本文目录一览：
- 1、防病毒技术的防范 ***
- 2、什么原因会导致电脑有木马
- 3、 *** 安全应急响应的介绍
- 4、应急响应的概念是什么
防病毒技术的防范 ***
*** 蠕虫是一种智能化、自动化，综合 *** 攻击、密码学和计算机病毒技术，无须计算机使用者干预即可运行的攻击程序或代码，它会扫描和攻击 *** 上存在系统漏洞的节点主机，过局域网或者国际互联网从一个节点传播到另外一个节点”。
以下将从企业防范蠕虫病毒和个人用户防范两方面来介绍：
（1）企业防范蠕虫病毒措施：
当前，企业 *** 主要应用于文件和打印服务共享、办公自动化系统、企业业务（MIS）系统、Internet应用等领域。 *** 具有便利信息交换特性，蠕虫病毒也可以充分利用 *** 快速传播达到其阻塞 *** 目的。企业在充分地利用 *** 进行业务处理时，就不得不考虑企业的病毒防范问题，以保证关系企业命运的业务数据完整不被破坏。
企业防治蠕虫病毒的时候需要考虑几个问题：病毒的查杀能力，病毒的监控能力，新病毒的反应能力。而企业防毒的一个重要方面是是管理和策略。推荐的企业防范蠕虫病毒的策略如下：
1．加强 *** 管理员安全管理水平，提高安全意识。由于蠕虫病毒利用的是系统漏洞进行攻击，所以需要在之一时间内保持系统和应用软件的安全性,保持各种操作系统和应用软件的更新！由于各种漏洞的出现，使得安全不在是一种一劳永逸的事，而作为企业用户而言，所经受攻击的危险也是越来越大，要求企业的管理水平和安全意识也越来越高。
2．建立病毒检测系统。能够在之一时间内检测到 *** 异常和病毒攻击。
3．建立应急响应系统，将风险减少到最小！由于蠕虫病毒爆发的突然性，可能在病毒发现的时候已经蔓延到了整个 *** ，所以在突 *** 况下，建立一个紧急响应系统是很有必要的，在病毒爆发的之一时间即能提供解决方案。
4．立灾难备份系统。对于数据库和数据系统，必须采用定期备份，多机备份措施，防止意外灾难下的数据丢失
5．对于局域网而言，可以采用以下一些主要手段：
（1）在因特网接入口处安装防火墙式防杀计算机病毒产品，将病毒隔离在局域网之外。
（2）对邮件服务器进行监控，防止带毒邮件进行传播！
（3）对局域网用户进行安全培训。
（4）建立局域网内部的升级系统，包括各种操作系统的补丁升级，各种常用的应用软件升级，各种杀毒软件病毒库的升级等等。
（2）对个人用户产生直接威胁的蠕虫病毒：
在以上分析的蠕虫病毒中，只对安装了特定的微软组件的系统进行攻击，而对广大个人用户而言，是不会安装iis(微软的因特网服务器程序，可以使允许在网上提供web服务)或者是庞大的数据库系统的！因此上述病毒并不会直接攻击个个人用户的电脑(当然能够间接的通过 *** 产生影响)，但接下来分析的蠕虫病毒，则是对个人用户威胁更大，同时也是最难以根除，造成的损失也更大的一类蠕虫病毒。 （1）木马程序的防范：
木马程序会窃取所植入电脑中的有用信息，因此我们也要防止被黑客植入木马程序，常用的办法有：
在下载文件时先放到自己新建的文件夹里，再用杀毒软件来检测，起到提前预防的作用。在“开始”→“程序”→“启动”或“开始”→“程序”→“Startup”选项里看是否有不明的运行项目，如果有，删除即可。将注册表里 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下的所有以“Run”为前缀的可疑程序全部删除即可。
（2）恶意代码的防范：
用户在上网是最有可能接触到恶意代码，因此，恶意代码成了宽带的更大威胁之一。以前使用Modem，因为打开网页的速度慢，在完全打开前关闭恶意网页还有避免中招的可能性。现在宽带的速度这么快，所以很容易就被恶意代码攻击。一般恶意代码都是因为加入了用编写的恶意代码才有破坏力的。这些恶意代码就相当于一些小程序，只要打开该网页就会被运行。所以要避免恶意代码的攻击只要禁止这些恶意代码的运行就可以了。运行IE浏览器，点击“工具/Internet选项/安全/自定义级别”，将安全级别定义为“安全级-高”，对“ActiveX控件和插件”中第2、3项设置为“禁用”，其它项设置为“提示”，之后点击“确定”。这样设置后，当你使用IE浏览网页时，就能有效避免恶意网页中恶意代码的攻击。 防范邮件病毒的措施有以下几条：1.在收到信的时候，不管是不是认识的还是不认识的，附件一定先不要打开，虽然有些E-mail在上传附件的时候都进行了杀毒，不怕一万就怕万一。除非，你和他正在研究邮件病毒，或者在制造邮件病毒。
2.看见带有附件的邮件，可以把附件下下来，然后用杀毒软件杀毒，如果还是怕中毒，你可以这样做。
