小编在这里给大家带来PC病毒原理：感染潜伏繁殖发作，本文共4篇，希望大家喜欢!
篇1：PC病毒原理：感染潜伏繁殖发作[2]
第一阶段：感染
结果是寄生到其他程序中
在详细说明感染机理前，首先看一下感染途径，因为如果不了解病毒是如何进入到个人电脑的，就无法往下进行。
9成以上是通过电子邮件感染的
病毒主要通过（1）电子邮件、（2）外部介质、（3）下载这3种途径入侵个人电脑。
（1）电子邮件，是指把蠕虫和特洛伊木马本身以及受病毒感染的文件作为电子邮件附件等发送出去。有的是普通用户在不知道附件已经感染病毒的情况下发送了病毒邮件，有的是蠕虫本身自动地向外界发送邮件。而特洛伊木马则是由图谋不轨的第三者（即 ）发送的。
而且受病毒感染的不仅仅限于附件。比如，Windows附带的Outlook Express等常用电子邮件软件，大多都会利用Web浏览器的功能，解释并显示邮件正文中所描述的HTML代码。而病毒脚本往往就隐藏在HTML邮件当中。
（2）外部介质，是指用户从别人那里借来带有病毒的软盘和光盘等介质后，病毒就会由这些介质入侵到自己的电脑中。尽管很多情况是由于从别人那里借来的软盘等介质中带有病毒而被感染，但也不完全如此，过去就曾发生过多起市售软件中含有病毒的情况。
另外，通过外部介质的感染并不仅限于通过软盘和硬盘上的文件进行感染。有些病毒会隐藏在软盘和硬盘的起动区域中，这种情况稍后会作详细介绍。如果利用这种带病毒的外部介质起动个人电脑，就会受到病毒感染。
（3）下载，是指用户从Web站点和FTP服务器中下载感染了特洛伊木马和病毒的文件。公司内部LAN上的文件服务器和不同电脑之间的文件共享都有可能成为感染病毒的原因。
另外，在第三种感染途径中还存在极少数特殊情况。比如，曾在业界引起轩然大波的“Worm.ExploreZip”病毒，只要LAN上的其他个人电脑把起动系统的分区设置为完全共享，该病毒就会随意地发送自身的拷贝并实施感染，
也就是说，即便电脑用户不进行下载，电脑也会自动下载并运行病毒。
在这三种感染途径中，所占比例最大的是电子邮件。据受理日本国内病毒相关损失情况报告的日本信息处理振兴事业协会（IPA）表示，最近9成以上都是通过电子邮件感染的。就在数年前绝大多数还都是通过外部介质感染，由此可以看出电子邮件的普及对病毒感染造成了多么大的影响。也就是说病毒和电子邮件之间存在一种息息相关的关系。
感染目标有3个
不过，即便病毒通过上述三种途径进入了个人电脑，也不会直接产生什么问题。只有在用户无意中打开了电子邮件附件、执行了病毒程序那一刻起才会引发感染。这一点非常重要，请读者务必谨记。
用户一旦不慎起动病毒，感染即随之开始。根据病毒感染的不同目标，大体上可以把病毒分为如下3种：
・引导区感染型：
感染硬盘和软件中保存起动程序的区域
・可执行文件感染型：
感染扩展名为.com和.exe等程序（可执行文件）
・脚本感染型：
感染微软Office产品（Word等）的文档文件和HTML文件等
下面依次对这3种病毒加以介绍。
在个人电脑起动时同时开始运行
首先来看一下引导区感染型病毒（图4）。此类病毒感染软盘和硬盘的引导扇区（起动区域）。
引导扇区是指在个人电脑起动的初始状态下被访问的特殊区域，该区域保存了起动电脑所需的小程序。在硬盘中称为主引导记录（MBR）。引导区感染型病毒就感染这些小程序。病毒感染引导扇区后，在操作系统起动之前病毒就会被读入内存，并由CPU执行。在这种状态下只要在电脑中插入其他软盘等外部介质，就会一个不落地感染所使用的软盘。
篇2：PC病毒原理：感染潜伏繁殖发作[3]
随意更改可执行文件
接下来谈谈可执行文件感染型病毒，顾名思义，可执行文件感染型病毒只感染文件扩展名为.com和.exe等的可执行文件。下面以Windows程序为倒，介绍一下可执行文件感染型病毒的感染机理。
感染机理其实非常简单。用户无意间运行了病毒程序后，病毒就开始檎冶4嬖诟鋈说缒灾械钠渌程序文件，并实施感染。如果是可感染文件，病毒就会随意地更改此文件，并把自身的病毒代码复制到程序中。更改文件的方法包括（A）覆盖感染型、（B）追加感染型、（C）插空感染型三种方式。
用病毒代码进行更改
对于Windows程序文件，基本上来讲描述整个文件尺寸和程序代码起始位置等信息的文件头位于文件的起始部位，在其之后为程序代码。
覆盖感染型病毒是指用自身的病毒代码覆盖文件的程序代码部分。由于只是单纯利用病毒代码进行覆盖，因此感染机理最为简单。
不过，感染这种病毒后，程序文件就被破坏，无法正常工作。也就是说用户受感染后，原来的程序将不能运行，而只能起动病毒程序。结果，即便用户不能马上明白是不是病毒，也会立刻⒁獾椒⑸了异常情况?
