|
Word宏 病 毒 揭 密 及 对 策---- 由 于Word 7.0 设 计 上 的 考 虑 不 周， 使 得Word 宏 病 毒 的 传 播 成 为 可 能。 在 一 些 以Word 为 主 要 文 字 处 理 工 具 的 单 位, 宏 病 毒 通 过 软 盘、 电 子 邮 件、 网 络 共 享 等 方 式 大 量 传 播， 给 信 息 的 安 全 带 来 很 大 危 害。 普 通 宏 病 毒 感 染 机 理---- 用 户 打 开 一 个 感 染 了Word 宏 病 毒 的 文 档， 就 等 于 激 发 了AutoOpen 宏 的 运 行， 它 将 组 成 宏 病 毒 的 其 他 几 个 宏 复 制 到Word 的 通 用 模 板Normal.dot 中， 这 就 相 当 于 感 染 了 用 户 的Word 本 身， 使 得 在 以 后 新 建 或 打 开 的 文 档 都 将 被 宏 病 毒 感 染， 其 中 有 些 宏 与 文 件 的 保 存 和 关 闭 有 关, 如FileSaveAs、FileSave、FileClose 等。 当 用 户 保 存 或 关 闭 文 档 时， 激 发 这 些 宏 的 运 行， 将 当 前 文 档 转 换 成 模 板 形 式 保 存， 并 将 宏 病 毒 代 码 添 加 在 文 档 中， 使 其 成 为 原 先 宏 病 毒 的 复 制 品， 完 成 了 病 毒 的 复 制， 为 其 再 次 传 播 提 供 了 可 能。---- 对 于 普 通Word 宏 病 毒， 用 户 在 打 开 文 件 后， 可 通 过 以 下 方 法 检 测Word 文 档 是 否 已 染 上 了 病 毒： 单 击 菜 单“ 工 具”*“ 宏”， 如 果 发 现 有 一 个 或 数 个 以AutoOpen、AutoExc、AutoNew、FileSave、FileSaveAs 为 名 的 宏（ 如 图1）， 即 可 认 定 计 算 机 已 被 宏 病 毒 感 染。 对 于 这 类 病 毒， 我 们 可 以 轻 而 易 举 地 通 过 杀 毒 软 件 加 以 清 除, 具 体 方 法 不 再 赘 述。 图1 文 档 是 否 已 被 感 染 宏 病 毒 的 判 别 方 法 Word 新 宏 病 毒 感 染 过 程 揭 密---- 最 近 有 一 种 新 的Word 宏 病 毒 正 在 流 行， 用 户 如 果 使 用 杀 毒 软 件 按 照 常 规 的 杀 毒 步 骤 操 作， 杀 毒 软 件 将 无 法 运 行， 达 不 到 清 除 宏 病 毒 的 目 的。 该 病 毒 的 特 征 如 下：Word 文 档 被 感 染 后， 用 户 单 击 菜 单 中“ 工 具” 一 栏， 发 现 名 为“ 宏” 的 菜 单 项 消 失， 单 击 菜 单 项“ 文 件”*“ 模 板”，Word 会 报 告 一 个WordBasic 7 号 错 误 ─ ─“ 内 存 不 足”； 同 时， 细 心 的 用 户 还 将 发 现 菜 单 项“ 文 件”*“ 打 开”、“ 文 件”*“ 保 存”、“ 文 件”*“ 模 板” 等 在 底 部 状 态 栏 中 原 先 的 上 下 文 帮 助 信 息 亦 被 更 改， 只 显 示 一 些 乱 字 符。 据 此 我 们 一 般 可 断 定 该Word 文 档 已 被 宏 病 毒 感 染（ 除 非 用 户 已 自 定 义 了 菜 单）。---- 该 宏 病 毒 由AutoClose、AutoExec、AutoOpen、CAP、FileClose、FileOpen、FileSave、FileSaveAs、FileTemplates 和ToolsMacro 等10 个Word 宏 组 成。 值 得 注 意 的 是 该 宏 病 毒 与 普 通 宏 病 毒 相 比， 具 有 以 下 特 点： ---- 1. 当 用 户 通 过 菜 单 或 双 击Word 文 件 打 开 它 时 激 发AutoOpen、AutoExec 或FileOpen 宏 的 运 行， 该 宏 不 但 将 其 余 几 个 宏 复 制 到 通 用 模 板， 然 后 把 当 前Word 文 档 转 换 为 模 板 并 将 病 毒 的 宏 添 加 在 其 中， 而 且 若 当 前Word 文 档 的 结 构 是 模 板 的 话， 它 就 先 将 其 所 有 的 宏 全 部 删 除， 然 后 添 加 带 有 病 毒 的 宏， 这 样 除 非 杀 毒 软 件 已 有 了 写 保 护， 否 则 亦 将 成 为 病 毒 的 复 制 品 ！ ---- 2. 