1）打开我的电脑，在工具栏中找到工具选择文件夹选项，在弹出的对话框中选择查看这个选项，把“隐藏已知文件类型的扩展”前面的勾去掉。
2）在邮件的附件上右击 选择另存为， 在要你重命名的时候在文件名的后面打上 .txt“ 然后再杀毒。
3）如果还是不放心，你可以选择删除。
3.记住自己常用的一些注册网站的管理员邮箱，或者记住他们的邮箱后缀。在看见这些邮件的时候一点要仔细核对这些信息，使用社会工程学的人一定会伪造一个极像的或者一字之差的邮箱与你沟通。例如，前一段时间有一个病毒文件的计算机进程，如下： rundll32.exe（真实的）rund1l32.exe（病毒）rund1132.exe（病毒）,你不认真看，一下还真有点看不出来。这样的邮件不管三七二十一，统统不要。
4. 为了能安全上网，安全的发邮件，有时候在 *** ，MSN，SKY里面别人给你的莫名的网站一定不要打开，除非你特别信任他，或者你已经知道了结果是什么。 1.利用Windows Update功能打全系统补丁，避免病毒从网页方式入侵到系统中。
2.将应用软件升级到最新版本，其中包括各种IM即时通讯工具、下载工具、播放器软件、搜索工具条等；更不要登录来历不明的网站，避免病毒利用其他应用软件漏洞进行木马病毒传播。
3.当有未知插件提示是否安装时，请首先确定其来源。
（二）服务器病毒及网上交易的防范：
1.防护WEB服务器:
WEB服务器自身脆弱性：Web服务器软件自身存在安全问题，如Web服务器软件缺省安装提供了过多的不必要功能，密码过于简单遭到破解，当服务器管理员使用了不安全协议的软件（如telnet）进行管理时，被监听而导致信息外泄。 Web应用程序安全性差：主要是指CGI程序和ASP、PHP脚本等等程序的安全性。这些程序大大扩展了Web服务器的功能，但它们往往只重功能而忽视了安全性。
保护WEB服务的 *** :
1.用防火墙保护网站，可以有效地对数据包进行过滤，是网站的之一道防线；
2.用入侵监测系统监测 *** 数据包，可以捕捉危险或有恶意的访问动作，并能按指定的规则，以记录、阻断、发警报等等多种方式进行响应，既可以实时阻止入侵行为，又能够记录入侵行为以追查攻击者；
3.正确配置Web服务器，跟踪并安装服务器软件的最新补丁；
4.服务器软件只保留必要的功能，关闭不必要的诸如FTP、 *** TP等公共服务，修改系统安装时设置的默认口令，使用足够安全的口令；
5.远程管理服务器使用安全的 *** 如SSH，避免运行使用明文传输口令的telnet、ftp等程序；
6.谨慎使用CGI程序和ASP、PHP脚本程序7、使用 *** 安全检测产品对安全情况进行检测，发现并弥补安全隐患。
3.防护FTP服务器
（1）禁止匿名登录；
（2）设置访问日志；
（3）通过访问日志可以准确得到哪些IP地址和用户访问的准确纪录；
（4）强化访问控制列表；
（5）采用NTFS访问许可，运用ACL[访问控制列表]控制对您的FTP目录的的访问；
（6）设置站点为不可视；
（7）使用磁盘配额；
（8）基于IP策略的访问控制；
（9）使用安全密码策略；
（10限制登录次数。
4.防护邮件服务器：
被攻击的 *** 有三种：之一种是升级高版本的服务器软件，利用软件自身的安全功能限制垃圾邮件的大量转发或订阅反垃圾邮件服务； 第二种就是采用第三方软件利用诸如动态中继验证控制功能来实现，从而确保接受邮件的正确性；第三种是配置病毒网关、病毒过滤等功能。
5.拒绝服务：
对某些域名服务器的大规模拒绝服务攻击会造成互联网速度普遍下降或停止运行；域劫持：通过利用客户升级自己的域注册信息所使用的不安全机制，攻击者可以接管域注册过程来控制合法的域；泄漏 *** 拓朴结构的。保护路由器安全还需要网管员在配置和管理路由器过程中采取相应的安全措施。
6.利用移动设备进行传播的病毒的预防措施：
1）.在使用移动介质（如：U盘、移动硬盘等）之前，建议先进行病毒查杀。
2）.禁用系统的自动播放功能，防止病毒从U盘、移动硬盘、MP3等移动存储设备进入到计算机。
禁用Windows 系统的自动播放功能的 *** ：在运行中输入 gpedit.msc 后回车，打开组策略编辑器，依次点击：计算机配置－管理模板－系统－关闭自动播放－已启用－所有驱动器－确定
3）.尽量不要使用双击打开U盘，而是选择右键--打开。
7. *** 交易防范措施：网上银行、在线交易的预防措施：
（1）在登录电子银行实施网上查询交易时，尽量选择安全性相对较高的USB证书认证方式。不要在公共场所，如网吧，登录网上银行等一些金融机构的网站，防止重要信息被盗。