感染后原程序仍然工作
比覆盖感染型更巧妙一些的是追加感染型病毒。
此类病毒并不更改感染对象的程序代码，而是把病毒代码添加到程序文件最后。另外，追加感染型病毒还会更改原程序文件的文件头部分。
具体来说就是把文件头中原来记述的“执行开始地址为XXX（原程序的开头）”等信息更改变成“执行开始地址为ZZZ（病毒程序的开头）”。这样一来，在原程序运行之前，病毒代码就会首先被执行。
另外，在病毒代码的最后会描述一段代码，以便重新回到执行原程序的开始地址，
这样一来，受感染程序在执行了病毒代码之后，就会接着执行原程序。
结果，由于原程序会正常运行，用户很难察觉到已经感染了病毒。不过，程序受到追加感染型病毒的感染后，其文件尺寸会变得比原文件大。
最后来看一下插空感染型病毒。这种病毒可以说是由追加感染型病毒发展而来的。事实上，它并不是在程序文件中查找合适的部位，然后把程序代码等信息添加到文件中，而是查找没有实际意义的数据所在的位置。插空感染型病毒找到这些部分以后，就把自身的代码覆盖到这些部分中。结果，尽管原程序照常运行，且文件尺寸也没有任何变化，但是仍能产生感染病毒的文件。
不过，此类病毒进行感染的前提条件是感染对象文件必须具有足够的空间。所以，它无法感染没有足够空间的程序文件。
感染数据的宏病毒
病毒不仅感染可执行文件，还可感染数据文件。这就是宏病毒等“脚本型病毒”。脚本型病毒的感染机理如下。
用户打开带有病毒的数据文件后，该数据文件相关联的应用程序就会执行数据文件中描述的脚本。由此就会起动病毒，然后把自身的脚本添加（或覆盖）到其他数据文件中，进行感染。
由于这种脚本型病毒并不感染可执行文件，而感染数据文件，因此也许会让人感觉与可执行文件感染型病毒区别很大。但实际上并没有太大的区别。虽说感染的是数据文件，但该数据文件最终还是含有可由某些特定应用程序来执行的程序代码的文件。最关键的是，在病毒运行过程中总体上是作为程序来运行的，因此在这个意义上来讲，与可执行文件感染型病毒在本质并没有任何区别。
“宏病毒感染标准模板”就是一个能真实反映这种病毒特点的例子。比如感染Word文档的宏病毒，不仅感染用户生成的数据文件，有时还会感染Word起动时最先调用的标准模板这一特别文件。结果，每当Word应用程序起动时，就会运行宏病毒，每当打开和保存Word文档文件时，就会不断感染其他文档文件。也就是说，就好象病毒感染了Word应用程序本身一样。（未完待续）
篇3：PC病毒原理：感染潜伏繁殖发作[5]
第四阶段：发作----没有病毒不能做的事情
最后一个阶段是发作，对于发作，笔者最想强调的是“病毒在个人电脑中什么事都可以干得出来”。病毒既然是在个人电脑上运行的程序，就绝不存在“因为是病毒，所以可以干这个”和“蠕虫干不了这个”的说法。
破坏程度因人而异
下面就具体说明病毒发作后会产生什么情况，以及根据用户遭受的损失来介绍一下其典型症状。
如果把破坏程度分为3个等级，那么破坏程度最大的大概就算是“格式化硬盘”和“删除文件”等直接破坏行为了。尤其是“破坏电脑BIOS”的发作症状，由于电脑将不能起动，用户自行进行修复根本无从谈起，在经济上的损失非常大，
