按键盘上方向键 ← 或 → 可快速上下翻页，按键盘上的 Enter 键可回到本书目录页，按键盘上方向键 ↑ 可回到本页顶部！
————未阅读完？加入书签已便下次继续阅读！
荨庑枰浅８叩淖ㄒ抵逗途椤�
由于这类引导型病毒的存在，所以建议你在使用上面所述的引导型病毒清除办法的时候一定要慎重，而且在做任何操作之前记住备份你修改前的扇区数据。
由于引导型病毒都比较精干，往往将数据和程序放在一起，所以多重感染引导型病毒经常造成系统不能正常启动。
基本上所有的引导区病毒都是内存驻留型的。由于在电脑启动的时候，引导型病毒就被加载到内存中，并且到关机为止一直存在，所以引导型病毒基本上都会减少可用内存的容量，一种比较简单的方法是直接减少地址0040：0013处的值，这样在系统引导成功之后，在DOS命令行下敲入下面的命令：
MEM（回车换行）
你会发现显示的数值要小于640K，这就说明系统内存中已经存在引导型病毒。
还有一种更加高明的做法是等到DOS引导成功之后，在DOS的内存中为病毒分配一块内存，然后将病毒拷贝到这块内存中，再释放原来病毒所占的内存，这样即使你使用MEM命令，也无法察觉病毒已经占用了一部分系统内存。
为了实现传染的目的，引导型病毒基本上都会修改第13H（16进制）号中断，这样，一旦访问磁盘就会首先执行病毒代码，病毒会判断存取的介质是否需要感染，如果需要就把病毒代码写入软磁盘、硬盘的主引导记录或者引导扇区中。
第二节 数量最多的病毒——文件型病毒
我们把所有通过操作系统的文件系统进行感染的病毒都称作文件病毒，所以这是一类数目非常巨大的病毒。理论上可以制造这样一个病毒，该病毒可以感染基本上所有操作系统的可执行文件。目前已经存在这样的文件病毒，可以感染所有标准的DOS可执行文件：包括批处理文件、DOS下的可加载驱动程序（。SYS）文件以及普通的／EXE可执行文件。当然还有感染所有视窗操作系统可执行文件的病毒，可感染文件的种类包括：视窗3。X版本，视窗9X版本，视窗NT和视窗2000版本下的可执行文件，后缀名是EXE、DLL或者VXD、SYS。
除此之外，还有一些病毒可以感染高级语言程序的源代码，开发库和编译过程所生成的中间文件。病毒也可能隐藏在普通的数据文件中，但是这些隐藏在数据文件中的病毒不是独立存在的，必须需要隐藏在普通可执行文件中的病毒部分来加载这些代码。从某种意义上，宏病毒—隐藏在字处理文档或者电子数据表中的病毒也是一种文件型病毒，但是由于宏病毒的重要性，我们在后面专门用一节对宏病毒进行论述。
可执行文件格式：
在DOS环境下有四种基本的可执行文件格式：
批处理文件，是以。BAT结尾的文件，在BAT文件中可以包括一些DOS命令，以及在批处理文件中调用其它的可执行文件；批文件还有一些简单的流程控制功能，可以实现循环、条件判断等简单的编程工作。
设备驱动文件，是以。SYS结尾的文件，比如说CONFIG。SYS和IO。SYS等，是DOS操作系统使用的设备驱动程序。
文件，是以结尾的纯代码文件。没有文件头部分，缺省的总是从16进制的100H处开始执行，没有重定位项，这也限制了它的所有代码和数据必须控制在64K以内。
EXE文件，是以。EXE结尾的文件，这种文件以英文字母“MZ”开头，通常我们称之为MZ文件。MZ文件有一个文件头，用来指出每个段的定义，以及重定位表。。EXE文件摆脱了代码大小最多不能超过64K的限制，是DOS下最主要的文件格式。
在视窗3。0和视窗3。1版本中，微软推出了一种新的可执行文件格式，在MZ文件头之后又有一个以NE开始的文件头，我们称之为NE文件。由于视窗的可执行文件同DOS相比增加了很多内容，如资源、动态库。。。。NE格式表现极为复杂，NE格式文件装载程序读取磁盘上的文件后，需要在内存中组装成一个完全不同的数据结构然后开始运行。
在视窗32位平台（版本9x和版本NT／2000系列），微软又推出了一种新的可执行文件格式，可移植的可执行文件（Portable Executable File）格式。它同NE格式不同的是在MZ文件头之后是一个以“PE”开始的文件头。PE文件格式是从COFF（一个在Unix世界中广泛使用的通用二进制文件格式）的对象格式发展而来的，它同NE格式相比是进了一大步，其文件在磁盘中的格式同内存中的格式区别不大，装载程序实现起来相当简单。
在视窗32位环境下，微软还有一种应用比较少的可执行文件格式：线性可执行文件（Linear Executable），主要用于设备驱动程序VXD，这种格式是微软和IBM共同开发的，也是IBM的OS／2操作系统使用的可执行文件格式。
