在国内最早提出并实现了云安全技术。并曾领导及参与开发瑞星防火墙、防病毒网关，互联网预警系统、移动安全防护等一系列安全产品。现在为公司研发负责人。目前专注于系统安全漏洞、反病毒技术、网络底层和数据协议安全、黑客攻击手段及防护对策。杨震 博士、教授。从事数据挖掘、社会计算、可信计算等方面的教学科研工作十余年。主持和参与了多个国家及省部级科研项目。刘静 博士，北京工业大学信息学部计算机学院讲师。从事网络安全、可信计算等方面的教学科研工作十余年。具有丰富的教学和教材编写经验。叶超 北京瑞星科技股份有限公司安全研发总监，拥有十余年恶意软件的分析和对抗经验。刘进宝 资深移动安全研究员。从事移动信息安全研究工作多年，专注于Android及iOS平台的安全研究。

第1章 计算机病毒概述
1．1 什么是计算机病毒
1．2 计算机病毒的特征
1．3 计算机病毒的分类
1．3．1 根据寄生的数据存储方式划分
1．3．2 根据感染文件类型划分
1．3．3 根据病毒攻击的操作系统划分
1．3．4 根据病毒攻击的计算机类型划分
1．3．5 根据病毒的链接方式划分
1．3．6 根据病毒的破坏情况划分
1．3．7 根据传播途径分类
1．3．8 根据运行的连续性分类
1．3．9 根据激发机制划分
1．3．1 0根据病毒自身变化性分类
1．3．1 1根据与被感染对象的关系分类
1．3．1 2其他几种具有代表性的病毒类型
1．4 计算机病毒的命名
1．5 计算机病毒发展史
1．5．1 计算机病毒的起源
1．5．2 计算机病毒的发展过程
1．5．3 计算机病毒的发展阶段
1．5．4 计算机病毒的发展趋势
1．6 计算机病毒的危害
1．6．1 计算机病毒编制者的目的
1．6．2 计算机病毒对计算机应用的影响
1．7 计算机故障与病毒现象的区分
习题1

第2章 Windows文件型病毒
2．1 什么是文件型病毒
2．2 文件型病毒的特点及危害
2．3 PE文件格式详解
2．3．1 PE文件格式一览
2．3．2 PE Header结构详解
2．3．3 File Header结构详解
2．3．4 Optional Header
2．3．5 Section Table
2．3．6 Import Table
2．3．7 Export Table
2．4 文件型病毒的感染机制
2．5 典型的文件型病毒
2．5．1 典型的文件型病毒——WIN95．CIH病毒解析
2．5．2 新CIH病毒（WIN32．Yami）剖析
习题2

第3章 木马病毒
3．1 什么是木马病毒
3．2 木马病毒的特点及危害
3．3 木马病毒的结构和工作原理
3．3．1 木马病毒的结构
3．3．2 木马病毒的基本原理
3．4 典型的木马病毒解析
3．4．1 勒索软件的简介
3．4．2 典型的互联网化勒索软件——Ransom．Locky分析
3．5 防范木马病毒的安全建议
习题3

第4章 蠕虫病毒分析
4．1 什么是蠕虫病毒
4．1．1 蠕虫病毒的起源
4．1．2 蠕虫病毒与普通病毒的区别
4．2 蠕虫病毒的特点及危害
4．2．1 蠕虫病毒的特点
4．2．2 蠕虫病毒造成的社会危害
4．3 蠕虫病毒的结构和工作原理
4．3．1 蠕虫的基本结构
4．3．2 蠕虫的工作方式简介
4．3．3 蠕虫的目标定位机制
4．3．4 蠕虫的攻击机制
4．3．5 蠕虫的复制机制
4．4 典型蠕虫病毒解析
4．5 防范蠕虫病毒的安全建议
习题4

第5章 其他恶意代码分析
5．1 脚本病毒
5．1．1 什么是脚本病毒
5．1．2 脚本病毒的特点
5．1．3 脚本病毒的工作原理及处理方法
5．1．4 HAPPYTIME脚本病毒分析
5．1．5 网页挂马
5．1．6 防范脚本病毒的安全建议
5．2 软件漏洞攻击的病毒分析
5．2．1 什么是“心脏出血”漏洞
5．2．2 “心脏出血”漏洞的分析
5．2．3 漏洞攻击示例
5．2．4 漏洞修补
5．3 网络钓鱼
5．3．1 什么是网络钓鱼
5．3．2 网络钓鱼的手段及危害
5．3．3 防范网络钓鱼的安全建议
5．4 流氓软件
5．4．1 什么是流氓软件
5．4．2 流氓软件的分类及其流氓行径
5．4．3 流氓软件的危害
5．4．4 防范流氓软件的安全建议
5．4．5 典型流氓软件分析
习题5

第6章 移动通信病毒
6．1 什么是移动通信病毒
6．2 移动通信病毒的特点
6．2．1 手机病毒的传播途径
6．2．2 手机病毒的传播特点
6．2．3 手机病毒的危害
6．3 移动通信病毒的发作现象
6．4 典型手机病毒分析
6．4．1 手机病毒发展过程
6．4．2 Android病毒“XX神器”详细分析
6．4．3 百度Wormhole样本分析报告
6．4．4 iOS平台XcodeGhost病毒技术分析
6．5 移动通信病毒的安全防范与建议
习题6

