本文目录一览：
- 1、本人想学习跟木马有关的知识
- 2、蠕虫和特洛伊木马的工作原理有哪些不同
- 3、什么专业学习病毒木马
- 4、听说现在有一种盗窃密码学
- 5、计算机密码学试题谁会做 题如下 ——20分 我的全部积分 呵呵
- 6、防病毒技术的防范方法
本人想学习跟木马有关的知识
这个正规渠道你是找不到完整的书籍的。起码我是这样的，本人信息安全专业毕业，所攻方向就是病毒密码学等，当初和你一样，都很希望有本书指导一下。
但是所能找到的书籍都是，一段病毒木马程序的片段，基本上没有什么大作用！
这些年走过，觉得还是先整好编程语言，C就是一个很好的选择，汇编也是很重要的。一步一个脚印的来...
这个社会是躁动的，我基本上可以确定你这个是三分钟热度。。能静下心来安安静静的敲代码的人——少！
蠕虫和特洛伊木马的工作原理有哪些不同
1 什么是特洛伊木马
特洛伊木马（Trojan Horse，以下简称木马）的名称取自希腊神话的特洛伊木马记。木马就是指那些内部包含为完成特殊任务而编制的代码的程序， 这些特殊功能处于隐藏状态，执行时不为人发觉。特洛伊木马是一种基于远程控制的工具，类似于远端管理软件，其区别是木马具有隐蔽性和非授权性的特点。所谓隐蔽性是指木马的设计者为防止木马被发现，会采用多种手段隐藏木马；非授权性是指一旦控制端与服务端建立连接后，控制端将窃取服务端的密码及大部分操作权限，包括修改文件、修改注册表、重启或关闭服务端操作系统、断开服务端网络连接、控制服务端的鼠标及键盘、监视服务端桌面操作、查看服务端进程等。这些权限并不是服务端赋予的，而是通过木马程序窃取的。
2 木马的工作原理
完整的木马系统由硬件和软件二部分组成。硬件部分是建立木马连接所必须的硬件实体，包括控制端、服务端和数据传输的网络载体（Internet/Intranet）； 软件部分是实现远程控制所必须的软件程序，包括控制端程序和木马程序。利用木马窃取信息、恶意攻击的整个过程可以分为3个部分，下面详细介绍。
2.1 获取并传播木马
木马可以用C或C++语言编写。木马程序非常小，一般只有3~5KB，以便隐藏和传播。木马的传播方式主要有3种：（1）通过E-MAIL。（2）软件下载。（3）依托病毒传播。2001年4月赛门铁克防病毒研究中心发现了植入木马程序的新蠕虫病毒（W32.BACTRANS.13312@MM）。该病毒一旦被执行，木马程序就会修改注册表键值和win.ini文件。当计算机被重启时，该蠕虫会等候3 分钟，然后利用MAPI, 回复所有未读邮件， 并将自己作为邮件的附件，使用不同的名称继续传播。
2.2 运行木马
服务端用户在运行木马或捆绑了木马的程序后，木马首先将自身拷贝到WINDOWS的系统文件夹中(C:\WINDOWS或C:\WINDOWS\SYSTEM目录下)， 然后在注册表、启动组和非启动组中设置好木马触发条件，这样木马的安装就完成了。以后，当木马被触发条件激活时，它就进入内存，并开启事先定义的木马端口，准备与控制端建立连接。
2.2 建立连接，进行控制
建立一个木马连接必须满足2个条件：(1)服务端已安装有木马程序。(2)控制端、服务端都要在线。初次连接时还需要知道服务端的IP地址。IP地址一般通过木马程序的信息反馈机制或扫描固定端口等方式得到。木马连接建立后，控制端端口和木马端口之间将会有一条通道，控制端程序利用该通道与服务端上的木马程序取得联系，并通过木马程序对服务端进行远程控制。
3 用VB6.0编写的木马程序
下面用VB6.0编写的一个木马程序来说明木马程序的工作原理。
(1)用VB建立2个程序：客户端程序Client和服务器端程序Server。
(2)在Client工程中建立一个窗体，加载WinSock控件，称为Win_Client，协议选择TCP。再加入一个文本框，用于输入服务器的IP地址或服务器名。然后加入一个按钮，按下之后就可以对连接进行初始化。代码如下：
Private Sub cmdConnect_Click()
Win_Client.RemoteHost=Text1.Text
Win_Client.Connect
Timer1.Enabled=True
End Sub
(3)建立连接后就可以使用DataArrival事件处理收到的数据了。
(4)在服务器端Server工程中也建立一个窗体，窗体的visible属性设置为False。加载WinSock控件， 称为Win_Server，协议选择TCP。在Form_Lad事件中加入以下代码：
Private Sub Form_Load()
Win_Server.LocalPort=2001 ‘自定义的端口号
Win_Server.Listen
End Sub
(5)准备应答客户端程序的请求连接，使用ConnectionRequest事件来应答客户端程序的请求，代码如下：
Private Sub Win_Server_ConnectionRquest(ByValrequestID As Long)
If Win_Server.State sckClosed Then
Win_Server.Close ‘检查控件的State属性是否为关闭的
End If ‘如果不是，在接受新的连接之前先关闭此连接
Win_Server.Accept requestID
End Sub
(6)这样在客户端程序按下连接按钮后，服务器端程序的ConnectionRequest事件即被触发， 执行以上代码。如果不出意外，连接将被建立起来。
