［ 作者：佚名 轉(zhuǎn)貼自：電腦編程技巧與維護(hù) 點(diǎn)擊數(shù)：2555 更新時(shí)間：2007-5-21 文章錄入：聶宏飛］
一、 主要病毒類(lèi)型
據(jù)有關(guān)資料報(bào)道和業(yè)內(nèi)人士稱(chēng)，病毒實(shí)際上就是人為編寫(xiě)的惡性程序?！「鶕?jù)病毒特有的算法，病毒又可以劃分為伴隨型病毒、蠕蟲(chóng)病毒等。
無(wú)害型：除了傳染時(shí)減少磁盤(pán)的可用空間外，對(duì)系統(tǒng)沒(méi)有其他影響。
無(wú)危險(xiǎn)型：這類(lèi)病毒僅僅是減少內(nèi)存、顯示圖像、發(fā)出聲音及異常音響。
危險(xiǎn)型：這類(lèi)病毒在計(jì)算機(jī)系統(tǒng)操作中造成嚴(yán)重的錯(cuò)誤。
非常危險(xiǎn)型：這類(lèi)病毒刪除程序、破壞數(shù)據(jù)、清除系統(tǒng)內(nèi)存區(qū)和操作系統(tǒng)中重要的信息。
在計(jì)算機(jī)病毒出現(xiàn)的初期，說(shuō)到計(jì)算機(jī)病毒的危害，往往注重于病毒對(duì)計(jì)算機(jī)系統(tǒng)的直接破壞作用，比如格式化硬盤(pán)、刪除文件數(shù)據(jù)等，并以此來(lái)區(qū)分惡性病毒和良性病毒，其實(shí)這些只是病毒劣跡的一部分，隨著計(jì)算機(jī)應(yīng)用的發(fā)展，人們深刻地認(rèn)識(shí)到凡是病毒都可能對(duì)計(jì)算機(jī)及系統(tǒng)造成嚴(yán)重的破壞。主要表現(xiàn)在如下方面： 病毒激發(fā)后對(duì)計(jì)算機(jī)數(shù)據(jù)信息的直接破壞作用； 占用磁盤(pán)空間和對(duì)信息的破壞；搶占系統(tǒng)資源；影響計(jì)算機(jī)運(yùn)行速度，病毒進(jìn)駐內(nèi)存后不但干擾系統(tǒng)運(yùn)行，還影響計(jì)算機(jī)速度；計(jì)算機(jī)病毒給用戶造成嚴(yán)重的心理壓力。
二、 USB接口病毒作用特征
USB是“Universal Serial Bus”的縮寫(xiě)，意思是“通用串行總線”， 是電腦系統(tǒng)接駁外圍設(shè)備(如U盤(pán)，活動(dòng)硬盤(pán)、鍵盤(pán)、鼠標(biāo)、打印機(jī)等)的輸入/輸出接口標(biāo)準(zhǔn)?，F(xiàn)今用此種總線連接的設(shè)備非常多，使用極為廣泛，USB接口病毒最大的特征就是利用USB接口這一特性而感染計(jì)算機(jī)的， 通過(guò)運(yùn)行磁盤(pán)根目錄下的Autorun.inf文件來(lái)激活。隨著USB設(shè)備具有移動(dòng)性和使用上方便性，使得這類(lèi)病毒傳播起來(lái)速度非常之快，也正因?yàn)槿绱?，USB接口病毒種類(lèi)和變種較多。
本程序在充分了解和分析了USB接口病毒的作用原理的基礎(chǔ)上設(shè)計(jì)出專(zhuān)殺工具，達(dá)到清除病毒的目的。
三、 流程及步驟：
實(shí)現(xiàn)該程序的關(guān)鍵是尋找病毒樣本（受感染的U盤(pán)或計(jì)算機(jī)），觀察受U盤(pán)病毒感染的磁盤(pán)和計(jì)算機(jī)病態(tài)特征，通過(guò)阻斷、設(shè)立陷阱、注冊(cè)表監(jiān)控等方法，分析和總結(jié)USB接口病毒等癥狀和激發(fā)條件，在弄清作用原理和機(jī)制的基礎(chǔ)上，應(yīng)用編程工具，設(shè)計(jì)出清除實(shí)驗(yàn)對(duì)象（病毒）的專(zhuān)用程序，從而完成設(shè)計(jì)目標(biāo)。整個(gè)設(shè)計(jì)主要步驟所示。
