蠕虫病毒的特征与防治

研究生课程论文

(2008-2009学年第二学期)

蠕虫病毒的特征与防治

摘要

随着网络的发展，以网络传播的蠕虫病毒利用网络全球互联的优势和计算机系统及网络系统安全性上的漏洞，己经成为计算机系统安全的一大的威胁。采用网络传播的蠕虫病毒与传统的计算机病毒在很多方面都有许多不同的新特点。本文对蠕虫病毒的特征和防御策略进行了研究，透彻分析了几个流行的蠕虫病毒的本质特征和传播手段，并提出了防治未知病毒以及变形病毒的解决方案与虚拟机相结合的基于攻击行为的着色判决PN机蠕虫检测方法。

关键词: 蠕虫，病毒特征，病毒防治

1引言

“蠕虫”这个生物学名词于1982年由Xerox PARC的John F. Shoeh等人最早引入计算机领域，并给出了计算机蠕虫的两个最基本的特征:“可以从一台计算机移动到另一台计算机”和“可以自我复制”。最初，他们编写蠕虫的目的是做分布式计算的模型试验。1988年Morris蠕虫爆发后，Eugene H. Spafford 为了区分蠕虫和病毒，给出了蠕虫的技术角度的定义。“计算机蠕虫可以独立运行，并能把自身的一个包含所有功能的版本传播到另外的计算机上。”计算机蠕虫和计算机病毒都具有传染性和复制功能，这两个主要特性上的一致，导致二者之间是非常难区分的。近年来，越来越多的病毒采取了蠕虫技术来达到其在网络上迅速感染的目的。因而，“蠕虫”本身只是“计算机病毒”利用的一种技术手段[1]。

2蠕虫病毒的特征及传播

1、一般特征:

(1)独立个体，单独运行;

(2)大部分利用操作系统和应用程序的漏洞主动进行攻击;

(3)传播方式多样;

(4)造成网络拥塞，消耗系统资源;

(5)制作技术与传统的病毒不同，与黑客技术相结合。

2、病毒与蠕虫的区别

(l)存在形式上病毒寄生在某个文件上，而蠕虫是作为独立的个体而存在;

(2)传染机制方面病毒利用宿主程序的运行，而蠕虫利用系统存在的漏洞;

(3)传染目标病毒针对本地文件，而蠕虫针对网络上的其他计算机;

(4)防治病毒是将其从宿主文件中删除，而防治蠕虫是为系统打补丁。

3、传播过程:

(1)扫描:由蠕虫的扫描功能模块负责探测存在漏洞的主机。

(2)攻击:攻击模块按漏洞攻击步骤自动攻击步骤1中找到的对象，取得该主机的权限(一般为管理员权限)，获得一个shell。

(3)现场处理:进入被感染的系统后，要做现场处理工作，现场处理部分工作主要包括隐藏、信息搜集等等

(4)复制:复制模块通过原主机和新主机的交互将蠕虫程序复制到新主机并启动。

每一个具体的蠕虫在实现这四个部分时会有不同的侧重，有的部分实现的相当复杂，有的部分实现的则相当简略。尼姆达病毒是一个比较典型的病毒与蠕虫技术相结合的蠕虫病毒，它几乎包括目前所有流行病毒的传播手段，并且可以攻击Win98/NT/2000/XP等所有的Windows操作平台。该病毒有以下4种传播方式: (1)通过Email发送在客户端看不到的邮件附件程序，该部分利用了微软的OE

信件浏览器的漏洞;

(2)通过网络共享的方式来传染给局域网络上的网络邻居，使用设置密码的共享

方式可以有效的防止该病毒的此种传播方式;

(3)通过没有补丁的IIS服务器来传播，该传播往往是病毒屡杀不绝的原因，该

方式利用了微软IIS的UNICODE漏洞;

(4)通过感染普通的文件来传播，在这一点上和普通的病毒程序相同。

4、蠕虫病毒的传播趋势

目前的流行病毒越来越表现出以下三种传播趋势:

1、通过邮件附件传播病毒，如Mydoom等邮件病毒;

2、通过无口令或者弱口令共享传播病毒，如Nimda、Netskey等;

3、利用操作系统或者应用系统漏洞传播病毒，如冲击波蠕虫、震荡波蠕虫等。

3目前流行的蠕虫病毒

Mydoom邮件病毒

Novarg/蠕虫是2004年1月28日开始传入我国的一个通过邮件传播的蠕虫。在全球所造成的直接经济损失至少达400亿美元，是2004年1月份十大病毒之首。该蠕虫利用欺骗性的邮件主题和内容来诱使用户运行邮件中的附件。拒绝服务的方式是向网站的WEB服务发送大量GET请求，在传播和攻击过程中，会占用大量系统资源，导致系统运行变慢。蠕虫还会在系统上留下后门，通过该后门，入侵者可以完全控制被感染的主机[2]。

该蠕虫没有使用特别的技术和系统漏洞，之所以能造成如此大的危害，主要还是由于人们防范意识的薄弱，和蠕虫本身传播速度较快的缘故。该蠕虫主要通过电子邮件进行传播，它的邮件主题、正文和所带附件的文件名都是随机的，另外它还会利用Kazaa的共享网络来进行传播。病毒文件的图标和windows系统记事本图标非常相似，运行后会打开记事本程序，显示一些乱码信息，其实病毒已经开始运行了。病毒会创建名为“SwebSipcSmtxSO”的排斥体来判断系统是否己经被感染。

蠕虫在系统中寻找所有可能包含邮件地址的文件，包括地址簿文件、各种网页文件等，从中提取邮件地址，作为发送的目标。病毒会避免包含以下信息的域名:gov、mil、borlan、bsd、example等，病毒同样会避免包含以下信息的电子邮件帐户:accoun、ca、certific、、icrosoft、info、linux等，当病毒检测到邮件地址中含有上述域名或帐户时则忽略该地址，不将其加入到发送地址链表中。

病毒主程序流程如图3-1所示，后门程序如图3-2所示：

失败

图3-1 Mydoom病毒主体流程图

图3-2 流程图

Mydoom蠕虫病毒除造成了网络资源的浪费，阻塞网络，被攻击网站不能提供正常服务外，最大的危险在于安装了后门程序。该后门即，通过修改注册表，使自身随着EXPLORER的启动而运行，将自己加载到了资源管理器的进程空间中。后门监听3127端口，如果该端口被占用，则递增，但不大于3198。后门提供了两个功能:

(1)作为端口转发代理;

(2)作为后门，接收上传程序并执行。

当3127端口收到连接之后，如果recv的第一个字符是x04，转入端口转发流程。若第二个字符是0x01，则取3、4两个字符作为目标端口，取第5-8四个字节作为目标IP地址，进行连接并和当前socket数据转发。recv的第一个字符如果是x85，则转入执行命令流程。先接收四个字节，转成主机字节序后验证是否是x133c9ea2，验证通过则创建临时文件接收数据，接收完毕运行该文件。也就是说，只要我们把任意一个可执行文件的头部，加上五个字符:x85133c9ea2，作为数据发送到感染了蠕虫机器的3127端口，这个文件，就会在系统上被执行，从而对被感染系统的安全造成了极大的威胁。

Nimda蠕虫病毒

在Nimda蠕虫病毒出现以前，“蠕虫”技术一直是独立发展的。Nmida病毒第一次将“蠕虫”技术和“计算机病毒”技术结合起来。从Nimda的攻击方式来看，Nimda蠕虫病毒只攻击微软的Win X系列操作系统，它通过电子邮件、网络临近共享文件、IE浏览器的内嵌MIME类型自动执行漏洞、IIS服务器文件目录遍历漏洞、Code Red II和Sad mind/IIS蠕虫留下的后门共五种方式进行传播，其中前三种方式是病毒传播方式。关于蠕虫病毒的分析，在很多文献[3]中都有提到，本文在这些文献的基础上，重点针对几种典型的蠕虫病毒在技术实现上的特点进行分析，以期找到他们的一些共性。

1.被利用的系统漏洞描述

(1)微软IE异常处理MIME头漏洞

IE在处理MIME头中“Content2Type:”处指定的某些类型时存在问题，攻击者可以利用这类缺陷在IE客户端执行任意命令。

(2)Microsoft IIS UniCode解码目录遍历漏洞

微软和在UniCdoe字符解码的实现中存在一个安全漏洞，导致用户可以远程通过IIS执行任意命令。

(3)Microsoft IIS CGI文件名错误解码漏洞

微软在处理CGI程序文件名时存在一个安全漏洞，由于错误地对文件名进行了两次解码，攻击者可能利用这个漏洞执行任意系统命令。

(4)“Code Red II”和Sadmind/IIS蠕虫留下的后门程序。

2.传播方式

(l)邮件传播

蠕虫会向被攻击者发送一封携带了蠕虫附件的邮件。这个邮件由两部分MIME类型的信息组成:第一部分的MIME类型为“text/html”，但却没有包含文本，因此看起来是空的;第二部分的MIME类型为“audio/x2wav”，但它实际上携带的是一个名为“”的base64编码的可执行附件。利用了“微软IE异常处理MIME头漏洞”安全漏洞，任何运行在x86平台下并且使用微软或之前版本除外)来显示HTML邮件的邮件客户端软件，都将自动执行邮件附件。用户甚至只需打开或预览邮件即可使蠕虫被执行[4]。

被蠕虫攻击的目标邮件的地址从下列两个来源中获得:

