计算机病毒与恶意代码学习交流

将自己的答案放出，想与大家一起交流，可供参考。

第一章计算机病毒与恶意代码概述

（1）根据恶意代码命名规则，解读“Win32.Happy99.Worm”的含义（2）恶意代码表现出什么样的发展趋势？

答案（自己的理解，仅用于交流使用）

（1）在win32平台上运行名为“Happy99”的蠕虫病毒。

（2）网络化、专业化、简单化、多样化、自动化、犯罪化

第二章恶意代码理论模型

1.填空题

(1) 当前，我们手头用的PC机、笔记本电脑等符合(  )模型。(2) 关于恶意代码的预防理论体系，F.Cohen提出了(  )，(  )，(  )和(  )四个预防理论模型。(3) 从制作结构上分析，传统计算机病毒一般包括(  )、(  )、(  )和(  )四大功能模型。(4) 传统计算机病毒的引导模块可以使病毒从寄生的静态状态转换到执行的动态状态，在这个转换过程中，引导模块主要做(  )、(  )和(  )工作。(5) 基于(  )模型设计的计算机是不可能被传统计算机病毒感染的。(6)判断“一个系统或应用是否具备恶意代码生存的潜力”的标准是（）。

2.选择题

(1) 世界上第一台计算机ENIAC是(  )模型。(A) 随机访问计算机            (B) 图灵机(C) 随机访问存储程序计算机    (D) 带后台存储带的随机访问存储程序计算机(2) 某个种群在没有外来侵扰时，其种群数量服从(  )。(A) 图灵机                      (B) 迭代函数(C) 高斯分布                  (D) 微分系统(3) 传统计算机病毒一般由(  )四大部分组成。(A) 感染模块                (B) 触发模块(C) 破坏模块                (D) 引导模块(E) 执行模块（4）传统计算机病毒生命周期中，存在（ ）和（ ）两种状态。(A) 静态                    (B) 潜伏态(C) 发作态                  (D) 动态

答案（自己的理解，仅用于交流使用）

填空题

带后台存储的RASPM模型
基本隔离模型，分隔模型，流模型，限制解释模型
感染模块，触发模块，破坏模块，引导模块
驻留内存，窃取系统控制权，恢复系统功能
随机访问计算机
复制

选择题

A
D
ABCD
AD

第三章传统计算机病毒

1.填空题

(1) 在DOS操作系统时代，计算机病毒可以分成(  )和(  )两大类。
(2) Word宏病毒是一些制作病毒的专业人员利用Microsoft Word的开放性专门制作的一个或多个具有病毒特点的宏的集合，这种宏病毒的集合影响到计算机的使用，并能通过(  )及(  )进行自我复制及传播。

2.选择题

(1) 在Windows 32位操作系统中，其EXE文件中的特殊标示为(  )。(A) MZ                       (B) PE(C) NE                        (D) LE(2) 能够感染EXE，COM文件的病毒属于(  )。(A) 网络型病毒              (B) 蠕虫型病毒(C) 文件型病毒              (D) 系统引导型病毒（3）第一个真正意义的宏病毒起源于(  )应用程序。(A) Word                (B) Lotus 1-2-3(C) Excel                (D) PowerPoint

答案（自己的理解，仅用于交流使用）

填空题

1.引导区病毒，可执行文件型病毒

2.DOC文档，DOT模板

选择题

1.B

2.C

3.B

第四章 Linux系统下的病毒

填空题

(1) Linux可执行文件的前4个字符保存一个魔术数(magic number)，用来确定该文件是否为(　)的目标文件。(2) Linux脚本型恶意代码的核心语句（实现自我复制的语句）是（ ）。

选择题

(1) 第一个跨Windows和Linux平台的病毒是(  )。(A) Lion                 (B) W32.Winux(C) Bliss                 (D) Staog(2) Linux系统下的欺骗库函数病毒使用了Linux系统下的环境变量，该环境变量是(　)。(A) GOT                 (B) LD_LOAD(C) PLT                 (D) LD_PRELOAD

答案（自己的理解，仅用于交流使用）

填空题

1.ELF的目标文件

for file in ./infect/*
do
cp $0 $file
done

选择题

1.C

2.D

第五章木马

填空题

1、特洛伊木马作为一种特殊的计算机病毒，其首要特征是（  ）2、从编程框架上来看，特洛伊木马是一种基于（  ）模式的远程控制程序，通过这个控制程序，黑客可以远程控制被控制端。3、反弹式木马使用的是（  ）端口，系统会认为木马是普通应用程序，而不对其连接进行检查。4、Socket技术是通信领域的基石，也是特洛伊木马的核心技术之一。用户常用的两种套接字是（  ）和（  ）。