Y
病毒清除
病毒特征分析
搜集安全信息
搜集病毒樣本
病毒樣本鑒別
清除程序設(shè)計(jì)
結(jié)束
N
調(diào)試
其中各部分的主要含義如下：
1．搜集安全信息
通過(guò)受感染的計(jì)算機(jī)在第一時(shí)間收集最新的安全信息。同時(shí)也訪問(wèn)一些安全網(wǎng)站、安全論壇等進(jìn)行溝通交流，將這些途徑作為輔助手段，盡可能獲得相當(dāng)多安全信息。同時(shí)還要了解微軟Windows操作一些使用常識(shí)和安全漏洞，它們也是信息收集工作的重點(diǎn)之一，因?yàn)槿缃竦腢盤(pán)病毒也是利用操作特點(diǎn)和漏洞進(jìn)行傳播攻擊的。在掌握了第一手安全信息資料后，需要馬上做好記錄，并立即考慮處理方案。
2．搜集病毒樣本
收集樣本要通過(guò)很多途徑，可以通過(guò)受感染的計(jì)算機(jī)來(lái)收集，也可向計(jì)算機(jī)用戶提出請(qǐng)求，索取病毒樣本，還可訪問(wèn)一些與病毒相關(guān)的論壇，查看各種相關(guān)的帖子和網(wǎng)頁(yè)，或者通過(guò)我們?yōu)椴《驹O(shè)置的陷阱。另外，收郵件也是獲得樣本的重要途徑。
3．病毒樣本鑒別
獲取樣本后自然是鑒定，鑒定主要依靠病毒表現(xiàn)特征，判斷可疑程序究竟是什么性質(zhì)，如果是惡意的，那么就定義為病毒或者木馬。這對(duì)有經(jīng)驗(yàn)的用戶來(lái)講，有些類(lèi)型憑經(jīng)驗(yàn)就可鑒別，還可借助專(zhuān)用的工具和特殊的流程來(lái)實(shí)現(xiàn)。
4．病毒特征分析
當(dāng)定性為病毒過(guò)后，接下來(lái)就是對(duì)病毒進(jìn)行分析，判定危害級(jí)別，并且進(jìn)一步分析病毒的作用機(jī)制，包括對(duì)Windows注冊(cè)表控制、進(jìn)程、駐留方式、反清除（刪除）能力等。這有利于后一步程序設(shè)計(jì)，使編寫(xiě)程序有的放矢地針對(duì)某個(gè)病毒開(kāi)發(fā)出清除模塊。
5．清除程序設(shè)計(jì)
根據(jù)已經(jīng)掌握病毒樣本，針對(duì)不同病毒特征和作用機(jī)制，利用編程語(yǔ)言設(shè)計(jì)與開(kāi)發(fā)相應(yīng)的程序模塊和代碼編寫(xiě)，并在設(shè)計(jì)過(guò)程中和模塊建立后進(jìn)行效果檢驗(yàn)與測(cè)試。
四、 病毒特征分析
目前U盤(pán)病毒種類(lèi)和變種較多，選擇了其中3種具有感染頻率高，危害較大的種類(lèi)作為此次程序設(shè)計(jì)的主要研究對(duì)象。
這三個(gè)對(duì)象是：RavMonE.exe病毒、Sxs.exe病毒和Vbs病毒。它們都是當(dāng)今U盤(pán)病毒類(lèi)型中高感染率類(lèi)型，其中RavMonE.exe病毒是被認(rèn)出現(xiàn)最早的USB病毒，Sxs.exe病毒是感染率較高且不易清除的一種病毒，而Vbs病毒是公認(rèn)變種（變型）最多的病毒之一。
對(duì)多臺(tái)受U盤(pán)病毒感染的計(jì)算機(jī)做多次實(shí)驗(yàn)分析，通過(guò)阻斷、設(shè)立陷阱、進(jìn)程控制和注冊(cè)表觀察等方法，分析和總結(jié)了USB接口病毒等癥狀和傳染激發(fā)條件，基本弄清了上述三種病毒的判別特征和作用機(jī)制，揭示UBS接口病毒發(fā)作及危害的本質(zhì)。詳細(xì)解釋如表1所示。
