CN1760883A - 支持大规模多用户并发控制的计算机病毒实验方法 - Google Patents

Abstract

一种信息安全技术领域的支持大规模多用户并发控制的计算机病毒实验方法，包括三个方面：(1)用户管理：用户登录时，通过对用户ID和密码的校验辨认用户的身份；限制一次登入的用户总人数；对管理员级和普通级两种用户赋予不同级别的权限；搭建满足病毒触发机制的诱发环境。(2)病毒感染与清除的可视化与可操作化：结合特征信息捕捉，文件内存形式映射，注册表监控捕获病毒感染和病毒清除过程中的动态。(3)病毒传播可控化：在局域网的范围内模拟出病毒传播的Internet环境，规划病毒的传播路径保障控制病毒扩散的范围。本发明具有大规模性、集中式管理、可视化、可操作性和可控性的特点。

Description

支持大规模多用户并发控制的计算机病毒实验方法

技术领域

本发明涉及的是一种信息安全技术领域的方法，具体地说是一种支持大规模多用户并发控制的计算机病毒实验方法。

背景技术

当前计算机病毒已成为降低计算机使用效率的重要因素。计算机病毒由单机型向网络型的发展增强了其破坏性，同时影响范围增大。各类计算机病毒防治硬件系统通常采用保护计算机硬件物理地址，禁止非法读写等操作的方法防止计算机病毒的感染和破坏；计算机病毒防治软件则采用病毒特征码查询、修正病毒代码改变的关键值等方式保护计算机系统，但这些软硬件病毒防治系统并不向使用者展现计算机病毒完整的运作机制和反病毒方法，很难满足多用户并发教学实验需求。传统的病毒教学实验常常采用理论讲解方法、执行结果截图等展示方法，几乎没有为学习和研究人员提供适合病毒运行而又安全可控的环境。当前计算机病毒执行的强隐蔽性，造成计算机病毒在瞬间完成感染、破坏和传播的全过程，而为了利于其扩散，计算机病毒对系统底层的破坏也不再仅仅是容易发觉的简单表象，这给教学实验过程中从系统底层监控病毒运作、可视化病毒运作带来了相当难度。

经对现有技术的文献检索发现，中国专利申请号为01117726.8，专利名称为：“检测和清除已知及未知计算机病毒的方法、系统”，此技术针对反计算机病毒产品必须使用病毒特征库查杀病毒而具有滞后性的问题，提出一种方法，采用模拟计算机病毒生存环境，利用病毒的感染性，在该环境中激活可能带毒的对象，从而自动检测未知病毒并清除，无需人工分析。但该方法属于行为结果查杀病毒范畴，应用于指导反病毒产品的设计和开发，不涉及迫使计算机病毒及其模拟生存环境适应于实验的方法，无法支持大规模多个用户的并发访问教学实验。在进一步的检索中，尚未发现与本发明主题相同或类似的文献报道。

发明内容

本发明目的在于解决现有实验方法的不足，提供一种支持大规模多用户并发控制的计算机病毒实验方法，使其为大规模多个用户同时展现计算机病毒传播、感染的主流技术以及反病毒方法，该方法在现实的计算机和网络环境中运行病毒样本，采用捕捉特征信息、监控注册表等技术可视化病毒运作机制，采用记录病毒的操作流程并逆向恢复的技术消除病毒对系统和文件的破坏，不损害计算机系统，不堵塞互联网的病毒模拟运行环境，很好地解决了计算机反病毒技术不断发展而教学实践环节却缺乏有效实验方法的矛盾。

本发明通过以下技术方案实现的，包括三个方面：

(1)用户管理：用户登录时，通过对用户ID和密码的校验辨认用户的身份；限制一次登入的用户总人数；对管理员级和普通级两种用户赋予不同级别的权限；搭建满足病毒触发机制的诱发环境。