(7)建立连接后服务器端的程序通过JDataArrival事件接收客户机端程序发出的指令运行既定程序。DataArrival事件程序如下：
Private Sub Win_Server_DataArrival(ByVal bytesTotal As Long)
Dim strData As String
Dim I As Long
Win_Server.GetData strData ‘接收数据并存入strData
For i=1 ToLen(strData) ‘分离strData中的命令
If Mid(strData,I,1)=”@” Then
mKey=Left(strData,i-1 ‘把命令ID号存入mKey
strData=Right(strData,Len(strData)-i) ‘把命令参数存入strData
Exit Fof
Ene If
Next i
Select Case Val*mKey)
Case i ‘i为一系列命令的定义，如截获驱动器名、目录名、文件名、强制关闭服务器端的计算机，强制重启服务器端的计算机，屏蔽任务栏窗口，屏蔽开始菜单，按照客户机端传来的文件名或目录名删除它们，屏蔽热启动键，运行服务器端的任何程序。
……
End Select
EneSub
(8)客户机端用Win_Client.SendData发命令。命令包括命令ID和命令参数，它们用符号”@”隔开。
(9)当客户机端断开与服务器端的连接后，服务器端应用Win_Server_Close事件继续准备接收客户机端的请求，其代码如下：
Private Sub tcpServer_Close()
Win_Server.Close
Win_Server.Listen
End Sub
以上是一个最基本的特洛伊木马程序。只要机器运行了服务器端程序， 别人就可以在千里之外控制这台计算机。
4 发现和清除木马
杀毒软件主要是针对已知病毒设计的，而新病毒却层出不穷，特别是在有些特洛伊木马类病毒刚出现时，由于杀毒软件没有建立病毒库，大都无能为力。因此，学习一些手工检查特洛伊木马的方法是很有必要的。下面简单介绍一种在Win9x系统下手工发现和清除木马的方法。
TCP服务程序都需要Listen在某个端口（port）上，客户端程序才能与其建立连接， 进行数据传输。可以用Win9x的命令netstat -an查看所有的活动连接， 典型输出如下：
C:\WINDOWSnetstat –an
Active Connections
Proto Local Address Foreign Address State
TCP 192.168.1.92:137 0.0.0.0:0 LISTENING
TCP 192.168.1.92:138 0.0.0.0:0 LISTENING
UDP 192.168.1.92:137 *:*
UDP 192.168.1.92:138 *:*
其中”Local Address”栏即本机IP地址，冒号后为port号。正常情况下没有安装其它TCP服务时，上述输出只有137~139几个port处于Listen状态； 若未安装其它TCP服务程序，但在netstat -an的输出中发现有别的port处于Listen状态则该机器已经被感染了木马。这里需要说明2点：1 “Local Address”栏中IP地址若为127.0.0.1则无害， 而IP地址若为0.0.0.0且port不是137~139则要引起注意了。2有的木马比较隐蔽，平时是看不到它，只有当机器接入Internet时它才处于Listen状态。在上网过程中要下载软件、收发信件、网上聊天等必然打开一些端口，下面是一些常用的端口：
(1)1~1024之间的端口：这些是保留端口，是某些对外通信程序专用的，如FTP 使用21,SMTP使用25，POP3使用110等。木马很少使用这些保留端口。
(2)1025以上的连续端口：在上网浏览时，浏览器会打开多个连续的端口将文字、图片下载到本地硬盘。这些端口都是1025以上的连续端口。
(3)4000端口是QICQ的通信端口。6667端口是IRC的通信端口。
上述的端口基本可以排除在外。若发现还有其它端口打开，尤其是数值比较大的端口，就要怀疑是否感染了木马。当然如果木马有定制端口的功能，则任何端口都有可能是木马端口。
如果用netstat -an发现了异常(有时在使用系统时也能感到异常)，应该从以下8个方面检查：
(1)WIN.INI:用文本方式打开WINDOWS目录下的配置文件win.ini。在[windows]字段中有启动命令”load=”和“run=”，一般情况下“=”右边是空白的，否则就有可能是木马。
(2)SYSTEN.INI：用文本方式打开WINDOWS目录下的配置文件system.ini。若发现字段[386Enh]、[mic]和[drivers32]中有命令行，则需要检查其中是否有木马的启动命令。此外，[BOOT]字段下面有条命令“shell=wxplorer.exe”，如果是“shell=explorer 程序名”，则后面跟着的那个程序就是“木马”程序。
(3)Autoexec.bat和Config.sys：系统盘根目录下的这2个文件也可以启动木马。但这种加载方式需要控制端用户与服务端建立连接后， 将已加入木马启动命令的同名文件上传到服务端覆盖这二个文件。
(4)*INI：即应用程序的启动配置文件。控制端利用这些文件能启动程序的特点，将制作好的带有木马启动命令的同名文件上传到服务端覆盖相应文件，就可以启动木马。