（1）网上购物时也要选择注册时间相对较长、信用度较高的店铺。 在“Melissa”病毒出现之前，人们并未意识到为电子邮件系统提供专门的防病毒保护的重要性。如今，电子邮件系统已从简单的信息发布发展到可提供协作存储器、基于Web的用户界面以及无线设备接入等方面。因此，要从系统角度设计一套全面的防毒计划。
● 制定系统的防病毒策略。为了正确选择、配置和维护病毒防护解决方案，您的系统必须明确地规定保护的级别和所需采取的对策。
● 部署多层防御战略。伴随着 *** 的发展，病毒可从多种渠道进入系统，因此在尽可能多的点采取病毒防护措施是至关重要的。其中包括网关防病毒、服务器及群件防病毒、个人桌面计算机防病毒以及所有防病毒产品的统一管理等。
● 定期更新防病毒定义文件和引擎。在大多数系统了解到使其病毒定义文件保持最新版本的重要性的同时，并不是人人都了解确保检测引擎为最新版本同等重要。一般情况下，更新是自动进行的，但更重要的是应定期检查日志文件以确保正确地执行了更新。
基于服务器的电子邮件病毒防护是提供系统内部保护的最有效方式，但是根据系统安全保护策略的细节不同，它不能对所有类型的信息（如加密信息）都提供防护。因此还应定期更新桌面计算机中的防病毒软件。
● 定期备份文件。一旦病毒破坏了您的数据，您可以利用您的存储档案恢复相关文件。建议您制订一个标准程序来定期检查从备份中恢复的数据。
● 预订可发布新病毒威胁警告的电子邮件警报服务。有许多不同的机构提供这种服务，但是最关键的应该是您的防病毒服务供应商。其原因在于每个防病毒软件供应商的能力不同，对新病毒的估定也不同，而且采取的措施也有差异。例如，一位供应商已经在过去的更新版本中提供了类属病毒检测，从而对某种新病毒提供了防护，因此对于他们的客户而言，这一特殊病毒将被估定成低风险的。但是其他未能提供当前保护的供应商却会将同类病毒估定为“高”风险的。
● 为全体职员提供全面的防病毒培训。如果全体职员都了解容易遭受电子邮件病毒攻击的风险、防护措施以及遇到可疑病毒时应该采取的建议性措施等，就可以更大程度地降低系统内大多数病毒的发作。 随着电子邮件与办公套件应用的日益密切集成，单从电子邮件客户应用的角度来检验防病毒措施的缺陷是不够的。相反，还必须充分保护用户所使用的整个PC。
禁用预览窗口功能。某些电子邮件程序，如 Microsoft Outlook 和 Microsoft Outlook Express，都有一个允许用户不打开信息，而是在一个单独窗口查看此信息的功能，但是因为预览窗口具有处理嵌套脚本的能力，某些病毒只需预览就能够执行。
如果将 Microsoft Word 当作电子邮件编辑器使用，就需要将 NORMAL.DOT 在操作系统级设置成只读文件。同时将 Microsoft Word 的设置更改为“Prompt to Save Normal Template（保存常规模板）”。许多病毒通过更改 NORMAL.DOT 文件进行自我传播，采取上述措施至少可产生一定的阻止作用。
使用.rtf和.csv来代替.doc和.xls。要想应付宏所产生的问题，可以使用.rtf 格式的字处理文档来代替.doc格式文档，并用.csv格式的电子表格来代替.xls格式电子表格，因为这些格式不支持宏的应用。
删除Windows Scripting Host。如果系统不使用 Windows Script Hosting (WSH)，应该考虑删除或禁用它。在 Windows 9x 中的操作 *** 是，先进入“控制面板”，选中“添加/删除程序”，点击“Windows安装程序”选项卡，然后双击“附件”。向下滚动到“Windows Script Host”之处，删除此项，最后选择“确定”。操作完毕可能需要重新启动系统。
使用收件箱规则来处理可疑的电子邮件。如果系统不采用基于服务器的电子邮件内容过滤方式，可以使用电子邮件收件箱规则来自动删除可疑信息或将其移到专门的文件夹中。不要打开来源不明、可疑或不安全的电子邮件上的任何附件。一定要确保所有电子邮件附件的来源是合法规范的。
不轻易下传病毒警告。由于病毒本身和恶作剧式的非法警告数量庞大，下传这类病毒警告将会无谓地浪费时间和空间。在将警告传给其他人之前，应先查看防病毒产品供应商的网站，以确定系统是否已得到保护或者这只是个恶作剧。