第7章 计算机病毒常用技术
7．1 计算机病毒的加密与多态技术
7．1．1 计算机病毒加密技术
7．1．2 高级代码变形
7．1．3 加壳技术
7．2 计算机病毒的反调试、反跟踪、反分析技术
7．2．1 反静态分析、检测技术
7．2．2 反动态分析、检测技术
7．2．3 执行体隐藏保护技术
7．2．4 反制技术
7．3 加壳与脱壳
7．3．1 加壳
7．3．2 脱壳
习题7

第8章 计算机病毒对抗技术
8．1 计算机病毒的检测方法
8．1．1 计算机病毒的传统检测方法
8．1．2 启发式代码扫描技术
8．1．3 虚拟机查毒技术
8．1．4 病毒实时监控技术
8．1．5 计算机病毒的免疫技术
8．2 反病毒引擎技术剖析
8．2．1 反病毒引擎的地位
8．2．2 反病毒引擎的发展历程
8．2．3 反病毒引擎的体系架构
8．2．4 反病毒引擎的技术特征
8．2．5 反病毒引擎的发展方向
8．3 分类技术在恶意软件检测中的应用
8．3．1 特征选择
8．3．2 分类算法
8．4 Android恶意软件检测技术
8．4．1 APK文件分析
8．4．2 基于字符串的Android恶意软件检测技术
8．4．3 Android权限分析
8．4．4 基于权限的恶意应用检测技术
8．4．5 基于权限与行为的恶意软件检测
习题8

第9章 反病毒产品及解决方案
9．1 中国反病毒产业发展概述
9．2 主流反病毒产品特点介绍
9．2．1 瑞星杀毒软件
9．2．2 360系列杀毒软件
9．2．3 金山杀毒软件
9．2．4 赛门铁克杀毒软件
9．2．5 趋势科技杀毒软件
9．2．6 熊猫杀毒软件
9．2．7 卡巴斯基杀毒软件
9．2．8 安博士杀毒软件
9．2．9 江民杀毒软件
习题9

参考文献
附录A 计算机病毒代码分析案例
附录B 常用计算机病毒技术
词汇中英文对照

前言
随着计算机技术的不断发展和网络应用的普及，计算机系统已经能够实现生活、管理、办公的自动化，成为人类社会不可或缺的部分。但是，高速发展的计算机和网络技术在给人们带来巨大便利的同时，也带来了各种各样的威胁。计算机病毒便是其中最不安全的因素之一。随着网络的飞速发展，计算机病毒的传播速度也越来越快，如果不能运用有效手段预测、查杀计算机病毒，将对社会造成极大的危害。如何防治计算机病毒已成为计算机安全领域研究的重要课题。
本书重点分析了计算机病毒的运行机制，采用代码剖析的方式讲解计算机病毒。在分析计算机病毒技术的基础上，讲述如何检测和清除计算机病毒技术。
全书分为9章，具体内容如下。
第1章计算机病毒概述。本章首先以生物病毒为例，介绍了计算机病毒的定义、特征和分类，然后阐述计算机病毒和破坏程序的发展。通过本章的学习，读者可比较全面地了解计算机病毒等破坏性程序的基本概念和预防知识。
第2章Windows文件型病毒。本章主要介绍文件型病毒特点与危害、PE文件格式和文件型病毒感染机制，给出了典型文件型病毒的代码片段，剖析了文件型病毒编制技术。
第3章木马病毒。为了使读者充分了解特洛伊木马，本章详细分析了木马的技术特征、木马入侵的一些常用技术；以及木马入侵的防范和清除方法。此外，还对几款常见木马病毒的防范进行了较为详细的说明。
第4章蠕虫病毒分析。本章着重介绍了蠕虫病毒的特点及危害、蠕虫病毒的结构和工作原理。为了使读者更充分地了解蠕虫病毒的技术特征，对典型蠕虫病毒进行了解析。
第5章其他恶意代码分析。本章介绍了一些采用特殊技术的计算机病毒。通过对典型病毒的代码剖析，对一些计算机病毒所用的技术进行了介绍。
第6章移动通信病毒。移动通信病毒是随着智能终端的广泛使用而流行的。本章介绍了移动通信病毒的传播途径、传播特点和危害，对典型的手机病毒进行了剖析，使读者了解新型病毒的发展趋势。
第7章计算机病毒常用技术。本章介绍了计算机病毒的加密、多态技术、反跟踪、反调试和反分析技术，使读者了解病毒检测的复杂性。
第8章计算机病毒对抗技术。本章首先介绍了计算机病毒防治技术的现状，然后讲解了一些非常重要的计算机病毒防治技术和移动通信病毒防御技术。
第9章反病毒产品及解决方案。本章通过介绍企业反病毒技术和工具，给出了一些典型病毒防治体系的解决方案。
本书由北京工业大学的赖英旭、杨震、刘静、杨胜志和北京瑞星信息技术有限公司的刘思宇、叶超、刘进宝共同编写，全书最后由赖英旭和刘静统稿。他们有多年大学本科计算机病毒与防范技术的教学和产品研发工作的经验。
本书的研究和编写工作受到教育部“卓越工程师教育培养计划”资助。同时本书还被评为“十二五”普通高等教育本科国家级规划教材和北京高等教育精品教材。本书从各种书刊及互联网中引用了大量的资料，在文字的录入和整理方面得到了李健老师的帮助，在此谨向他们表示衷心感谢。
由于时间和水平有限，书中难免有不足之处，恳请读者批评指正，使本书得以改进和完善。

作者
2019年10月于北京