Board logo

标题: 网络安全:Window 7系统下防毒理念 [打印本页]

作者: zclzhao    时间: 2009-11-20 15:02     标题: 网络安全:Window 7系统下防毒理念

 我常听到一些”比较专业”的IT人员说,”企业人员装了杀毒软件也就算了,但是一点杀毒的概念都没有,以为这样就不会中毒吗?”  

  但是,一般人听到这种话,大概会有如下的想法:  

  ”是啊?不然哩?”  

  在之前的文摘里,大致说明了”安装杀毒软件”和”USB储存装置”的安全防护原则,但这期我想要更进一步说明病毒的运作原理,以及杀毒软件的保全之道,希望对于一般企业的电脑企业人员,能提供一些够用的”杀毒概念”。也许不能”保证”什麽,但至少你对于电脑发生的事情能够有个梗概性的认识吧!  

  精巧脆弱的开机程序  

  用电脑都得先开机,从打开电源一直到操作系统启动完成,这就是俗称的”开机程序”。由于病毒大多会设法让自己成为”开机程序”的一部分(以便寄生并感染),所以你得先知道这整个程序有哪些步骤:  

  1. 电源开启,如果硬件一切正常则进行下一个步骤  

  2. BIOS(基本输入/输出系统)执行例行开机检查,然后以预设的储存装置接管开机程序  

  3. 依照业界公认的规格,预设的开机装置(通常是硬碟机)开始进行软件开机程序,依序启动操作系统的核心、驱动程式……  

  4. 操作系统核心启动后,还可以依据设定,启动企业人员指定的各种常驻程式(杀毒软件、IM软件……)  

  上述的每一个开机程序中,从这一个步骤转到下一个步骤,都会留下一个”挂钩点”。比方说,主机板上的BIOS系统要把执行储存媒体的开机程序,它会从固定的位置去执行开机命令,这固定的位置是哪里?我们一般人不用知道,但这位置铁定是公开的规格。  

  所以,写操作系统的人知道储存媒体开机的位置,写磁碟维护程式的人也知道,写工具程式的人知道,而写病毒的人……当然也知道,所以就有所谓的”开机型病毒”。  

  不过,现代这种”开机型病毒”很罕见了,主要是因为开机后,启动的操作系统都相当庞大且复杂,这类病毒难以在这麽复杂的开机状况下还能正常运作。目前大部分的病毒,大多选择在操作系统这一块进行破坏。  

  不能开机的可能性有……  

  不管是Windows、Mac OS、Linux还是BSD,操作系统的起始启动都是由精巧的循序步骤所构成,一环接着一环。操作系统通常必须设定处理器的运作模式,启动系统核心、驱动程式和绘图介面,然后启动常驻程式,最后再把使用权交给企业人员。如果这一连串”精巧”却也”脆弱”的过程出了一点小差错,系统启动不能,企业人员就会说”啊我这台电脑挂了/当机了/葛屁了/不能开了/死掉了……种种说法,不一而足:  

  ● 驱动程式出了问题  

  ● 核心程序出了问题  

  ● 储存OS核心程序的磁碟出了问题  

  ● 企业人员的常驻程式出了问题  

  只要有一个小环节出错,就可能让操作系统无法正常启动──幸好这种状况不会常常发生。  

  到此为止,上述的概念听起来都似乎很简单?  

  请引进”记忆体”的概念  

  无论是哪个操作系统,等开机程序完成后,企业人员就可以执行各种应用软件。比方说,你可以执行浏览器、文书处理程式、影片播放程式……,具体的行为就是用滑鼠在应用程式的图示上,连续按两下滑鼠左键,是的,就是这麽的”easy”。  

  只是一般人时常忘记的是:电脑里有个很重要的”元件”,称为”记忆体”。当企业人员按下电源,执行开机程序时,这程序很重要的一个步骤就是:把操作系统的核心”从储存媒体启动到记忆体里面”。  

  操作系统的核心启动到记忆体里面之后,依照开发厂商的设计,会不断地维护着自身核心和企业人员应用程式的正常运作,这个过程一样是精巧而脆弱的。此外,由于程式是”人”写的,若是写程式的人”乱写”(无论是有意还是无意的),应用程式有可能会造成操作系统核心程序被破坏而导致当机。  

  至于病毒呢?  

  病毒会希望自己能够有下列能力:  

  ● 常驻在记忆体中,把自己伪装成操作系统的一部分  

  ● 伪装的过程中,最好让任何人、任何软件都发现不到  

  ● 尽可能不要干扰原先程式的运作,以免自己被察觉  

  ● 尽可能用各种方法,把自己(病毒)附身到别人(别台电脑)身上  

  ● 如果有必要,可以作一些对作者有用(或是好玩)的事情,包括窃取个资、造成破坏……  

  可执行文件学问多  

  好,如果病毒要把自身藏到记忆体中,首先它得让你去”执行”它。  

  问题是,哪个人会傻傻执行病毒──如果病毒的额头上写着”我是病毒,来喔来喔,来执行我”,那你会去碰它吗?铁定不会吧!(也许会有例外……但我不想讨论这种例外。)  

  所以,病毒的写作者会想方设法、处心积虑的让企业人员在不知不觉中执行之,以达成”感染”的目的。  

  所以,”可执行文件”,就成了大部分病毒”寄生”的主要目标了。  

  所谓的可执行文件,就是我们所说的”程式”、”软件”,通常这类软件也是一个(或数个)档案所构成。前面已经说过,软件要启动到记忆体中,才能被企业人员所执行、运用之,因此软件的作者会使用开发工具将”原始程式”编译成”可执行文件”,然后运送给企业人员,让企业人员可以执行之。  