加上写保护。此项措施适用于在其他计算机上使用可移动介质。假如要使用可移动介质在计算机之间（如从工作单位到家中）传递电子邮件，那么在可疑系统中使用此类介质之前应将其加上写保护，以防止它受到病毒感染。 有些人以为只要他们保护了自己的电子邮件网关和内部的桌面计算机，就无需基于电子邮件服务器的防病毒解决方案了。这在几年前或许是对的，但是目前随着基于 Web 的电子邮件访问、公共文件夹以及访问存储器的映射 *** 驱动器等方式的出现，病毒可以通过多种方式进入电子邮件服务器。这时，就只有基于电子邮件服务器的解决方案才能够检测和删除受感染项。 拦截受感染的附件。许多利用电子邮件传输方式的病毒传播者（又称“海量寄件者”）经常利用可在大多数计算机中找到的可执行文件，如EXE、VBS和SHS散布病毒。实际上，大多数电子邮件用户并不需要接收带这类文件扩展的附件，因此当它们进入电子邮件服务器或网关时可以将其拦截下来。
安排全面随机扫描。即使能够保证使用所有最新的手段防范病毒，新型病毒也总是防不胜防。它们有可能乘人们还没来得及正确识别，防病毒产品厂商也尚未相应地制定出新的定义文件之前，进入系统。通过使用最新定义文件，对所有数据进行全面、随机地扫描，确保档案中没有任何受感染文件蒙混过关，就显得尤为重要。
试探性扫描。利用试探性扫描，可以寻找已知病毒的特征，以识别是已知病毒变异的新病毒，提供较高级别的保护，但缺点是它需要更多的处理时间来扫描各项病毒，而且偶尔还会产生错误的识别结果。不管怎样，只要服务器配置正确，根据性能的需要，利用试探性扫描提供额外保护，还是值得一试的。
用防病毒产品中的病毒发作应对功能。海量邮寄带来的病毒可以迅速传遍一个系统。对于管理员而言，没有防病毒厂商所提供的适当的检测驱动程序，要根除这些病毒是极其费力的。幸运的是，某些病毒防护产品提供了系统设置功能，一旦出现特定病毒发作的特征，这些产品就会自动发出通知或采取修正措施。
重要数据定期存档。并非所有病毒都立即显示出自己的特征；根据感染位置以及系统的设置情况，有些病毒可能要潜伏一段时间才能被发现。更好是至少每月进行一次数据存档，这样，如前所述，在防病毒解决方案的自动删除功能不起作用时，就可以利用存档文件，成功地恢复受感染项。
什么原因会导致电脑有木马
中木马和中病毒的原因差不多如下：
蠕虫病毒及防范措施 （转载）
凡能够引起计算机故障，破坏计算机数据的程序统称为计算机病毒。所以从这个意义上说，蠕虫也是一种病毒！ *** 蠕虫病毒，作为对互联网危害严重的 一种计算机程序，其破坏力和传染性不容忽视。与传统的病毒不同，蠕虫病毒以计算机为载体，以 *** 为攻击对象！本文中将蠕虫病毒分为针对企业 *** 和个人用户2类，并从企业用户和个人用户两个方面探讨蠕虫病毒的特征和一些防范措施!
本文根据蠕虫病毒的发作机制，将其分为利用系统级别漏洞（主动传播）和利用社会工程学(欺骗传播)两种，并从用户角度中将蠕虫病毒分为针对企业 *** 和个人用户2类，从企业用户和个人用户两个方面探讨蠕虫病毒的特征和一些防范措施!
一、蠕虫病毒的定义
1.蠕虫病毒的定义
计算机病毒自出现之日起，就成为计算机的一个巨大威胁，而当 *** 迅速发展的时候，蠕虫病毒引起的危害开始显现！从广义上定义，凡能够引起计算机故障，破坏计算机数据的程序统称为计算机病毒。所以从这个意义上说，蠕虫也是一种病毒！但是蠕虫病毒和一般的病毒有着很大的区别。对于蠕虫，现在还没有一个成套的理论体系，一般认为，蠕虫是一种通过 *** 传播的恶性病毒，它具有病毒的一些共性，如传播性，隐蔽性，破坏性等等，同时具有自己的一些特征，如不利用文件寄生（有的只存在于内存中），对 *** 造成拒绝服务，以及和黑客技术相结合等等！在产生的破坏性上，蠕虫病毒也不是普通病毒所能比拟的， *** 的发展使得蠕虫可以在短短的时间内蔓延整个 *** ，造成 *** 瘫痪！
根据使用者情况可将蠕虫病毒分为2类，一种是面向企业用户和局域网而言，这种病毒利用系统漏洞，主动进行攻击，可以对整个互联网可造成瘫痪性的后果!以“红色代码”，“尼姆达”，以及最新的“sql蠕虫王”为代表。另外一种是针对个人用户的，通过 *** (主要是电子邮件，恶意网页形式)迅速传播的蠕虫病毒，以爱虫病毒，求职信病毒为例.在这两类中，之一类具有很大的主动攻击性，而且爆发也有一定的突然性，但相对来说，查杀这种病毒并不是很难。第二种病毒的传播方式比较复杂和多样，少数利用了微软的应用程序的漏洞，更多的是利用社会工程学()对用户进行欺骗和诱使，这样的病毒造成的损失是非常大的，同时也是很难根除的，比如求职信病毒，在2001年就已经被各大杀毒厂商发现，但直到2002年底依然排在病毒危害排行榜的首位就是证明！出得在接下来的内容中，将分别分析这两种病毒的一些特征及防范措施!
