知者无畏
—— 一个真实的病毒世界
目 录
前言 3
知识就是力量 3
关于本书 4
为什么要写这本书? 4
电脑病毒真的存在吗? 5
本书的内容 6
关于作者 7
第一章 病毒——数字空间的恐怖分子 8
第一节 数字空间，一种新的生存形式 8
第二节 数字空间的犯罪与安全 9
第三节 一切并不遥远 10
第二章 电脑病毒的由来 13
第一节 一些基础知识 13
第二节 电脑病毒的编年史 18
第三节 微软和病毒，同盟还是敌人 32
第四节 第三只眼睛看病毒 34
第三章 什么是电脑病毒 36
第一节 当你打开电源——引导型病毒 36
第二节 数量最多的病毒——文件型病毒 39
第三节 流传最广泛的病毒——宏病毒 46
第四节 躲避杀毒软件的检测——病毒的多态（变形）技术 49
第五节 看不见的战斗——病毒的隐藏技术 51
第六节 病毒是如何进入内存的 53
第七节 浏览就可以传染—可怕的脚本病毒 56
第八节 针对IRC的蠕虫程序 58
第九节 “恶意代码”—不是病毒的病毒 58
第四章 真实的病毒故事 59
第一节 尼姆达病毒，和恐怖分子有关？ 59
第二节 红色代码是红色的吗？ 64
第三节 “我爱你”，浪漫背后的陷阱 67
第四节 “CIH”的噩梦 69
第五节 漏洞、臭虫还有其他 75
第六节 谁制造了病毒 75
第七节 病毒制造者的近距离接触 78
第八节 火线追踪，找到恶魔的制造者 79
第九节 现代威尼斯商人，病毒商人的故事 81
第十节 “中美黑客大战”的背后 83
第五章 不为人知的幕后——透过技术的迷雾 87
第一节 防病毒卡的兴起与衰落 87
第二节 查病毒——万物之源 87
第三节 “石器时代”的反病毒 90
第四节 “视窗”的挑战 93
第五节 警惕的哨兵—病毒防火墙的诞生 95
第六节 主动内核，改动操作系统？ 98
第七节 并不神奇的嵌入式技术 99
第八节 “劳拉”—神秘的微软办公软件文件格式 99
第九节 真的有未卜先知这回事吗？ 102
第十节 数字免疫系统，理想还是现实？ 104
第六章 关于电脑病毒的哲学讨论 107
第一节 开拓与创造，黑客文化的内在动力 107
第二节 警察与小偷 108
第三节 未经许可，不一定需要自我繁殖 109
第四节 偶然还是必然 109
第五节 被商业化污染的电脑病毒 110
第六节 当电脑病毒也成为一种艺术 110
第七章 病毒与黑客 112
第一节 特洛伊木马，从古希腊神话中得到的灵感 112
第二节 真的无孔不入吗？黑客是如何进入你的机器的。 113
第三节“协议”和“端口”，不要被名词吓倒 113
第四节 个人防火墙，能做什么不能做什么？ 114
第五节 如何实现自动执行 115
第八章 对电脑病毒说不 117
第一节 关于病毒的十诫 117
第二节 仔细看看你的硬盘 117
第三节 原来如此 118
第四节 当灾难降临的时候 122
第九章 外面的世界—其他操作系统的病毒。 123
第一节 Linux不是避风港 123
第二节 苹果机安全吗？ 123
第三节 手机和其他电子设备，未来的战场 124
第十章 未来之战 127
第一节 战争已经开始——美国的信息作战分队609分队 127
第二节 911的启示，从真实到虚拟的恐怖分子 128
第三节 让历史告诉未来 129


前言
知识就是力量
“知识就是力量”，当我拿起笔准备写这本书的时候，立刻就想起了这句话。很久以前，我还很小的时候，有一本最喜欢的杂志就叫这个名字，最近好长时间没有机会看到这本杂志了，不知道现在这份杂志是不是还存在。在当时，这份杂志告诉我一个全新的世界，从飞往外太空的迭达罗斯飞船到如何从海洋中找到稀有金属，书中所描述的世界对一个充满了好奇心的孩子是如此的奇妙，它告诉我好多好多以前甚至根本没有梦想过的事情。从杂志和书本中得到的这些远远超过同龄小伙伴的知识以及随之而来的对更多知识的渴望，也是支持我直到今天还能在这个狂飙一样的行业继续生存的力量之所在。
顺便说一句，记得我小时候看的书是《知识就是力量》、《少年科学画报》、《少年科学》等等，现在的小孩子好像不看这些东西了，他们整天面对的都是电视里的日本动画片，还有相关的连环画，我不知道那种打来打去的东西对小孩子能起什么作用。也许是杞人忧天吧，在这种没有任何内涵的快餐文化熏陶下长大的一代，今后还能有对知识的渴望吗？当他们长大以后，严酷的竞争再来告诉他们知识就是力量的时候，他们又能以什么样的心态和行动去面对呢？
谈起电脑病毒，广大的读者恐怕都有谈虎色变的感觉，不知道这东西到底躲在什么地方，也不知道它们会对自己做些什么。不知道有谁说过这样一句话“无知者无畏”，我觉得真实情况恰恰相反，真正无畏的人只能是拥有了足够知识的人。人心中最大的恐惧就是对未知的恐惧，恐怖片之所以恐怖，是因为你不知道下面将要发生什么；电脑病毒之所以恐怖，也正是因为你不知道它们是什么，它们能做什么。而在电脑病毒这样一个迫切需要知识的领域，真正专业性的书籍很少，仅有的一些书，不是从哗众取宠的目的出发，拼凑一些骇人听闻的病毒／黑客故事，就是非常简单和粗浅的对80年代的病毒进行教科书似的描述。缺少具有专业性和权威性的著作，对于一些新的病毒和反病毒技术，象VBScript病毒、因特网蠕虫等，更是缺少足够的论述。
在病毒和反病毒行业中，掌握了最多病毒和反病毒知识无疑不是学校的老师，而是整天和病毒打交道的厂商，而这些从杀毒软件上获取了大量利润的厂商出于种种目的（广大电脑用户的无知也许就是他们最大的机会和利润所在吧），将一些很简单的问题，很简单的答案隐藏在广告和宣传的迷雾中，有意无意的夸大病毒的危害，误导用户对所面临的问题作出正确的判断，把不是病毒的现象当成病毒，把杀毒软件无法解决的问题归结为系统本身的缺陷。
我相信，如果本书的读者掌握了足够的知识，就不可能在再为媒体的宣传所左右，不会有那种被夸大的或者被误导的恐惧存在。因此，写这样一本书的初衷，就是用通俗易懂的语言，把复杂的问题简单化，告诉读者一些似是而非的概念的真实含义，让读者能够客观的了解到我们所面临的威胁真的有多大，一旦这些危险降临的时候，如何能够理智的面对，如何尽可能的把损失减小到最低程度。从而消除那种被夸大的恐惧。真正切实的保护自己的电脑和数据的安全。
在中国，对下一代的重视远远超过世界上任何其他国家，大量经济并不非常宽裕的家庭为了孩子，把很大一笔积蓄都投资到一台电脑上面。由于没有全部购买正版软件，不可避免的会经常遇到一些怀疑是病毒造成的现象；由于缺乏足够的知识，只能去询问朋友或者病急乱投医，根据广告或者自己的第一印象购买一些杀毒软件。杀毒软件厂商也利用媒体所造成的对计算机病毒的恐惧，制造一些病毒事件，夸大甚至制造一种恐慌情绪，从而成功的达到最终目的，让用户花钱购买杀毒软件，以及不断的对杀毒软件进行版本升级，从中获取高额的利润。
我希望读者阅读本书之后，能够不同程度的掌握足够的病毒和反病毒的知识，拥有足够的判断力对自己面临的问题、现象进行诊断，知道自己所面对的是硬件故障，病毒还是其他什么原因所造成的现象，从而作出恰当的决定，保护自己的电脑和电脑上更加重要的数据。
知识就是力量，把这句话送给本书的所有读者。