①用户Web Cache文件夹中的*.htm和*.html文件

②用户通过MAPI服务收到Email邮件的内容

蠕虫在这些文件中搜索看起来像邮件地址的字符串，然后向这些地址发送一份包含蠕虫拷贝的邮件。Nimda蠕虫在Windows注册表中记录最后一批邮件发送的时间，然后每十天重复搜索邮件地址并重新发送蠕虫邮件。

(2)IIS WEB服务器传播

蠕虫会利用两个IIS服务器的目录遍历漏洞和以前的一些IIS蠕虫(Rde

CodeII和Sad mind/IIS)留下的后门程序来进行传播。

蠕虫按照下列几率来选择攻击目标的IP地址:

①50%的几率，在与本地IP地址前两字节相同的地址(B类网络)中选择一个

②25%的几率，在与本地IP地址前一字节相同的地址(A类网络)中选择一个

③25%的几率，随机选择IP地址。

蠕虫首先会启动一个TFTP服务器，监听UDP/69端口。在开启TFTP服务器和确定攻击P1地址之后，Nimda就开始对这个IP地址进行扫描。首先，扫描“RdeCodeII”留下的后门。由于被“RedCodeII”攻击过的系统中的Web虚拟目录中会留下一个名为的后门程序，Nimda就首先扫描“/Scripts/”，如果这个程序存在的话，Nimda蠕虫就企图通过它在系统上执行命令。它执行类似下列命令来向其发送蠕虫代码:

GET/scripts//c+tftp+2i+localip+GET+ HTTP/

其中Localip是本主机的IP地址，这样就通过TFTP协议将本地的文件传播过去，而这个实际上就是蠕虫代码本身，只不过它在这里是以*.dll文件的形式存在。这样做的目的，就像前面所讲述的那样是为了利用IIS的系统文件列表权限提升漏洞来提升蠕虫运行的权限。在将上传到目标主机上之后，蠕虫就会通过发送:

GET/scripts/ HTTP/

的请求来运行蠕虫。此时，蠕虫是以系统管理员权限运行的。

其次，如果在扫描/Scripts/时没有成功，即目标机中没有“红色代码II”留下的后门程序，那么蠕虫程序会继续扫描目标上的Unicode漏洞以及二次解码漏洞，以期通过这两个漏洞在系统上执行命令，如果发现其中某一个漏洞，蠕虫就会重复利用/scripts/所发送的TFTP命令来上传，然后运行。作为ISAPI程序运行后，会把自身拷贝到Windows系统文件夹命名，然后以\带参数方式运行“”。这样就完成了通过IIS进行传播的过程。

(3)文件共享传播。

蠕虫访问共享网络资源，然后开始检测远程系统上的文件。如果发现一个

*.exe文件，它将蠕虫代码加到原来文件的前面，下次执行被感染文件时，将首先执行蠕虫代码。它并不感染。

如果发现*.doc文件，它将自己拷贝到*.doc文件所在目录下，改名为，并设置为隐藏、系统属性。由于Microsoft word在打开该*.doc文件时，会首先在当前目录寻找，这将首先运行蠕虫代码，这也会大大增大远程用户的感染几率。它也会利用找到的文档文件的名字创建以*.eml和*.nws后缀的文件，这些文件也是带有蠕虫拷贝的MIME编码的文件。

(4)通过网页进行传播。

对于受感染的WWW服务器，Nimda会修改其上的WWW网页文件，使得浏览该网站的用户受其感染。当蠕虫通过运行时，蠕虫生成的新程序会在整个硬盘中搜索后缀为:*.HTML，*.APS，*.HTM，文件名为:Default，Index，Main，Readme 的文件。一旦发现了这样的文件，蠕虫会在该目录下创建一个文件，它是一个由两部分组成的MIME编码的文件，里面也包含了蠕虫拷贝。然后蠕虫会在找到的文件的末尾增加如下Javascript代码:

“

(”“，null，

“resiz able=no，top=6000，left=6000”)”

这样，其他用户如果使用浏览器浏览被修改的网页或者资源管理(打开了预览功能)来浏览共享服务器上的文件时，利用IE浏览器异常处理MIME头漏洞，蠕虫就可以传播到新的客户端上。

(5)通过修改*.exe文件进行传播。

前面几种传播方式都是通过网络方式进行的，也是Nimda最常用的传染方式，它还会像普通的病毒那样通过文件来进行传播。Nimda蠕虫首先选择感染*.exe文件，这样当通过软盘或局域网进行文件复制时，就会把蠕虫程序传播到其它的机器上面。

感染*.exe文件的具体做法是:

①先查找注册表中

HKEY LOCAL MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion

\APPPathS键的内容，这个键值存放了主机上的可执行文件名字，一旦找到Nimda就会以病毒的方式感染这些文件。

②把原来的*.exe文件作为资源存储在新的*.exe文件当中，这样当运行新的*.exe文件时首先执行蠕虫程序，然后再调用原来的*.exe文件来执行，这样对于用户来说感觉上只是执行了原来的*.exe文件。还有一点，Nimda如果发现*.exe文件名为，则不进行感染。这样做可能是为了避免重要程序WinZip无法运行导致系统崩溃。

(6)通过Word文档进行传播。

因为修改*.exe文件容易被杀毒软件检测到，所以Nimda还通过替换Word 程序的一个动态连接库文件来达到传播的目的。蠕虫程序首先把自身复制到windows目录中命名为。然后它会搜索本地的共享目录中包含*.doc文件的目录，一旦找到，就会把自身复制到目录中并命名为，并将文件属性设置为隐藏和系统属性。由于Microsoft word在打开该*.doc文件时，会首先在当前目录寻找并加载，这样就会运行到蠕虫代码了。不仅如此蠕虫还用找到的文档文件的名字加上.eml后缀来创建新文件，这些文件也是带有蠕虫拷贝的MIME编码的文件。这样做会使得系统中出现大量.eml文件。

(7)系统感染技术

蠕虫会检查注册表中的如下表项:

①HKEY LOCAL

MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\APP Paths

②HKEY LOCAL MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\

Explorer\Shell Folders

然后感染所有找到的程序。蠕虫会将自身拷贝到\windwos\System目录中，命名为，并修改文件，将Shell部分改为如下内容:

Shell= -dontrunold

这样每次系统重启后都会运行蠕虫拷贝。它会用自身拷贝替换Windows目录

下的，这样下次执行word时会自动执行这个蠕虫。如果蠕虫是以文件名被执行，它会将自身拷贝到Windows临时目录中，并使用随机文件名，例如等。蠕虫在第一次执行时会寻找Explorer进程，将自己的进程注册为Explorer的一个远程线程。这样即使用户退出系统，蠕虫仍然可以继续执行。

(8)后门安装技术

Nimda蠕虫通过修改一些注册表项以降低系统安全性，同时也安装系统后门。蠕虫会将所有驱动器设置成共享状态，它会编辑如下注册表项:

HKEY_LOCAL_MACHINE\Software\Mierosoft\Windows\CurrentVersion\Network\ LanMan\[C$->Z$]

蠕虫会删除下列注册表项的所有子键以禁止共享安全性:

HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\Shares\Securi ty

蠕虫会修改下列注册表项:

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced 调整Hidden，ShowsuperHidden和HideFileExt键值，使得使用资源管理器无法显示隐藏文件。这可以保护蠕虫代码，以免其被发现。

通过执行下列命令，蠕虫还激活了Guest用户，将其密码设置为空，并将其加入到Administrators组中(对于WindowsNT/2000/XP用户):

net user guest/add

net user guest/active

net user guest“”

net local group Administrators guest

net local group Guests guest/add

通过执行下列命令，蠕虫将C:\设置为完全共享:

net share c$ = c:\

冲击波病毒

病毒的行为特征为[5]:

(1)病毒运行时会将自身复制为

%systemdir%\，%systemdir%是一个变量，它指的是操作系统安装目录中的系统目录，默认是:“c:\windows\system”或“c:\Winnt\system32”。

(2)病毒运行时会在系统中建立一个名为:“BILLY”的互斥量，目的是病毒保证在内存中只有一份病毒体，避免用户发现。

(3)病毒运行时会在内存中建立一个名为:“”的进程，该进程就是活的病毒体。

(4)病毒会修改注册表，在

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run中添加键值:“windows auto update”=“”，以便每次启动系统时，病毒都会运行。

(5)病毒体内隐藏有一段文本信息:I just want to say LOVE YOU SAN!! Billy gates why do you make this possible Stop making money and you’re your software!!