(5)注册表1：打开HKEY_LOCAL_MACHINE\Softwae\Microsoft\Windows\CurrentVersion\
下5个以Run和Run-Services开头的主键，在其中寻找可能是启动木马的键值。
(6)注册表2：打开HKEY_CLASES_ROOT\文件类型\shell\open\command主键，查看其键值。如国产木马“冰河”就是修改HKEY_CLASES_ROOT\txtfile\shell\open\command下的键值， 将“C：WINDOWS\NOTEPAD.EXE%1”更改为“C：WINDOWS\SYSTEM\SYSEXPLR.EXE%1”。此时只要双击TXT文件， 本来是要应用NOTEPAD打开文件，而实际上却启动了木马程序。其实不只是TXT文件，通过修改HTML、EXE、ZIP等文件的启动
命令的键值都可以启动木马。不同之处只在于“文件类型”这个主键，TXT的主键是txtfile，ZIP的主键是WINZIP。
(7)捆绑文件：实现该触发条件首先要控制端和服务端已通过木马建立连接， 接着控制端用户用工具软件将木马文件和某个应用程序捆绑在一起，然后上传到服务端覆盖原文件。这样即使木马被删除了，只要运行捆绑着木马的应用程序，木马就又会被重新安装。
(8)启动菜单：在“ 开始/程序/启动”选项下也可能有木马的触发条件。
如果在以上+ 项检查中发现有可疑程序，则将其连同该注册表项一同删除，再重启系统，木马就会被清除。这里还需要几点说明：
(1)木马正在运行时，无法删除其程序。须重新启动、
进入dos方式将其删除。
(2)有的木马能够自动检查它在注册表中的自启动项。如果在木马处于活动时删除该项，它可以自动恢复。此时只能重启进入DOS方式， 将其程序删除后再进入Wi9x下，将其注册表中的自启动项剔除(操作顺序不能错)。
(3)在删除和修改注册表前一定要先做备份(注册表的备份与恢复可以用regedit中的“导出注册表”和“引入注册表”来完成)。
网络蠕虫的定义
功能结构及工作机制
网络蠕虫的定义
早期恶意代码的主要形式是计算机
病毒。1988年“Morris”蠕虫爆发
后，Spafford为了区分蠕虫和病毒，
对病毒重新进行了定义，他认为，
“计算机病毒是一段代码，能把自身
加到其它程序包括操作系统上；它不
能独立运行，需要由它的宿主程序运
行来激活它”。而网络蠕虫强调自身
的主动性和独立性。l(ienzle和E1der从
破坏性、网络传播、主动攻击和独立
性四个方面对网络蠕虫进行了定义：
网络蠕虫是通过网络传播，无需用户
干预能够独立地或者依赖文件共享主动
攻击的恶意代码。根据传播策略，他
们把网络蠕虫分为三类：Ema订蠕虫、
文件共享蠕虫和传统蠕虫。《Internet
蠕虫研究》一文中认为蠕虫具有主动
攻击、行踪隐蔽、利用漏洞、造成
网络拥塞、降低系统性能、产生安全
隐患、反复性和破坏性等特征，并给
出相应的定义：“网络蠕虫是无须计
算机使用者干预即可运行的独立程序，
它通过不停的获得网络中存在漏洞的计
算机上的部分或全部控制权来进行传播。”该定义包含了Kienzle和Elder定
义的后两类蠕虫，不包括Email蠕虫。
2 oo 3年1 o月的世界蠕虫会议上，
schechter和Michael D．smitll提出了一类
新型网络蠕虫，Access For sale蠕虫，
这类蠕虫除上述定义的特征之外，还
具备身份认证的特征。
综合上述分析，本文认为“网络
蠕虫是一种智能化、自动化，综合网
络攻击、密码学和计算机病毒技术，
无需计算机使用者干预即可运行的攻击
程序或代码，它会扫描和攻击网络上
存在系统漏洞的节点主机，通过局域
网或者国际互联网从一个节点传播到另
外一个节点”。该定义体现了新一代
网络蠕虫智能化、自动化和高技术化
的特征。
什么专业学习病毒木马
计算机没有这样的专业。
但是可以这么说，会用计算机语言编程的人都会编写木马病毒，因为病毒本身也是一个程序，但这个程序和正常的程序运行结果不同而已，病毒运行的结果是具有某种破坏性的，如删除系统文件等。
听说现在有一种盗窃密码学
不是什么专门的学科，而是一个高超的程序员的手艺……
具体原理，就是以程序偷程序的密码。
假设你安装了一个QQ，而且你浏览那些乱七八糟的网站（色情之类的），这个网站的建设者是我（我本人可不是这样的啊，假设而已），我在这个网页上放置了一个小程序，趁你不觉意的时候安装在了你的机器中。由于我的电脑技术很好，所以，我这个小程序的功能是非常强大的！它监控着你的键盘，监控着你的QQ启动。当你启动QQ的时候，我的程序会通过一系列技术侦测到，然后监控你的键盘，把你输入的QQ号码和密码记录下来，通过网络发送回我的电脑中，我就盗窃了你的密码。盗窃其它密码亦是如此，这样就完成了盗窃的基本过程。
这种程序不是病毒，而是有个专门的名称，业界称之为“木马”，具体由来请看特洛伊木马攻城的故事，这种程序就是隐蔽偷袭式的。
当然，随着杀毒软件的功能越来越强大，木马程序也会加入新技术以躲避杀毒软件的查杀，如加壳技术等。
具体的防治手法，是少上不明网站。传播非法信息、免费提供十分诱人的服务的网站多多少少会带有木马，不要安装不明来历的软件，它随时会捆绑一百多个木马程序。这样你的电脑就会百毒不侵。
计算机密码学试题谁会做 题如下 ——20分 我的全部积分 呵呵
国际上采用三元组命名规则,一般格式为：病毒前缀.病毒名.病毒后缀 .