选择题

1、著名特洛伊木马“网络神偷”采用的是（  ）隐藏技术。A、反弹式木马技术    B、远程线程插入技术    C、ICMP协议技术    D、远程代码插入技术2、下列（  ）不是常用程序的默认端口。A、80    B、8080    C、23    D、21

答案（自己的理解，仅用于交流使用）

填空题

1.没有传染性

2.客户/服务器

3.80等常用或系统信任的

4.流套接字；数据报套接字

选择题

1.A

2.C

第六章智能手机恶意代码

填空题

(1) 移动终端恶意代码以移动终端为感染对象，以(  )和(  )为平台，通过无线或有线通信等方式，对移动终端进行攻击，从而造成移动终端异常的各种不良程序代码。(2) 根据功能不同，移动终端主要包括(  )和(  )两大类。(3) 根据近两年的市场份额的高低，两大智能手机操作系统分别为(  )和(  )。

选择题

(1) 总结移动终端的恶意代码感染机制，其感染途径主要分为(  )。(A) 终端-终端                   (B) 终端-网关-终端(C) PC(计算机)-终端             (D) 终端-PC(2) 移动终端的恶意代码的攻击方式分为(  )。(A) 短信息攻击                (B) 直接攻击手机(C) 攻击网关                   (D) 攻击漏洞(E) 木马型恶意代码

答案（自己的理解，仅用于交流使用）

填空题

1.移动终端网络；计算机网络

2.手机；PDA

3.安卓；ios

选择题

1.ABC

2.ABCDE

第七章蠕虫

填空题

(1) 蠕虫病毒的主程序中含有传播模块，传播模块的入侵可以分为(  )，(  )和(  )三个步骤，以实现蠕虫病毒的主动入侵。

选择题

(1) 下列病毒那个计算机病毒不是蠕虫病毒(  )。(A) 冲击波                  (B) 振荡波(C) CIH                       (D) 尼姆达(2) 蠕虫和传统计算机病毒的区别主要体现在(  )上。(A) 存在形式                (B) 传染机制(C) 传染目标                  (D) 破坏方式

答案（自己的理解，仅用于交流使用）

填空题

1.扫描 ;攻击 ;复制

选择题

1.C

2.ABC

第八章勒索型恶意代码

填空题

(1) 勒索型恶意代码是一种以（    ）为目的的恶意软件——黑客使用技术手段劫持（    ）或（   ），并以此为条件向用户勒索钱财的一种恶意攻击手段。(2) 勒索型恶意代码有两种形式，分别是(     )和(    )。

选择题

(1) 在技术上讲，勒索型恶意代码包括的模块有(       )模块。(A) 补丁下载              (B) 勒索(C) 蠕虫                   (D) 漏洞利用(2) 勒索型恶意代码常用的加密算法包括(  )。(A) 自定义加密算法          (B) 对称加密算法(C) 对称-非对称加密算法       (D) 非对称加密算法

答案（自己的理解，仅用于交流使用）

填空题

1.赚钱。。。；用户资产；资源

2.数据加密；限制访问

选择题

1.BCD

2.ABCD

第九章其他新型恶意代码

填空题


(1) 僵尸网络的主要特征是（ ），（ ）和一对多控制。(2) Rootkit是攻击者用来（ ）和（ ）的工具。(3) 到本书出版为止，最难防范的恶意代码及攻击行为主要包括（    ）和（    ）两种。

选择题

(1) 多数流氓软件具有以下特征(  )。(A) 强迫安装                (B) 无法卸载(C) 干扰使用                  (D) 病毒和黑客特征(2) APT的两个主要特征包括（    ）。(A) 强迫安装                  (B) 高级先进(C) 持续性                      (D) 传播速度快

答案（自己的理解，仅用于交流使用）

填空题

1.一对一；多对多

2.隐藏自己；保留对系统的访问权限

3.脚本恶意代码；apt

选择题

1.ABCD

2.BC

第十章恶意代码检测技术（2）

填空题

(1) 比较法是恶意代码诊断的重要方法之一，计算机安全工作者常用的比较法包括(  )，(  )，(  )和(  )。(2) 病毒扫描软件由两部分组成：一部分是(  )，含有经过特别选定的各种恶意代码的特征串；另一部分是(  )，负责在程序中查找这些特征串。

选择题

(1) 从技术角度讲，数据备份的策略主要包括（）、（）和（）。A. 完全备份      B.差别备份C. 增量备份      D.差分备份

答案（自己的理解，仅用于交流使用）

填空题

1.注册表比较法；文件比较法；中断比较法；内存比较法

2.计算机病毒特征码库；利用该特征码库进行扫描的程序

选择题

1.ACD