(6)病毒会以20秒为间隔，每20秒检测一次网络状态，当网络可用时，病毒会在本地的UDP/69端口上建立一个TFPT服务器，并启动一个攻击传播线程，不断的随机生成攻击地址，进行攻击，另外该病毒攻击时，会首先搜索子网的IP地址，以便就近攻击。

(7)当病毒扫描到计算机后，就会向目标计算机的TCP/135端口发送数据。

(8)当病毒攻击成功后，目标计算机便会监听的TCP/4444端口作为后门，并绑定。然后蠕虫会连接到这个端口，发送TFTP下载信息，目标主机通过TFTP下载病毒并运行病毒。

(9)当病毒攻击失败时，可能会造成没有打补丁的Wind。邢系统RCP服务崩溃，WindowXP系统可能会自动重启计算机。

(10)病毒检测到当前系统月份是8月之后或者日期是巧日之后，就会向微软的更新站点“”发动拒绝服务攻击，使微软网站的更新站点无法为用户提供服务。

从上面冲击波病毒的行为特征我们可以看出，冲击波病毒与其他两个病毒的不同点在于其传播方式。冲击波病毒利用了windows系统的DCOM RPC缓冲区漏洞攻击系统，一旦攻击成功，病毒体将会被传送到对方计算机中进行感染，不需要用户的参与，而其他两种是通过邮件附件的方式，引诱用户点击执行。破坏性方面因病毒而异，病毒的执行、自启动方面三种病毒都相似。Remote Procedure Call(RPC)是运用于Windows操作系统上的一种协议。RPC提供相互处理通信机制，允许运行该程序的计算机在一个远程系统上执行代码。RPC协议本身源于OSF(open Software Foundation)RPC协议，后来又另外增加了一些Microsoft 专用扩展功能。RPC中处理TCP/IP信息交换的模块由于错误的处理畸形信息，导致存在缓冲区溢出漏洞，远程攻击者可利用此缺陷以本地系统权限在系统上执行任意指令，如安装程序、查看或更改、删除数据或建立系统管理员权限的帐户。

据CERT安全小组称，操作系统中超过50%的安全漏洞都是由内存溢出引起的，其中大多数与微软技术有关，这些与内存溢出相关的安全漏洞正在被越来越多的蠕虫病毒所利用。缓冲区溢出是指当计算机程序向缓冲区内填充的数据位数超过缓冲区本身的容量时，溢出的数据就会覆盖在合法数据上，这些数据可能是数值、下一条指令的指针，或者是其他程序的输出内容。一般情况下，覆盖其他数据区的数据是没有意义的，最多造成应用程序错误，但是如果输入的数据是经过“黑客”或者病毒精心设计的，覆盖缓冲区的数据恰恰是“黑客”或者病毒的入侵程序代码，一旦多余字节被编译执行，“黑客”或者病毒就有可能为所欲为，获取系统的控制权。

溢出根源在于编程:缓冲区溢出是由编程错误引起的。如果缓冲区被写满，而程序没有去检查缓冲区边界，也没有停止接收数据，这时缓冲区溢出就会发生。因此防止利用缓冲区溢出发起的攻击，关键在于程序开发者在开发程序时仔细检查溢出情况，不允许数据溢出缓冲区。此外,用户需要经常登录操作系统和应用程序提供商的网站，跟踪公布的系统漏洞，及时下载补丁程序，弥补系统漏洞。

4蠕虫病毒的防治

蠕虫病毒不同于一般的文件型病毒，既表现出了强大的功能，也表现出了自身的特点，变种多，功能相似，但当前反病毒厂商仍然利用传统的病毒特征串查毒法进行查毒。虽然随着病毒库的与日俱增，效率与日俱下，倒也还能满足目前的反病毒要求，但琼斯病毒的出现，彻底宣判了单纯特征串查毒法的死刑，迫切需要一种新式高效的查毒方法来应对琼斯这类变形蠕虫病毒。笔者总结了现有的蠕虫病毒非特征串检测方法，并提出了自己的观点。

一般防治措施

因为目前的蠕虫病毒越来越表现出三种传播趋势:邮件附件、无口令或者弱口令共享、利用操作系统或者应用系统漏洞来传播病毒，所以防治蠕虫也应从这三方面下手:

(1)针对通过邮件附件传播的病毒:在邮件服务器上安装杀毒软件，对附件进行杀毒:在客户端(主要是out1ook)限制访问附件中的特定扩展名的文件，如.pif、.vbs、.js、.exe等;用户不运行可疑邮件携带的附件。

(2)针对弱口令共享传播的病毒:严格来说，通过共享和弱口令传播的蠕虫大多也利用了系统漏洞。这类病毒会搜索网络上的开放共享并复制病毒文件，更进一步的蠕虫还自带了口令猜测的字典来破解薄弱用户口令，尤其是薄弱管理员口令。对于此类病毒，在安全策略上需要增加口令的强度策略，保证必要的长度和复杂度;通过网络上的其他主机定期扫描开放共享和对登录口令进行破解尝试，发现问题及时整改。

(3)针对通过系统漏洞传播的病毒:配置WindowsUpdate自动升级功能，使主机能够及时安装系统补丁，防患于未然;定期通过漏洞扫描产品查找主机存在的漏洞，发现漏洞，及时升级;关注系统提供商、安全厂商的安全警告，如有问题，则采取相应措施。

(4)重命名或删除命令解释器:如Windows系统下的;通过防火墙禁止除服务端口

外的其他端口，切断蠕虫的传播通道和通信通道。

基于攻击行为的着色判决NP机入侵检测系统模型

基于攻击行为的着色判决NP机入侵检测系统模型是成都信息安全与国家计算网格实验室刘培顺博士提出的，该模型利用Petri网理论结合人工智能技术建立了适合攻击行为分析与检测的理论和方法[6]。

Petri网是由Carl Asam Petri博士在1962年提出的，它是一种网状信息流模型，包括条件和事件两类结点，在这两类结点的有向二分图的基础上添加表示状态信息的托肯(token)分布，并按引发规则使得事件驱动状态演变，从而反应系统动态运行过程。Petri网是对异步并发系统进行建模与分析的有力工具。所谓判决NP机就是具有输入设输出集且行为表达式是一个定序并发表达式的确定PN机。着色PN机就是为位置和变迁加上称为颜色的标识，这些标识带有数据值，从而可以相互区分不同的事件。

基于攻击行为的着色判决PN机入侵检测系统通过着色判决PN机对攻击行为进行分析和建模，系统首先根据攻击实例表示成并发表达式，再转化为判决PN 机模型，然后使用机器学习的方法，通过对模型进行归纳学习得到攻击行为的概念空间，使得系统能够在某种程度上(基于同一弱点或相似行为的攻击)对付未知攻击模式，从而实现攻击知识库的更新和扩展。利用着色判决PN机的有色合成操作，可以对多个模型合一，从而解决多模式匹配问题，使得系统能够在模型增加的同时保持检测的高效率。

蠕虫病毒与黑客入侵具有相似性，基于攻击行为的着色判决PN机入侵检测系统完全可以检测蠕虫病毒。琼斯病毒虽然能够产生行为特征各异的子病毒，但这类子病毒既然是蠕虫病毒就会具有蠕虫病毒的共性，诸如自身复制、为了能够自启动而修改注册表、打开端口连接其他计算机等，这些特征从理论上来讲都会被基于攻击行为的着色判决PN机入侵检测系统通过机器的自学习转化PN机攻击模型、通过攻击模型的泛化、合一而将该类病毒检测出来。

与虚拟机相结合的着色判决NP机蠕虫检测系统

蠕虫并不是全部都修改注册表，如SQL蠕虫王，该病毒在溢出成功后直接创建套接字，随机产生IP地址，并向该地址发送病毒本身。病毒只存在于主机内存，主机重启后蠕虫就会消除，但若不及时打补丁，就会感染该病毒。而且蠕虫程序中修改注册表的顺序问题。当病毒一开始就修改注册表，木马行为阻断技术就会马上发现病毒，并成功阻击。但若病毒先执行发送自身到其他主机和破坏模块，然后再修改注册表，这时再检测出病毒来可能为时已晚，还有可能杀毒程序也早已被删除。

基于攻击行为的着色判决PN机入侵检测系统，从理论上来讲能够检测出各种蠕虫病毒，但这种检测同样是建立在事后法办的基础上，只不过是在病毒特征行为只执行了几个，功能未完全发挥出来就被逮住，但这对于主机安全来说同样是一个威胁。防治病毒应该建立在事前预防的基础之上，虚拟机就能满足这个要求，我们提出与虚拟机相结合的基于攻击行为的着色判决PN机蠕虫检测系统这个方案。该方案与防火墙相结合，对进出网络的数据流量进行检测。当检测到电子邮件附件或ftp下载的文件是可执行文件时，则用嵌套的虚拟机虚拟执行，并用基于攻击行为的着色判决PN机对指令进行分析，分析通过则放行，否则隔离删除，并向通信双方发送文件被检测出病毒并被删除的消息。

5结束语

蠕虫病毒成为当前网络环境下病毒的重要形式，由于该病毒本身的特点加上网络用户安全意识的淡薄，一个新型蠕虫病毒往往迅速扩散，并在全球范围内造成重大损失。通过对2004年十大流行病毒之一Mydoom蠕虫病毒代码进行了详细分析，对Nimda病毒、冲击波病毒等也进行了研究，总结了蠕虫的行为特点，提出了防治未知病毒特别是象琼斯这样的变形病毒的解决方案与虚拟机相结合的基于攻击行为的着色判决PN机蠕虫检测系统。

参考文献

[1] 侯强.解剖“完美”的蠕虫.网络信息与安全.2002(11):22-24

[2] 伊传勇等.新型蠕虫Dos攻击的分析与治疗.计算机安全.2003(07):25-27

[3]Subramanya，. Computer viruses Potentials，IEEE，、blmue:20，Issue:4，:16一19

[4] 赵双红，刘寿强.恶性蠕虫“震荡波”解决方案.计算机安全.2004(06):33-35

[5] Chen，L，C. The Impact of Countermeasure propagation on the prevalence of Computer Viruses Systems，Man and Cybernetics，Part B，IEEE Transactions on，Vol:34，Issue:2，April 2004 Pgaes:823-833

[6] 张洪立.从被动受攻到主动防御—如何更有效实施病毒防御.网络安全技术与应用.2003(10)