2.蠕虫病毒与一般病毒的异同
蠕虫也是一种病毒，因此具有病毒的共同特征。一般的病毒是需要的寄生的，它可以通过自己指令的执行，将自己的指令代码写到其他程序的体内，而被感染的文件就被称为”宿主”，例如，windows下可执行文件的格式为pe格式(Portable Executable)，当需要感染pe文件时，在宿主程序中，建立一个新节，将病毒代码写到新节中，修改的程序入口点等，这样，宿主程序执行的时候，就可以先执行病毒程序，病毒程序运行完之后，在把控制权交给宿主原来的程序指令。可见，病毒主要是感染文件，当然也还有像DIRII这种链接型病毒，还有引导区病毒。引导区病毒他是感染磁盘的引导区，如果是软盘被感染，这张软盘用在其他机器上后，同样也会感染其他机器，所以传播方式也是用软盘等方式。
蠕虫一般不采取利用pe格式插入文件的 *** ，而是复制自身在互联网环境下进行传播，病毒的传染能力主要是针对计算机内的文件系统而言，而蠕虫病毒的传染目标是互联网内的所有计算机.局域网条件下的共享文件夹，电子邮件email， *** 中的恶意网页，大量存在着漏洞的服务器等都成为蠕虫传播的良好途径。 *** 的发展也使得蠕虫病毒可以在几个小时内蔓延全球!而且蠕虫的主动攻击性和突然爆发性将使得人们手足无策!
可以预见，未来能够给 *** 带来重大灾难的主要必定是 *** 蠕虫!
3.蠕虫的破坏和发展趋势
1988年一个由美国CORNELL大学研究生莫里斯编写的蠕虫病毒蔓延造成了数千台计算机停机，蠕虫病毒开始现身 *** ;而后来的红色代码，尼姆达病毒疯狂的时候，造成几十亿美元的损失；北京时间2003年1月26日， 一种名为“2003蠕虫王”的电脑病毒迅速传播并袭击了全球，致使互联网网路严重堵塞，作为互联网主要基础的域名服务器（DNS）的瘫痪造成网民浏览互联网网页及收发电子邮件的速度大幅减缓，同时银行自动提款机的运作中断， 机票等 *** 预订系统的运作中断，信用卡等收付款系统出现故障!专家估计，此病毒造成的直接经济损失至少在12亿美元以上!
通过对以上蠕虫病毒的分析，可以知道，蠕虫发作的一些特点和发展趋势:
1.利用操作系统和应用程序的漏洞主动进行攻击.. 此类病毒主要是“红色代码”和“尼姆达”，以及至今依然肆虐的”求职信”等.由于IE浏览器的漏洞(Iframe Execcomand)，使得感染了“尼姆达”病毒的邮件在不去手工打开附件的情况下病毒就能激活，而此前即便是很多防病毒专家也一直认为，带有病毒附件的邮件，只要不去打开附件，病毒不会有危害。“红色代码”是利用了微软IIS服务器软件的漏洞(idq.dll远程缓存区溢出)来传播。Sql蠕虫王病毒则是利用了微软的数据库系统的一个漏洞进行大肆攻击!
2.传播方式多样 如“尼姆达”病毒和”求职信”病毒，可利用的传播途径包括文件、电子邮件、Web服务器、 *** 共享等等。
3.病毒 *** 技术与传统的病毒不同的是，许多新病毒是利用当前最新的编程语言与编程技术实现的，易于修改以产生新的变种，从而逃避反病毒软件的搜索。另外，新病毒利用Java、ActiveX、VB Script等技术，可以潜伏在HTML页面里，在上网浏览时触发。
4.与黑客技术相结合! 潜在的威胁和损失更大!以红色代码为例，感染后的机器的web目录的scripts下将生成一个root.exe，可以远程执行任何命令，从而使黑客能够再次进入!二、 *** 蠕虫病毒分析和防范。
蠕虫和普通病毒不同的一个特征是蠕虫病毒往往能够利用漏洞，这里的漏洞或者说是缺陷，我们分为2种，软件上的缺陷和人为上的缺陷。软件上的缺陷，如远程溢出，微软ie和outlook的自动执行漏洞等等，需要软件厂商和用户共同配合，不断的升级软件。而人为的缺陷，主要是指的是计算机用户的疏忽。这就是所谓的社会工程学(social engineering)，当收到一封邮件带着病毒的求职信邮件时候，大多数人都会报着好奇去点击的。对于企业用户来说，威胁主要集中在服务器和大型应用软件的安全上，而个人用户而言，主要是防范第二种缺陷。
1.利用系统漏洞的恶性蠕虫病毒分析
在这种病毒中，以红色代码，尼姆达和sql蠕虫为代表!他们共同的特征是利用微软服务器和应用程序组件的某个漏洞进行攻击，由于网上存在这样的漏洞比较普遍，使得病毒很容易的传播!而且攻击的对象大都为服务器，所以造成的 *** 堵塞现象严重!
以2003年1月26号爆发的sql蠕虫为例，爆发数小时内席卷了全球 *** ，造成 *** 大塞车.亚洲国家中以人口上网普及率达七成的韩国所受影响较为严重。韩国两大 *** 业KFT及***电讯公司，系统都陷入了瘫痪，其它的 *** 用户也被迫断线，更为严重的是许多银行的自动取款机都无法正常工作， 美国许美国银行统计，该行的13000台自动柜员机已经无法提供正常提款。 *** 蠕虫病毒开始对人们的生活产生了巨大的影响!