该 病 毒 使 用 了FileTemplates、ToolsMacro 两 个 宏 自 定 义 了 当 前 的 菜 单， 即 使 杀 毒 软 件 没 有 在 打 开 期 间 被 替 换 为 病 毒， 由 于 病 毒 封 锁 了“ 文 件”*“ 模 板” 和“ 工 具”*“ 宏” 菜 单， 用 户 所 能 够 控 制 和 清 除 宏 的 一 切 途 径 均 被 切 断， 既 无 法 运 行 相 应 的 杀 毒 宏 的 命 令， 也 无 法 手 工 删 除 带 病 毒 的 宏， 因 此 无 法 达 到 杀 毒 的 目 的。 3. 该 宏 病 毒 使 用WordBasic 的 加 密 功 能 存 储 它 的 宏， 宏 代 码 变 得 不 可 见， 增 加 了 对 其 实 现 机 理 分 析 的 困 难， 不 易 寻 求 到 具 有 针 对 性 的 清 除 和 防 范 的 方 法。 宏 病 毒 的 清 除---- 考 虑 到 该 病 毒 的 上 述 特 点， 可 使 用 如 下 方 法 来 清 除 该 病 毒。 在 清 除 病 毒 前， 若 有 些 用 户 将Word 设 置 了 启 动 选 项， 则 应 先 将 启 动 选 项 去 掉。 如 果 能 够 找 到 一 个 无 毒 的Normal.dot 文 件 的 备 份， 则 可 先 用 它 将 位 于“MSOffice\Template” 文 件 夹 下 的 通 用 模 板Normal.dot 文 件 替 换 掉， 这 样 可 将 用 户 原 有 的 一 些 样 式 设 置 保 留 下 来， 免 去 了 重 新 设 置 的 麻 烦； 若 没 能 找 到 一 个 干 净 的Normal.dot 文 件， 就 只 好 将 原 有 的Normal.dot 文 件 删 除。 这 样， 当 用 户 启 动Word 时，Word 会 自 动 生 成 一 个 带 有 标 准 Word 文 档 格 式、 常 用 菜 单、 工 具 栏 和 快 捷 键 设 置 的 新Normal 模 板。 接 下 去 的 步 骤， 用 户 可 使 用 普 通 的 杀 毒 软 件 对 所 有 的Word 文 件 进 行 杀 毒 了。---- 应 该 注 意 的 是 有 些 用 户 喜 欢 把 杀 宏 病 毒 的 软 件 复 制 到 硬 盘 上 以 方 便 使 用， 这 样 当 直 接 使 用 了 硬 盘 上 未 加 写 保 护 的 杀 毒 软 件 企 图 对 此 类 宏 病 毒 进 行 杀 毒 时， 该 杀 毒 软 件 很 可 能 已 被 这 种 新 宏 病 毒 替 换 成 了 一 个 病 毒， 因 此 须 留 心 杀 毒 软 件 是 否 干 净 ！ 宏 病 毒 的 防 范---- 考 虑 到 大 部 分Word 用 户 使 用 的 是 普 通 的 文 字 处 理 功 能， 很 少 有 人 使 用 宏 编 程， 因 此， 为 了 能 及 早 发 现 该 病 毒， 避 免 不 必 要 的 损 失， 平 时 可 将 一 个 干 净 的Normal.dot 文 件 和 杀 宏 病 毒 软 件 保 存 在 软 盘 中， 并 加 上 写 保 护。 当 发 现 通 用 模 板 已 被 感 染 时， 可 用 保 存 在 软 盘 中 的Normal.dot 文 件 替 换 已 被 感 染 的 模 板 文 件， 然 后 运 行 杀 毒 软 件。 同 时， 用 户 还 可 选 择 菜 单“ 工 具”*“ 选 项” 中 的“ 保 存” 页 面， 选 中“ 提 示 保 存Normal 模 板” 项， 这 样， 当 病 毒 感 染 了Word 文 档 后 用 户 从Word 退 出 时，Word 会 提 示“ 更 改 的 内 容 会 影 响 到 共 用 模 板Normal， 是 否 保 存 这 些 修 改 内 容 ？” 此 时 应 选 择“ 否”。 使 用 这 种 设 置 方 法 既 保 证 了 通 用 模 板 不 受 感 染 又 可 作 为 宏 病 毒 入 侵 的 预 警 信 号。---- 当 用 户 发 现Word 有 上 述 的 提 示 信 息 时， 即 表 明 已 有 文 件 被 病 毒 感 染， 但 由 于 通 用 模 板 文 件 得 到 了 保 护 而 未 受 感 染， 因 此 只 需 重 新 启 动Word， 然 后 直 接 运 行 杀 宏 病 毒 软 件 进 行 杀 毒 即 可。 ---- （ 作 者 地 址： 杭 州 市 体 育 场 路335 号，310026； 收 稿 日 期：1998. 01） --> 中国计算机世界出版服务公司版权所有 |