蠕虫病毒的症状

蠕虫病毒是自包含的程序(或是一套程序),它能传播它自身功能的拷贝或它的某些部分到其蠕虫病毒 他的计算机系统中(通常是经过网络连接)。请注意，与一般病毒不同，蠕虫不需要将其自身附着到宿主程序，有两种类型的蠕虫：主机蠕虫与网络蠕虫。主计算机蠕虫完全包含在它们运行的计算机中，并且使用网络的连接仅将自身拷贝到其他的计算机中，主计算机蠕虫在将其自身的拷贝加入到另外的主机后，就会终止它自身(因此在任意给定的时刻，只有一个蠕虫的拷贝运行)，这种蠕虫有时也叫"野兔"，蠕虫病毒一般是通过1434端口漏洞传播。 --------下面是蠕虫病毒的症状看看是不是蠕虫病毒------- 病毒类型：蠕虫病毒 攻击对象：Windows NT 4.0，Windows 2000，Windows XP，Windows Server 2003等传播途径：“冲击波”是一种利用Windows系统的RPC(远程过程调用，是一种通信协议，程序可使用该协议向网络中的另一台计算机上的程序请求服务)漏洞进行传播、随机发作、破坏力强的蠕虫病毒。它不需要通过电子邮件(或附件)来传播，更隐蔽，更不易察觉。它使用IP扫描技术来查找网络上操作系统为Windows 2000/XP/2003的计算机，一旦找到有漏洞的计算机，它就会利用DCOM(分布式对象模型，一种协议，能够使软件组件通过网络直接进行通信)RPC缓冲区漏洞植入病毒体以控制和攻击该系统。 如果真的是蠕虫病毒的话,可以按下面的方法操作: 1.中止进程 按“Ctrl+Alt+Del”组合键，在“Windows 任务管理器”中选择“进程”选项卡，查找“msblast.exe”(或“teekids.exe”、“penis32.exe”)，选中它，然后，点击下方的“结束进程”按钮。 提示：如不能运行“Windows 任务管理器”，可以在“开始→运行”中输入“cmd”打开“命令提示符”窗口，输入以下命令“taskkill.exe /im msblast.exe”(或“taskkill.exe /im teekids.exe”、“taskkill.exe /im penis32.exe”)。 2.删除病毒体 依次点击“开始→搜索”，选择“所有文件和文件夹”选项，输入关键词“msblast.exe”，将查找目标定在操作系统所在分区。搜索完毕后，在“搜索结果”窗口将所找到的文件彻底删除。然后使用相同的方法，查找并删除“teekids.exe“和“penis32.exe”文件。 提示：在Windows XP系统中，应首先禁用“系统还原”功能，方法是：右击“我的电脑”，选择“属性”，在“系统属性”中选择“系统还原”选项卡，勾选“在所有驱动器上关闭系统还原”即可。 如不能运行“搜索”，可以在“开始→运行”中输入“cmd”打开“命令提示符” 窗口，输入以下命令： “del 系统盘符winntsystem32msblast.exe”(Windows 2000系统)或“del系统盘符windowssystemmsblast.exe”(Windows XP系统) 3.修改注册表 点击“开始→运行”，输入“regedit”打开“注册表编辑器”，依次找到“HKEY_LOCAL_MACHINESOFTWARE MicrosoftWindowsCurrentVersionRun”，删除“windows auto update=msblast.exe”(病毒变种可能会有不同的显示内容)。 4.重新启动计算机 重启计算机后，“冲击波”(也就是蠕虫病毒)病毒就已经从系统中完全清除了。

法律尽职调查报告(正规版)

法律尽职调查报告（正规版） 法律尽职调查报告（正规版） 和附件三个部分。报告的前言部分主要介绍尽职调查的范围与宗旨、简称与定义、调查的方法以及对关键问题的摘要；在报告的主体部分，我们将就具体问题逐项进行评论与分析，并出具相关的法律意见书；报告的附件包括材料目录、目标公司提供的资料及文本、工商登记资料、行政批复及审批文件资料、政府机关，其他机构或目标公司声明与承诺等。附件另行装订成册。第二章正文第一部分目标公司法律情况审评 1.1目标公司的历史沿革（由目标公司自行出具公司简介并盖章） 1.2目标公司的设立 （一）目标公司于201X年5月20日向xx省xx市工商管理行政局申请设立，核定公司名称为“xx市xx热电有限责任公司”，公司住所地xx市火车站向南1公里处；营业期限二十年；注册资本为人民币壹佰万元；公司经营范围为火力发电、泵售、工业xx的生产、销售、炉渣、炉灰的销售。 （二）公司设立时股权结构为： xx（男，1956年3月27日出生，汉族，住xx省xx市东园镇南路281号），出资额人民币84万元，实际认缴出资人民币84万元，占注册资本84%； xx（男，1958年5月28日出生，汉族，住xx省xx 市三闸乡杨家寨村六社）出资人民币1 5.6万元，实际认缴出资人民币1

5.6万元，占注册资本1 5.6%。 xx（男，汉族，汉族，1969年8月23日出生，住xx省xx市马神庙街94号）出资额人民0.4万元，实际认缴出资人民币0.4万元，占注册资本0.4%。 （三）设立时验资情况： xx市xx会计师事务有限公司出具张会验字（200 3）90号验资报告（节选，以附件为准，附件一26页）： “根据有关协议、章程的规定，xx市xx热电有限责任公司申请的注册资本为壹佰万元，由xx、xx、xx三位股东出资，经审验，截止201X年5月19日止，xx市xx热电有限责任公司已实际收到股东缴纳的注册资本合计人民币100万元，各股东以货币方式出资。 （四）设立时公司章程（概述，以附件为准，附件一15页）： 对包括宗旨、名称及住所、公司经营范围、注册资本、股东名称及出资方 篇二： 法律尽职调查报告-201X0428 北京有限公司法律尽职调查报告（机密）二〇一二年二月二十四日第一部分导言 1、简称与定义在本报告中，除非根据上下文应另做解释，否则下列简称和术语具有以下含义（为方便阅读，下列简称和术语按其第一个字拼音字母的先后顺序排列）： “本报告”指由上海方本（北京）律师事务所于201X年2月28日出具的北京有限公司之法律尽职调查报告。“本所”指上海方本（北京）律师事务所。“本所律师”或“我们”指上海方本（北京）律师事务所进行法律尽职调查之律师。“”指股份有限公司，一家根

蠕虫病毒的特征与防治.doc

研究生课程论文 蠕虫病毒的特征与防治 摘要 随着网络的发展，以网络传播的蠕虫病毒利用网络全球互联的优势和计算机系统及网络系统安全性上的漏洞，己经成为计算机系统安全的一大的威胁。采用网络传播的蠕虫病毒与传统的计算机病毒在很多方面都有许多不同的新特点。本文对蠕虫病毒的特征和防御策略进行了研究，透彻分析了几个流行的蠕虫病毒的本质特征和传播手段，并提出了防治未知病毒以及变形病毒的解决方案与虚拟机相结合的基于攻击行为的着色判决PN机蠕虫检测方法。 关键词: 蠕虫，病毒特征，病毒防治

1引言 “蠕虫”这个生物学名词于1982年由Xerox PARC的John F. Shoeh等人最早引入计算机领域，并给出了计算机蠕虫的两个最基本的特征:“可以从一台计算机移动到另一台计算机”和“可以自我复制”。最初，他们编写蠕虫的目的是做分布式计算的模型试验。1988年Morris蠕虫爆发后，Eugene H. Spafford为了区分蠕虫和病毒，给出了蠕虫的技术角度的定义。“计算机蠕虫可以独立运行，并能把自身的一个包含所有功能的版本传播到另外的计算机上。”计算机蠕虫和计算机病毒都具有传染性和复制功能，这两个主要特性上的一致，导致二者之间是非常难区分的。近年来，越来越多的病毒采取了蠕虫技术来达到其在网络上迅速感染的目的。因而，“蠕虫”本身只是“计算机病毒”利用的一种技术手段[1]。 2蠕虫病毒的特征及传播 1、一般特征: (1)独立个体，单独运行; (2)大部分利用操作系统和应用程序的漏洞主动进行攻击; (3)传播方式多样; (4)造成网络拥塞，消耗系统资源; (5)制作技术与传统的病毒不同，与黑客技术相结合。 2、病毒与蠕虫的区别 (l)存在形式上病毒寄生在某个文件上，而蠕虫是作为独立的个体而存在;

