Virus 版 (精华区)

发信人: titi (小宝), 信区: Virus
标  题: 关 于WORD 宏 病 毒 的 分 析 与 防 治
发信站: 紫丁香 (Thu Aug 28 09:04:56 1997)

 

关 于WORD 宏 病 毒 的 分 析 与 防 治 
                吴 杰

------------------------------------------------------------------

       宏 病 毒 是 针 对 微 软 公 司 的 字 处 理 软 件Word 编 写 的 
一 种 病 毒。 微 软 公 司 的 字 处 理 软 件 是 目 前 最 为 流 行 的 
编 辑 软 件， 并 且 跨 越 了 多 种 系 统 平 台， 宏 病 毒 充 分 利 
用 了 这 一 点 得 到 恣 意 传 播。 


       由 于 宏 病 毒 利 用 了Word 的 文 档 机 制 进 行 传 播，它 和 
以 往 的 病 毒 防 治 方 法 不 同， 一 般 情 况 下，人 们 大 多 注 意 
可 执 行 文 件(.com.exe) 的 病 毒 感 染 情 况，而Word 宏 病 毒 寄 生 
于Word 的 文 档 中， 而 且 人 们 一 般 都 要 对 文 档 文 件 进 行 备 
份， 因 此 病 毒 可 以 隐 藏 很 长 一 段 时 期。 


       目 前， 国 内 发 现 的 该 种 病 毒 主 要 在 大 公 司 和 外 企 
单 位 中 传 播。 由 于 该 病 毒 能 跨 越 多 种 平 台，并 且 针 对 数 
据 文 档 进 行 破 坏， 因 此 具 有 极 大 的 危 害 性，该 病 毒 在 公 
司 通 过 内 联 网 相 互 进 行 文 档 传 送 时， 迅 速 漫 延，往 往 不 
到 一 周 的 时 间 就 能 使 公 司 的 机 器 全 部 染 上 病 毒。 


       本 文 通 过Word 工 作 原 理 的 介 绍 及 对 一 宏 病 毒 的 具 
体 分 析 来 说 明 该 病 毒， 供 大 家 参 考， 并 加 以 防 范。 

Word 工 作 原 理 
       Word 是 一 个 功 能 很 强 大 的 字 处 理 软 件，流 行 于 各 种 
平 台 上， 它 不 仅 和Windows 其 它 软 件 有 着 天 然 的 密 切 联 系， 
而 且 它 的 文 档 机 制 是 基 于 面 向 对 象 的 文 档 机 制 建 立 的， 
它 提 供 了 强 大 的WordBasic 的 编 程 能 力， 可 以 支 持DDE 等 多 
种Windows 的 机 制。 

       如 果 要 知 道Word 的 宏 病 毒 的 工 作 原 理， 必 须 先 了 解 
一 下Word 的 工 作 机 制。 


       Word 的 文 件 建 立 是 通 过 模 板 来 创 建 的，模 板 是 为 了 
形 成 最 终 文 档 而 提 供 的 特 殊 文 档，模 板 可 以 包 括 以 下 几 
个 元 素： 菜 单、 宏、 格 式( 如 备 忘 录 等)。 模 板 是 文 本、 图 
形 和 格 式 编 排 的 蓝 图， 对 于 某 一 类 型 的 所 有 文 档 来 说， 
文 本、 图 像 和 格 式 编 排 都 是 类 似 的。 


       Word 提 供 了 几 种 常 见 文 档 类 型 的 模 板， 如 备 忘 录、 
报 告 和 商 务 信 件。 你 可 以 直 接 使 用 模 板 来 创 建 新 文 档， 
或 者 加 以 修 改， 也 可 以 创 建 自 己 的 模 板。 一 般 情 况 下，
Word 自 动 将 新 文 档 基 于 缺 省 的 公 用 模 板(Normal.dot)。 


       由 此 可 以 看 出， 模 板 在 建 立 整 个 文 档 中 起 的 作 用， 
作 为 基 类，文 档 继 承 模 板 的 属 性， 包 括 宏、 菜 单、 格 式 等。 
另 外，Word 还 提 供 强 大 的 功 能 —— 宏， 宏 是 能 组 织 到 一 起 
作 为 一 独 立 命 令 使 用 的 一 系 列Word 命 令， 它 能 使 日 常 工 
作 变 得 更 容 易。 您 可 以 将 宏 指 定 到 工 具 栏、 菜 单 或 快 捷 
键, 所 以 宏 可 以 像 标 准Word 命 令 一 样 方 便 地 使 用.Word 使 用 
宏 语 言WordBasic。 


       在Word 启 动 时， 自 动 加 载startup 下 模 板 及Normal.dot 模 
板， 以 及 它 们 所 包 含 的 宏。 您 可 以 为 宏 指 定 特 殊 的 名 称， 
使 其 变 为 自 动 宏， 以 便 在 执 行 某 一 操 作 时， 如：启 动Word 
或 打 开 文 档， 就 自 动 执 行 具 有 特 殊 命 名 的 宏。Word 可 以 识 
别 以 下 名 称 的 自 动 宏。 


宏 名 运 行 条 件 
AutoExec 启 动Word 时 
AutoNew 每 次 新 建 文 档 时
AutoOpen 每 次 打 开 已 有 文 档 时 
AutoClose 每 次 关 闭 文 档 时 
AutoExit 退 出Word 时 