视窗（Windows）是微软公司的注册商标
关于本书
为什么要写这本书?
最近一段时间，在各种报纸或者杂志甚至电视上，你经常可以看到类似下面的一些消息：

【路透社北京消息】本周二，中国公安部向全国发布紧急通知，警告红码II蠕虫病毒已侵入中国。本周四一位网络安全专家称，红码II蠕虫病毒正大肆侵袭中国的计算机系统，但最终遭受破坏的机器数目却远远低于其他国家。另据国家计算机病毒应急处理中心统计，病毒侵袭的速度虽快，但截止到本周三晚的上报案例数还不到100。
红码II蠕虫病毒已重创了美国、欧洲和亚洲其他各国的计算机系统，其袭击对象仍是视窗 2000、视窗NT操作系统，及其网络信息服务器软件。七月份逞凶的第一代红码病毒感染了30万台计算机，它会在用户网页上显示"已被中国人入侵（Hacked by Chinese）"的信息。红码II病毒虽然不再发出这种信息，但是它更可恶，它使被感染的计算机"后门"大开，方便了众多黑客们的自由出入。重启被感染的计算机即可摆脱第一代病毒的"纠缠"，但是红码II病毒可以自行重启感染过的服务器并通过该服务器的IP地址历史记录进行快速传播。
另外值得注意的是，有些人虽然遭到病毒侵袭却不愿公开，因而病毒袭击我国计算机的真实数目可能远高于上述统计。

1998年和1999年CIH病毒在世界范围有两次大爆发，中央电视台在新闻联播中作了大量相关的报道，在新闻联播这样的媒体中反复出现对计算机病毒的报道，充分说明了计算机病毒已经成为一个社会现象，而一次计算机病毒感染可以演变成一次重大的新闻事件，也说明了计算机病毒所造成的影响和公众对计算机病毒的恐惧和关注。
CIH之后，是“梅丽莎”、“爱虫”、“女鬼”、“Fun Love”等等病毒，几乎每个月都会有新的病毒在各种媒体上招摇过市，粉墨登场。也许是用户更加理智的缘故吧，这些病毒虽然各具特色，也造成了一些宣传的热点，但一直没有掀起象CIH一样的波澜。
而短短几个月前，一个名叫“红色代码”的病毒成为所有媒体的中心，报纸、电视不遗余力的宣传这种所谓“新世纪的新概念病毒”。而实际上，这种病毒只是针对视窗 NT或者视窗 2000上的因特网信息服务器（Internet Information Server，微软开发的一种主要用于服务器的软件，可以让你的机器成为一个因特网的站点），而普通家用计算机用户，基本上没有任何机会接触到这种“可怕的”病毒。但是在媒体一片“狼来了”的声音中，你，作为普普通通的个人电脑用户，基本上不可能具有足够的专业知识对这个病毒进行自己的分析，那么，你怎么能够知道事情的真相？又有谁来告诉你，该如何去做呢。
当然，在电脑病毒面前还有另外一种态度，“我不看报纸，不管宣传，这些和我有什么关系呢”，也许你会这么说。是的，你可以不理会这些宣传。你也许只是一个普通用户而已，每天和电脑打交道就是简单的上上网，打打字，也许你是一个计算机的发烧友，拆拆机器，装装软件，不去关心什么“红色代码”“兰色代码”的。
但是，如果硬盘灯突然莫名其妙的疯狂闪烁，鼠标在屏幕上突然停顿，电脑经常莫名其妙的重新启动，你的第一个反应是什么，病毒？黑客？不要告诉我你不会遇到这种情况，在近十年和病毒打交道的历史中，有太多用户因为没有足够的警惕蒙受了惨重的损失，一些证券厂商因为病毒的破坏，损失了价值连城的交易数据，还有书稿、程序等等，面对这样一个确确实实存在的威胁，采取鸵鸟政策也是于事无补的。
从事这一行业近十年的时间，我目睹了无数用户的热情、希望和失望，也经历了一次又一次的病毒流行所造成的恐惧，作为一个长期以来以电脑病毒为生的行业人士，感觉到有必要向大家讲述一些真实的病毒故事，在病毒和反病毒的世界里，已经充满了太多似是而非的概念，虚假的承诺，读者需要的是真实的材料、客观的描述和对病毒的全面、权威的分析。这也是我在写作这本书的过程中，一直提醒自己努力去做到的：尽可能抛开一个厂商的局限性，完全从病毒和反病毒的历史和技术出发，给读者提供一个可信的病毒知识来源。

电脑病毒真的存在吗?
电脑病毒已经成为一种社会现象，你可以不知道DOS，可以不知道视窗操作系统，但是你不可能不知道电脑病毒。电脑病毒本身和围绕电脑病毒的种种宣传、舆论，已经极大地影响了我们的生活。电脑机病毒象一种传染力极大的瘟疫一样，幽灵般的在各种各样的电脑中出没。然而，电脑病毒作为一种特殊的软件，想要确实触摸到它的存在，对于普通用户是比较困难的。如何判断一个文件是不是被病毒感染？最简单的办法当然是比较没有被感染的文件和怀疑被感染的文件，但是有谁会在电脑中保存一份没有被感染的文件，谁又能保证这个文件本身没有被感染呢？
很多机构对电脑病毒在我国的存在和传播情况进行过调查，虽然调查的范围和目的大不相同，但是它们的结论基本上是一致的：数据显示，80％以上的计算机用户遭遇过病毒，而且遭遇病毒的次数都远远大于一次。但是另一方面，根据我们技术支持部门的统计，实际用户在使用电脑的过程中，一半以上归结为病毒的现象，都是由于硬件故障或者对于软件的使用不当造成的。也就是说，真正遭遇病毒的用户并没有想像中那么多。
IBM的技术支持部门曾经发布过这样一份技术文档，上面描述了用户在使用IBM PC兼容机过程中最经常提出的问题以及解决的办法，其中排在最前面的问题是：
“任意键在什么地方？”
IBM在早期的软件中，经常出现这样的文字：“press any key to continue”，也就是“敲任意键继续”，结果IBM的技术支持人员接到次数最多的电话就是，“where is the any key”，（任意键在什么地方？），所以在哭笑不得的IBM 技术支持部的建议下，IBM随后的软件中所有出现“press any key to continue”的地方，提示信息全部变成了“press space key to continue”（敲空格键继续），现在明白的告诉用户，不用敲任意键了，敲空格键好不好，这样您该找到了吧。
人们在谈论各种各样的病毒，DOS的、视窗操作系统的，还有宏病毒等等。这里面有多少是真实的，多少是虚幻的呢，用户碰到电脑莫名其妙死机的情况，九成以上都会归结为病毒的破坏，但是实际上，这些死机更多的是硬件故障或者操作系统本身的问题造成的，真正由于病毒破坏造成的死机最多不超过50％。
电脑病毒确实存在，而且对我们的电脑，我们的数据，电脑病毒是现阶段最直接的安全威胁。但是电脑病毒的传染、破坏是由很多限制条件的，很多病毒事件的宣传和渲染又充满了恐吓和虚假。计算机病毒，是一个被夸大的，但是实实在在存在的威胁。这个被夸大的威胁，以及利用这种威胁造成的大量电脑用户对病毒的恐惧客观上造就了一个巨大的杀毒软件市场，从某种意义上，是中国唯一真正具有一定规模的软件市场。无数的杀毒软件公司（包括我所在的公司）利用读者对病毒的无知和恐惧，制造一个又一个眩目的概念和高深的技术，不断的推出新的产品。一次又一次的让用户心甘情愿的为安全掏腰包。
不可否认，为安全掏腰包是完全合理的，花钱向杀毒软件厂商购买安全是非常正常也是非常有价值的。可是，问题是即使你购买了很多杀毒软件，如果没有对电脑病毒有足够的认识，不知道杀毒软件里面隐藏的什么是真实，什么是虚假，你仍然得不到自己所需要的安全。
电脑病毒是一个确实存在，但是被夸大的威胁，我们对待电脑病毒正确的态度应该是正视它而不是畏惧它。
本书的内容
本书告诉你什么东西，不能告诉你什么东西？
本书可以消除你对病毒的恐惧，但是不能告诉你怎么制作病毒。
本书不能让你不再碰到病毒，但是能够使所有使用计算机的用户，害怕病毒的用户。可以坦然的对待病毒。
本书不能让你成为一名病毒／反病毒专家（当然如果你对成为这样一名专家感兴趣的话，本书是一个很好的起点）。
本书是一本病毒的编年史，你可以看到从最早的萌芽阶段的病毒到最新的尼姆达病毒，全面了解电脑病毒所走过的发展轨迹。