用户管理是该方法支持大规模用户并发控制的核心，分为权限控制和环境配置两部分。

权限控制用于确保合法用户进入并进行合法操作。具体实现如下：用户登录时输入ID和密码，检索数据库校验用户的身份，服务器记录用户登录ID，禁止用户重复登陆，并且在服务器端设置最大用户数来限制一次登入的用户总人数。服务器根据登陆ID自动识别管理员级和普通级两种不同的用户身份，并对这两种身份赋予不同级别的权限。管理员级用户除具备普通级用户可获得的权限外，还能获得设定系统工作参数、开放实验模块、查询普通级用户身份信息和管理其实验成绩的权限；普通级用户能使用开放的实验资源，并在各自的实验界面提交实验数据。

环境配置为每一个用户配置相互独立的实验环境，用户选择的实验内容不同，实验环境也不相同。环境配置负责给用户派发所需的病毒样本，自动搭建病毒所需的诱发环境，包括病毒将要攻击的文件和系统漏洞，设置病毒可以存活的安全级别要求，以及放置符合病毒攻击条件的多种格式的目标样本。

(2)病毒感染与清除的可视化与可操作化：在病毒的运行和杀毒过程中，结合特征信息捕捉、文件内存形式映射、注册表监控等技术捕获病毒感染和病毒清除过程中的动态，实现整个过程的可视化与可操作化。

具体如下：

用户在诱发环境内触发病毒。该环境并不终止病毒行为，而是启动特征捕捉模块和注册表监视模块监控病毒运行的动态信息。特征捕捉模块监视系统API函数调用情况和诱毒文件的变化，一旦发现异常，立即发出预警并生成日志。注册表监视模块定时读取注册表的键值，将病毒对键值的修改形成列表输出。实验系统集成了病毒代码的编译环境，在这个环境上，用户可以修改病毒代码来改变病毒的行为。

杀毒程序是针对实验病毒样本专门设计的，与商用杀毒软件不同，本发明使用的杀毒程序不是简单的删除或隔离染毒文件，而是逆向执行病毒的执行流程，将染毒文件和环境完全恢复至未感染时的初始状态。杀毒程序执行的同时再次启动特征捕捉模块和注册表监视模块，形成可视化文件。杀毒实验的可操作化体现在用户除了使用杀毒程序外，还可通过手动操作完成杀毒。内存读写模块读取带毒文件的内存形式，形成信息数值列表；用户在列表上对信息数值作修改，再由内存读写模块将用户对数值的修改映射成对文件的修改。

(3)病毒传播可控化：在局域网的范围内模拟病毒传播的Internet环境，规划病毒的传播路径保障控制病毒扩散的范围。

病毒样本向Outlook Express联系人名单内的全部地址发送电子邮件，而病毒本身作为附件跟随这些邮件的发送实现传播，通过架设邮件服务器并结合控制方法限制邮件发送路径，避免病毒外泄及网络拥塞。具体方法如下：

首先，服务器以用户的ID和密码作为邮件帐号与密码，向邮件服务器注册登记。其次，服务器将实验人员分为若干组，向用户派发组员的电子邮件帐号列表。用户将这个列表导入Outlook Express联系人名单。将每个用户的病毒传播路径限制在固定的几个目标内，避免引发大面积传播造成网络堵塞。除此之外，邮件服务器端实施地址筛选算法，检查邮件地址的合法性，拒绝不合法的邮件发送。

本发明的效果是显著的，使用该方法设计的计算机病毒防护教学实验系统具有三大优势：(1)大规模性。支持数百名用户同时进行计算机病毒防护实验。(2)集中式管理。经过身份认证后，为每个实验者动态分配身份ID，只有具有身份ID的实验者才能进行各种实验，同时记录实验者的身份ID，自动生成相应记录文件，以便于管理。集中式管理提高了实验环境的安全性，也便于对实验者的监督管理。(3)病毒实验的可视化、可操作性、可控性。设计的应用于病毒感染、扩散、清除的实验方法，能可视化病毒的隐蔽活动，操作病毒的活动，控制病毒扩散范围，同时保证计算机系统的安全，为教学活动带来良好的可视性与互动性。使用本发明设计的系统，对教学实验独有的强力支持是商业计算机反病毒软硬件系统所欠缺的，而且这种支持具备良好的可扩展性，具有很好的推广前景。

