第十三章
计算机病毒及实例
第一节
计算机病毒历史
早在1949年，电脑的先驱者冯?诺伊曼在他的一篇文章《复杂自动装置的理论及组织的行为》中，即提出一种会自我繁殖的程序的可能----现在称为病毒，但没引起注意。
十年之后，在贝尔实验室中，这个概念在一个电子游戏中形成了。这个电子游戏叫“Core War”。
Core War
这个游戏由三个年轻的工程师完成，道格拉斯?麦耀莱、维特?维索斯基和罗伯特?莫里斯（后来那个编写蠕虫病毒的莫里斯的父亲）。
Core
War的玩如下：双方各编写一套程序，输入同一部电脑中。这两套程序在计算机内存中运行，它们相互追杀。有时它们回放下一些关卡，有时会停下来修复被对方破坏的指令。当它们被困时，可以自己复制自己，逃离险境。因为它们都在电脑的内存（以前是用core做内存的）游走，因此叫Core
War。
这个游戏的特点，在於双方的程序进入电脑之后,玩游戏的人只能看着屏幕上显示的战况，而不能做任何更改，一直到某一方的程式被另一方的程式完全 [吃掉] 为止。
这个游戏分成好几种，麦耀莱所写的叫 [达尔文]，包含了 [物竞天择 ,适者生存] 的意思 。
它的游戏规则跟以上所描述的最接近。游戏双方用汇编语言(Assembly Language)各写一套程式 ,叫有机体(organism)
。这两个有机体在电脑里争斗不休，直到一方把另一方杀掉而取代之 ,便算分出胜负。
另外有个叫爬行者 (Creeper)的程序，每一次把它读出时
,它便自己复制一个副本。此外,它也会从一部电脑[爬]到另一部和它相连的电脑。很快地电脑中原有资料便被这些爬行者挤掉了。爬行者的唯一生存目的是繁殖。
为了对付[爬行者]，有人便写出了[收割者](Reaper)。它的唯一生存目的便是找到爬行者，把它们毁灭掉。当所有爬行者都被收割掉之後，收割者便执行程式中最後一项指令毁灭自己，从电脑中消失。
[侏儒](Dwarf)并没有达尔文等程式聪明。却可是个极端危险人物。它在内存中迈进，每到第五个[地址](address)便把那里所储存的东西变为零，这会使得原来的程序停止。
最奇特的就是一个叫[印普](Imp)的战争程式了 ，它只有一行指令：
MOV 01
这条指令把身处的地址中所载的[0]写(移)到下一个地址中，当印普展开行动之后，电脑中原有的每一行指令都被改为[MOV 01]。
[双子星](Germini)也相当有趣。它的作用只有一个：把自己复制，送到下一百个地址后，便抛弃掉[正本]。
从双子星衍生出一系列的程序。[牺牲者](Juggeraut)把自己复制後送到下十个地址之后，而[大雪人](Bigfoot)则把正本和复制品之间的地址定为某一个大质数。
电脑病毒的出现
一九八三年，科恩?汤普逊(Ken
Thompson)是当年一项杰出电脑奖得主。在颁奖典礼上,他作了一个演讲，不但公开地证实了电脑病毒的存在，而且还告诉所有听众怎样去写自己的病毒程序。
1983 年 11 月 3 日，弗雷德?科恩 (Fred Cohen) 博士研制出一种在运行过程中可以复制自身的破坏性程序，伦?艾德勒曼 (Len
Adleman) 将它命名为计算机病毒 (computer viruses)，并在每周一次的计算机安全讨论会上正式提出，8 小时后专家们在 VAX11/750
计算机系统上运行，第一个病毒实验成功，一周后又获准进行 5 个实验的演示，从而在实验上验证了计算机病毒的存在。
一九八四年， [科学美国人]月刊(Scientific American)的专栏作家杜特尼(A. K. Dewdney)在五月号写了第一篇讨论[Core
War]的文章,并且只要寄上两块美金，任何读者都可以收到有关程序的纲领，在自己家中的电脑中开辟战场。
[病毒]一词的正式出现
在一九八五年三月份的[科学美国人]里 ,杜特尼再次讨论[Core War]和病毒。在文章的开头他便说：“当去年五月有关[Core War]的文章印出来时
,我并没有想过我所谈论的是那麽严重的题目”文中还第一次提到[病毒]这个名称。他提到说：“意大利的罗勃吐?歇鲁帝(Roberto
Cerruti)和马高?莫鲁顾帝(Marco Morocutti)发明了一种破坏软件的方法。他们想用病毒,而不是蠕虫,来使得苹果二号电脑受感染。
歇鲁弟写了一封信给杜特尼，信内说：“马高想写一个像[病毒]一样的程式，可以从一部苹
果电脑传染到另一部苹果电脑，使其受到感染。可是我们没法这样做，直到我想到这个病毒要先使软盘受到感染，而电脑只是媒介。这样，病毒就可以从张软盘传染到另一软盘了。”