本书包括下面几个部分：
第一章，病毒——数字空间的恐怖分子，对电脑病毒现象的概述，描述病毒作为一种社会现象是如何存在的，人们又是如何认识这种现象的。
第二章，电脑病毒的由来，本书的重点之一，一部完整的病毒编年史，从最早病毒的萌芽和诞生，到最新的尼姆达病毒，对国际和国内重大的病毒事件进行了详细的叙述。
第三章，什么是电脑病毒，本书的重点之一，详细描述了电脑病毒的分类和原理，对各种病毒的感染机制和表现的现象进行了详细描述。
第四章，真实的病毒故事，对几种流行的病毒进行了详细的分析，介绍“病毒收集者”、“病毒制造者”和其他一些灰色团体的有趣故事。
第五章，不为人知的幕后，反病毒的技术的全面和权威论述，是本书的重点之一，解释了虚拟机、启发式扫描、病毒防火墙、嵌入式技术等概念的真正含义。
第六章，关于电脑病毒的哲学讨论，从哲学的角度分析了黑客文化、电脑病毒文化产生的社会背景和历史必然，有很多有价值的想法值得一读。
第七章，病毒与黑客，现代病毒越来越和黑客紧密联系，本章将分析病毒和黑客的关系，告诉你如何防止病毒／黑客对电脑的入侵。
第八章，对电脑病毒说不，防止电脑病毒入侵你的机器所必须注意的一些事项，病毒破坏你的电脑之后采取的一些紧急措施。
第九章，外面的世界，看一看其它操作系统上的病毒，包括Palm OS，手机操作系统还有苹果机上的病毒。
第十章，未来之战，数字空间战争，恐怖分子和病毒。未来病毒会发展成什么样？

在简单、通俗的同时，我还力求将这本书写成一本专业性很强的，关于计算机病毒的权威著作。书中所涉及的病毒定义、分类都力求完整、科学。所涉及到的一些比较专业化的概念都作了简单明了的解释。

希望本书能够成为：
一本在你遇到困难时候必备的参考书
一本可以经受时间考验的关于病毒的权威论述
一个在闲暇时阅读的数字空间的传奇故事。

关于作者
１９７２年出生在贵州
１９７８－１９８3年，就读于贵州松桃
１９８3－１９８9年，就读于贵州铜仁
１９８９－１９９３年，就读于南京大学物理系
１９９３年毕业，进入南京第十四研究所下属的华宁电子集团洛普公司软件部。
１９９３－１９９４年期间，先后设计了洛普多媒体演播系统，南京城运会电子计分系统等应用软件。
１９９４年任洛普公司软件部主任
１９９５年参加国家计算机软件人员水平考试，获系统分析员证书。
１９９６－１９９７年，先后担任北京西客站综合信息系统软件项目负责人和海口美兰机场综合信息系统总设计师，并主持上述项目的设计。
１９９６年为南京信源公司设计了视窗3.1环境下的“VRV”软件。
１９９７年主持开发了南京信源公司国内领先的视窗95环境下的病毒防火墙产品。
１９９７年主持开发了南京信源公司Netware环境下和WindowsNT环境下的反病毒软件。
１９９９年主持开发了南京信源公司的“VRV2000”全系列反病毒产品。
２０００年主持开发了上海创源公司“安全之星1+e”系列产品。
２０００－２００１年，和解放军理工大学学院合作，主持了完成了国家８６３课题（网络智能病毒防治系统）
２０００－２００１年，和复旦大学合作，主持完成了国家信息安全示范工程S219项目。
２００１年主持开发了全系列创源“安全之星　XP”安全产品。

获得荣誉：
１９９６年，北京西客站综合信息系统获铁道部科技进步二等奖
１９９９年，VRV２０００产品获江苏省优秀软件一等奖
２００１年，国家８６３课题《网络智能病毒防治系》以A级通过验收。


第一章 病毒——数字空间的恐怖分子

第一节 数字空间，一种新的生存形式
在任何社会中都存在着矛盾与冲突，而在进入新的一千年之后，这种矛盾和冲突表现得更加极端和不可控制。也许是因为科学的出现，使得文明的发展速度已经远远超过了人们的预料吧。过去的一百年对于整个人类社会来说，发生的改变也许要远远大于人类产生的上万年时间。社会、个人、观念和生存方式的变化以一种任何人都无法控制的方式席卷我们。前些日子发生在美国的恐怖主义袭击事件，更是以一种极端的方式提醒我们，在未来的一百年甚至十年的时间里，世界将会完全不同了。恐怖分子的精心设计，让我们在电视上可以目睹灾难的发生却没有人能够阻止。当人类经济文明的象征——纽约世界贸易中心的两幢大楼在大火中轰然倒地，当世界上最强大的国家的力量中心——五角大楼点燃天空的时候，任何人都不得不面对这样一个问题：文明的将来是什么？
机械文明和随后而来的电子（信息）文明在过去的不到一百年的时间里，给我们带来了以前甚至无法想象的方便、快捷和力量，我们可以在24小时之内到达世界上任何地方，甚至拥有了可以把自己毁灭无数次的力量。
作为一个普普通通的计算机发烧友，我们为技术进步而欢呼，我们为CPU的主频从1M上升到1G欢呼，我们已经无法想象没有计算机的日子，就像在很多年以前，我们已经无法想象没有电的日子一样。
电脑、网络和随之而来的下载、聊天（CHAT），QQ，免费的邮件、免费的音乐，形成了一个和现实空间完全不同的空间—数字空间。在数字空间里面，没有距离的概念，没有时间的概念，在午夜2点你进入一个合适的聊天室，你可以碰到世界上各个地方的人们，不论性别、年龄、爱好、恐怖分子还是美国总统，在这样一个数字空间里面，每个人都有自己新的身份和代号，在这里生存似乎和现实世界没有任何关系。这是一个完全不同的魔幻空间。

无法阻止的潮流
似乎是很久以前（在现代社会里，很久的概念似乎就是半年或者一年的时间），“网恋”还是一个非常时髦，有着很大争议的名词。但是在进入二十一世纪之后，网络仿佛一夜之间已经成为一种重要的婚姻介绍形式，在上个月我参加了两次婚礼，很巧的是，两对新人都是通过因特网聊天认识的。这个比例使我非常吃惊，也就是说，“网恋”已经不是一个可以讨论的新鲜话题，而是一个非常巨大而客观的存在了。
在数字空间中，存在和现实一样的社区概念。我是这样定义社区的，一群可以交流的思想就形成了社区。在一个允许思想进行交流的空间里，存在价值观念，必定也会存在现实社会中可能存在的一切。当王志东从专业名词变成一个大众词汇的时候。当所有的人在名片上印上自己的QQ号的时候，数字空间和现实空间的距离已经越来越近了。
让我们来看看下面这一张表：




现实空间 数字空间
社会 社区
人 代号（ID）
通过谈话进行交流 通过聊天进行交流
通过报纸、书籍、电视传播思想 通过网站等网络媒体传播思想
社会认同 社区认同
社会地位（通过财富、权力获得） 社区地位（通过对社区的贡献获得）
交流的障碍很大，对陌生人具有本能的自我保护 交流障碍很小，对陌生人不需要自我保护
价值观 虚拟的价值观

数字空间使代沟缩小，因为交流的方便性和无障碍性，现实空间中80岁的老头在数字空间里可以和18岁的中学生有很多共同语言。（作为一个题外话，在这里可以做一个大胆的预测，由于数字空间所具有的无障碍交流特性，可以预计在将来会有更多跨越国界、种族和年龄的婚姻存在，因特网的广泛使用可能给现有的婚姻和家庭秩序带来相当大的冲击。）
数字空间提供了信息获取的方便性，这样知识壁垒就更加不容易存在了。通过因特网，任何人在获得知识的途径上基本上是平等的。
数字空间可以引发学习的革命，因为从因特网中获得的知识可以是无限的，而且在虚拟的数字空间和数字社区中的实践可以让人们从虚拟的实践中尝试不同的现实生活方式，从而极大地拓展人们的生存方式的范围。
数字空间还会削弱现实社会中形成的很多价值观念，比如说犯罪观念，在数字空间中非常严重的犯罪可能不象在现实社会中具有那么大的破坏性和自我约束性。因为对犯罪行为的最佳约束就是犯罪行为一旦被揭露将给自己的社会生活和经历带来非常坏的影响，但是网络使得犯罪被揭露的可能性变得非常的小，这样犯罪的成本降低，实施这一行为需要的勇气也就小了很多。