这次sql蠕虫攻击的是微软数据库系Microsoft SQL Server 2000的，利用了MSSQL2000服务远程堆栈缓冲区溢出漏洞， Microsoft SQL Server 2000是一款由Microsoft公司开发的商业性质大型数据库系统。SQL Server监听UDP的1434端口，客户端可以通过发送消息到这个端口来查询目前可用的连接方式（连接方式可以是命名管道也可以是TCP），但是此程序存在严重漏洞，当客户端发送超长数据包时，将导致缓冲区溢出，黑客可以利用该漏洞在远程机器上执行自己的恶意代码。
微软在2000年7月份的时候就为这个漏洞发布了一个安全公告，但当sql蠕虫爆发的时候，依然有大量的装有ms sqlserver 2000的服务器没有安装最新的补丁，从而被蠕虫病毒所利用，蠕虫病毒通过一段376个字节的恶意代码，远程获得对方主机的系统控制权限， 取得三个Win32 API地址，GetTickCount、socket、sendto，接着病毒使用GetTickCount获得一个随机数，进入一个死循环继续传播。在该循环中蠕虫使用获得的随机数生成一个随机的ip地址，然后将自身代码发送至1434端口(Microsoft SQL Server开放端口)，该蠕虫传播速度极快，其使用广播数据包方式发送自身代码，每次均攻击子网中所有255台可能存在机器。由于这是一个死循环的过程，发包密度仅和机器性能和 *** 带宽有关，所以发送的数据量非常大。该蠕虫对被感染机器本身并没有进行任何恶意破坏行为，也没有向硬盘上写文件，仅仅存在与内存中。对于感染的系统，重新启动后就可以清除蠕虫，但是仍然会重复感染。由于发送数据包占用了大量系统资源和 *** 带宽，形成Udp Flood，感染了该蠕虫的 *** 性能会极度下降。一个百兆 *** 内只要有一两台机器感染该蠕虫就会导致整个 *** 访问阻塞。
通过以上分析可以知道，此蠕虫病毒本身除了对 *** 产生拒绝服务攻击外，并没有别的破坏措施.但如果病毒编写者在编写病毒的时候加入破坏代码，后果将不堪设想!
2.企业防范蠕虫病毒措施
此次sql蠕虫病毒，利用的漏洞在2002年7月份微软的一份安全公告中就有详细说明！而且微软也提供了安全补丁提供下载，然而在时隔半年之后互联网上还有相当大的一部分服务器没有安装最新的补丁，其 *** 管理员的安全防范意识可见一斑！
当前，企业 *** 主要应用于文件和打印服务共享、办公自动化系统、企业业务（MIS）系统、Internet应用等领域。 *** 具有便利信息交换特性，蠕虫病毒也可以充分利用 *** 快速传播达到其阻塞 *** 目的。企业在充分地利用 *** 进行业务处理时，就不得不考虑企业的病毒防范问题，以保证关系企业命运的业务数据完整不被破坏。
企业防治蠕虫病毒的时候需要考虑几个问题：病毒的查杀能力，病毒的监控能力，新病毒的反应能力。而企业防毒的一个重要方面是是管理和策略。推荐的企业防范蠕虫病毒的策略如下：
(1)加强 *** 管理员安全管理水平，提高安全意识。由于蠕虫病毒利用的是系统漏洞进行攻击，所以需要在之一时间内保持系统和应用软件的安全性，保持各种操作系统和应用软件的更新！由于各种漏洞的出现，使得安全不在是一种一劳永逸的事，而作为企业用户而言，所经受攻击的危险也是越来越大，要求企业的管理水平和安全意识也越来越高！
(2)建立病毒检测系统。能够在之一时间内检测到 *** 异常和病毒攻击。
(3)建立应急响应系统，将风险减少到最小！由于蠕虫病毒爆发的突然性，可能在病毒发现的时候已经蔓延到了整个 *** ，所以在突 *** 况下，建立一个紧急响应系统是很有必要的，在病毒爆发的之一时间即能提供解决方案。
(4)建立灾难备份系统。对于数据库和数据系统，必须采用定期备份，多机备份措施，防止意外灾难下的数据丢失！
(5)对于局域网而言，可以采用以下一些主要手段：A.在因特网接入口处安装防火墙式防杀计算机病毒产品，将病毒隔离在局域网之外。B.对邮件服务器进行监控，防止带毒邮件进行传播！C.对局域网用户进行安全培训。D.建立局域网内部的升级系统，包括各种操作系统的补丁升级，各种常用的应用软件升级，各种杀毒软件病毒库的升级等等！3.对个人用户产生直接威胁的蠕虫病毒
在以上分析的蠕虫病毒中，只对安装了特定的微软组件的系统进行攻击，而对广大个人用户而言，是不会安装iis(微软的因特网服务器程序，可以使允许在网上提供web服务)或者是庞大的数据库系统的！因此上述病毒并不会直接攻击个个人用户的电脑(当然能够间接的通过 *** 产生影响)，但接下来分析的蠕虫病毒，则是对个人用户威胁更大，同时也是最难以根除，造成的损失也更大的一类蠕虫病毒！
对于个人用户而言，威胁大的蠕虫病毒采取的传播方式一般为电子邮件(Email)以及恶意网页等等！
对于利用email传播得蠕虫病毒来说，通常利用的是社会工程学(Social Engineering)，即以各种各样的欺骗手段那诱惑用户点击的方式进行传播！