蠕虫的行为特征描述和工作原理分析

蠕虫的行为特征描述和工作原理分析* 郑辉＊＊　李冠一　涂菶生　 （南开大学 20-333# ，天津，300071） E-mail: zhenghui@https://www.sodocs.net/doc/f37608095.html, https://www.sodocs.net/doc/f37608095.html,/students/doctor/spark/zhenghui.htm 摘要：本文详细讨论了计算机蠕虫和计算机病毒的异同，指出它们除了在复制和传染方面具有相似性之外，还有很多不同点，如蠕虫主要以计算机为攻击目标，病毒主 要以文件系统为攻击目标；蠕虫具有主动攻击特性，而病毒在传播时需要计算机 使用者的触发。通过详细区分它们的不同行为特征，确定了在计算机网络安全防 范体系中不同角色的责任。然后描述了蠕虫发展的历史，从中可以看到，蠕虫产 生了越来越大的危害。通过分析计算机蠕虫的工作原理、功能结构、实体组成， 提出了蠕虫的统一功能结构模型，并给出了有针对性的对计算机蠕虫攻击进行防 范的措施。最后本文分析了一些新的蠕虫技术发展趋势，指出计算机蠕虫本质上 是黑客入侵行为的自动化，更多的黑客技术将被用到蠕虫编写当中来，由此可以 看出对蠕虫攻击的防治和对抗将是长期而困难的工作。 关键词：蠕虫，计算机病毒，计算机网络安全，蠕虫定义，蠕虫历史，行为特征，功能模型 一、　引言 计算机病毒给世界范围内的计算机系统带来了不可估量的危害，给人们留下了深刻的印象。同时给人们一种误解，认为危害计算机的程序就是病毒。从而不加区分把计算机病毒（Virus）、计算机蠕虫（Worm）、木马程序（Trojan Horse）、后门程序（Backdoor）、逻辑炸弹（Logic Bomb）等等这些概念都称为计算机病毒。这种误解不仅体现在媒体的宣传中，而且体现在病毒技术研究人员的文章[1][2]中，反病毒厂商对产品的介绍说明中，甚至政府部门制定的法律法规[3]当中。这种相近概念上的误解导致不能有效的给出针对不同类型危害计算机安全的程序的有效防治措施，也为整体的计算机安全防护带来了一定困难。另外，同一程序的不同分类也不利于对其性质的进一步研究和分析。 计算机病毒和计算机蠕虫在传播、复制等特性上非常相似，尤其容易造成人们的误解。导致误解的原因有很多，一方面由于反病毒技术人员自身知识的限制，无法对这两种程序进行清楚细致的区分；另一方面虽然病毒的命名有一定的规范[4][5]，但病毒编写者在为自己的程序起名字的时候并不一定遵循这个规范，利用网络功能如电子邮件进行传播的病毒常常被病毒编写者冠以蠕虫的名字，这也给人们带来一些误导。为了照顾这种病毒的命名，曾有文献试图将蠕虫细分为活动蠕虫和邮件蠕虫[6]。由于用计算机病毒这个称谓不能涵盖所有危害计算机的程序的特征，而且容易产生误导，所以有的文献采用了含义更广泛的称谓“恶意软件”（malware）[7]来统一称呼它们。从蠕虫产生开始，十几年来，很多研究人员对蠕 *高等学校博士点学科点专项科研基金资助课题（编号：2000005516）。 **作者简介：郑辉（1972～），男，吉林伊通人，博士研究生，主要研究领域为网络与信息安全。李冠一（1978～），女，辽宁鞍山人，硕士研究生，主要研究领域为模式识别，计算机视觉与图像处理等。涂奉生（1937～），江西南昌人，博士生导师，主要研究领域为CIMS， DEDS理论，制造系统及通讯理论。

【资本】尽职调查深度解析

【资本】尽职调查深度解析 尽职调查深度解析一、概述概述（一）尽职调查概念尽职调查概念1、概念尽职调查又称谨慎性调查，是指投资人在与目标企业达成初步合作意向后，经协商一致，投资人对目标企业一切与本次投资有关的事项进行现场调查、资料分析的一系列活动。 财务尽职调查即由财务专业人员针对目标企业与投资有关财务状况的审阅、分析、核查等专业调查。 2、种类尽职调查的种类包括四类：法律尽职调查、财务尽职调查、业务尽职调查、其他尽职 调查。 （二）尽职调查的目的尽职调查的目的尽职调查就是要搞清楚： 1、他是谁即交易对手实际控制人的底细和管理团队 2、他在做什么，即产品或服务的类别和 市场竞争力3、他做得如何，即经营数据和财务数据收集，尤其是财务报表反映的财务状况、经营成果、现金流量及纵向、横向（同业）比较4、别人如何看，包括银行同业和竞争对手的态度5、我们如何做，在了解客户的基础上进行客户价值分析，用经验和获得的信息设计授信方案和控制措施，把交流变成可行的交易。 简言之，即做好股东背景和管控结构、行业和产品、经营和财务数据、同业态度的调查，提供我们的做法。 （三）尽职调查框架尽职调查框架（四）财务顾问尽职调查的关注要点（四）财务顾问尽职调查的关注要点11、业务、业务（11））行业/企业的业务模型、盈利模式（22））标的企业的竞争优势（33））协同效应，以及未来潜在的整合成本和整合风险 Tips:（1）在做企业尽职调查时，可以以估值模型为线索进行调查；（2）不要忽视目标公司董事会会议记录以及决策等法律文件，里面会包含公司业务的信息，特别是公司战略。 22、财务、财务（11））历史数据的真实性、可靠性（22））预测财务数据偏于保守偏于乐观 预测的依据是什么（33））是否有表外负债（44））内控制度的健全性（审计师的内控审计报告）（55）税务问题（除公司自身税务情况外，还需关注收购方案所涉及的税务问题）Tips:在做财务尽职调查时，需与审计师充分沟通，并且与业务尽职调查紧密联系。33、法律、法律（11）公司自身的法律情况：重大诉讼和法律纠纷、房产土地的权属问题等 （22）交易所涉及的法律问题：股权结构（类别股权安排，优先股东、期权等问题）、行业监管规定、交易涉及的其他监管规则等。 Tips:法律尽职调查可以分为两部分，一部分是公司本身的法律情况，需要依赖律师去尽职调

蠕虫和普通病毒的区别 及防范措施

蠕虫和普通病毒的区别及防范措施 蠕虫和普通病毒区别 对于防毒杀毒长久以来都是计算机使用者比较头疼的问题，很多人都存在以上的疑问和误区。针对近年来，病毒开始由传统形向网络蠕虫和隐蔽的木马病毒发展，笔者这篇文章就以这两个祸害开刀，和大家一步一步谈谈从杀到防搞定病毒。 一、先来看看蠕虫 随着我国宽带爆炸式的发展，蠕虫病毒引起的危害开始快速的显现！蠕虫是一种通过网络传播的恶性病毒，它具有病毒的一些共性，如传播性，隐蔽性，破坏性等等，同时具有自己的一些特征，如不利用文件寄生（有的只存在于内存中），快速的自身复制并通过网络感染，以及和黑客技术相结合等等！在产生的破坏性上，蠕虫病毒也不是普通病毒所能比拟的，网络的发展使得蠕虫可以在短短的时间内蔓延整个网络，造成网络瘫痪。相信以前的冲击波、震荡波大家一定还没忘记吧。 1、蠕虫和普通病毒区别 2、传播特点 蠕虫一般都是通过变态的速度复制自身并在互联网环境下进行传播，目标是互联网内的所有计算机。这样一来局域网内的共享文件夹，电子邮件，网络中的恶意网页，大量安装了存在漏洞操作系统的服务器就都成为蠕虫传播的良好途径，使得蠕虫病毒可以在几个小时内蔓延全球!而且蠕虫的主动攻击性和突然爆发性将使得人们手足无策!这其中通过操作系统漏洞或者通过IE漏洞攻击的方式最为常见。 3、蠕虫的预防解决 蠕虫和普通病毒不同的一个特征是蠕虫病毒往往能够利用漏洞，这里的漏洞或者说是缺陷，我们分为2种：软件的和人为的。 软件上的缺陷，如系统漏洞，微软IE和outlook的自动执行漏洞等等，需要大家经常更新系统补丁或者更换新版本软件。而人为的缺陷，主要是指的是计算机用

户的疏忽。例如，当收到QQ好友发来的照片、游戏的时候大多数人都会报着好奇去点击的，从而被感染上了病毒。 蠕虫病毒的防范措施 二、个人用户对蠕虫病毒的防范措施 通过上述的分析，我们了解蠕虫的特点和传播的途径，因此防范需要注意以下几点： 1、选择合适的杀毒软件 杀毒软件必须提供内存实时监控和邮件实时监控以及网页实时监控！国产软件无论是在功能和反应速度以及病毒更新频率上都做的不错，相对国外的反病毒软件他们对于像QQ这类国产病毒具有明显优势，同时消耗系统资源也比较少，大家可以放心使用。 2、经常升级病毒库 没有最新病毒库的杀毒软件就好比没有瞄准器的狙击枪，病毒每天都层出不穷，再加上如今的网络时代，蠕虫病毒的传播速度快，变种多，所以必须随时更新病毒库，以便能够查杀最新的病毒! 3、提高防患意识 不要轻易接受任何陌生人的邮件附件或者QQ上发来的图片，软件等等。必须经过对方的确认（因为一旦对方中毒后他的QQ会自动向好友发送病毒，他自己根本不知道，这个时候只要问一问他本人就真相大白！），或者此人是你绝对可以相信的人！另外对于收发电子邮件，笔者强烈建议大家通过WEB方式（就是登陆邮箱网页）打开邮箱收发邮件（这样比使用Outlook和foxmail更安全）。虽然杀毒软件可以实时监控但是那样不仅耗费内存，也会影响网络速度！ 4、必要的安全设置 运行IE时，点击“工具→Internet选项→安全”，把其中各项安全级别调高一级。在IE设置中将ActiveX插件和控件、Java脚本等全部禁止就可以大大减少被网页恶意代码感染的几率。具体操作是：在IE窗口中点击“工具”→“Internet 选项”，在弹出的对话框中选择“安全”标签，再点击“自定义级别”按钮，就会弹出“安全设置”对话框，把其中所有ActiveX插件和控件以及与Java相关全部选项选择“禁用”。但是，这样做在以后的网页浏览过程中有可能会使一些正常应用ActiveX的网站无法浏览。 5、第一时间打上系统补丁 虽然看上去可怕，但是细心的朋友注意蠕虫攻击系统的途径可以看出：最主要的方式就是利用系统漏洞，因此微软的安全部门已经加大了系统补丁的推出频率，大家一定要养成好习惯，经常的去微软网站更新系统补丁，消除漏洞（通过点击开始上端的“windows Update”）