1986 年初，在巴基斯坦的拉合尔 (Lahore)，巴锡特 (Basit) 和阿姆杰德 (Amjad) 两兄弟经营着一家 IBM-PC
机及其兼容机的小商店。他们编写了Pakistan 病毒，即 Brain。在一年内流传到了世界各地。
1988 年 3 月 2 日，一种苹果机的病毒发作，这天受感染的苹果机停止工作，只显示“向所有苹果电脑的使用者宣布和平的信息”。以庆祝苹果机生日。
1988 年 11 月 2 日，美国六千多台计算机被病毒感染，造成 Internet
不能正常运行。这是一次非常典型的计算机病毒入侵计算机网络的事件，迫使美国政府立即作出反应，国防部成立了计算机应急行动小组。
这次事件中遭受攻击的包括 5 个计算机中心和 12 个地区结点，连接着政府、大学、研究所和拥有政府合同的 250,000
台计算机。这次病毒事件，计算机系统直接经济损失达 9600 万美元。
这个病毒程序设计者是罗伯特?莫里斯 (Robert T.Morris)，当年 23 岁，是在康乃尔 (Cornell) 大学攻读学位的研究生。
罗伯特?莫里斯设计的病毒程序利用了系统存在的弱点。由于罗伯特?莫里斯成了入侵 ARPANET
网的最大的电子入侵者，而获准参加康乃尔大学的毕业设计，并获得哈佛大学 Aiken 中心超级用户的特权。他也因此被判 3 年缓刑，罚款 1 万美元，他还被命令进行
400 小时的新区服务。
1988 年底，在我国的国家统计部门发现小球病毒。
第二节
计算机病毒原理
计算机病毒定义
1994年2月18日，我国正式颁布实施了《中华人民共和国计算机信息系统安全保护条例》，在《条例》第二十八条中明确指出：“计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。”此定义具有法律性、权威性。（此节内容摘自《计算机安全管理与实用技术》一书）
计算机病毒原理
病毒的工作原理是什么呢？病毒是一个程序，一段人为编制的计算机程序代码。它通过想办法在正常程序运行之前运行，并处于特权级状态。这段程序代码一旦进入计算机并得以执行，对计算机的某些资源进行监视。它会搜寻其他符合其传染条件的程序或存储介质，确定目标后再将自身代码插入其中，达到自我繁殖的目的。只要一台计算机染毒，如不及时处理，那么病毒会在这台机子上迅速扩散，其中的大量文件（一般是可执行文件）会被感染。而被感染的文件又成了新的传染源，再与其他机器进行数据交换或通过网络接触，病毒会继续进行传染。
一般正常的程序是由用户调用，再由系统分配资源，完成用户交给的任务。其目的对用户是可见的、透明的。而病毒具有正常程序的一切特性，它隐藏在正常程序中，当用户调用正常程序时窃取到系统的控制权，先于正常程序执行，病毒的动作、目的对用户时未知的，是未经用户允许的。
病毒一般是具有很高编程技巧、短小精悍的程序。通常附在正常程序中或磁盘较隐蔽的地方，也有个别的以隐含文件形式出现。目的是不让用户发现它的存在。如果不经过代码分析，病毒程序与正常程序是不容易区别开来的。一般在没有防护措施的情况下，计算机病毒程序取得系统控制权后，可以在很短的时间里传染大量程序。而且受到传染后，计算机系统通常仍能正常运行，使用户不会感到任何异常。试想，如果病毒在传染到计算机上之后，机器马上无法正常运行，那么它本身便无法继续进行传染了。正是由于隐蔽性，计算机病毒得以在用户没有察觉的情况下扩散到上百万台计算机中。
大部分的病毒的代码之所以设计得非常短小，也是为了隐藏。病毒一般只有几百或1k字节，而PC机对DOS文件的存取速度可达每秒几百KB以上，所以病毒转瞬之间便可将这短短的几百字节附着到正常程序之中，使人非常不易被察觉。
大部分的病毒感染系统之后一般不会马上发作，它可长期隐藏在系统中，只有在满足其特定条件时才启动其表现（破坏）模块。只有这样它才可进行广泛地传播。如“PETER-2"在每年2月27日会提三个问题，答错后会将硬盘加密。著名的“黑色星期五”在逢13号的星期五发作。国内的“上海一号”会在每年三、六、九月的13日发作。当然，最令人难忘的便是26日发作的CIH。这些病毒在平时会隐藏得很好，只有在发作日才会露出本来面目。
任何病毒只要侵入系统，都会对系统及应用程序产生程度不同的影响。轻者会降低计算机工作效率，占用系统资源，重者可导致系统崩溃。由此特性可将病毒分为良性病毒与恶性病毒。良性病度可能只显示些画面或出点音乐、无聊的语句，或者根本没有任何破坏动作，但会占用系统资源。这类病毒较多，如：GENP