病毒前缀是指一个病毒的类型或发作的操作平台，他是用来区别病毒的种族分类的。不同的种类的病毒，其前缀也是不同的。比如常见的木马病毒的前缀 Trojan ，蠕虫病毒的前缀是 Worm 等等还有其他的。
病毒名是指一个病毒的家族特征，是用来区别和标识病毒家族的，如以前著名的CIH病毒的家族名都是统一的“ CIH ”，还有近期闹得正欢的振荡波蠕虫病毒的家族名是“ Sasser ”。
病毒后缀是指一个病毒的变种特征，是用来区别具体某个家族病毒的某个变种的。一般都采用英文中的26个字母来表示，如Worm.Sasser.b就是指 振荡波蠕虫病毒的变种B，因此一般称为 “振荡波B变种”或者“振荡波变种B”。如果该病毒变种非常多（也表明该病毒生命力顽强 ^_^），可以采用数字与字母混合表示变种标识。
三元组中“病毒名”的命名优先级为：病毒的发现者（或制造者）——病毒的发作症状——病毒的发源地——病毒
代码中的特征字符串。第一个被发现有不同特征代码的病毒，视为新病毒，会起一个新名字。同系病毒变种的名字
由病毒名和后缀组成，如BADVIRUS.A,后缀字母顺序由A到Z,然后是AA到AZ,BA到BZ等,如果ZZ后还有变种出现,后缀将会是AAA,以此类推.有时也用@M,@MM两中后缀,@M表示普通邮件病毒,病毒利用Email进行传播,在收到邮件或发出邮件时感染一次,或发送到一个邮箱地址;@MM表示大量邮件病毒,该病毒用一流的技术来繁殖,利用邮件来传播.
综上所述，一个病毒的前缀对于快速的判断该病毒属于哪种类型的病毒是有非常大的帮助的。通过判断病毒的类型，就可以对这个病毒有个大概的评估（当然这需要积累一些常见病毒类型的相关知识，这不在本文讨论范围）。而通过病毒名可以利用查找资料等方式进一步了解该病毒的详细特征。病毒后缀能知道现在在你机子里呆着的病毒是哪个变种。
下面附带一些常见的病毒前缀的解释（针对用得最多的Windows操作系统）：
1、系统病毒
系统病毒的前缀为：Win32、PE、Win95、W32、W95等。这些病毒的一般公有的特性是可以感染windows操作系统的 *.exe 和 *.dll 文件，并通过这些文件进行传播。如CIH病毒。
2、蠕虫病毒
蠕虫病毒的前缀是：Worm。这种病毒的公有特性是通过网络或者系统漏洞进行传播，很大部分的蠕虫病毒都有向外发送带毒邮件，阻塞网络的特性。比如冲击波（阻塞网络），小邮差（发带毒邮件） 等。
3、木马病毒、黑客病毒
木马病毒其前缀是：Trojan，黑客病毒前缀名一般为 Hack 。木马病毒的公有特性是通过网络或者系统漏洞进入用户的系统并隐藏，然后向外界泄露用户的信息，而黑客病毒则有一个可视的界面，能对用户的电脑进行远程控制。木马、黑客病毒往往是成对出现的，即木马病毒负责侵入用户的电脑，而黑客病毒则会通过该木马病毒来进行控制。现在这两种类型都越来越趋向于整合了。一般的木马如QQ消息尾巴木马 Trojan.QQ3344 ，还有大家可能遇见比较多的针对网络游戏的木马病毒如 Trojan.LMir.PSW.60 。这里补充一点，病毒名中有PSW或者什么PWD之类的一般都表示这个病毒有盗取密码的功能（这些字母一般都为“密码”的英文“password”的缩写）一些黑客程序如：网络枭雄（Hack.Nether.Client）等。
4、脚本病毒
脚本病毒的前缀是：Script。脚本病毒的公有特性是使用脚本语言编写，通过网页进行的传播的病毒，如红色代码（Script.Redlof）。脚本病毒还会有如下前缀：VBS、JS（表明是何种脚本编写的），如欢乐时光（VBS.Happytime）、十四日（Js.Fortnight.c.s）等。
5、宏病毒
其实宏病毒是也是脚本病毒的一种，由于它的特殊性，因此在这里单独算成一类。宏病毒的前缀是：Macro，第二前缀是：Word、Word97、Excel、Excel97（也许还有别的）其中之一。凡是只感染WORD97及以前版本WORD文档的病毒采用Word97做为第二前缀，格式是：Macro.Word97；凡是只感染WORD97以后版本WORD文档的病毒采用Word做为第二前缀，格式是：Macro.Word；凡是只感染EXCEL97及以前版本EXCEL文档的病毒采用Excel97做为第二前缀，格式是：Macro.Excel97；凡是只感染EXCEL97以后版本EXCEL文档的病毒采用Excel做为第二前缀，格式是：Macro.Excel，依此类推。该类病毒的公有特性是能感染OFFICE系列文档，然后通过OFFICE通用模板进行传播，如：著名的美丽莎(Macro.Melissa)。