数字空间的冲突
人们曾经恐惧过计算机如果足够聪明，是不是会取代人的地位。在可以预见的将来，这样的忧虑显然是没有道理的，但是实际上发生的，是不同观念的人利用同样的工具产生了冲突，而这种冲突在某种意义上同样是对象是社会的反映。也就是说，数字空间的冲突本质上还是现实社会，现实的人，现实的观念的冲突。
如果这种冲突发展到一定程度，就会形成数字空间的犯罪行为。

第二节 数字空间的犯罪与安全
像任何正常的社会一样的，数字空间也存在罪犯，任何反对现有秩序的人，采用某种方式对现有的社会秩序和数字空间的秩序进行破坏。一般而言，我们对于这种正常秩序的破坏者，总是带着一种鄙视的目光，但是正常的社区秩序需要有秩序的维护者，同样也需要秩序的破坏者，实际上，我们也不能完全把这种反秩序的现象看成是邪恶的或者不对的。任何封闭的、没有矛盾的结构本质上是无法进步的，任何健康的秩序都必须要有挑战者存在。只有这样才能保证足够的活力。看一看NBA中最典型的两个例子吧，正常社会秩序的典型或者模范——迈克尔•乔丹，而挑战正常社会秩序的典范—丹尼斯•罗德曼，他们的存在，是不是也证明了维护者和破坏者都是一个健康发展的社区所必需的呢。
新的思想，新的技术和思路往往是对现有技术和方法的一种否定，如果这种新的思想和技术采用一种合理的方式表达出来，可以认为是社区的一种推动的力量。如果采用的是一种极端的方式进行表达。在短期内对于社区来说就是一种破坏性的力量。
要维护正常的社区秩序有两种方法，一种是通过数字空间的自我调节机制来解决，通过版主形成的社区文化防止极端思想的流传，通过反病毒反黑客软件和保护社区安全的个人来防止犯罪行为的扩散。这种自我调整机制是有限的，对于自我调整机制已经不能处理的情况，就需要现实社会的法律和执法机构的介入。数字空间里的犯罪，和现实社会比起来具有下面一些特点：
l 作案人的年龄生理特征。犯罪人的年龄均在19—30岁之间。此年龄段的人精力旺盛，接受新事物的能力极强。计算机网络作为一个新事物必然受到青年的喜爱．接受起来也就特别快。在学习和接受计算机网络知识的速度方面，家长明显处于劣势。加之许多家长自己没有学习计算机网络的兴趣，或根本不懂网络知识、也就无法教育和引导青少年正确利用计算机网络了。在这种特殊的国情、社情和家庭氛围中，青年人使用网络也就在一种家庭监督缺失的情况下进行，其自由发展的结果可想而知。而且，19—30岁之间的人群已基本脱离了家庭的教育和约束，其行为完全由自己控制，加之使用网络的便利条件和法律意识的薄弱，成为他们由“在人面前道貌岸然”转变为“在网络中的恶棍”的导火索。
l 计算机网络犯罪人的心理特点是几乎都没有罪恶感。网络是虚拟的世界，一切行为都是在极其隐蔽的个人小环境中进行的。同时，我国的许多网络在建网初期较少考虑安全防范措施。网络交付使用后，网络系统管理人员水平又不能及时提高，给黑客入侵造成可乘之机。黑客只需要一台计算机、一条电话线、一个调制解调器就可以远距离作案。而且，利用计算机网络犯罪几乎不会留下任何痕迹，现有的科技手段也不易侦查到黑客的行踪。这些都使得利用计算机网络进行犯罪的人失去罪恶感，网络的出现降低了犯罪的成本，使得更多的人更容易的进行犯罪活动。
l 好奇心和表现欲是促成网络犯罪心理形成的重要原因。好奇是人类的天性，而计算机及网络则提供了一个满足人们好奇心的理想空间。为了信息的安全，有些网络只允许合法的用户使用，对非法用户则使用密码拒绝其进入。网络黑客就是那些非法用户，面对无法了解的数据，他们的好奇心激发他们破解密码或是输入计算机病毒。表现的欲望通常每个人都有，有些黑客的犯罪行为仅仅是为了显示自己计算机技术的高超。
l 特别是在我国，相对于普通犯罪来说，对于电脑领域犯罪的立法更相对落后于电脑技术的发展。我国发现第一起电脑网络犯罪的时间是1993年，而《刑法》中列出计算机犯罪罪名的时间已是1997年。我国的网络警察队伍也刚刚建立，其技术水平和最先进的黑客／病毒水平比较起来存在一定的差距，对数字空间的犯罪缺乏打击的经验和力度，这从客观上降低了犯罪所承担的风险。
第三节 一切并不遥远
数字是枯燥的，但是数字又是最能够说明问题的，下面也列举一些数字，说明电脑病毒离我们的距离到底有多远。这里的数据主要是通过上海创源公司的用户回执卡以及前一阶段所进行的网上调查得到的，虽然样本的数量不是很大，但是和国家计算机应急响应中心的网上调查以及其他一些独立媒体的调查结果基本一致，说明这里的数据基本上是准确的。

用户计算机感染病毒的情况
在接受调查的用户中，有75%左右说明自己使用的计算机感染过病毒，这一结果说明病毒与计算机用户的关系的确已经十分密切了，这样大的一个比例足以制造出一种人人自危的氛围。需要说明的是，由于一些病毒可能会长期潜伏而不为人所知，另外还有一些只有传染性而无破坏性的“良性”病毒几乎没有引起用户的注意，因此实际感染病毒的比例可能更高。
当然有很多报告被病毒感染的用户遇到的实际上不是病毒，考虑到他们报告的次数和种种现象的描述，这些事件中真正是病毒造成的比例也不小，所以我们还是以四分之三作为遇到病毒用户的一个基本比例。

病毒的感染途径
过半数的受访者认为是盗版引起，其中，认为是盗版游戏的占一半，盗版的应用程序和其它软件占40％左右。这说明盗版由于其制作和传播渠道的特殊性，依然是各种病毒的温床。还有一个重要原因是对肆虐一时的CIH病毒的深刻记忆，当年CIH病毒大部分就来自于盗版光盘。除了盗版以外，网络也是用户认为传染病毒的主要途径之一。这其中认为从因特网下载软件的占50％，认为接收电子邮件的占30％。由于网络在病毒传播方面的巨大作用和潜力，当前一些比较新的著名病毒都是通过网络进行传播的，网络在病毒传播中所占的比重还会继续增加。

感染了病毒后的处理方式
85%以上的用户选择自己杀毒，说明杀毒软件已经深入人心，大部分用户对于杀毒软件的使用已经熟悉。随着计算机知识的普及，人们对病毒的认识也在加强，觉得病毒也不再神秘，只要有合适的杀毒软件是可以自己清除的。当然，还有很大一部分用户会找朋友或专业公司处理，分别占20％和10％左右。从实际情况看，有一些病毒危害能力特强，一旦发作造成损害，一般用户是很难解决的，那么就需要求助于朋友甚至专业的公司。以CIH为例，由于其能够损害硬盘，因此就需要杀毒软件公司帮助进行修复，当然对付一般的病毒是不需要如此麻烦的。

杀毒软件的评价标准
杀得干净是用户的首选项，且比例遥遥领先于其它选项，可见，用户心目中认为杀毒软件的主要目的是清除病毒，如果一种软件对病毒的清除能力不强是很难得到用户的青睐的。而只有具有了强大的杀毒能力才能谈及其它，包括操作简便、没有错杀以及速度快等。另外，用户对于界面是否漂亮倒不是太看重，可见产品还是应该以品质取胜。
这种朴素的评价标准造成了一个很大的问题，用户宁愿杀毒软件误报病毒也不愿意有一个可能的病毒漏网，好像有一点“宁可错杀一千，不可放过一个”的心理，在这种心理的驱使下，用户往往会青睐一些由于技术上不成熟而造成误报率较高的软件。比如说在测试中，一个杀毒软件的误报率远远超过其他杀毒软件，这个软件得到的专家评价就比较低，而在用户实际使用的过程中就是另外一回事了，使用3个杀毒软件杀病毒，一个误报率比较高的软件报告了一堆病毒，而其他两个软件都没有反应，用户往往会信任这个误报的软件，因为用户是不可能知道到底是误报还是真的有病毒，当然是“宁可信其有，不可信其无了”。