财务尽职调查深度解析

财务尽职调查深度解析（适合学习） 一、概述 （一）尽职调查概念 1、概念 尽职调查又称谨慎性调查，是指投资人在与目标企业达成初步合作意向后，经协商一致，投资人对目标企业一切与本次投资有关的事项进行现场调查、资料分析的一系列活动。 财务尽职调查即由财务专业人员针对目标企业与投资有关财务状况的审阅、分析、核查等专业调查。 2、种类 尽职调查的种类包括四类：法律尽职调查、财务尽职调查、业务尽职调查、 其他尽职调查。 （二）尽职调查的目的 尽职调查就是要搞清楚： 1、他是谁？即交易对手实际控制人的底细和管理团队 2、他在做什么，即产品或服务的类别和市场竞争力 3、他做得如何，即经营数据和财务数据收集，尤其是财务报表反映的财务状况、经营成果、现金流量及纵向、横向（同业）比较 4、别人如何看，包括银行同业和竞争对手的态度 5、我们如何做，在了解客户的基础上进行客户价值分析，用经验和获得的信息设计授信方案和控制措施，把交流变成可行的交易。

简言之，即做好股东背景和管控结构、行业和产品、经营和财务数据、同业态度的调查，提供我们的做法。 （三）尽职调查框架 （四）财务顾问尽职调查的关注要点 1、业务 （1）行业/企业的业务模型、盈利模式 （2）标的企业的竞争优势 （3）协同效应，以及未来潜在的整合成本和整合风险 Tips: （1）在做企业尽职调查时，可以以估值模型为线索进行调查；（2）不要忽视目标公司董事会会议记录以及决策等法律文件，里面会包含公司业务的信息，特别是公司战略。 2、财务 （1）历史数据的真实性、可靠性 （2）预测财务数据偏于保守？偏于乐观？预测的依据是什么？ （3）是否有表外负债？ （4）内控制度的健全性（审计师的内控审计报告） （5）税务问题（除公司自身税务情况外，还需关注收购方案所涉及的税务问题）Tips:在做财务尽职调查时，需与审计师充分沟通，并且与业务尽职调查紧密联系。

蠕虫病毒

【摘要】：凡能够引起计算机故障，破坏计算机数据的程序统称为计算机病毒。所以从这个意义上说，蠕虫也是一种病毒。蠕虫病毒，作为对互联网危害严重的一种计算机程序，其破坏力和传染性不容忽视。与传统的病毒不同，蠕虫病毒以计算机为载体，以网络为攻击对象。本文主要介绍蠕虫病毒的分类、概念、特点传播途径、典型蠕虫、防范措施和发展趋势等。 【关键词】：蠕虫病毒影响防范发展

目录 第一章蠕虫病毒概述 (1) 1.1 蠕虫病毒的概念 (1) 1.2 蠕虫病毒的成因 (1) 1.3 蠕虫病毒的特性 (1) 第二章蠕虫病毒分析 (2) 2.1 蠕虫病毒分类分析 (2) 2.1.1主机蠕虫 (2) 2.1.2 网络蠕虫 (2) 2.2 蠕虫病毒传播途径 (2) 2.3 典型蠕虫病毒 (3) 2.3.1 熊猫烧香病毒的概念 (3) 2.3.2 熊猫烧香病毒的危害 (3) 2.3.3熊猫烧香病毒的现象 (3) 第三章蠕虫病毒的防范 (5) 3.1 怎样防范蠕虫病毒 (5) 3.2 蠕虫病毒的解决方案（例：熊猫烧香病毒） (6) 第四章蠕虫病毒发展趋势 (11) 参考文献 (12)

第一章蠕虫病毒概述 1.1 蠕虫病毒的概念 1.2 蠕虫病毒的成因 利用操作系统和应用程序的漏洞主动进行攻击此类病毒主要是“红色代码”和“尼姆亚”，以及依然肆虐的“求职信”等。由于IE浏览器的漏洞（IFRAMEEXECCOMMAND），使得感染了“尼姆亚”病毒的邮件在不去手工打开附件的情况下病毒就能激活，而此前即便是很多防病毒专家也一直认为，带有病毒附件的邮件，只要不去打开附件，病毒不会有危害。“红色代码”是利用了微软IIS服务器软件的漏洞(idq.dll远程缓存区溢出)来传播，SQL蠕虫王病毒则是利用了微软的数据库系统的一个漏洞进行大肆攻击。 1.3 蠕虫病毒的特性 蠕虫和传统病毒都具有传染性和复制功能，这两个主要特性上的一致，导致人们在二者之间非常难区分。尤其是近年来，越来越多的传统病毒采取了部分蠕虫的技术，而具有破坏性的蠕虫也采取了部分传统病毒的技术，从而更加剧了这种情况。表1-2给出了传统病毒和蠕虫病毒的一些差别。

关于财务尽职调查的深度解析

关于尽职调查的10000字深度长文解析（财务篇） 概述 尽职调查概念 1、概念 尽职调查又称谨慎性调查， 是指投资人在与目标企业达成初步合作意向后，经协商一致，投资人对目标企业一切与本次投资有关的事项进行现场调查、资料分析的一系列活动。 财务尽职调查即由财务专业人员针对目标企业与投资有关财务状况的审阅、分析、核查等专业调查。 2、种类 尽职调查的种类包括四类： ■法律尽职调查■财务尽职调查 ■业务尽职调查■·其他尽职调查 尽职调查的目的 尽职调查就是要搞清楚： 1、他是谁？即交易对手实际控制人的底细和管理团队 2、他在做什么？即产品或服务的类别和市场竞争力 3、他做得如何？即经营数据和财务数据收集，尤其是财务报表反映的财务状况、经营成果、现金流量及纵向、横向（同业）比较 4、别人如何看？包括银行同业和竞争对手的态度 5、我们如何做？在了解客户的基础上进行客户价值分析，用经验和获得的信息设计授信方案和控制措施，把交流变成可行的交易。 简言之，即做好股东背景和管控结构、行业和产品、经营和财务数据、同业态度的调查，提供我们的做法。

尽职调查框架 财务顾问尽职调查的关注要点 1、业务 （1）行业/企业的业务模型、盈利模式 （2）标的企业的竞争优势 （3）协同效应，以及未来潜在的整合成本和整合风险 【Tips】 ?在做企业尽职调查时，可以以估值模型为线索进行调查； ?不要忽视目标公司董事会会议记录以及决策等法律文件，里面会包含公司业务的信息，特别是公司战略。 2、财务 （1）历史数据的真实性、可靠性 （2）预测财务数据偏于保守？偏于乐观？预测的依据是什么？ （3）是否有表外负债？ （4）内控制度的健全性（审计师的内控审计报告） （5）税务问题（除公司自身税务情况外，还需关注收购方案所涉及的税务问题）【Tips】 在做财务尽职调查时，需与审计师充分沟通，并且与业务尽职调查紧密联系。 3、法律 （1）公司自身的法律情况：重大诉讼和法律纠纷、房产土地的权属问题等 （2）交易所涉及的法律问题：股权结构（类别股权安排，优先股东、期权等问 题）、行业监管规定、交易涉及的其他监管规则等。 【Tips】 法律尽职调查可以分为两部分，一部分是公司本身的法律情况，需要依赖律师去尽职调查，投行需要关注未来的风险所在；另一部分是交易所涉及的法律问题，此部分投行要充分组织和积极参与讨论，具体的工作可以以律师为主。 4、人力资源 （1）管理层聘用和留任问题 （2）工会问题 （3）离退、内退人员负担及养老金问题 【Tips】 人事的问题对于收购后的成功整合非常重要，不容忽视；投行需要起牵头作用，具体的工作由适当的中介机构承担。 5、其他 （1）是否有历史遗留问题？比如一厂多制等

【尽职调查】刘克滥帮你了解尽职调查相关内容

【尽职调查】刘克滥帮你了解尽职调查相关内容尽职调查相关内容你了解多少?尽职调查又称谨慎性调查，是指投资人在与目标企业达成初步合作意向后，经协商一致，投资人对目标企业一切与本次投资有关的事项进行现场调查、资料分析的一系列活动。今天就来深度解析一下有关尽职调查的内容。 财务尽职调查即由财务专业人员针对目标企业与投资有关财务 状况的审阅、分析、核查等专业调查。 (一) 尽职调查的种类 尽职调查的种类包括四类：法律尽职调查、财务尽职调查、业务 尽职调查、其他尽职调查。 (二) 尽职调查的目的 尽职调查就是要搞清楚： 1、他是谁?即交易对手实际控制人的底细和管理团队 2、他在做什么，即产品或服务的类别和市场竞争力 3、他做得如何，即经营数据和财务数据收集，尤其是财务报表 反映的财务状况、经营成果、现金流量及纵向、横向(同业)比较 4、别人如何看，包括银行同业和竞争对手的态度 5、我们如何做，在了解客户的基础上进行客户价值分析，用经 验和获得的信息设计授信方案和控制措施，把交流变成可行的交易。 简言之，即做好股东背景和管控结构、行业和产品、经营和财务 数据、同业态度的调查，提供我们的做法。 (三) 尽职调查框架