6、后门病毒
后门病毒的前缀是：Backdoor。该类病毒的公有特性是通过网络传播，给系统开后门，给用户电脑带来安全隐患。如54很多朋友遇到过的IRC后门Backdoor.IRCBot 。
7、病毒种植程序病毒
这类病毒的公有特性是运行时会从体内释放出一个或几个新的病毒到系统目录下，由释放出来的新病毒产生破坏。如：冰河播种者（Dropper.BingHe2.2C）、MSN射手(Dropper.Worm.Smibag)等。
8．破坏性程序病毒
破坏性程序病毒的前缀是：Harm。这类病毒的公有特性是本身具有好看的图标来诱惑用户点击，当用户点击这类病毒时，病毒便会直接对用户计算机产生破坏。如：格式化C盘（Harm.formatC.f）、杀手命令（Harm.Command.Killer）等。
9．玩笑病毒
玩笑病毒的前缀是：Joke。也称恶作剧病毒。这类病毒的公有特性是本身具有好看的图标来诱惑用户点击，当用户点击这类病毒时，病毒会做出各种破坏操作来吓唬用户，其实病毒并没有对用户电脑进行任何破坏。如：女鬼（Joke.Girlghost）病毒。
10．捆绑机病毒
捆绑机病毒的前缀是：Binder。这类病毒的公有特性是病毒作者会使用特定的捆绑程序将病毒与一些应用程序如QQ、IE捆绑起来，表面上看是一个正常的文件，当用户运行这些捆绑病毒时，会表面上运行这些应用程序，然后隐藏运行捆绑在一起的病毒，从而给用户造成危害。如：捆绑QQ（Binder.QQPass.QQBin）、系统杀手（Binder.killsys）等。以上为比较常见的病毒前缀，有时候还会看到一些其他的，但比较少见，这里简单提一下：
DoS：会针对某台主机或者服务器进行DoS攻击；
Exploit：会自动通过溢出对方或者自己的系统漏洞来传播自身，或者他本身就是一个用于Hacking的溢出工具；
HackTool：黑客工具，也许本身并不破坏你的机子，但是会被别人加以利用来用你做替身去破坏别人。
你可以在查出某个病毒以后通过以上所说的方法来初步判断所中病毒的基本情况，达到知己知彼的效果。在杀毒无法自动查杀，打算采用手工方式的时候这些信息会给你很大的帮助。
防病毒技术的防范方法
网络蠕虫是一种智能化、自动化，综合网络攻击、密码学和计算机病毒技术，无须计算机使用者干预即可运行的攻击程序或代码，它会扫描和攻击网络上存在系统漏洞的节点主机，过局域网或者国际互联网从一个节点传播到另外一个节点”。
以下将从企业防范蠕虫病毒和个人用户防范两方面来介绍：
（1）企业防范蠕虫病毒措施：
当前，企业网络主要应用于文件和打印服务共享、办公自动化系统、企业业务（MIS）系统、Internet应用等领域。网络具有便利信息交换特性，蠕虫病毒也可以充分利用网络快速传播达到其阻塞网络目的。企业在充分地利用网络进行业务处理时，就不得不考虑企业的病毒防范问题，以保证关系企业命运的业务数据完整不被破坏。
企业防治蠕虫病毒的时候需要考虑几个问题：病毒的查杀能力，病毒的监控能力，新病毒的反应能力。而企业防毒的一个重要方面是是管理和策略。推荐的企业防范蠕虫病毒的策略如下：
1．加强网络管理员安全管理水平，提高安全意识。由于蠕虫病毒利用的是系统漏洞进行攻击，所以需要在第一时间内保持系统和应用软件的安全性,保持各种操作系统和应用软件的更新！由于各种漏洞的出现，使得安全不在是一种一劳永逸的事，而作为企业用户而言，所经受攻击的危险也是越来越大，要求企业的管理水平和安全意识也越来越高。
2．建立病毒检测系统。能够在第一时间内检测到网络异常和病毒攻击。
3．建立应急响应系统，将风险减少到最小！由于蠕虫病毒爆发的突然性，可能在病毒发现的时候已经蔓延到了整个网络，所以在突发情况下，建立一个紧急响应系统是很有必要的，在病毒爆发的第一时间即能提供解决方案。
4．立灾难备份系统。对于数据库和数据系统，必须采用定期备份，多机备份措施，防止意外灾难下的数据丢失
5．对于局域网而言，可以采用以下一些主要手段：
（1）在因特网接入口处安装防火墙式防杀计算机病毒产品，将病毒隔离在局域网之外。
（2）对邮件服务器进行监控，防止带毒邮件进行传播！
（3）对局域网用户进行安全培训。
（4）建立局域网内部的升级系统，包括各种操作系统的补丁升级，各种常用的应用软件升级，各种杀毒软件病毒库的升级等等。