获得杀毒软件的方式
软件专卖店购买占了接近一半，借朋友或者单位的占了三分之一，还有一些是通过网络下载或者在电子市场、商场、直接到厂商处购买，另外还有一些是从其他人手中拷贝。可见主要的渠道依然是软件专卖店，另外，电子市场也是购买杀毒软件的一个重要场所，而到商场或商店购买的人则相对要少很多。此外，选择从网上下载的也不少，但是从网上下载杀毒软件解压缩后进行杀毒可能存在一定问题，一些感染操作系统文件的病毒需要启动盘启动进入DOS环境进行查杀以求彻底，因此购买的杀毒软件都附带软盘，而从网上下载则不具备此种软盘，因此这一方式还是无法取代软件专卖店等主要渠道。
当然，对于具有足够知识水平的用户，使用网上下载的免费软件，自己制作可以引导进入DOS方式并且能够查杀病毒的软件是很容易的事情。选择这种方式的人数相对较少，说明在我国具有较高知识水平的电脑用户还是少数。
另外一个值得注意的事实是，很多人当发现机器染上病毒之后是借朋友或单位的杀毒软件进行查杀，毕竟杀毒软件的使用时间很短暂，因此这一方式也比较普遍。但是严格从版权法的角度上，使用借来的杀毒软件查杀病毒本身也是一种盗版行为，因为这种个人软件的许可基本上都是授予购买者的，借来使用就是非法使用，但是在我国，这种情况非常广泛，相对于直接使用盗版的软件，这种盗版行为可能更加容易原谅一点，所以很多厂商对此也无法进行追究，只能默许这种盗版行为的合法性。

升级方式
由于不时有新病毒出现，因此杀毒软件及时更新病毒库就很重要，否则机器一旦感染最新病毒，精心构筑的病毒防火墙就有可能失去效用。那么，用户对软件的升级情况是怎么样的呢？调查发现，大部分用户（90％左右）是会经常对杀毒软件进行升级的。而用户的升级途径主要有网上（75％）、到经销商和厂商处去升级（40％）和邮寄（10％），由于用户可能同时采用多种升级方式，所以上面的比例总和并不是100％。通过网络提供升级服务是非常方便也越来越为用户接受。随着因特网更加普及，采用这种升级方式的用户会越来越多。
一般厂商承诺的升级周期都是一周左右，这种升级的频率对以前的病毒来说已经足够了，但是随着“红色代码”、“尼姆达”等病毒的出现，基于因特网的病毒可以在一天之内传遍世界的各个角落，这样的升级周期就远远跟不上病毒扩散的速度了。


第二章 电脑病毒的由来
第一节 一些基础知识
懒惰造就的奇迹 —— 轮子和电脑的产生
关于电脑的产生有无数种说法，其中公认比较有道理的说法是军事科学的需要（实际上就是破译德国人密码的需要），但是我宁愿相信另外一种说法，计算机的出现是人类懒惰本质的一种必然结果，比如说计算帐目的需要。在科幻小说和科幻电影中无数次出现帮人干家务活的机器人，我实在想象不出这种奢侈品除了满足人类懒惰的本能之外还有什么其他的作用。也许，人的本性都不愿意做简单重复性工作，而宁愿做一些创造性的工作，所以就制造出电脑来帮助人们做一些简单重复劳动。
我们来看一看电脑这个婴儿是如何长大的（从现代计算机的发展程度来看，虽然在国际象棋领域，IBM的深蓝有过打败卡斯帕罗夫的记录，但是整个计算机的智力水平只能相当于学龄前儿童）。很难说最早的计算机出现在什么时候，按照一般的理解，我们上学的第一件事情就是做加减法，所以我们认为第一个能做加减法的东西应该就是计算机吧。
1642年，19岁的法国人巴斯卡成功地制造了一台能做加法和减法的计算器（真是自古英雄出少年啊）。这是计算工具发展史上的一个辉煌的成就。虽然巴斯卡的加法器并不比现代塑料“加法机”先进多少，但是巴斯卡的工作是开创性的。就在制造这台加法器的过程中，他提出了一个极为有意义的设想，即利用纯粹机械的装置来代替人们的思考和记忆，机器也能思考吗，机器也能有记忆吗？现在我们当然都知道答案是肯定的，但是在1642年，不要说答案了，提出这个问题的人真是非常非常了不起。
下面该另一个天才登场了，这回是英国人，数学家巴贝奇，他在1822年设计制造了“差分机”，这是一种可以实现多种运算的数字计算机。但是更让人吃惊的是他随后设计的“分析机”,在“分析机”的设计中，他几乎设想出了现代数字计算机的所有重要特点：运算单元、存储单元、输入和输出电路。他甚至还提出了最有创造性的概念，即自动制定指令序列的概念，计算机借此可以从上一步自动运行到下一步。这一系列的设想都是在现代电子计算机诞生百余年前做出的！看来每一个时代都会有一些远远超过本时代的天才存在，他们的价值往往需要经过很长时间之后才能被我们这些凡夫俗子所认识。
不幸的是（也许对于我们应该是幸运？看看1822年的中国，当巴贝奇设计他的分析机的时候，我们在干什么），由于制造工艺的限制，更主要的是由于他的思想远远超过了社会经济发展的需要，所以分析机从来没有被制造出来。巴贝奇的天才思想直到20世纪才由冯诺伊曼重新提出，并且构成了我们今天这个行业的基础——存储程序类电子计算机。
计算机在本世纪初出现实际上是必然的，除了科学技术的发展这一根本性的因素外，有两个条件的具备直接导致了计算机的诞生。首先是高速的开关设备，实际上，要想实现自动计算，一种高速计数的的方法是必不可少的，早期机械式计算机失败的本质原因就是采用机械方式技术和进行计算，速度受到的限制太大了。第二个原因是经济或者经济发展的需要，在没有需求的情况下，任何人都不会耗费巨资制造一个没有实际用途的设备。
亚诺什•诺伊曼1903年出生于布达佩斯，他是一个典型的天才儿童。当他几乎还在吃婴儿食物的时候就已经开始如饥似渴地学习科学和世界历史了。当他在高中学习的时候，数学家就已经把他当作同事了。他20来岁的时候，获得了博士学位，在柏林和汉堡大学，发表了引起全世界注意的论文，其中包括一篇他用数学处理量子力学的论文。普林斯顿大学的聘请使他1930年跨过大西洋，移居美国。在1933年，这位30岁的冯•诺伊曼成了普林斯顿高级研究院最年轻的教授。普林斯顿高级研究院里面有许多伟大的天才，包括爱因斯坦。
——在美国，冯•诺伊曼因为慷慨地与他人分享自己凭借聪明才智所取得的成果而获得了良好声誉。人们发现他能够解决别人无法解决的数学和物理学难题，而且他通常好像并不介意谁获得了荣誉；他的快乐在于思考。他的记忆力超乎常人但却有选择性——他能够整段整段地背诵小时候看过的书籍，但是却很难记住人的名字。
1944年，在一个火车站站台上与赫尔曼•戈德斯坦的偶然相遇把冯•诺伊曼与电子计算机联系起来。戈德斯坦是一位数学家，也是美国军方电子计算机工程的联络官，他认出了冯•诺伊曼并介绍了自己。冯•诺伊曼同意到宾夕法尼亚大学的穆尔工程学校参观电子数字积分计算机（ENIAC)。ENIAC高10英尺，长100英尺，由1.7万个电子管组成。看上去比一只恐龙还要大，但是它的记忆容量还比不上一只小虫。让它执行一项新的任务意味着大量重新编程的人工劳动，操作人员飞快地跑来跑去，转换开关并重新连接电缆。ENIAC的设计者普雷斯佩尔•埃克特和他的搭档约翰•莫奇利热烈欢迎对此感到十分好奇、来访的冯•诺伊曼充当顾问。他们即将完成INIAC的建造工作并正在设计它的第二代产品，最后定名为电子离散变量运算计算机（IDVAC）。
埃克特、莫奇利和戈德斯坦与冯•诺伊曼会面后地几个月，这种可存储程序计算机的蓝图就形成了。计算机的核心由5部分组成，冯•诺伊曼称它们为中央控制器、中央运算器、输入、输出设备和存储器。存储器能够同时记住程序指令和正在处理的数据。后来，埃克特和莫奇利为EDVAC申请专利时说，这些概念是他们自己思考的结果，但是专利申请并没有获得批准。他们的确是建造EDVAC的电子行家，而冯•诺伊曼显然是制造EDVAC的主要逻辑学家。他在一份达101页的“报告草稿”中描述了这种能够存储程序的计算机。
当埃克特和莫奇利成立了公司并寻求将他们的计算机转变为财富时，冯•诺伊曼却尽可能多地使公众了解计算机领域的重大突破。他不希望把科学创造的这种神奇的工具变成一个由少数人掌握的秘密，并因此影响公众对它的了解。他想方设法从军方和私人企业那里获得资金以后，在普林斯顿高等研究院的地下室里开始了自己的计算机工程。他和他的小组在那里建造的计算机，加上他们撰写并广泛分发的研究报告，使这间地下室逐渐赢得了“冯•诺伊曼建筑”的称号。在本世纪此后的几十年里，大多数的计算机都与他们建造的这一台在某些方面有些相似之处。

