标题：走进计算机病毒
内容简介
如果您对计算机病毒非常好奇，想跻身于非普通用户的“高手”行列，想深入研究计算机病毒，您可以选择此书。《走进计算机病毒》将让您知道一个病毒对计算机究竟做了哪些操作，从而找到针对相应病毒的正确对策。
如果您想成为一名病毒分析工程师，想跻身于真正的高手行列，真正做到“玩弄病毒于股掌之中”，并成为一名优秀的反病毒工程师，这需要各种综合知识的掌握和长期经验的积累，并不是学完几个章节就能够达到的。
作者简介
王倍昌，美国科摩多公司中国反病毒实验室反病毒核心工程师。现今致力于反病毒研究、反病毒工具开发与反病毒事业。曾独立开发完成系列反病毒工具，其中包括反病毒学习辅助工具，病毒分析工具，计算机病毒自动分析处理系统等。[1]
图书目录
第1篇 基础篇认识并熟悉计算机病毒
第1章 初识计算机病毒3
1.1 计算机病毒基础知识3
1.1.1 计算机病毒概念3
计算机病毒（Computer Virus）在《中华人民共和国计算机信息系统安全保护条例》中被明确定义，病毒指“编制者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码”。与医学上的“病毒”不同，计算机病毒不是天然存在的，是某些人利用计算机软件和硬件所固有的脆弱性编制的一组指令集或程序代码。它能通过某种途径潜伏在计算机的存储介质（或程序）里，当达到某种条件时即被激活，通过修改其他程序的方法将自己的精确拷贝或者可能演化的形式放入其他程序中，从而感染其他程序，对计算机资源进行破坏，所谓的病毒就是人为造成的，对其他用户的危害性很大！
1.1.2 计算机病毒的特点4 繁殖性计算机病毒可以像生物病毒一样进行繁殖，当正常程序运行的时候，它也进行运行自身复制，是否具有繁殖、感染的特征是判断某段程序为计算机病毒的首要条件。破坏性计算机中毒后，可能会导致正常的程序无法运行，把计算机内的文件删除或受到不同程度的损坏。通常表现为：增、删、改、移。　传染性计算机病毒不但本身具有破坏性，更有害的是具有传染性，一旦病毒被复制或产生变种，其速度之快令人难以预防。传染性是病毒的基本特征。在生物界，病毒通过传染从一个生物体扩散到另一个生物体。在适当的条件下，它可得到大量繁殖，并使被感染的生物体表现出病症甚至死亡。同样，计算机病毒也会通过各种渠道从已被感染的计算机扩散到未被感染的计算机，在某些情况下造成被感染的计算机工作失常甚至瘫痪。与生物病毒不同的是，计算机病毒是一段人为编制的计算机程序代码，这段程序代码一旦进入计算机并得以执行，它就会搜寻其他符合其传染条件的程序或存储介质，确定目标后再将自身代码插入其中，达到自我繁殖的目的。只要一台计算机染毒，如不及时处理，那么病毒会在这台电脑上迅速扩散，计算机病毒可通过各种可能的渠道，如软盘、硬盘、移动硬盘、计算机网络去传染其他的计算机。当您在一台机器上发现了病毒时，往往曾在这台计算机上用过的软盘已感染上了病毒，而与这台机器相联网的其他计算机也许也被该病毒染上了。是否具有传染性是判别一个程序是否为计算机病毒的最重要条件。潜伏性有些病毒像定时炸弹一样，让它什么时间发作是预先设计好的。比如黑色星期五病毒，不到预定时间一点都觉察不出来，等到条件具备的时候一下子就爆炸开来，对系统进行破坏。一个编制精巧的计算机病毒程序，进入系统之后一般不会马上发作，因此病毒可以静静地躲在磁盘或磁带里呆上几天，甚至几年，一旦时机成熟，得到运行机会，就又要四处繁殖、扩散，继续危害。潜伏性的第二种表现是指，计算机病毒的内部往往有一种触发机制，不满足触发条件时，计算机病毒除了传染外不做什么破坏。触发条件一旦得到满足，有的在屏幕上显示信息、图形或特殊标识，有的则执行破坏系统的操作，如格式化磁盘、删除磁盘文件、对数据文件做加密、封锁键盘以及使系统死锁等。隐蔽性计算机病毒具有很强的隐蔽性，有的可以通过病毒软件检查出来，有的根本就查不出来，有的时隐时现、变化无常，这类病毒处理起来通常很困难。可触发性病毒因某个事件或数值的出现，诱使病毒实施感染或进行攻击的特性称为可触发性。为了隐蔽自己，病毒必须潜伏，少做动作。如果完全不动，一直潜伏的话，病毒既不能感染也不能进行破坏，便失去了杀伤力。病毒既要隐蔽又要维持杀伤力，它必须具有可触发性。病毒的触发机制就是用来控制感染和破坏动作的频率的。病毒具有预定的触发条件，这些条件可能是时间、日期、文件类型或某些特定数据等。病毒运行时，触发机制检查预定条件是否满足，如果满足，启动感染或破坏动作，使病毒进行感染或攻击；如果不满足，使病毒继续潜伏。