(四)财务顾问尽职调查的关注要点 1、业务 (1)行业/企业的业务模型、盈利模式 (2)标的企业的竞争优势 (3)协同效应，以及未来潜在的整合成本和整合风险 Tips: (1)在做企业尽职调查时，可以以估值模型为线索进行调查;(2)不要忽视目标公司董事会会议记录以及决策等法律文件，里面 会包含公司业务的信息，特别是公司战略。 2、财务 (1)历史数据的真实性、可靠性 (2)预测财务数据偏于保守?偏于乐观?预测的依据是什么? (3)是否有表外负债? (4)内控制度的健全性(审计师的内控审计报告) (5)税务问题(除公司自身税务情况外，还需关注收购方案所涉及的税务问题)

网络安全中蠕虫病毒技术与防范措施研究概要

网络安全中蠕虫病毒技术与防范措施研究 摘要：蠕虫的大规模爆发，引起的Internet 安全威胁事件每年以指数增长，近年来的增长态势变得的尤为迅猛。所以对蠕虫病毒的检测防范有着重要的意义。 关键词：蠕虫网络安全病毒异常检测 1引言 随着信息化的发展，网络已经渗入到人们生活的各个领域。人们可以在Internet上享用大量的信息资源，但与此同时，人们也受到一些恶意代码的攻击。自1988年第一个蠕虫病毒开始在局域网内活动到1998年底的第一个Internet网上传播的蠕虫病毒(appy99)，就向人们展示了他的巨大破坏力。所谓网络蠕虫是一种能够独立运行，并能通过寻找和攻击远方主机的漏洞进行自主传播的恶意代码。他不同于病毒。具有他自己独特的传播方式和巨大的破坏力。进入２１世纪蠕虫病毒先后在全世界引起了几次很大轰动。像我们熟悉的“冲击波”蠕虫、Nimda蠕虫、狮子蠕虫等等。都给人们留下了深刻的印象。这些都引起了网络安全人员的广泛关注。 2网络蠕虫的特性 网络蠕虫的传播与生物中蠕虫病毒的传播存在相似性，因此对于网络蠕虫的传播同样可以套用生物病毒传播的模型来表示：其中I(t)表示中已经被感染的计算机的数量，S(t)表示网络中存在漏洞、可以被蠕虫感染计算机的数量，表示影响蠕虫传播的因素。公式左边是被感染的计算机数量的增量与单位时间的比值，也就蠕虫传播的速度。从公式中很直观的看出，公式右边三个因子中任何一个因子的减小都会降蠕虫的传播速度。 所以从蠕虫的传播模式和特征行为，我们可以得出蠕虫在传播过程中所共有的一些特征： （1）单一性：大量相同的数据包在蠕虫爆发初期出现，这是由于蠕虫发出的扫描包大多数是相同的，另外蠕虫在进行复制时传输的文件也是相同的。 （2）自主性：网络上感染规模不断增大这是由于蠕虫是自主传播，不受管理员的干涉，被感染主机数量以及扫描都呈指数级迅速增长。这个可以有上边的模型看出。 （3）随机性：被感染主机会随机探测某个地址的固定端口，网络上会出现大量目标地址不可达或连接请求失败。 （4）利用软件漏洞，造成网络拥塞，系统消耗资源，留下安全隐患的特性。 3蠕虫的运行技术介绍 2003年8月12日爆发的“冲击波”蠕虫是利用RPC(remote procedure call)漏洞攻击计算机。RPC是Windows操作系统使用的一个应用层协议，它提供了一种进程间通信机制。而“冲击波”蠕虫就是利用RPC存在的漏洞对计算机进行攻击的，它会不断的扫描网络中存在RPC漏洞的计算机进行攻击，一旦攻击成功，蠕虫就会传输到该计算机上并运行。感染的主机可能造成RPC服务终

蠕虫病毒与普通病毒的区别

蠕虫病毒和一般的病毒有着很大的区别。对于蠕虫，现在还没有一个成套的理论体系。一般认为：蠕虫是一种通过网络传播的恶性病毒，它具有病毒的一些共性，如传播性、隐蔽性、破坏性等等，同时具有自己的一些特征，如不利用文件寄生（有的只存在于内存中），对网络造成拒绝服务，以及和黑客技术相结合，等等。在产生的破坏性上，蠕虫病毒也不是普通病毒所能比拟的，网络的发展使得蠕虫可以在短短的时间内蔓延整个网络，造成网络瘫痪！根据使用者情况将蠕虫病毒分为两类：一种是面向企业用户和局域网而言，这种病毒利用系统漏洞，主动进行攻击，可以对整个互联网可造成瘫痪性的后果。以“红色代码”、“尼姆达”以及最新的“SQL蠕虫王”为代表。另外一种是针对个人用户的，通过网络（主要是电子邮件、恶意网页形式）迅速传播的蠕虫病毒，以爱虫病毒、求职信病毒为代表。在这两类蠕虫中，第一类具有很大的主动攻击性，而且爆发也有一定的突然性，但相对来说，查杀这种病毒并不是很难。第二种病毒的传播方式比较复杂和多样，少数利用了微软的应用程序的漏洞，更多的是利用社会工程学对用户进行欺骗和诱使，这样的病毒造成的损失是非常大的，同时也是很难根除的，比如求职信病毒，在2001年就已经被各大杀毒厂商发现，但直到2002年底依然排在病毒危害排行榜的首位就是证明。 蠕虫一般不采取利用pe格式插入文件的方法，而是复制自身在互联网环境下进行传播，病毒的传染能力主要是针对计算机内的文件系统而言，而蠕虫病毒的传染目标是互联网内的所有计算机。局域网条件下的共享文件夹、电子邮件Email、网络中的恶意网页、大量存在着漏洞的服务器等，都成为蠕虫传播的良好途径。网络的发展也使得蠕虫病毒可以在几个小时内蔓延全球，而且蠕虫的主动攻击性和突然爆发性将使得人们手足无措。 木马就是在没有授权的条件下，偷偷运行的程序。 木马与病毒有两点本质的不同： 1、木马不会自动传染，病毒一定会自动传染； 2、木马是窃取资料的，病毒是破坏文件的 简单的木马只能盗取帐号、密码，很多木马可以窃取对方计算机上的全部资料，以达到完全监视完全控制的目的。 蠕虫通常是网络操作系统进行传播，目的是攻击服务器或子网，形成DDos攻击（拒绝服务）。蠕虫会开启多个线程大面积传播，在传播过程中占用宽带资源，从而达到攻击的目的，其实本身对计算机没有太大伤害。 由于蠕虫是通过网络或操作系统漏洞进行感染，所以安装防火墙筛选端口可以有效防止蠕虫的感染和攻击。

尽职调查注意事项及财务指标分析

企业尽职调查关注内容及财务指标分析 目录 一、企业尽职调查关注10个方面 (1) 1.1看准一个团队 (1) 1.2发掘两个优势 (1) 1.3弄清三个模式 (1) 1.4查看四个指标 (1) 1.5理清五个结构 (2) 1.6考察六个层面 (2) 1.7落实七个关注 (2) 1.8分析八个数据 (3) 1.9走好九个程序 (4) 1.10报告十个内容 (5) 二、企业尽职调查财务指标分析 (6) 2.1变现能力比率 (6) 2.2资产管理比率 (6) 2.3负债比率 (8) 2.4盈利能力比率 (9) 2.5现金流量流动性分析 (10) 2.6获取现金的能力 (11) 2.7财务弹性分析 (12)

一、企业尽职调查关注10个方面 1.1看准一个团队 投资就是投人，投资就是投团队，尤其要看准投团队的领头人。创东方对目标企业团队成员的要求是：富有激情、和善诚信、专业敬业、善于学习。 1.2发掘两个优势 在优势行业中发掘、寻找优势企业。优势行业是指具有广阔发展前景、国家政策支持、市场成长空间巨大的行业；优势企业是在优势行业中具有核心竞争力，细分行业排名靠前的优秀企业，其核心业务或主营业务要突出，企业的核心竞争力要突出，要超越其他竞争者。 1.3弄清三个模式 就是弄清目标企业是如何挣钱的。业务模式是企业提供什么产品或服务，业务流程如何实现，包括业务逻辑是否可行，技术是否可行，是否符合消费者心理和使用习惯等，企业的人力、资金、资源是否足以支持。盈利模式是指企业如何挣钱，通过什么手段或环节挣钱。营销模式是企业如何推广自己的产品或服务，销售渠道、销售激励机制如何等。好的业务模式，必须能够赢利，好的赢利模式，必须能够推行。 1.4查看四个指标 PE投资的重要目标是目标企业尽快改制上市，我们因此关注、查看目标企业近三年的上述前两个指标尤为重要。PE投资非常看重的盈利能力和成长性，我们由此关注上述的后两个指标。净利率是销售净利润率，表达了一个企业的盈利能力和抗风险能力，增长率可以迅速降低投资成本，让投资人获取更高的投资回报。把握前四个指标，则基本把握了项目的可投资性。

蠕虫病毒的检测和防御研究

青岛科技大学 题目 __________________________________ 蠕虫病毒的检测和防御研究 __________________________________ 指导教师__________________________ 学生姓名__________________________ 学生学号__________________________ 院（部）____________________________专业________________班___________________________ ______年 ___月 ___日