事实上，电脑的发展过程和人脑的形成过程有某种相似之处。我们在学会复杂的思维之前，首先接触到的是数字的概念，通过计数学会了加减法，然后才是更加复杂的算术和语言。最早的电脑只能进行简单的加减法，在半个多世纪的发展历程之后，电脑已经能够表达非常复杂的语言和思想了，自然语言理解也从实验室开始走向实用阶段。而最新的IBM“深蓝”已经可以在国际象棋领域打败卡斯帕罗夫。

二进制、十进制、位、字和字节
电脑的基础是二进制，那么，什么是二进制呢,为什么需要二进制呢？在早期设计的机械计算装置中,使用的不是二进制，而是十进制或者其他进制，利用齿轮的不同位置表示不同的数值，这种计算装置可能更加接近人类的思想方式。比如说一个计算设备有十个齿轮，它们级连起来，每一个齿轮有十格，小齿轮转一圈大齿轮走一格。这就是一个简单的十位十进制的数据表示设备了，可以表示0到999999999的数字。
配合其他的一些机械设备，这样一个简单的基于齿轮的装置就可以实现简单的十进制加减法了。这种通过不同的位置上面不同的符号表示数值的方法就是进制表示方法。常用的进制主要是十进制（因为我们有十个手指，所以十进制是比较合理的选择，用手指可以表示十个数字，0的概念直到很久以后才出现，所以是1－10而不是0－9）。
电子计算机出现以后，使用电子管来表示十种状态过于复杂，所以所有的电子计算机中只有两种基本的状态，开和关。也就是说，电子管的两种状态决定了以电子管为基础的电子计算机采用二进制来表示数字和数据。
常用的进制还有8进制和16进制，在电脑科学中，经常会用到16进制，而十进制的使用非常少，这是因为16进制和二进制有天然的联系：4个二进制位可以表示从0到15的数字，这刚好是1个16进制位可以表示的数据，也就是说，将二进制转换成16进制只要每4位进行转换就可以了。二进制的“00101000”直接可以转换成16进制的“38”。
一个字是电脑中的基本存储单元，根据计算机字长的不同，字具有不同的位数，现代电脑的字长一般是32位的，也就是说，一个字的位数是32。字节是8位的数据单元，一个字节可以表示0－255的数据。对于32位字长的现代电脑，一个字等于4个字节，对于早期的16位的电脑，一个字等于2个字节。

语言、汇编语言、高级语言和其他

电脑能理解的东西只有二进制的序列，在这里我们要熟悉一下一些最基本的概念了。什么是语言，语言是一种表达的形式，语言是有结构的，比如说主语、谓语等，语言还是有意义的，语言是对事物或者某种行为的描述。语言的存在有一个最基本的条件，就是需要有两个交流的主体，在我们日常的交流中，是说话的双方，或者书的作者和读者（就是我和你），在计算机的世界中，就是程序员和计算机。
根据说话的双方和所说的东西，我们可以将计算机语言分成下面几大类：

l 机器语言：
使用这种语言说话的双方是计算机和史前的程序员，在这里史前程序员直接告诉计算机把什么数据放到什么地方，进行什么样的计算等等，这种语言说出来的话就是一串串的二进制数，比如说：
“00 E9 B3 00”的意思就是
“把寄存器CL的内容加上寄存器CH的内容，结果放到CL中，在寄存器BL中放入0”

l 汇编语言：
和机器语言没有什么本质的区别，唯一不同的是，程序员不用直接说出二进制的数字了，他可以使用一些简单的英文单词或者缩写来表示自己的意思。比如说刚才的机器语言片段，用汇编语言来说就是下面这个样子：
“ADD CL，CH”
“MOV BL，00”
由于计算机能够理解的只有二进制数字，所以在程序员使用的汇编语言和计算机使用的二进制机器语言之间需要翻译（程序），我们把汇编语言翻译成机器语言的程序叫做汇编程序，把机器语言翻译成汇编语言的程序叫做反汇编程序。

l 高级语言：
使用机器语言或者汇编语言写程序是一件非常非常困难的事情，如果没有高级语言的出现，现在我们绝对不会有多姿多彩的因特网，也不会有VCD、DVD等数字化的娱乐的出现，实际上，如果没有逻辑性更强，更接近人类思维习惯的高级语言出现，使用穿孔纸带和直接针对寄存器的操作指令，编写长达几百万行仍然可以正常运行的程序是不可想象的。
所谓的高级语言，是在汇编语言（机器语言）和人类所使用的自然语言之间的一种折衷，可以叫做严格（受限）自然语言，通过抽象出变量、语句以及随后出现的结构、对象的概念，可以让程序员用接近正常思维的方式来表示现实世界的逻辑和流程。
高级语言的代表有早期的FORTRAN（公式翻译语言）、COBOL（商用计算机语言），中期的C、PL/1、PASCAL、BASIC和比较新的JAVA、C++、ADA等。
高级语言和机器语言之间同样需要翻译，我们把高级语言翻译到机器语言的程序叫做编译器，而进行反向翻译的程序非常难以编写，需要进行这种翻译的时候一般都是人工通过经验进行的，我们把这种反向的翻译称为“逆向工程”。
高级语言的表达能力和机器语言是完全一样的（语言的表达能力，是指某种语言能否完整的描述某个事物或者某种行为，比如说，一种语言如果没有相对时间的概念，没有词汇可以表示“先”、“后”，那么，这种语言就不具有表达下面这个行动的能力：“先把鸡蛋放在碗里，然后再把盐放进去”）。科学家已经从理论上证明，一种语言只要有存储、判断、跳转等几个最基本的功能，就可以表达出所有现有的电脑上可能有的机器语言所能够表达的事物和行为。
所以使用高级语言并不会使计算机的功能下降，唯一损失的可能就是速度和效率了，但是在计算机速度越来越快、资源越来越丰富的今天，和高级语言带来的可理解性和强大的表达能力相比，这点损失是微不足道的。

l 因特网语言、脚本语言
这些语言实际上都是属于高级语言，但是鉴于他们在因特网时代的重要地位，在这里单独对他们进行描述，所谓的因特网语言，包括JAVA Script，VBScript、ASP、PHP等，这些语言基本上都是脚本语言。
他们设计出来主要是供因特网应用程序使用的，可以对网页、浏览器、服务器的页面进行操作，语法比较简单，基本上是解释执行的，不需要编译成二进制代码。功能受到限制，但是开发简单方便。

程序、代码、可执行文件

当你接触到电脑世界的时候，除了碰到计算机（也就是电脑以外），另外一个最常见的名词肯定是程序、代码或者可执行文件之类。其实这些名词指的都是同一个东西，就是可以运行的一块代码，那么什么是代码？什么是可执行的代码呢？
看到这本书的时候，中国队已经进入了世界杯，我们就来凑一下热闹，以足球运动员为例吧。假设有一个天才的足球运动员，他有很多天才的技能，比如说向前带球、向左带球、传球、射门等等，但是唯一的缺点是，这个运动员没有大脑，不知道在球场上该做什么。这个运动员很像一台无所不能但是没有装入任何程序的电脑。现在我们告诉这个运动员一些简单的规则：
1. 拿到球直接向前带球。
2. 如果发现正面有一个人拦截，就过掉他。
3. 如果发现有两个人拦截，寻找左边的接应队员，如果找到传给左边。否则寻找右边的接应队员，找到后传给右边。如果都没找到，尝试过掉两个人。
4. 如果发现有三个人拦截，把球向后传。
5. 如果和球门之间的距离小于10米，并且和球门之间少于两个防守队员则射门。
6. 如果…
这些规则的全部就是一个踢球者程序，告诉一个忠实的执行者—天才足球运动员（计算机）在什么情况下该做什么。程序是由代码组成的，代码就是一条一条的指令，指令就是告诉运动员（计算机）做什么，什么情况下做什么。
在电脑上，程序总是表示成文件的形式，实际上，电脑上的任何东西都表示成一个文件。一个文件，如果本身是一个程序，我们就称它为可执行文件，意思就是这个文件包括了很多指令，可以告诉电脑应该做什么。可执行文件一般是二进制的机器代码，但是随着操作系统的进步，可执行文件的范围越来越宽，很多批处理、脚本和其他解释语言的指令集合也可以看成是可执行文件，比如VBS文件等。