根据病毒感染文件方法的不同，文件型病毒可以分成下面几大类：
寄生病毒
这类病毒在感染的时候，将病毒代码加入正常程序之中，原来程序的功能部分或者全部被保留。根据病毒代码加入的方式不同，寄生病毒可以分为“头寄生”、“尾寄生”、“中间插入”和“空洞利用”四种：
“头寄生”：
实现将病毒代码放到程序的头上有两种方法，一种是将原来程序的前面一部分拷贝到程序的最后，然后将文件头用病毒代码覆盖；另外一种是生成一个新的文件，首先在头的位置写上病毒代码，然后将原来的可执行文件放在病毒代码的后面，再用新的文件替换原来的文件从而完成感染。使用“头寄生”方式的病毒基本上感染的是批处理病毒和格式的文件，因为这些文件在运行的时候不需要重新定位，所以可以任意调换代码的位置而不发生错误。
当然，随着病毒制作水平的提高，很多感染DOS下的EXE文件和视窗系统的EXE文件的病毒也是用了头寄生的方式，为使得被感染的文件仍然能够正常运行，病毒在执行原来程序之前会还原出原来没有感染过的文件用来正常执行，执行完毕之后再进行一次感染，保证硬盘上的文件处于感染状态，而执行的文件又是一切正常的。
“尾寄生”：
由于在头部寄生不可避免的会遇到重新定位的问题，所以最简单也是最常用的寄生方法就是直接将病毒代码附加到可执行程序的尾部。对于DOS环境下可执行文件来说，由于文件就是简单的二进制代码，没有任何结构信息，所以可以直接将病毒代码附加到程序的尾部，然后改动文件开始的3个字节为跳转指令：
JMP ［病毒代码开始地址］
对于DOS环境下的EXE文件，有两种处理的方法，一种是将EXE格式转换成格式再进行感染，另外一种需要修改EXE文件的文件头，一般会修改EXE文件头的下面几个部分：
代码的开始地址
可执行文件的长度
文件的CRC校验值
堆栈寄存器的指针也可能被修改。
对于视窗操作系统下的EXE文件，病毒感染后同样需要修改文件的头，这次修改的是PE或者NE的头，相对于DOS下EXE文件的头来说，这项工作要复杂很多，需要修改程序入口地址、段的开始地址、段的属性等等，由于这项工作的复杂性，所以很多病毒在编写感染代码的时候会包括一些小错误，造成这些病毒在感染一些文件的时候会出错无法继续，从而幸运的造成这些病毒无法大规模的流行。
感染DOS环境下设备驱动程序（。SYS文件）的病毒会在DOS启动之后立刻进入系统，而且对于随后加载的任何软件（包括杀毒软件）来说，所有的文件操作（包括可能的查病毒和杀病毒操作）都在病毒的监控之下，在这种情况下干净的清除病毒基本上是不可能的。
“插入寄生”：
病毒将自己插入被感染的程序中，可以整段的插入，也可以分成很多段，有的病毒通过压缩原来的代码的方法，保持被感染文件的大小不变。前面论述的更改文件头等基本操作同样需要，对于中间插入来说，要求程序的编写更加严谨，所以采用这种方式的病毒相对比较少，即使采用了这种方式，很多病毒也由于程序编写上的错误没有真正流行起来。
“空洞利用”：
对于视窗环境下的可执行文件，还有一种更加巧妙的方法，由于视窗程序的结构非常复杂，一般里面都会有很多没有使用的部分，一般是空的段，或者每个段的最后部分。病毒寻找这些没有使用的部分，然后将病毒代码分散到其中，这样就实现了神不知鬼不觉的感染（著名的“CIH”病毒就是用了这种方法）。
CIH的具体感染机制我们会在后面专门论述CIH病毒的一节中详细说明。
寄生病毒精确的实现了病毒的定义，“寄生在宿主程序的之上，并且不破坏宿主程序的正常功能”，所以寄生病毒设计的初衷都希望能够完整的保存原来程序的所有内容，因此除了某些由于程序设计失误造成原来的程序不能恢复的病毒以外，寄生型病毒基本上都是可以安全清除的。
除了改变文件头、将自己插入被感染程序中以外，寄生病毒还会采用一些方法来隐藏自己：如果被感染文件是只读文件，病毒在感染时首先改变文件的属性为可读写，然后进行感染，感染完毕之后再把属性改回只读，病毒在感染时往往还会记录文件最后一次访问的日期，感染完毕之后再改回原来的日期，这样用户就不会通过日期的变化觉察到文件已经被修改过了。
根据病毒感染后，被感染文件的信息是不是有丢失，我们把病毒感染分成两种最基本的类型，破坏性感染和非破坏性感染，对于非破坏性感染的文件，只要杀毒软件清楚的掌握了病毒感染的基本原理，准确的进行还原是可能的，在这种情况下，我们称这个病毒是可清除的。而对于破坏性感染，由于病毒删除或者覆盖了原来文件的全部／部分内容，所以这种病毒是不能清除的，只能删除感染文件，或者用没有被感染的原始文件覆盖被感染的文件。
DOS环境下的和EXE文件具有完全不同的结构，所以