当前位置：首页 > news >正文

第十七章，反病毒---防病毒网管

news 来源：原创 2025/5/10 8:08:06

基于杀毒软件的一种防御技术，是一种被动的防御技术。

防病毒网关和主机上的杀毒软件在功能上互补和协作的关系。

病毒 --- 一般是感染或者附着在应用程序或文件中的；一般都是通过邮件或文件共享的方式进行传 输，从而对主机进行破坏 。

计算机病毒的基础

病毒 --- 恶意代码 。

计算机病毒具备破坏性、复制性和传染性的 。

下载与后门特性
- 下载特性 --- 自动连接某一个web站点。从这个web站点上去下载其他病毒文件。
- 后门特性
- 举例 --- 下载器病毒：本身是捆绑了多种病毒文件的木马程序。
信息收集特性
- QQ密码、聊天记录、游戏账号密码、银行账号密码、网页浏览器记录
- 举例 --- 火焰病毒 --- 网络战争武器
自身隐蔽特性 --- 很多病毒会将自己的属性设置为“隐藏”或者“只读”。
文件感染特性
网络攻击特性
- 举例 --- 爱虫病毒--->把自己伪装成情书。
  - windows outlook

免杀技术--- 免杀毒技术，是一种能使恶意代码免于被杀毒软件或杀毒设备查杀的技术 。 其本质还是 对病毒内容的修改 。

免杀技术 ---> 汇编语言 ( 反汇编语言 ) 、逆向工程、系统漏洞 ....

内存扫描器 --- 与实时监控扫描器协同工作。

应用程序在运行后，都会将自身释放到内存中，导致释放后的文件结构和未执行的文件有较大的差异。

内存扫描器和文件扫描器所使用的逻辑相同，但是使用的特征码不同。

内存扫描器精确度高于文件扫描器。

一般是需要和虚拟机技术配置使用的。

原理：在一个 完全隔离的环境 中，运行文件信息，监控文件的行为，并将其和其他病毒文件的行为 进行分析对比，如果某些程序在执行时进行了一些可疑的操作，那么认为是一个病毒文件 。

可以检测出来新生病毒 。

所谓的行为 --- 指的是应用程序运行后的操作。

行为特征 --- 一个程序按照某种顺序执行某一系列操作所具备的特征。

云查杀 --- “可信继承，群策群力”。
- 思路：以服务器为脑，所有用户的机器为触角；使得服务器可以随时随地知道每个用户的情况，如果其中一个用户和其他用户对比产生差异，那么服务器发出指令，让发生异常的机器进行检查，并将问题反馈给服务器。
可信继承
群策群力
- 某一台PC发现病毒，立即上报给服务器；服务器会将该信息通知给所有信任网络中的PC。
- 云计算和病毒木马--->分布式。
- 病毒木马感染的速度越快、感染的面积越大，则被云查杀捕获到的可能性越大。

最基本的思想是破坏特征，这个特征可能是特征码，也可能是行为特征，只要破坏了病毒或木马的 固有特征，并保证其原有功能没有被破坏，那么一次免杀就完成了 。

特征码 --- 病毒文件中独一无二的字符。如果某一个文件具有这个特征码，那么反病毒软件就会认为这个文件是病毒。反之，就是一个正常的文件。

修改文件特征码免杀技术

加壳、加花指令、直接修改特征码

直接修改特征码
- 特征码 --- 是能够识别一个程序的，不大于64字节的字符。
- 第一种思想，改特征码。---免杀的最初方法。
- 第二种，主要针对校验和查杀的免杀思想 。
  - 校验和 --- 也是根据病毒文件中与众不同的代码计算出来的，如果文件某个特定位置的校 验和符合病毒库中的特征，则反病毒软件会告警 。

加壳修改特征码
- 软件加壳 --- 软件加密或者软件压缩。一般的加密是为了防止陌生人随意访问我们的数据。但是加壳的目的是减少被加壳应用程序的体积，或避免让程序遭到不法分子的破坏和利用。
- 壳是增加的一个保护机制，它并不会破坏里面的程序。当我们运行加壳的程序时，系统首先会运行程序的“壳”，然后由“壳”来将加密的程序逐步的还原到内存中，最后运行程序。
加花指令修改特征码
- 花指令 --- 指的是一段毫无意义的指令（垃圾指令）。
  - 花指令是否存在对程序的执行结果没有影响，所以它存在的唯一目的就是阻止反汇编。
  - 加了花指令后，杀毒软件对木马静态反汇编时，木马的代码就不会正常显示出来，加大杀毒软件的查杀难度。
- 花指令会严重影响反病毒软件的检测机制；黑客为一个程序添加了一段花指令后，程序的部分 偏移会受到影响，如果反病毒软件无法识别这段花指令，那么它检测特征码的偏移量会整体位 移一段位置，自然就无法正常检测木马了。
- 花指令的本质 --- 扰乱程序运行顺序。
改变程序入口点修改特征码
- 程序入口点 --- 程序最开始执行的函数。
- 特点：与其他免杀方式结合。