除这种直接破坏行为以外，“改写文件”、“大量发送邮件”、“显示信息”和“占用内存”等症状会因病毒不同而千差万别。也有不发作的病毒。
什么样的症状对应何种程度的危险，上述所说的只是一般的标准。
对于病毒的发作，还有另一个容易让人误解的地方。这就是指，“包括宏病毒在内的脚本病毒，由于它只在相应的应用程序等封闭的环境中运行，因此即使发作也不会产生影响到整个电脑的巨大损失”。
其实这是大错特错的。微软Offic产品的宏语言等被病毒视为攻击对象的脚本语言大都能够超越应用程序的范围而进行操作。比如，删除系统文件也只需利用数行代码即可轻松完成。
篇4：PC病毒发病机理:感染潜伏繁殖发作
听到“计算机病毒”时，也许不少人会漠然地说：不就是一些侵入个人电脑中干坏事的程序嘛！
最近像“蠕虫”和“特洛伊木马”之类的病毒术语几乎都成了普通电脑用户的口头禅了，下面就让我们从这些术语的含义开始了解一下计算机病毒。
“计算机病毒”的起源
“计算机病毒”这种说法起源于美国弗雷德里克・B・科恩（Frederick B.Cohen）博士于1984年9月在美国计算机安全学会上发表的一篇论文（当时他还是美国加利弗尼亚大学研究生院的一名学生）。在这篇论文中，科恩首次把“为了把自身的拷贝传播给其他程序而修改并感染目标程序的程序”定义为“计算机病毒”。这就是计算机病毒的原始含义。
在电视和杂志等报道中，绝大多数则把所有的非法程序统称为病毒。但是，计算机病毒专家至今仍尊重科恩博士当时的定义。因此笔者在本文将把寄生于其他程序中的程序称为病毒，而把人们一般所说的病毒称为“非法程序”。本文将对狭义上所讲的病毒以及非法程序的整个运行机制进行详细探讨。
自我繁殖的蠕虫
按照非法程序的行动来划分，大体上可以分为病毒、蠕虫和特洛伊木马这三大类，
蠕虫是指具有通过网络进行自我繁殖功能的程序。比如，随意利用邮件软件等应用程序向其他个人电脑发送含有自身拷贝的电子邮件。其代表是1999年年初首次出现、并在日本造成了巨大损失的“幸福99（Happy99）”蠕虫。
最近有人说“病毒危害急剧增加的原因在于电子邮件的普及”，这句话只讲对了一半。从严格意义来讲应该说“其原因在于电子邮件的普及以及通过邮件繁殖的蠕虫的增加”。
伪装成正规软件的特洛伊木马
特洛伊木马是指伪装成游戏和应用程序等正规程序的非法程序。其性质与狭义上所讲的病毒存在本质区别。特洛伊木马是单独运行的非法程序，不像病毒那样感染其他程序。
另外，有的非法程序具有上述三类中的两类以上的性质。比如“兼具蠕虫功能的病毒”等。
病毒形态可分为4个阶段。不过，根据不同的病毒，有的可能不存在某个阶段，或者多个阶段同时并进
病毒形态可分为4个阶段
下面笔者即将开始向大家说明病毒（非法程序）的本来面目。在此之前，首先向大家介绍一下非法程序的运行机理。
典型的病毒运行机制可以分为（1）感染、（2）潜伏、（3）繁殖和（4）发作4个阶段。
（1）感染是指病毒自我复制并传播给其他程序；
（2）潜伏是指病毒等非法程序为了逃避用户和防病毒软件的监视而隐藏自身行踪的行为；
（3）繁殖是非法程序不断地由一部计算机向其他计算机进行传播的状态；
（4）发作是非法程序所实施的各种恶意行动。
在下一讲中，将详细介绍这四个阶段。
文档为doc格式