双击的陷阱

大家都已经非常熟悉的视窗环境，引入了（对不起，如果我没有记错的话，应该是苹果机首先引入了了程序关联的概念，视窗操作系统“借鉴”了这样一个概念，实际上鼠标、图标桌面等等名词都是来自一个非常著名的实验室，施乐的PARC实验室，最早出现在个人电脑上的图形界面、鼠标和应用程序关联，应该是苹果公司的麦金塔上的操作系统）。
随着视窗环境的流行，可执行文件的意义也扩展了，我们认为“凡是能够双击打开的都可以认为是可执行文件”，这种可执行文件的观念，扩展到很多脚本语言的程序，比如说VBS等，更加严重的是，甚至以.txt为后缀名的文件也能起到可执行文件的作用，也就是说可以做到双击之后打开之后不是简单的文本，而是功能强大的脚本语言，可以执行任何危险的操作！
感谢媒体的大力宣传，现在任何用户在收到带有附件的电子邮件的时候，在打开可执行文件之前都会三思而后行。但是病毒或者恶意代码的制造者是专家而您不是，所以他们有无数的新把戏可玩。一个最简单的办法就是让您以为那些附件只不过是没有危险的文本文件或是图像文件等。由于目前大多数人使用的是windows操作系统，windows的默认设置是隐藏已知文件扩展名的，而当你去点击那个看上去很友善的文件，那些破坏性的东西就跳出来了。您可能说这我早就知道了，那么下面讲述的.txt文件的新欺骗方法及原理您知道吗？
假如您收到的邮件附件中有一个看起来是这样的文件：QQ靓号放送.txt，您是不是认为它肯定是纯文本文件？我要告诉您，不一定！它的实际文件名可以是QQ靓号放送.txt.{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B}。
{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B}在注册表里是HTML文件关联的意思。但是存成文件名的时候它并不会显现出来，您看到的就是个.txt文件，这个文件实际上等同于QQ靓号放送.txt.html。那么直接打开这个文件为什么有危险呢？
您可能以为它会调用记事本来运行，可是如果您双击它，结果它却调用了HTML来运行，并且自动在后台开始格式化d盘，同时显示“Windows is configuring the system。Plase do not interrupt this process。”这样一个对话框来欺骗您。您看随意打开附件中的.txt的危险够大了吧？
欺骗实现原理：当您双击这个伪装起来的.txt时候，由于真正文件扩展名是.{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B}，也就是.html文件，于是就会以html文件的形式运行，这是它能运行起来的先决条件。
文件内容中的第2和第3行是它能够产生破坏作用的关键所在。其中第3行是破坏行动的执行者，在其中可以加载带有破坏性质的命令。那么第2行又是干什么的呢？您可能已经注意到了第2行里的“WSCript”，对！就是它导演了全幕，它是实际行动总指挥。
WScript全称Windows Scripting Host，它是Win98新加进的功能, 是一种批次语言/自动执行工具——它所对应的程序“WScript.exe”是一个脚本语言解释器，位于c:\WINDOWS下，正是它使得脚本可以被执行，就象执行批处理一样。在Windows Scripting Host脚本环境里，预定义了一些对象，通过它自带的几个内置对象，可以实现获取环境变量、创建快捷方式、加载程序、读写注册表等功能。
下面我们通过一个小例子来说明Windows Scripting Host功能是如何的强大，使用又是怎样的简单，被有心人利用后的威胁有多大。例如有内容如下的*.vbs文件：
Set so=CreateObject( Scripting.FileSystemObject )
　　so.GetFile(c:\windows\winipcfg.exe).Copy( e:\winipcfg.exe )
　　就是这么两行就可以拷贝文件到指定地点。第一行是创建一个文件系统对象，第二行前面是打开这个脚本文件，c:\windows\winipcfg.exe指明是这个程序本身，是一个完整的路径文件名。GetFile函数获得这个文件，Copy函数将这个文件复制到e盘根目录下。这也是大多数利用VBscript编写的病毒的一个特点。从这里可以看出，禁止了FileSystemObject这个对象就可以很有效的控制这种病毒的传播。用regsvr32 scrrun.dll /u这条命令就可以禁止文件系统对象。
欺骗识别及防范方法：这种带有欺骗性质的.txt文件显示出来的并不是文本文件的图标，它显示的是未定义文件类型的标志，这是区分它与正常.txt文件的最好方法。识别的另一个办法是在“按WEB页方式”查看时在“我的电脑”左面会显示出其文件名全称，此时可以看到它不是真正的txt文件。问题是很多初学者经验不够，老手也可能因为没留意而打开它，在这里再次提醒您，注意您收到的邮件中附件的文件名，不仅要看显示出来的扩展名，还要注意其实际显示的图标是什么。对于附件中别人发来的看起来是.txt的文件，可以将它下载后用鼠标右键选择“用记事本打开”，这样看会很安全。
好了，现在您知道.txt文件也不能轻易打开了吧？

第二节 电脑病毒的编年史
谁打开了潘多拉的魔盒

显然，在巴贝奇的差分机上不存在任何病毒，早期基于电子管的电子计算机，比如说埃利亚特，也不可能有电脑病毒存在。但是Univac 1108，一个很古老的公司，一种很古老的机器，以及IBM360/370机器上，已经有一些可以看成是病毒的程序存在，比如“流浪的野兽”（Pervading Animal） 和 “圣诞树”（Christmas tree），因此，可以认为最早的病毒出现在七十年代初甚至六十年代末，虽然那时候没有任何人称这些程序为病毒。
一般意义上的病毒(可以运行在IBM PC机及其兼容机上)一般认为是在1986年左右出现的。从那以后的十五年时间里，出现了大概6万余种病毒，病毒的数量不断增大，和病毒制作的技术也逐步提高，从某种意义上，病毒是所有软件中最先利用操作系统底层功能，以及最先采用了复杂的加密和反跟踪技术的软件之一，病毒技术发展的历史，就是软件技术发展的历史。
下面我们将尽可能详细的描述病毒发展历史上的重要事件，以及这些事件的背景。

萌芽时期，磁芯大战
五十年代末六十年代初，在著名的美国电话电报公司（AT&T）下设的贝尔实验室里，三个年轻的程序员：道格拉斯、维索斯基和罗伯特•莫里斯，在工作之余编制了一个叫“磁芯大战” (core war)的游戏。“磁芯大战”基本的玩法就是想办法通过复制自身来摆脱对方的控制并取得最终的胜利，这可谓病毒的第一个雏形。虽然由于这种自我复制是在一个特定的受控环境下进行的，所以不能认为是真正意义上的病毒，但是这些软件的基本行为和后来的电脑病毒已经非常类似了。

六十年代晚期到七十年代早期：
这个时候是大型电脑的时代，就是那种占据了几个房间的大家伙。在大型电脑时代，由于开发人员的错误或者是出于恶作剧的目的，一些程序员制作了被称为“兔子”的程序，他们在系统中分裂出替身，占用系统资源，影响正常的工作，但是这些“兔子”很少在系统之间相互拷贝。
这个时期，在一种型号的大型电脑—Univax 1108系统上，首次出现了和现代病毒本质上是一样的东西，一个叫做“流浪的野兽”（Pervading Animal）的程序可以将自己附着到其它程序的最后！

