電腦病毒CIH特征及來源
電腦病毒CIH特征及來源
電腦病毒CIH來源于哪里呢!又會有什么感染特征呢!有了特征我們就能做出基本的預防了，下面由學習啦小編給你做出詳細的介紹!希望對你有幫助!歡迎回訪，謝謝。
感染特征編輯
由于流行的CIH病毒版本中，其標識版本號的信息使用的是明文，所以可以通過搜索可執(zhí)行文件中的字符串來識別是否感染了CIH病毒，搜索的特征串為“CIH v”或者是“CIH v1.”如果你想搜索更完全的特征字符串，可嘗試“CIH v1.2 TTIT”、“CIH v1.3 TTIT”以及“CIH v1.4 TATUNG”，不要直接搜索“CIH”特征串， 因為此特征串在很多的正常程序中也存在，例如程序中存在如下代碼行： inc bx dec cx dec ax 則它們的特征碼正好是“CIH(0x43;0x49;0x48)”，容易產生誤判。
具體的搜索方法為：首先開啟“資源管理器”，選擇其中的菜單功能“工具>查找>文件或文件夾”，在彈出的“查找文件”設置窗口的“名稱和位置”輸入中輸入查找路徑及文件名(如：*.EXE)，然后在“高級>包含文字”欄中輸入要查找的特征字符串--“CIH v”，最后點勸查找鍵”即可開始查找工作。如果在查找過程中， 顯示出一大堆符合查找特征的可執(zhí)行文件，則表明您老的計算機上已經感染了CIH病毒。
實際上，在以上的方法中存在著一個致命的缺點，那就是：如果用戶剛剛感染CIH病毒，那么這樣一個大面積的搜索過程實際上也是在擴大病毒的感染面。
一般情況下，推薦的方法是先運行一下“寫字板”軟件，然后使用上面的方法在“寫字板”軟件的可執(zhí)行程序Notepad.exe中搜索特征串，以判斷是否感染了CIH病毒。 另外一個判斷方法是在Windows PE文件中搜索IMAGE_NT_SIGNATURE字段，也就是0x00004550，其代表的識別字符為“PE00”，然后查看其前一個字節(jié)是否為0x00，如果是，則表示程序未受感染，如果為其他數值，則表示很可能已經感染了CIH病毒。
最后一個判斷方法是先搜索IMAGE_NT_SIGNATURE字段--“PE00”，接著搜索其偏移0x28位置處的值是否為55 8D 44 24 F8 33 DB 64，如果是，則表示此程序已被感染。
還聽說凡是感染了CIH病毒的機器，如果玩NEED FOR SPEED II(極品飛車2)游戲時，會在讀取游戲光 盤時出現(xiàn)死機現(xiàn)象， 本人沒有嘗試過，不知道實際上是不是有這一情況存在。
適合高級用戶使用的一個方法是直接搜索特征代碼，并將其修改掉，方法是：先處理掉兩個轉跳點，即搜索：5E CC 56 8B F0 特征串以及5E CC FB 33 DB特征串，將這兩個特征串中的CC改90(nop)，接著搜索 CD 20 53 00 01 00 83 C4 20 與 CD 20 67 00 40 00特征字串，將其全部修改為90，即可(以上數值全部為16進制)。
另外一種方法是將原先的PE程序的正確入口點找回來，填入當前入口點即可(此處以一個被感染的CALC.EXE程序為例)，具體方法為：先搜IMAGE_NT_SIGNATURE字段--“PE00”，接著將距此點偏移0x28處的4個字節(jié)值，例如“A0 02 00 00”(0x000002A0)，再由此偏移所指的位置(即0x02A0)找到數據“55 8D 44 24 F8 33 DB 64”， 并由0X02A0加上0X005E得到0x02FE偏移，此偏移處的數據例如為“CB 21 40 00”(OXOO4021CB)，將此值減去OX40000，將得數--“CB 21 00 00”(OXOO0021CB)值放回到距“PE00”點偏移0x28的位置即可(此處為Windows PE格式程序的入口點，術語稱為Program Entry Point)。最后將“55 8D 44 24 F8 33 DB 64”全部填成“00”，使得我們容易判斷病毒是否已經被殺除過。 按照上面手工殺毒的方法一般適合于某些單獨的軟件(例如某些軟件包含在軟盤中，卻被感染了CIH病毒，可現(xiàn)在就要用，呵呵!)。使用上述方法的缺點在于病毒體還將保留在可執(zhí)行文件中，雖然不會起作用， 但是想起來可能會有點不舒服(記得“WPS2000測試版殘留CIH病毒尸體”的事件么?)。所以，想徹底殺滅，推薦使用某些反病毒軟件進行或是CIH專用殺毒工具(以上操作以及使用反病毒軟件進行殺毒，必須使用干凈的系統(tǒng)盤啟動計算機)。
來源編輯
CIH病毒是一位名叫陳盈豪的臺灣大學生所編寫的，從臺灣傳入大陸地區(qū)的。CIH的載體是一個名為“ICQ中文Chat模塊”的工具，并以熱門盜版光盤游戲如“古墓奇兵”或Windows95/98為媒介，經互聯(lián)網各網站互相轉載，使其迅速傳播。目前傳播的主要途徑主要通過Internet和電子郵件，當然隨著時間的推移，其傳播主要仍將通過軟盤或光盤途徑。
看了此文電腦病毒CIH特征及來源的人還看了：