实验目的：（1）了解文件型病毒制造基本原理；
（2）了解病毒的感染、破坏机制、进一步认识病毒程序；
（3）掌握文件型病毒的特征和内在机制；
实验环境：Win2000\Win9X\WinNT\WinXP
实验内容：用PE分析器对比分析文件感染病毒后的变化
病毒引导说明：
文件型病毒，没有引导部分演示
病毒传染说明：
传染范围：Virus.exe所在目录
传染目标：可执行文件(.exe)
传染过程：搜索目录内的可执行文件，逐个感染
病毒触发说明：
触发条件：运行Virus.exe程序或被Virus.exe感染的程序
病毒破坏说明：
破坏能力：无害型 传染时减少磁盘的可用空间，在可执行文件上附加一个节(4K)
破坏方式：攻击文件 在可执行文件上附加一个节(4K)，修改可执行文件的入口地址
破坏范围：Virus.exe所在目录
病毒查杀说明：
病毒危害等级：低，属于无害型病毒
病毒特征类型：Bloodhound.W32.1(Norton AntiVirus检测结果，这是Symantec软件来临时指代新病毒的文件）
病毒查杀方法：删除所有被感染的文件
实验步骤：
当防病毒程序如 Norton AntiVirus(注：此处的测试应以当前测试机器上安装杀毒软件为准，本示例运行时机器上安装的只有Norton AntiVirus，故以此为参照)自动防护功能打开 时，鼠标光标位于病毒程序上时，会看到如下的图例：
图解说明：注解0-1表示Norton AntiVirus的自动防护功能打开着；注解0-2就是防病毒软件在用户鼠标置于图例0中注解0-3处的Virus.exe程序上时的报警提示。
演示说明：作为自己开发的病毒程序，为了能够更好的演示病毒的特征，在开发过程中我们没有采用病毒的保护机制，故而防病毒软件根据病毒程序的特征即可给出该程序为病毒程序的报警提示。
3、关闭防病毒软件的自动防护功能，点击病毒程序Virus.exe，运行该程序，参见下图：
图解说明：注解1-1表示Norton AntiVirus的自动防护功能被关闭；注解1-2为病毒程序运行主界面，本实验为了能够比较直观演示病毒程序，让用户知道正在运行某个程序，故而有此主界面；但实际的病毒在感染其他程序前不会让用户感觉到病毒程序正在运行的，往往都是隐藏运行，或者是寄生在宿主程序中，这方面可参照病毒的引导机制的介绍。
演示说明：详见备注
4、提示用户是否观看感染过程，如下图：
图解说明：注解2-1提示用户是否观看病毒的感染过程，选择“是”观看感染过程，选择“否”运行原程序，由于该病毒程序不具有其他功能，所以选“否”时就直接关闭程序。
演示说明：该文件型病毒侧重于病毒感染过程的演示，所以在感染部分的提示比较详细。
5、开始感染提示，如下图
图解说明：注解3-1提示用户病毒程序开始感染其他程序
演示说明：无
6、提示病毒感染范围，如下图：
图解说明：注解4-1提示用户病毒程序感染目标是病毒程序所在目录里的程序。
演示说明：为了减少病毒破坏的范围，在编写该病毒程序时，限定其感染范围为目录内感染，这也同时减少了病毒的破坏范围；但就病毒特征而言，它还是很好的体现了病毒程序自我复制的这一特征。
7、提示当前搜索到的合法的目标程序，如下图：
图解说明：注解5-1提示说明当前搜索的目标程序是ebookedit.exe可执行文件。
演示说明：无
8、判断目标程序是否是合法的可感染的程序，如下图：
|
9、感染情况说明提示，如下图：
|
8、感染过程隐藏说明(小技巧)，如下图：
|
9、提示是否观看其他程序感染过程，如下图：
|
10、该图例与步骤6的图例同步，该图例是目标程序不合法或已被感染后的提示，如下图：
|
11、比较目标程序感染前后的变化(注要指程序大小)，如下图(图例12；图例12A和图例12B；图例12C和图例12D)：
|
12、比较目标程序感染前后的变化(注要指程序大小)，如下图(图例12；图例12A和图例12B；图例12C和图例12D)：
|
|
13、测试感染后程序是否为病毒携带程序的图示，如下图：
|
14、病毒携带程序KeyMaker.exe的运行情况，如下图
|
15、是否观看病毒携带程序KeyMaker.exe的感染过程提示，如下图：
|
16、病毒携带程序KeyMaker.exe的开始感染提示，如下图：
|
17、病毒携带程序KeyMaker.exe不进行感染运行主程序图示，如下图：
|
18、病毒携带程序ebookedit.exe的感染过程被防病毒程序检测到的图示，如下图：
|