（2）对个人用户产生直接威胁的蠕虫病毒：
在以上分析的蠕虫病毒中，只对安装了特定的微软组件的系统进行攻击，而对广大个人用户而言，是不会安装iis(微软的因特网服务器程序，可以使允许在网上提供web服务)或者是庞大的数据库系统的！因此上述病毒并不会直接攻击个个人用户的电脑(当然能够间接的通过网络产生影响)，但接下来分析的蠕虫病毒，则是对个人用户威胁最大，同时也是最难以根除，造成的损失也更大的一类蠕虫病毒。 （1）木马程序的防范：
木马程序会窃取所植入电脑中的有用信息，因此我们也要防止被黑客植入木马程序，常用的办法有：
在下载文件时先放到自己新建的文件夹里，再用杀毒软件来检测，起到提前预防的作用。在“开始”→“程序”→“启动”或“开始”→“程序”→“Startup”选项里看是否有不明的运行项目，如果有，删除即可。将注册表里 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下的所有以“Run”为前缀的可疑程序全部删除即可。
（2）恶意代码的防范：
用户在上网是最有可能接触到恶意代码，因此，恶意代码成了宽带的最大威胁之一。以前使用Modem，因为打开网页的速度慢，在完全打开前关闭恶意网页还有避免中招的可能性。现在宽带的速度这么快，所以很容易就被恶意代码攻击。一般恶意代码都是因为加入了用编写的恶意代码才有破坏力的。这些恶意代码就相当于一些小程序，只要打开该网页就会被运行。所以要避免恶意代码的攻击只要禁止这些恶意代码的运行就可以了。运行IE浏览器，点击“工具/Internet选项/安全/自定义级别”，将安全级别定义为“安全级-高”，对“ActiveX控件和插件”中第2、3项设置为“禁用”，其它项设置为“提示”，之后点击“确定”。这样设置后，当你使用IE浏览网页时，就能有效避免恶意网页中恶意代码的攻击。 防范邮件病毒的措施有以下几条：1.在收到信的时候，不管是不是认识的还是不认识的，附件一定先不要打开，虽然有些E-mail在上传附件的时候都进行了杀毒，不怕一万就怕万一。除非，你和他正在研究邮件病毒，或者在制造邮件病毒。
2.看见带有附件的邮件，可以把附件下下来，然后用杀毒软件杀毒，如果还是怕中毒，你可以这样做。
1）打开我的电脑，在工具栏中找到工具选择文件夹选项，在弹出的对话框中选择查看这个选项，把“隐藏已知文件类型的扩展”前面的勾去掉。
2）在邮件的附件上右击 选择另存为， 在要你重命名的时候在文件名的后面打上 .txt“ 然后再杀毒。
3）如果还是不放心，你可以选择删除。
3.记住自己常用的一些注册网站的管理员邮箱，或者记住他们的邮箱后缀。在看见这些邮件的时候一点要仔细核对这些信息，使用社会工程学的人一定会伪造一个极像的或者一字之差的邮箱与你沟通。例如，前一段时间有一个病毒文件的计算机进程，如下： rundll32.exe（真实的）rund1l32.exe（病毒）rund1132.exe（病毒）,你不认真看，一下还真有点看不出来。这样的邮件不管三七二十一，统统不要。
4. 为了能安全上网，安全的发邮件，有时候在QQ，MSN，SKY里面别人给你的莫名的网站一定不要打开，除非你特别信任他，或者你已经知道了结果是什么。 1.利用Windows Update功能打全系统补丁，避免病毒从网页方式入侵到系统中。
2.将应用软件升级到最新版本，其中包括各种IM即时通讯工具、下载工具、播放器软件、搜索工具条等；更不要登录来历不明的网站，避免病毒利用其他应用软件漏洞进行木马病毒传播。
3.当有未知插件提示是否安装时，请首先确定其来源。
（二）服务器病毒及网上交易的防范：
1.防护WEB服务器:
WEB服务器自身脆弱性：Web服务器软件自身存在安全问题，如Web服务器软件缺省安装提供了过多的不必要功能，密码过于简单遭到破解，当服务器管理员使用了不安全协议的软件（如telnet）进行管理时，被监听而导致信息外泄。 Web应用程序安全性差：主要是指CGI程序和ASP、PHP脚本等等程序的安全性。这些程序大大扩展了Web服务器的功能，但它们往往只重功能而忽视了安全性。
保护WEB服务的方法:
1.用防火墙保护网站，可以有效地对数据包进行过滤，是网站的第一道防线；
2.用入侵监测系统监测网络数据包，可以捕捉危险或有恶意的访问动作，并能按指定的规则，以记录、阻断、发警报等等多种方式进行响应，既可以实时阻止入侵行为，又能够记录入侵行为以追查攻击者；