1.1.3 计算机病毒的产生与发展6
1.1.4 病毒的发展过程10
1.1.5 病毒的发展趋势12
1.2 计算机病毒的分类13
1.2.1 按照计算机病毒侵入的系统分类13
1.2.2 按照计算机病毒的链接方式分类14
1.2.3 按照计算机病毒的寄生部位或传染对象分类15
1.2.4 按照计算机病毒的传播介质分类16
1.2.5 按照计算机病毒存在的媒体分类16
1.2.6 按照计算机病毒传染的方法分类17
1.2.7 根据病毒的破坏情况分类17
1.2.8 按照计算机病毒功能分类17
1.2.9 其他分类方式19
1.3 计算机病毒的命名20
1.4 计算机病毒的危害21
第2章 深入了解计算机病毒24
2.1 病毒如何传播24
2.2 计算机病毒特性实例揭秘27
2.3 研究计算机病毒所涉及的计算机系统相关知识42
2.4 计算机病毒对注册表的利用47
2.4.1 Windows注册表基本知识47
2.4.2 注册表操作的注意事项50
2.4.3 病毒对注册表的利用51
2.5 Windows注册表工具介绍58
2.6 虚拟机在研究计算机病毒中的使用75
2.6.1 虚拟机粉墨登场75
2.6.2 虚拟机概述76
2.6.3 安装虚拟机所需的硬件配置与运行环境76
2.6.4 虚拟机的安装与虚拟平台的建立77
2.7 计算机病毒初战85
2.7.1 实战病毒的注意事项85
2.7.2 实战病毒的准备工作86
2.7.3 实战病毒88
2.8 如何防止计算机中毒99
2.9 计算机中毒后的处理102
2.9.1 计算机中毒后的处理原则102
2.9.2 计算机中毒后的处理方法102
第2篇 提高篇计算机病毒觖决方案
第3章 计算机病毒行为监控107
3.1 计算机病毒对系统的主要影响107
3.2 计算机病毒行为监控108
3.2.1 计算机病毒行为109
3.2.2 文件监控109
3.2.3 注册表监控115
3.2.4 进程监控118
3.2.5 网络行为监控130
3.2.6 计算机病毒行为综合监控工具134
3.2.7 计算机病毒监控辅助分析工具介绍148
3.3 搭建病毒分析实验室189
3.4 计算机病毒行为分析综合案例192
第4章 计算机病毒高级分析200
4.1 脚本语言的学习掌握201
4.1.1 脚本语言概述201
4.1.2 脚本病毒概述201
4.1.3 WSH （Windows Scripting Host）202
4.1.4 VBScript脚本语言学习203
4.1.5 VBScript脚本病毒分析205
4.1.6 批处理脚本语言214
4.1.7 批处理脚本病毒分析214
4.2 汇编语言的学习掌握218
4.2.1 汇编语言概述219
4.2.2 汇编语言学习221
4.3 反汇编工具的熟练使用256
4.3.1 用VC写一个简单的小程序256
4.3.2 调试技术260
4.3.3 初识OllyDbg调试273
4.3.4 静态分析——静态反汇编工具IDA277
4.4 Windows2000/XP的体系结构281
4.5 Win32API函数286
4.6 Win32API监控工具介绍287
4.7 计算机病毒代码分析实例295
第5章 计算机病毒反分析剖析305
5.1 PE结构305
5.1.1 手工编写可执行程序305
5.1.2 ExportTable（导出表）330
5.2 PE结构查看工具337
5.3 壳344
5.3.1 壳的种类345
5.3.2 壳的原理345
5.3.3 简易加壳软件的实现345
5.3.4 程序加壳前后的比较373
5.3.5 脱壳375
5.4 计算机病毒常用的反分析技术386
5.4.1 反静态分析技术386
5.4.2 反跟踪分析技术397
第3篇 计算机病毒解决方案
第6章 计算机病毒的处理403
6.1 杀毒软件查毒原理403
6.2 计算机病毒特征的提取406
6.3 感染型病毒的处理418
第7章 灰鸽子病毒综合分析处理案例429