附图说明

图1为本发明中用户管理的实施交互图

图2为本发明中病毒感染与清除的可视化与可操作化实施交互图

图3为本发明中病毒传播可控化的实施交互图

具体实施方式

基于该方法的系统分为四个部分，运行于用户计算机上的客户端、Web服务器、邮件服务器和数据库服务器。Web服务器端为用户提供统一的身份认证服务，确定用户可获得的服务种类并确保实验系统服务的用户数量不超过限定值。用户通过Web服务器查询典型病毒样本信息，下载病毒样本和专用的病毒清除工具，在本机运行病毒并由系统内的邮件服务器传播在限定范围内传播，数据库服务器存放用户信息及其实验结果。以下结合附图对本发明技术方案的实现进行详细说明：

一、用户管理

因为要支持上百人同时参与实验，本发明用户管理规定了用户个人信息管理的机制，包括验证用户的身份，采集和存储用户的中间结果与实验报告，记录普通级用户成绩；用户管理还规定了用户的权限级别，管理员级用户具备修改系统参数，开放计算机病毒实验，查询普通级用户身份信息和实验数据的权限；普通级用户具备使用和操作实验资源，上传实验数据的权限。

如图1所示，用户管理具体流程如下：

a.用户向Web服务器请求身份ID，Web服务器计算登入人数，如超出上限，拒绝该用户的接入；否则查询数据库信息，确认用户的合法性。

b.当管理员级用户登陆进入Web服务器，设定系统工作参数，开放计算机病毒防护实验模块的相应内容，如实验目的、实验要求、实验注意事项、实验方法、实验资源等，查询普通级用户的身份信息。

c.多名普通级用户登陆进入Web服务器后，选择进入多个实验中的一个，查看本次实验内容，包括实验目的、实验要求、实验注意事项、实验方法等。

d.普通级用户用户根据实验要求进行实验，实验过程中向Web服务器提交各种数据，同时接收Web服务器返回的确认信息。

e.Web服务器接收到普通级用户提交的信息，保存至数据库的相应用户档案中。

f.实验结束，管理员级用户可从数据库调出普通级用户的实验数据，批阅打分。分数保存至数据库相应的普通级用户档案中。

二、病毒感染与清除的可视化与可操作化

病毒的执行具有隐蔽性，往往在不为人所察觉的瞬间就已完成感染、传播和破坏的全部过程，破坏经常发生在系统的底层，没有表象的体现，很难被人们注意到。杀毒程序的执行过程同样如此。作为面向教学的病毒实验系统，要求将病毒的机理辅助实验的手法表现出来。在病毒操作的过程中使用监视注册表键值和特征信息捕捉技术，实时报警，并将病毒的执行过程信息化显示。

结合图2，病毒感染与清除的可视化与可操作化具体流程如下：

a.病毒样本在诱发环境中被触发。

b.特征信息捕捉模块启动，监测到系统API被调用以及目标程序信息被篡改，发出告警，并形成日志报告。同时记录病毒样本的执行动作，实时化显示。

c.注册表监视模块比较键值，列举键值的前后变化。

d.使用者阅读病毒代码，在允许范围内作修改如感染的文件数，感染目标的条件，病毒的表现形式，编译生成新的病毒样本，再次触发样本。通过比较深入学习。

e.触发杀毒程序，特征信息模块和注册表监视模块再次启动，形成日志与实时信息。

f.内存读写模块读取带毒文件的内存形式，形成文件信息数值列表。用户在列表上修改信息数值，内存读写模块将数值写入内存中文件的对应位置。用户用这种方式学习恢复带毒文件。

三、病毒传播可控化

在局域网范围内，利用搭设邮件服务器，规划email传播交叉传播的路径，在参与实验的用户之间形成病毒传播的网络，并在邮件服务器端实施路径筛选以控制扩散范围。

结合图3，病毒传播可控化具体流程如下：

a.Web服务器统计参与实验的人数，邮件服务器以用户的ID和密码为每个实验用户注册一个电子邮件帐号，并将这个帐号告知实验用户。

b.Web服务器将每5个实验用户分为一组，Web服务器向每个用户派发同组其余成员的电子邮件账户。

c.用户按照指示在Outlook Express中设置自己的帐号，将Web服务器派发的其余成员电子邮件帐号导入，该过程将自动清空原有的联系人名单中的电子邮件地址。