3.正确配置Web服务器，跟踪并安装服务器软件的最新补丁；
4.服务器软件只保留必要的功能，关闭不必要的诸如FTP、SMTP等公共服务，修改系统安装时设置的默认口令，使用足够安全的口令；
5.远程管理服务器使用安全的方法如SSH，避免运行使用明文传输口令的telnet、ftp等程序；
6.谨慎使用CGI程序和ASP、PHP脚本程序7、使用网络安全检测产品对安全情况进行检测，发现并弥补安全隐患。
3.防护FTP服务器
（1）禁止匿名登录；
（2）设置访问日志；
（3）通过访问日志可以准确得到哪些IP地址和用户访问的准确纪录；
（4）强化访问控制列表；
（5）采用NTFS访问许可，运用ACL[访问控制列表]控制对您的FTP目录的的访问；
（6）设置站点为不可视；
（7）使用磁盘配额；
（8）基于IP策略的访问控制；
（9）使用安全密码策略；
（10限制登录次数。
4.防护邮件服务器：
被攻击的方法有三种：第一种是升级高版本的服务器软件，利用软件自身的安全功能限制垃圾邮件的大量转发或订阅反垃圾邮件服务； 第二种就是采用第三方软件利用诸如动态中继验证控制功能来实现，从而确保接受邮件的正确性；第三种是配置病毒网关、病毒过滤等功能。
5.拒绝服务：
对某些域名服务器的大规模拒绝服务攻击会造成互联网速度普遍下降或停止运行；域劫持：通过利用客户升级自己的域注册信息所使用的不安全机制，攻击者可以接管域注册过程来控制合法的域；泄漏网络拓朴结构的。保护路由器安全还需要网管员在配置和管理路由器过程中采取相应的安全措施。
6.利用移动设备进行传播的病毒的预防措施：
1）.在使用移动介质（如：U盘、移动硬盘等）之前，建议先进行病毒查杀。
2）.禁用系统的自动播放功能，防止病毒从U盘、移动硬盘、MP3等移动存储设备进入到计算机。
禁用Windows 系统的自动播放功能的方法：在运行中输入 gpedit.msc 后回车，打开组策略编辑器，依次点击：计算机配置－管理模板－系统－关闭自动播放－已启用－所有驱动器－确定
3）.尽量不要使用双击打开U盘，而是选择右键--打开。
7.网络交易防范措施：网上银行、在线交易的预防措施：
（1）在登录电子银行实施网上查询交易时，尽量选择安全性相对较高的USB证书认证方式。不要在公共场所，如网吧，登录网上银行等一些金融机构的网站，防止重要信息被盗。
（1）网上购物时也要选择注册时间相对较长、信用度较高的店铺。 在“Melissa”病毒出现之前，人们并未意识到为电子邮件系统提供专门的防病毒保护的重要性。如今，电子邮件系统已从简单的信息发布发展到可提供协作存储器、基于Web的用户界面以及无线设备接入等方面。因此，要从系统角度设计一套全面的防毒计划。
● 制定系统的防病毒策略。为了正确选择、配置和维护病毒防护解决方案，您的系统必须明确地规定保护的级别和所需采取的对策。
● 部署多层防御战略。伴随着网络的发展，病毒可从多种渠道进入系统，因此在尽可能多的点采取病毒防护措施是至关重要的。其中包括网关防病毒、服务器及群件防病毒、个人桌面计算机防病毒以及所有防病毒产品的统一管理等。
● 定期更新防病毒定义文件和引擎。在大多数系统了解到使其病毒定义文件保持最新版本的重要性的同时，并不是人人都了解确保检测引擎为最新版本同等重要。一般情况下，更新是自动进行的，但更重要的是应定期检查日志文件以确保正确地执行了更新。
基于服务器的电子邮件病毒防护是提供系统内部保护的最有效方式，但是根据系统安全保护策略的细节不同，它不能对所有类型的信息（如加密信息）都提供防护。因此还应定期更新桌面计算机中的防病毒软件。
● 定期备份文件。一旦病毒破坏了您的数据，您可以利用您的存储档案恢复相关文件。建议您制订一个标准程序来定期检查从备份中恢复的数据。
● 预订可发布新病毒威胁警告的电子邮件警报服务。有许多不同的机构提供这种服务，但是最关键的应该是您的防病毒服务供应商。其原因在于每个防病毒软件供应商的能力不同，对新病毒的估定也不同，而且采取的措施也有差异。例如，一位供应商已经在过去的更新版本中提供了类属病毒检测，从而对某种新病毒提供了防护，因此对于他们的客户而言，这一特殊病毒将被估定成低风险的。但是其他未能提供当前保护的供应商却会将同类病毒估定为“高”风险的。
● 为全体职员提供全面的防病毒培训。如果全体职员都了解容易遭受电子邮件病毒攻击的风险、防护措施以及遇到可疑病毒时应该采取的建议性措施等，就可以最大程度地降低系统内大多数病毒的发作。 随着电子邮件与办公套件应用的日益密切集成，单从电子邮件客户应用的角度来检验防病毒措施的缺陷是不够的。相反，还必须充分保护用户所使用的整个PC。