恶意网页确切的讲是一段黑客破坏代码程序，它内嵌在网页中，当用户在不知情的情况下打开含有病毒的网页时，病毒就会发作。这种病毒代码镶嵌技术的原理并不复杂，所以会被很多怀不良企图者利用，在很多黑客网站竟然出现了关于用网页进行破坏的技术的论坛，并提供破坏程序代码下载，从而造成了恶意网页的大面积泛滥，也使越来越多的用户遭受损失。
对于恶意网页，常常采取vb script和java script编程的形式！由于编程方式十分的简单！所以在网上非常的流行！
Vb script和java script是由微软操作系统的wsh（Windows Scripting HostWindows脚本主机）解析并执行的，由于其编程非常简单，所以此类脚本病毒在网上疯狂传播，疯狂一时的爱虫病毒就是一种vbs脚本病毒，然后伪装成邮件附件诱惑用户点击运行，更为可怕的是，这样的病毒是以源代码的形式出现的，只要懂得一点关于脚本编程的人就可以修改其代码，形成各种各样的变种。
面以一个简单的脚本为例：Set objFs=CreateObject （“Scripting.FileSystemObject”）(创建一个文件系统对象)
objFs.CreateTextFile （"C:virus.txt"， 1）(通过文件系统对象的 *** 创建了TXT文件)
如果我们把这两句话保存成为.vbs的VB脚本文件，点击就会在C盘中创建一个TXT文件了。倘若我们把第二句改为：
objFs.GetFile （WScript.ScriptFullName）.Copy （"C:virus.vbs"）
就可以将自身复制到C盘virus.vbs这个文件。本句前面是打开这个脚本文件，WScript.ScriptFullName指明是这个程序本身，是一个完整的路径文件名。GetFile函数获得这个文件，Copy函数将这个文件复制到C盘根目录下virus.vbs这个文件。这么简单的两句就实现了自我复制的功能，已经具备病毒的基本特征——自我复制能力。
此类病毒往往是通过邮件传播的，在vb script中调用邮件发送功能也非常的简单，病毒往往采用的 *** 是向outlook中的地址薄中的邮件地址发送带有包含自身的邮件来达到传播目的，一个简单的实例如下：
Set objOA=Wscript.CreateObject （"Outlook.Application"）（创建一个OUTLOOK应用的对象）
Set objMapi=objOA.GetNameSpace （"MAPI"）（取得MAPI名字空间）
For i=1 to objMapi.AddressLists.Count（遍历地址簿）
Set objAddList=objMapi.AddressLists （i）
For j=1 To objAddList. AddressEntries.Count
Set objMail=objOA.CreateItem （0）
objMail.Recipients.Add （objAddList. AddressEntries （j））（取得收件人邮件地址 ）
objMail.Subject="你好!" （设置邮件主题，这个往往具有很大的诱惑性质）
objMail.Body="这次给你的附件，是我的新文档！" （设置信件内容）
objMail.Attachments.Add （“c:virus.vbs"）（把自己作为附件扩散出去 ）
objMail.Send（发送邮件）
Next
Next
Set objMapi=Nothing（清空objMapi变量，释放资源）
set objOA=Nothing(清空objOA变量)
这一小段代码的功能是向地址簿中的用户发送电子邮件，并将自己作为附件扩散出去。这段代码中的之一行是创建一个Outlook的对象，是必不可少的。在其下是一个循环，在循环中不断地向地址簿中的电子邮件地址发送内容相同的信件。这就是蠕虫的传播性。
由此可以看出，利用vb script编写病毒是非常容易的，这就使得此类病毒的变种繁多，破坏力极大，同时也是非常难以根除的！
4.个人用户对蠕虫病毒的防范措施
通过上述的分析，我们可以知道，病毒并不是非常可怕的， *** 蠕虫病毒对个人用户的攻击主要还是通过社会工程学，而不是利用系统漏洞！所以防范此类病毒需要注意以下几点：
(1)购合适的杀毒软件！ *** 蠕虫病毒的发展已经使传统的杀毒软件的“文件级实时监控系统”落伍，杀毒软件必须向内存实时监控和邮件实时监控发展！另外面对防不胜防的网页病毒，也使得用户对杀毒软件的要求越来越高！在杀毒软件市场上，赛门铁克公司的norton系列杀毒软件在全球具有很大的比例！经过多项测试，norton杀毒系列软件脚本和蠕虫阻拦技术能够阻挡大部分电子邮件病毒，而且对网页病毒也有相当强的防范能力!目前国内的杀毒软件也具有了相当高的水平。像瑞星，kv系列等杀毒软件，在杀毒软件的同时整合了防火强功能，从而对蠕虫兼木马程序有很大克 *** 用。
(2)经常升级病毒库，杀毒软件对病毒的查杀是以病毒的特征码为依据的，而病毒每天都层出不穷，尤其是在 *** 时代，蠕虫病毒的传播速度快，变种多，所以必须随时更新病毒库，以便能够查杀最新的病毒!