1. 病毒判別特征
表1 U盤(pán)RavMonE病毒/Sxs病毒/Vbs病毒特征
病毒名稱(chēng)
病毒特征
感染途徑與危害機(jī)制
樣本數(shù)（U盤(pán)）
RavMonE.exe
①RavMonE.exe是最早的USB接口病毒，在U盤(pán)、移動(dòng)硬盤(pán)上傳播。
②該病毒由如下文件組成：Autorun.inf、Msvcr71.dll、RavMonE.exe和RavMonLog，當(dāng)用戶雙擊U盤(pán)盤(pán)符，會(huì)激活A(yù)utorun.inf病毒，并隨用戶操作磁盤(pán)自動(dòng)加載RavMonE.exe，中毒之后，計(jì)算機(jī)識(shí)別U盤(pán)時(shí)會(huì)極為緩慢，且病毒又會(huì)傳染給別的U盤(pán)，單看文件名就可判定這是病毒RavMonE.exe，企圖冒充瑞星殺毒軟件的正常文件RavMon.exe和RavMonD.exe。
③計(jì)算機(jī)初級(jí)用戶若不在意會(huì)誤以為：RavMonE.exe也是正常程序文件。
①修改注冊(cè)表
②進(jìn)程控制
③利用磁盤(pán)根目錄下的Autorun.inf文件實(shí)現(xiàn)自啟動(dòng)
④文件自我復(fù)制到Windows和System32目錄
30
Sxs.exe
①該病毒在每個(gè)盤(pán)根目錄下自動(dòng)生成Sxs.exe,Autorun.inf文件，有的還在Windows\System32下生成Svohost.exe 或 Sxs.exe 。
②所有病毒文件屬性為隱藏屬性。自動(dòng)禁用殺毒軟件。主要通過(guò)U盤(pán)，移動(dòng)硬盤(pán)傳播。
③按Ctrl+Del+Alt查看進(jìn)程，可能多出一個(gè)Svohost進(jìn)程，它與系統(tǒng)自帶的Svchost只差一字，具有很強(qiáng)迷惑性！
③識(shí)別時(shí)，按Ctrl+Del+Alt查看進(jìn)程，可能多出Svohost進(jìn)程!
①修改注冊(cè)表
②隱藏進(jìn)程
③利用磁盤(pán)根目錄下的Autorun.inf文件實(shí)現(xiàn)自啟動(dòng)
④病毒文件自我或多目標(biāo)復(fù)制
21
Vbs
①雙擊盤(pán)符無(wú)法打開(kāi)，顯示缺少Autorun.vbs,無(wú)論雙擊哪個(gè)盤(pán)的圖標(biāo)，系統(tǒng)都會(huì)重新打開(kāi)一個(gè)窗口。
該病毒主要通過(guò)U盤(pán)感染，中毒現(xiàn)象表現(xiàn)為主機(jī)不停的發(fā)出聲音，類(lèi)似于讀軟盤(pán)的聲音，打印機(jī)無(wú)法正常工作且驅(qū)動(dòng)無(wú)法安裝。
②按Ctrl+Del+Alt查看進(jìn)程，如多出至少一個(gè)Wscript.exe進(jìn)程，表明可能已中此毒。
③中毒后Windows或Windows\System32目錄和各磁盤(pán)根目錄下，會(huì)多出7個(gè)文件：Autorun.bat Autorun.vbs Autorun.bin Autorun.inf Autorun.txt Autorun.reg Autorun.wsh
①修改注冊(cè)表
②隱藏和產(chǎn)生新進(jìn)程Wscript.exe
③利用磁盤(pán)根目錄下的Autorun.*多個(gè)文件關(guān)聯(lián)實(shí)現(xiàn)自啟動(dòng)和自保護(hù)
④病毒文件自我或多目標(biāo)復(fù)制。