禁用预览窗口功能。某些电子邮件程序，如 Microsoft Outlook 和 Microsoft Outlook Express，都有一个允许用户不打开信息，而是在一个单独窗口查看此信息的功能，但是因为预览窗口具有处理嵌套脚本的能力，某些病毒只需预览就能够执行。
如果将 Microsoft Word 当作电子邮件编辑器使用，就需要将 NORMAL.DOT 在操作系统级设置成只读文件。同时将 Microsoft Word 的设置更改为“Prompt to Save Normal Template（保存常规模板）”。许多病毒通过更改 NORMAL.DOT 文件进行自我传播，采取上述措施至少可产生一定的阻止作用。
使用.rtf和.csv来代替.doc和.xls。要想应付宏所产生的问题，可以使用.rtf 格式的字处理文档来代替.doc格式文档，并用.csv格式的电子表格来代替.xls格式电子表格，因为这些格式不支持宏的应用。
删除Windows Scripting Host。如果系统不使用 Windows Script Hosting (WSH)，应该考虑删除或禁用它。在 Windows 9x 中的操作方法是，先进入“控制面板”，选中“添加/删除程序”，点击“Windows安装程序”选项卡，然后双击“附件”。向下滚动到“Windows Script Host”之处，删除此项，最后选择“确定”。操作完毕可能需要重新启动系统。
使用收件箱规则来处理可疑的电子邮件。如果系统不采用基于服务器的电子邮件内容过滤方式，可以使用电子邮件收件箱规则来自动删除可疑信息或将其移到专门的文件夹中。不要打开来源不明、可疑或不安全的电子邮件上的任何附件。一定要确保所有电子邮件附件的来源是合法规范的。
不轻易下传病毒警告。由于病毒本身和恶作剧式的非法警告数量庞大，下传这类病毒警告将会无谓地浪费时间和空间。在将警告传给其他人之前，应先查看防病毒产品供应商的网站，以确定系统是否已得到保护或者这只是个恶作剧。
加上写保护。此项措施适用于在其他计算机上使用可移动介质。假如要使用可移动介质在计算机之间（如从工作单位到家中）传递电子邮件，那么在可疑系统中使用此类介质之前应将其加上写保护，以防止它受到病毒感染。 有些人以为只要他们保护了自己的电子邮件网关和内部的桌面计算机，就无需基于电子邮件服务器的防病毒解决方案了。这在几年前或许是对的，但是目前随着基于 Web 的电子邮件访问、公共文件夹以及访问存储器的映射网络驱动器等方式的出现，病毒可以通过多种方式进入电子邮件服务器。这时，就只有基于电子邮件服务器的解决方案才能够检测和删除受感染项。 拦截受感染的附件。许多利用电子邮件传输方式的病毒传播者（又称“海量寄件者”）经常利用可在大多数计算机中找到的可执行文件，如EXE、VBS和SHS散布病毒。实际上，大多数电子邮件用户并不需要接收带这类文件扩展的附件，因此当它们进入电子邮件服务器或网关时可以将其拦截下来。
安排全面随机扫描。即使能够保证使用所有最新的手段防范病毒，新型病毒也总是防不胜防。它们有可能乘人们还没来得及正确识别，防病毒产品厂商也尚未相应地制定出新的定义文件之前，进入系统。通过使用最新定义文件，对所有数据进行全面、随机地扫描，确保档案中没有任何受感染文件蒙混过关，就显得尤为重要。
试探性扫描。利用试探性扫描，可以寻找已知病毒的特征，以识别是已知病毒变异的新病毒，提供较高级别的保护，但缺点是它需要更多的处理时间来扫描各项病毒，而且偶尔还会产生错误的识别结果。不管怎样，只要服务器配置正确，根据性能的需要，利用试探性扫描提供额外保护，还是值得一试的。
用防病毒产品中的病毒发作应对功能。海量邮寄带来的病毒可以迅速传遍一个系统。对于管理员而言，没有防病毒厂商所提供的适当的检测驱动程序，要根除这些病毒是极其费力的。幸运的是，某些病毒防护产品提供了系统设置功能，一旦出现特定病毒发作的特征，这些产品就会自动发出通知或采取修正措施。
重要数据定期存档。并非所有病毒都立即显示出自己的特征；根据感染位置以及系统的设置情况，有些病毒可能要潜伏一段时间才能被发现。最好是至少每月进行一次数据存档，这样，如前所述，在防病毒解决方案的自动删除功能不起作用时，就可以利用存档文件，成功地恢复受感染项。