(3)提高防杀毒意识.不要轻易去点击陌生的站点，有可能里面就含有恶意代码！
当运行IE时，点击“工具→Internet选项→安全→ Internet区域的安全级别”，把安全级别由“中”改为“高” 。因为这一类网页主要是含有恶意代码的ActiveX或Applet、 JavaScript的网页文件 ，所以在IE设置中将ActiveX插件和控件、Java脚本等全部禁止就可以大大减少被网页恶意代码感染的几率。具体方案是：在IE窗口中点击“工具”→“Internet选项”，在弹出的对话框中选择“安全”标签，再点击“自定义级别”按钮，就会弹出“安全设置”对话框，把其中所有ActiveX插件和控件以及与Java相关全部选项选择“禁用”。但是，这样做在以后的网页浏览过程中有可能会使一些正常应用ActiveX的网站无法浏览。
(4)不随意查看陌生邮件，尤其是带有附件的邮件，由于有的病毒邮件能够利用ie和outlook的漏洞自动执行，所以计算机用户需要升级ie和outlook程序，及常用的其他应用程序！
三、小结
*** 蠕虫病毒作为一种互联网高速发展下的一种新型病毒，必将对 *** 产生巨大的危险。在防御上，已经不再是由单独的杀毒厂商所能够解决，而需要 *** 安全公司，系统厂商，防病毒厂商及用户共同参与，构筑全方位的防范体系！
*** 安全应急响应的介绍
应急响应对应的英文是Incident Response或Emergency
Response等，通常是指一个组织为了应对各种意外事件的发生所做的准备以及在事件发生后所采取的措施。
计算机 *** 安全事件应急响应的对象是指针对计算机或 *** 所存储、传输、处理的信息的安全事件，事件的主体可能来自自然界、系统自身故障、组织内部或外部的人、计算机病毒或蠕虫等。按照计算机信息系统安全的三个目标，可以把安全事件定义为破坏信息或信息处理系统CIA的行为。比如：
1、破坏保密性的安全事件：比如入侵系统并读取信息、搭线窃听、远程探测 *** 拓扑结构和计算机系统配置等;
2、破坏完整性的安全事件：比如入侵系统并篡改数据、劫持 *** 连接并篡改或插入数据、安装特洛伊木马、计算机病毒等;
3、破坏可用性的安全事件：比如系统故障、拒绝服务攻击、计算机蠕虫等;
4、扫描：包括地址扫描或端口扫描等，为了侵入系统寻找系统漏洞;
5、抵赖：指一个实体否认自己曾经执行过的某种操作，比如在电子商务中交易方之一否认自己曾经定购过某种商品，或者商家否认自己曾经接受过订单;
6、垃圾邮件骚扰：垃圾邮件是指接收者没有订阅却被强行塞入信箱的广告、政治宣传等邮件，不仅耗费大量的 *** 与存储资源，也浪费接收者的时间;
7、传播色情内容：尽管不同的地区和国家政策不同，但是多数国家对于色情信息的传播是限制的，特别是对于青少年儿童的不良影响是各国都极力反对的;
8、愚弄和欺诈：是指散发虚假信息造成的事件，比如曾经发生过几个组织发布应急通告，声称出现了一种可怕的病毒Virtual Card for
You，导致大量惊惶失措的用户删除了硬盘中很重要的数据，导致系统无法启动。
应急响应的概念是什么
应急响应对应的英文是Incident Response或Emergency
Response等，通常是指一个组织为了应对各种意外事件的发生所做的准备以及在事件发生后所采取的措施。
应急响应的对象：
计算机 *** 安全事件应急响应的对象是指针对计算机或 *** 所存储、传输、处理的信息的安全事件，事件的主体可能来自自然界、系统自身故障、组织内部或外部的人、计算机病毒或蠕虫等。按照计算机信息系统安全的三个目标，可以把安全事件定义为破坏信息或信息处理系统CIA的行为。比如：
1、破坏保密性的安全事件：比如入侵系统并读取信息、搭线窃听、远程探测 *** 拓扑结构和计算机系统配置等;
2、破坏完整性的安全事件：比如入侵系统并篡改数据、劫持 *** 连接并篡改或插入数据、安装特洛伊木马、计算机病毒等;
3、破坏可用性的安全事件：比如系统故障、拒绝服务攻击、计算机蠕虫等;
4、扫描：包括地址扫描或端口扫描等，为了侵入系统寻找系统漏洞;
5、抵赖：指一个实体否认自己曾经执行过的某种操作，比如在电子商务中交易方之一否认自己曾经定购过某种商品，或者商家否认自己曾经接受过订单;
6、垃圾邮件骚扰：垃圾邮件是指接收者没有订阅却被强行塞入信箱的广告、政治宣传等邮件，不仅耗费大量的 *** 与存储资源，也浪费接收者的时间;
7、传播色情内容：尽管不同的地区和国家政策不同，但是多数国家对于色情信息的传播是限制的，特别是对于青少年儿童的不良影响是各国都极力反对的;
8、愚弄和欺诈：是指散发虚假信息造成的事件，比如曾经发生过几个组织发布应急通告，声称出现了一种可怕的病毒Virtual Card for
You，导致大量惊惶失措的用户删除了硬盘中很重要的数据，导致系统无法启动。