       同 其 他 宏 一 样， 你 可 以 将 自 动 宏 定 义 在 一 个 共 用 
模 板 上， 也 可 以 将 其 定 义 在 一 个 特 定 模 板 上。 


       宏 病 毒 是 一 种 特 殊 的 宏。 它 修 改 了 这 些 自 动 的 宏， 
并 附 在 文 档 中 进 行 传 播，下 面 我 们 通 过 对 一 个 宏 病 毒 的 
分 析， 来 介 绍 其 传 染 方 式。 

宏 病 毒 的 分 析 
       1. 病 毒 的 表 现 形 式 

       目 前 发 现 的 几 种 主 要 病 毒 有：Wazzu、Concept、13 号 病 
毒。13 号 病 毒 运 行 在 中 文Word 上， 其 发 作 时 间 为 每 月13 号， 
用 户 打 开 文 件 时 出 一 道 四 则 运 算 题， 往 往 这 道 题 必 须 
经 过 本 机 的WordBasic 运 算 才 能 作 对， 而 用 计 算 器， 或 其 它 
机 器 均 有 可 能 产 生 错 误； 如 果 答 对， 则 进 行 宏 病 毒 的 问 
答， 如“ 我 是 宏 病 毒， 如 何 预 防 我”， 答 案 是“ 不 要 看 我”
。 如 果 有 一 个 地 方 答 错， 则 创 建20 个 文 档， 并 不 断 截 取 
硬 盘 和 内 存 空 间， 直 至 系 统 瘫 痪。 如 果 全 部 答 对， 系 统 
才 能 进 入 正 常。 


       Wazzu、Concept 主 要 运 行 于 西 文Word 环 境 中。Wazzu 病 毒 
在 正 常 的Word 文 件 中 加 入Wazzu 字 符， 并 将 格 式 打 乱，从 而 
损 坏 用 户 的 文 件。Concept 病 毒 也 采 用 同 样 的 方 式， 在 正 
常 文 件 中 加 入 其 特 征 字 符， 从 而 影 响 用 户 的 正 常 工 作。 


       宏 病 毒 的 传 染 一 般 来 说 是 通 过 以 下 方 式 来 进 行 的： 


       首 先， 宏 病 毒 主 要 寄 生 在 以 下3 个 宏 中：AutoOpen、
AutoNew、AutoClose。 带 病 毒 文 档 一 般 是 将 文 档 置 成 模 板 类 
型 的 文 档， 当 文 件 找 开 时， 将 寄 存 在 这3 个 宏 中 的 病 毒 
传 染 给Normal.dot 公 用 模 板 中， 再 由 公 用 模 板 传 染 给 所 有 
正 常 的 文 档 中。 

Word 宏 病 毒 的 预 防 与 清 除 
       我 们 从 以 上 宏 病 毒 的 特 性 可 以 看 出， 宏 病 毒 主 要 
是 利 用 存 在 于 模 板 之 中 的 自 动 宏(AutoOpen、AutoClose、AutoNew) 
以 及Normal.dot 公 用 模 板 来 进 行 传 播 的， 因 此 清 除 和 预 防 
宏 病 毒 的 方 法 也 应 从 这 两 方 面 入 手： 

       1. 对 于 已 染 病 毒 的 文 件 首 先 应 将Normal.dot 中 的 自 
动 宏 清 除(AutoOpen、AutoClose、AutoNew)； 然 后 将Normal.dot 置 成 
只 读 方 式。


       2. 对 于 其 它 已 染 毒 的 文 件 均 应 将 自 动 宏 清 除， 这 
样 就 可 以 达 到 清 除 病 毒 的 目 的。 


       3. 平 时 使 用 时 要 加 强 预 防。 对 来 历 不 明 的 宏 最 好 
予 以 删 除； 如 果 发 现 后 缀 为.DOC 的 文 件 变 成 模 板 时， 则 
可 怀 疑 其 已 染 宏 病 毒， 其 主 要 表 现 是 在SaveAs 文 档 时，选 
择 文 件 类 型 的 框 变 为 灰 色。 


       4. 在 打 开 文 件 时， 按 住SHIFT 键 可 以 阻 止 自 动 宏 的 
运 行。 例 如， 当 您 用 含 有AutoNew 宏 的 模 板 新 建 一 个 文 档 
时， 在“ 新 建” 对 话 框(“ 文 件” 菜 单) 中 单 击“ 确 定” 按 钮 
时 按 住SHIFT 键， 就 可 以 阻 止AutoNew 宏 的 执 行。 您 要 按 住SHIFT 
键 直 到 新 文 档 显 示 在 窗 口 中。 在 可 以 触 发 自 动 宏 的 宏 中， 
您 可 以 用DisableAutoMacros 阻 止 运 行 自 动 宏。


       另 外， 还 有 一 个 有 趣 的 现 象， 就 是 中 英 文Word 中 的 
宏 病 毒 有 时 并 不 兼 容， 在 英 文 中 宏 病 毒 可 能 在 中 文Word 
中 无 法 运 行 和 传 染。 


   


--------------------------------------------------------------------------------
中国计算机世界出版服务公司版权所有  
--           _   _    __    ____  ____  _  _          ( )_( )  /__\  (  _ \(  _ \( 
\/ )               青箬笠, 绿蓑衣   _  _    ) _ (  /(__)\  )___/ )___/ \  /    _  _       斜风细雨不须归  (_)(_)  (_) (_)(__)(__)(__)  (__)   (__)   (_)(_) 

※ 来源:．紫丁香 pclinux.hit.edu.cn．[FROM: 202.118.229.52]