以前,可执行文件只有固定几种格式:副档名是。COM、。EXE、。BAT的,这些都是可执行文件。到了Windows 7时代,这还是没变。不过,Windows后来引进了很多”比较罕见”的可执行文件案格式。比方说,。DLL是”动态连结程式库”,它也是一种”必须依附在主程式”底下的一种可执行文件案;。SCR是萤幕保护程式,它也是一种特殊功能的可执行文件;。MSI(Windows Installer Package)通常见于”安装程式”,但是……它也是一种可执行文件;有些叙述档,像是。VBS、。JS……,它们也是可执行文件案。  



  执行就是最危险的事  

  问题是,Windows预设会隐藏它认得的档案的副档名,所以,老实说,你也不知道你到底执行了什麽。  

  那也没关系,各位只要想像:当你在某个图示上按两下滑鼠左键时──你肯定是要执行什麽。  

  执行个什麽时──你一定要记住:这是我们”企业人员绝对要注意的‘Red Flag’信号了”。如果有个什麽事情你一定得提高警觉的话,除了”有人问你密码”这件事情以外,另一件事就是这个了。  

  所以,你一定要记住:  

  ”执行个啥东西时一定要小心。”  

  就这麽简单。  

  因为,很多病毒会依附在可执行文件案里面,你”一执行就中毒了”。不仅如此,中毒的电脑没清乾净前,它们会不断感染电脑里的档案,或是发出病毒信件,或是感染伺服器上的其他档案……而且这类病毒还会修改系统设定,让企业人员”即使发现不对了”的清理工作变得困难──有时几乎是不可能。  

  所以,有时候,中毒的电脑非得整个重装不可,就是因为所有的可执行文件都被感染而无法复原了。  

  Internet更是”地狱之门”  

  但是,恐怕还有个真正防不胜防的东西──那就是网页!  

  当你用浏览器去连任意一个网页,老实说……地狱之门就打开了(我上期已经用过这梗了,算老梗)。因为网页可以让你作很多事,执行很多功能──而且大多是自动而你不自知的。正常的网页当然不会整你,或是让你中毒……但是,不正常的网页其实还不少哩!  

  事实上,各位要知道,浏览器本身就是个”执行者”,它本身就是被设计成”用来执行各种功能”的工具。不仅如此,操作系统尚有所谓的”相容性”问题,但是浏览器本身就被设计成所谓的”跨平台”,最好所有的浏览器都能有相同的能力,好让网页开发者可以写一个功能──就可以让全世界所有的企业人员都能使用──gosh!世界大同的实现真是莫过于此了。但是,这也让网页病毒撰写者有了可乘之机……有什麽方式会让这些病毒写手更省事呢?当然是写个跨平台的万用病毒啦!  

  网页类病毒的形式很多,有的会利用所谓的”叙述”(JavaScript)不断地弹跳恼人的视窗,有的会偷偷地把病毒塞到你电脑,有的会直接执行一些该死的动作……而且老实说,这类问题要比可执行文件中毒更麻烦,因为企业人员根本无法知道。  

  所以,杀毒软件(或是所谓的Internet Security)在这种情况下就异常重要了。  

  本期结论:不让病毒被执行的方法  

  那麽,能够只靠企业人员的小心就防堵病毒的流窜吗?如果可以,那我也可以当蓝带厨艺学校毕业的厨师了……显然这不可能嘛,所以我们得系统化的想想,每一个环节之下,我们可以做什麽,底下是一些常见的”防堵毒的方法”列举:  

  ● 每个程式都要经过某种认证  

  为了不让企业人员执行到不该执行的脏东西,于是操作系统厂商就规定”你所执行的每个程式都要给它检查过”。呵呵,你觉得好笑?不,iPhone就是这样──虽然它本意未必是要杀毒,可是这个封闭系统就还相当安全──因为所有软件上架都要经过Apple核可。  

  ● 每个程式(只要被认定有危险性)都要企业人员同意执行  

  Windows Vista/7底下有个UAC,只要判断你的程式有危险性就会跳出来要你”确定”,这样会让病毒”比较难默默的感染你”,只是一般人还没受其利,可能就气到先关掉这功能了。但平心而论,要杀毒又要方便,这也是某种程度的必要之恶。  

  ● 装上杀毒软件  

  杀毒软件”理应”可以防堵可执行文件病毒,而防火墙软件”理应”可以防堵来自Internet内外的攻击,而且你别说”我都不乱执行脏东西我不用装杀毒软件”──最好是,你最好都不要上网。有些网路蠕虫根本只是利用所谓的”漏洞”直接钻到你电脑的记忆体里面,然后你的网路连线就自动瘫痪了。你就算什麽都不做,也会有中毒的可能。所以请一定要用杀毒软件──不管是免费版还是付费版。  

  ● 执行任何”可执行”的东西,你都得多注意  

  确实,很多人乱执行程式──并顺带执行到病毒,这是杀伤力最大的问题──何故?因为,这是”你自己去执行到的”,所以病毒逮到机会就绝对可以为所欲为,它会替换系统注册档,隐身到电脑硬碟的深处,感染各种重要的档案……结果呢?结果就是”轻则重装,重则死当”,所以这未必是”唯一原则”,但确实是一般企业人员所该知道的最重要原则。




欢迎光临 【3.A.S.T】网络安全爱好者 (http://3ast.com./) Powered by Discuz! 7.2