d.Web服务器派发病毒样本到用户的本地端，提供Web页面形式的实验指导帮助用户触发病毒样本。

e.触发的病毒样本生成含有带毒文档的电子邮件，Outlook Express邮件联系人名单所有帐号发送这封邮件。

f.邮件服务器检查邮件地址的合法性，转发合法的邮件。

g.接受邮件的主机向发送方自动回复，通知接受病毒邮件的信息。

h.待用户完成实验过程，Web服务器向用户提供病毒专杀工具，删除病毒模版，恢复注册表。并引导用户清空Outlook Express的邮件联系人名单。

因为Web服务器将实验人员分为若干组，向用户派发组员的电子邮件帐号列表，用户将这个列表导入Outlook Express联系人名单。因此，在传播实验的过程中，每个用户的病毒传播路径就限制在固定的几个目标内，避免了引发大面积传播造成网络堵塞。除此之外，邮件服务器端实施地址筛选算法，检查邮件地址的合法性，拒绝不合法的邮件发送。

Claims (10)

1、一种支持大规模多用户并发控制的计算机病毒实验方法，其特征在于，包括以下三个方面：

(1)用户管理：分为权限控制和环境配置两部分，用户登录时，通过对用户ID和密码的校验辨认用户的身份，限制一次登入的用户总人数，对管理员级和普通级两种用户赋予相应级别的权限，搭建满足病毒触发机制的诱发环境；

(2)病毒感染与清除的可视化与可操作化：在病毒的运行和杀毒过程中，结合特征信息捕捉、文件内存形式映射、注册表监控技术捕获病毒感染和病毒清除过程中的动态，实现整个过程的可视化与可操作化；

(3)病毒传播可控化：在局域网的范围内模拟病毒传播的Internet环境，规划病毒的传播路径保障控制病毒扩散的范围。

2、根据权利要求1所述的支持大规模多用户并发控制的计算机病毒实验方法，其特征是，所述的权限控制，是用户登录时输入ID和密码，检索数据库校验用户的身份，服务器记录用户登录ID，禁止用户重复登陆，并且在服务器端设置最大用户数来限制一次登入的用户总人数，服务器根据登陆ID自动识别管理员级和普通级两种不同的用户身份，并对这两种身份赋予不同级别的权限，管理员级用户除具备普通级用户的权限外，还能获得设定系统工作参数、开放实验模块、查询普通级用户身份信息和管理其实验成绩的权限；普通级用户能使用开放的实验资源，并在各自的实验界面提交实验数据。

3、根据权利要求1所述的支持大规模多用户并发控制的计算机病毒实验方法，其特征是，所述的环境配置，为每一个用户配置相互独立的实验环境，用户选择的实验内容不同，实验环境也不相同，环境配置负责给用户派发所需的病毒样本，自动搭建病毒所需的诱发环境，包括病毒将要攻击的文件和系统漏洞，设置病毒存活的安全级别要求，以及放置符合病毒攻击条件的多种格式的目标样本。

4、根据权利要求1所述的支持大规模多用户并发控制的计算机病毒实验方法，其特征是，所述的用户管理，具体流程如下：

a.用户向Web服务器请求身份ID，Web服务器计算登入人数，如超出上限，拒绝该用户的接入；否则查询数据库信息，确认用户的合法性；

b.当管理员级用户登陆进入Web服务器，设定系统工作参数，开放计算机病毒防护实验模块的相应内容，这些内容包括：实验目的、实验要求、实验注意事项、实验方法、实验资源，查询普通级用户的身份信息；