青岛科技大学专科毕业设计论文 蠕虫病毒的检测和防御研究 摘要 随着网络技术的发展，蠕虫病毒不断扩大对网络安全构成了严重的威胁，本文基于当前蠕虫攻击破坏的严峻形势，对蠕虫病毒的检测和防御技术进行了研究。首先对蠕虫病毒相关知识作了介绍，包括蠕虫病毒的定义、工作流程以及行为特征，并简要分析了蠕虫病毒国内外研究现状；在此基础上接着研究了蠕虫病毒检测技术，提出了基于蠕虫特征码、蠕虫行为特征、蜜罐和蜜网技术以及贝叶斯蠕虫检测技术；最后对蠕虫病毒的防御技术进行了研究，从企业网络用户和个人用户的角度分析了面对当前蠕虫攻击所需要注意和采取的措施，以尽最大可能减少蠕虫的侵害，营造一个良好的网络环境。 关键词：蠕虫病毒；检测；防御；网络安全

蠕虫病毒的检测和防御研究 目录 前言 (1) 1蠕虫病毒相关知识介绍 (2) 1.1蠕虫病毒定义 (2) 1.2蠕虫病毒工作流程和行为特征 (2) 1.3蠕虫病毒国内外研究现状 (4) 2蠕虫病毒检测技术研究 (5) 2.1基于蠕虫特征码的检测技术 (5) 2.2基于蠕虫行为特征的检测技术 (5) 2.3基于蜜罐和蜜网的检测技术 (6) 2.4基于贝叶斯的网络蠕虫检测技术 (6) 3蠕虫病毒防御技术研究 (8) 3.1企业防范蠕虫病毒措施 (8) 3.2个人用户防范蠕虫病毒措施 (9) 4总结 (10) 致谢 (11) 参考文献 (12)

蠕虫病毒深度解析

蠕虫病毒深度解析 https://www.sodocs.net/doc/f37608095.html,日期：2004-11-22 15:44 作者：天极网来源：天极网 1．引言 近年来，蠕虫、病毒的引发的安全事件此起彼伏，且有愈演愈烈之势。从2001年爆发的CodeRed蠕虫、Nimda蠕虫，SQL杀手病毒（SQL SLAMMER蠕虫），到近日肆掠的“冲击波” 蠕虫病毒，无不有蠕虫的影子，并且开始与病毒相结合了。蠕虫病毒通常会感染Windows 2000/ XP/Server 2003系统，如果不及时预防，它们就可能会在几天内快速传播、大规模感染网络，对网络安全造成严重危害。看来，蠕虫病毒不再 是黑暗中隐藏的"黑手"，而是已露出凶相的"狼群"。 各类病毒各有特色，大有长江后浪推前浪之势：CodeRed蠕虫侵入系统后留下后门，Nimda一开始就结合了病毒技术，而SQL杀手病毒与“冲击波”病毒有着惊人的相似之处，此次病毒大规模爆发是从装有WINDOWS 2000以上操作系统的计算机，尤其是从网络服务器上向外扩散的，利用微软存在的系统漏洞，不同的是，SQL杀手病毒用“缓存区溢出”进行攻击，病毒传播路径都是内存到内存，不向硬盘上写任何文件。“冲击波”病毒则会发送指令到远程计算机，使其连接被感染的主机，下载并运行Msblast.exe。 由此可见，计算机蠕虫和计算机病毒联系越来越紧密，许多地方把它们混为一谈，然而，二者还是有很大不同的，因此，要真正地认识并对抗它们之前，很有必要对它们进行区分。只有通过对它们之间的区别、不同功能特性的分析，才可以确定谁是对抗计算机蠕虫的主要因素、谁是对抗计算机病毒的主要因素； 可以找出有针对性的有效对抗方案；同时也为对它们的进一步研究奠定初步的理论基础。 2．蠕虫原始定义 蠕虫这个生物学名词在1982年由Xerox PARC 的John F. Shoch等人最早引入计算机领域，并给出了计算机蠕虫的两个最基本特征：“可以从一台计算机移动到另一台计算机”和“可以自我复制”。他们编写蠕虫的目的是做分布式计算的模型试验，在他们的文章中，蠕虫的破坏性和不易控制已初露端倪。1988年Morris 蠕虫爆发后，Eugene H. Spafford 为了区分蠕虫和病毒，给出了蠕虫的技术角度的定义，“计算机蠕虫可以独立运行，并能把自身的一个包含所有功能的版本传播到另外的计算机上。”（Worm is a program that can run by itself and can propagate a fully working version of itself to other machines. ）。 3．病毒原始定义 在探讨计算机病毒的定义时，常常追溯到David Gerrold在1972年的发表的科幻小说《When Harlie Was One》，但计算机病毒从技术角度的定义是由Fred Cohen在1984年给出的，“计算机病毒是一种程序，它可以感染其它程序，感染的方式为在被感染程序中加入计算机病毒的一个副本，这个副本可能是在原病毒基础上演变过来的。” （A program that can infect other programs by modifying them to include a possibly evolved copy of itself.）。1988年Morris蠕虫爆发后，Eugene H. Spafford 为了区分蠕虫和病毒，将病毒的含义作了进一步的解释。“计算机病毒是一段代码，能把自身加到其它程序包括操作系统上。它不能独立运行，需要由它的宿主程序运行来激活它。”（virus is a piece of code that adds itself to other programs, including operating systems. It cannot run independently and it requires that its host program be run to activate it.）。 4．蠕虫/病毒

尽职调查字深度解析

尽职调查10000字深度解析 2015-10-09 1概述 尽职调查概念 1、概念 尽职调查又称谨慎性调查， 是指投资人在与目标企业达成初步合作意向后，经协商一致，投资人对目标企业一切与本次投资有关的事项进行现场调查、资料分析的一系列活动。 财务尽职调查即由财务专业人员针对目标企业与投资有关财务状况的审阅、分析、核查等专业调查。 2、种类 尽职调查的种类包括四类： ■法律尽职调查■财务尽职调查 ■业务尽职调查■·其他尽职调查 尽职调查的目的 尽职调查就是要搞清楚：

1、他是谁？即交易对手实际控制人的底细和管理团队 2、他在做什么？即产品或服务的类别和市场竞争力 3、他做得如何？即经营数据和财务数据收集，尤其是财务报表反映的财务状况、经营成果、现金流量及纵向、横向（同业）比较 4、别人如何看？包括银行同业和竞争对手的态度 5、我们如何做？在了解客户的基础上进行客户价值分析，用经验和获得的信息设计授信方案和控制措施，把交流变成可行的交易。 简言之，即做好股东背景和管控结构、行业和产品、经营和财务数据、同业态度的调查，提供我们的做法。 尽职调查框架 财务顾问尽职调查的关注要点 1、业务 （1）行业/企业的业务模型、盈利模式 （2）标的企业的竞争优势 （3）协同效应，以及未来潜在的整合成本和整合风险【Tips】

?在做企业尽职调查时，可以以估值模型为线索进行调查； ?不要忽视目标公司董事会会议记录以及决策等法律文件，里面会包含公司业务的信息，特别是公司战略。 2、财务 （1）历史数据的真实性、可靠性 （2）预测财务数据偏于保守？偏于乐观？预测的依据是什么？ （3）是否有表外负债？ （4）内控制度的健全性（审计师的内控审计报告） （5）税务问题（除公司自身税务情况外，还需关注收购方案所涉及的税务问题） 【Tips】 在做财务尽职调查时，需与审计师充分沟通，并且与业务尽职调查紧密联系。 3、法律 （1）公司自身的法律情况：重大诉讼和法律纠纷、房产土地的权属问题等 （2）交易所涉及的法律问题：股权结构（类别股权安排，优先股东、期权等问题）、行业监管规定、交易涉及的其他监管规则等。 【Tips】

蠕虫病毒的特征与防治

研究生课程论文 (2008-2009学年第二学期) 蠕虫病毒的特征与防治 摘要 随着网络的发展，以网络传播的蠕虫病毒利用网络全球互联的优势和计算机系统及网络系统安全性上的漏洞，己经成为计算机系统安全的一大的威胁。采用网络传播的蠕虫病毒与传统的计算机病毒在很多方面都有许多不同的新特点。本文对蠕虫病毒的特征和防御策略进行了研究，透彻分析了几个流行的蠕虫病毒的本质特征和传播手段，并提出了防治未知病毒以及变形病毒的解决方案与虚拟机相结合的基于攻击行为的着色判决PN机蠕虫检测方法。 关键词: 蠕虫，病毒特征，病毒防治

1引言 “蠕虫”这个生物学名词于1982年由Xerox PARC的John F. Shoeh等人最早引入计算机领域，并给出了计算机蠕虫的两个最基本的特征:“可以从一台计算机移动到另一台计算机”和“可以自我复制”。最初，他们编写蠕虫的目的是做分布式计算的模型试验。1988年Morris蠕虫爆发后，Eugene H. Spafford为了区分蠕虫和病毒，给出了蠕虫的技术角度的定义。“计算机蠕虫可以独立运行，并能把自身的一个包含所有功能的版本传播到另外的计算机上。”计算机蠕虫和计算机病毒都具有传染性和复制功能，这两个主要特性上的一致，导致二者之间是非常难区分的。近年来，越来越多的病毒采取了蠕虫技术来达到其在网络上迅速感染的目的。因而，“蠕虫”本身只是“计算机病毒”利用的一种技术手段[1]。 2蠕虫病毒的特征及传播 1、一般特征: (1)独立个体，单独运行; (2)大部分利用操作系统和应用程序的漏洞主动进行攻击; (3)传播方式多样; (4)造成网络拥塞，消耗系统资源; (5)制作技术与传统的病毒不同，与黑客技术相结合。 2、病毒与蠕虫的区别 (l)存在形式上病毒寄生在某个文件上，而蠕虫是作为独立的个体而存在;