c.多名普通级用户登陆进入Web服务器后，选择进入多个实验中的一个，查看本次实验内容，包括实验目的、实验要求、实验注意事项、实验方法；

d.普通级用户用户根据实验要求进行实验，实验过程中向Web服务器提交各种数据，同时接收Web服务器返回的确认信息；

e.Web服务器接收到普通级用户提交的信息，保存至数据库的相应用户档案中；

f.实验结束，管理员级用户从数据库调出普通级用户的实验数据，批阅打分，分数保存至数据库相应的普通级用户档案中。

5、根据权利要求1所述的支持大规模多用户并发控制的计算机病毒实验方法，其特征是，所述的病毒感染与清除的可视化与可操作化，具体流程如下：

a.病毒样本在诱发环境中被触发；

b.特征信息捕捉模块启动，监测到系统API被调用以及目标程序信息被篡改，发出告警，并形成日志报告，同时记录病毒样本的执行动作，实时化显示；

c.注册表监视模块比较键值，列举键值的前后变化；

d.使用者阅读病毒代码，在允许范围内作修改如感染的文件数，感染目标的条件，病毒的表现形式，编译生成新的病毒样本，再次触发样本，通过比较深入学习；

e.触发杀毒程序，特征信息模块和注册表监视模块再次启动，形成日志与实时信息；

f.内存读写模块读取带毒文件的内存形式，形成文件信息数值列表，用户在列表上修改信息数值，内存读写模块将数值写入内存中文件的对应位置，用户用这种方式学习恢复带毒文件。

6、根据权利要求5所述的支持大规模多用户并发控制的计算机病毒实验方法，其特征是，用户在诱发环境内触发病毒，该环境并不终止病毒行为，而是启动特征捕捉模块和注册表监视模块监控病毒运行的动态信息，特征捕捉模块监视系统API函数调用情况和诱毒文件的变化，一旦发现异常，立即发出预警并生成日志，注册表监视模块定时读取注册表的键值，将病毒对键值的修改形成列表输出，实验系统集成了病毒代码的编译环境，在这个环境上，用户能实现通过修改病毒代码来改变病毒的行为。

7、根据权利要求5所述的支持大规模多用户并发控制的计算机病毒实验方法，其特征是，杀毒程序，是逆向执行病毒的执行流程，将染毒文件和环境完全恢复至未感染时的初始状态，杀毒程序执行的同时再次启动特征捕捉模块和注册表监视模块，形成可视化文件，内存读写模块读取带毒文件的内存形式，形成信息数值列表；用户在列表上对信息数值作修改，再由内存读写模块将用户对数值的修改映射成对文件的修改。

8、根据权利要求5所述的支持大规模多用户并发控制的计算机病毒实验方法，其特征是，杀毒实验的可操作化体现在用户除了使用杀毒程序外，还能通过手动操作完成杀毒。

9、根据权利要求1所述的支持大规模多用户并发控制的计算机病毒实验方法，其特征是，所述的病毒传播可控化，具体为：首先，服务器以用户的ID和密码作为邮件帐号与密码，向邮件服务器注册登记，其次，服务器将实验人员分为若干组，向用户派发组员的电子邮件帐号列表，用户将这个列表导入Outlook Express联系人名单，将每个用户的病毒传播路径限制在固定的几个目标内，避免引发大面积传播造成网络堵塞，除此之外，邮件服务器端实施地址筛选算法，检查邮件地址的合法性，拒绝不合法的邮件发送。

10、根据权利要求1或者9所述的支持大规模多用户并发控制的计算机病毒实验方法，其特征是，所述的病毒传播可控化，具体流程如下：

a.Web服务器统计参与实验的人数，邮件服务器以用户的ID和密码为每个实验用户注册一个电子邮件帐号，并将这个帐号告知实验用户；

b.Web服务器将每5个实验用户分为一组，Web服务器向每个用户派发同组其余成员的电子邮件帐号；

c.用户按照指示在Outlook Express中设置自己的帐号，将Web服务器派发的其余成员电子邮件帐号导入，该过程将自动清空原有的联系人名单中的电子邮件地址；

d.Web服务器派发病毒样本到用户的本地端，提供Web页面形式的实验指导帮助用户触发病毒样本；

e.触发的病毒样本生成含有带毒文档的电子邮件，Outlook Express邮件联系人名单所有帐号发送这封邮件；

f.邮件服务器检查邮件地址的合法性，转发合法的邮件；

g.接受邮件的主机向发送方自动回复，通知接受病毒邮件的信息；

h.待用户完成实验过程，Web服务器向用户提供病毒专杀工具，删除病毒模版，恢复注册表，并引导用户清空Outlook Express的邮件联系人名单。

Images