七十年代上半叶：
“爬行者”病毒，出现在一种叫做泰尼克斯（Tenex）的操作系统上，这个病毒可以通过网络进行传播（又一个伟大的进步，当然不是现在意义上的因特网，那个时代的网络就是一对一的，通过调制解调器—就是你上网用的“猫”，将一台电脑和另外一台相连接）。一种叫做“清除者”（Reeper）的程序也被开发出来专门对付“爬行者”，这可能就是病毒和反病毒的第一次战争。
八十年代早期
电脑已经在国外变得非常普遍了，出现了最早的独立程序员，他们在为公司工作的同时，出于兴趣的原因，写了很多游戏或者其他的小程序，这些程序可以通过电子公告板（BBS）自由的流传，窃取帐号和密码成了所有爱好者所梦寐以求的事情，也是体现他们在这个社区独特价值的最好机会，所以在这一时期诞生了无数的特洛伊木马（Trojan horses），他们尽力将自己伪装得和真正的登录程序和提示程序一模一样，这样就可以骗取不明真相用户的密码了。
BBS电子公告板：BBS（Bulletin Board Service）是Internet上的一种电于信息服务系统。它提供一块公共电子白板，每个用户都可以在上面书写，可发布信息或提出看法。大部分BBS由教育机构，研究机构或商业机构管理。象日常生活中的黑板报一样，电子公告牌按不同的主题、分主题分成很多个布告栏，布告栏设立的依据是大多数BBS使用者的要求和喜好，使用者可以阅读他人关于某个主题的最新看法（几秒钟前别人刚发布过的观点），也可以将自己的想法毫无保留地贴到公告栏中。同样地，别人对你的观点的回应也是很快的（有时候几秒钟后就可以看到别人对你的观点的看法）。如果需要私下的交流，也可以将想说的话直接发到某个人的电子信箱中。如果想与正在使用的某个人聊天，可以启动聊天程序加人闲谈者的行列，虽然谈话的双方素不相识，却可以亲近地交谈。在BBS里，人们之间的交流打破了空间、时间的限制。在与别人进行交往时，无须考虑自身的年龄、学历、知识、社会地位、财富、外貌、健康状况，而这些条件往往是人们在其他交流形式中无可回避的。同样地，也无从知道交谈的对方的真实社会身份。这样，参与BBS的人可以处于一个平等的位置与其他人进行任何问题的探讨。这对于现有的所有其他交流方式来说是不可能的。
BBS连入方便，可以通过Internet登录，也可以通过电话网拨号登录。BBS站往往是由一些有志于此道的爱好看建立，对所有人都免费开放。而且，由于BBS的参与人众多，因此各方面的话题都不乏热心者。可以说，在BBS上可以找到任何你感兴趣的话题。在Internet没有广泛流行的时期，BBS基本上就是电脑网络的全部，人们利用BBS交流信息，发布程序，当然也包括传播病毒和木马程序。
1981年
在苹果机上，诞生了最早的引导区病毒——“埃尔科克隆者”（Elk Cloner）这个病毒将自己附着在磁盘的引导扇区上。这个病毒有很强的表现欲望，再发作的时候，她会尽力引起你的注意，关掉显示器、让显示的文本闪烁或者显示一大堆乱七八糟的信息。
1986
最早运行在IBM PC兼容机上的病毒“大脑”（Brain）开始流行。这是一种感染360K软盘的病毒（不是我们现在使用的软盘，是很古老的5.25英寸的大盘，而且容量只有360K，现在在一些老型号的机器上还可以见到），由于所有的人对于电脑病毒都没有任何心理准备，所以这种病毒在制造出来之后，立刻在世界范围内迅速传播。巴基斯坦的两兄弟：巴斯特(Basit)和埃姆佳德(Amjad Farooq Alvi)制造了这个病毒，他们在病毒中留下一条信息，其中有他们的名字、地址甚至还有电话号码（我想现在不会有人这么干了，因为警察会在第二天就造访你留下的地址！）。
根据作者的说法，他们是软件开发商，制作这个病毒的目的是为了检验一下盗版问题在巴基斯坦的严重程度，也就是说，如果你使用了他们开发未经授权的软件，其中可能就包括了这个病毒，考察这个病毒的流行程度就知道盗版问题的严重程度了。遗憾的是病毒的蔓延远远超过了制造者的预计，这一病毒成为世界性的问题，也宣告了一个拥有病毒和反病毒软件的电脑时代的到来。 “大脑”病毒还首次使用了巧妙的手段来伪装自己，如果你想要查看被病毒感染的地方，她会提供一个完好无损的东西给你。
同样在1986年，一个名叫莱夫•伯格（Ralph Burger）的程序员发现可以写出这样的程序：将自己复制之后然后加在一个DOS可执行程序的后面，在1986年12月，他首次发布了使用这一原理的病毒“VirDem”——“病毒魔鬼”？这可以认为是DOS文件型病毒的起源。
在中国，这一年公安部成立了计算机病毒研究小组，并派出专业技术人员到中科院计算所和美国、欧洲进修、学习计算机安全技术。
1987
这是电脑病毒技术飞速发展的一年，特别是DOS环境下的文件型病毒，在这一年得到了长足的进步。
“维也纳”（Vienna）病毒出现，这个病毒不是莱夫•伯格编写的，但是他得到这个病毒之后，对它进行了分析，并在他出的书《计算机病毒：高技术的瘟疫》中公布了分析的结果。这本书使得病毒制造的技术变得大众化了，书中详细的阐述了如何制造病毒，以及一些病毒构造的思路，在书出版以后，成百上千的病毒被这本书的读者们制造出来。
在这一年中，更多的IBM PC兼容机上的病毒出现了，这里面比较著名的有：“里海”（Lehigh），仅仅感染COMMAND.COM；“西瑞夫一号”（Suriv-1），又叫做”四月一号”感染所有的COM文件，“西瑞夫二号”（ Suriv-2）：感染EXE文件，值得一提的是，这是首个感染EXE文件的病毒，还有“西瑞夫三号”（Suriv-3），首次既感染COM文件又感染EXE文件。还有一些引导型病毒，比如出现在美国的“耶鲁”（Yale）病毒，新西兰的“石头”（Stoned）病毒和意大利的“乒乓”（PingPong）病毒。
另外，首次能够自我加密解密的病毒“小瀑布”（Cascade）也在这一年出现了。
这一年中，同样有一些非IBM PC兼容机上的病毒出现，比如在苹果机和土星机上的病毒。
1987年12月份，第一个网络病毒“圣诞树”（Christmas Tree）开始流行，这是一个使用REXX语言编写的病毒，在VM/CMS操作系统下传播。12月9号，“圣诞树”首次在西柏林大学的内部网络出现，然后通过网关（连接网络和网络之间的一种装置）进入欧洲学术研究网络，随后采用同样的方式进入IBM公司的内部网络。四天以后，由于不受节制的自我复制，整个网络充满了这个病毒的拷贝，从而造成了系统瘫痪。“圣诞树”病毒在运行之后，在屏幕上显示一个圣诞树的图象，然后把自己拷贝到当前所有的网络用户的机器上。
REXX语言，一种脚本语言，类似于DOS环境下的批处理程序。在IBM的操作系统中得到广泛的使用，是IBM版本的Unix—AIX环境下一种重要的开发工具。
1988
1988年，13号星期五，一些国家的公司和大学遭到了“耶鲁撒冷”（Jerusalem）病毒的拜访。在这一天，病毒摧毁了电脑上所有想要执行的文件。从某种意义上，“耶路撒冷”病毒首次通过自己的破坏引起了人们对电脑病毒的关注。从欧洲到美洲以及中东都有“耶路撒冷”病毒的报告，该病毒因攻击了耶路撒冷大学而得名。
在1988年，“耶路撒冷”、“小瀑布”、“ 石头”和“维也纳”病毒在人们没有注意的情况下感染了大量的电脑，这是因为当时反病毒软件远没有今天这么普遍，即使是电脑专家，也有很多人根本不相信电脑病毒的存在。皮特.诺顿，著名的诺顿工具软件的开发者，就宣称电脑病毒是不存在的，象纽约下水道的鳄鱼一样荒谬（不过具有讽刺意味的是，诺顿的公司仍然在数年以后推出了自己的杀毒软件）。
同时，利用人们对电脑病毒的恐惧，大量有关电脑病毒的笑话和恶作剧开始流行。最早一个恶作剧应该是麦克.罗齐埃里（Mike RoChenle）完成的，他在BBS上发布了一系列消息，描述了一种病毒可以在以2400波特率连线的时候，从一台机器复制到另外一台机器上。这个玩笑使得大量BBS用户放弃比较快的2400波特率，而使用1200波特率连接到BBS上。
波特率：上网速度的一种单位，每秒钟可以传送的数据的位数。波特率为2400表示每秒钟可以传送2400位，我们常用的文件大小的单位是字节，一个字节是8位，这样把波特率除以8就得到每秒传送的字节数，波特率为2400意味着每秒钟可以传送300个字节。现在一般通过猫上网的速度是56k，也就是波特率为56，000，除以8，我们就可以知道每秒钟传送的字节是7000字节，大概每秒钟7k左右，这是理想的速度，一般实际的传送速度会稍低于这个值，大概在每秒5－6k左右。
1988年11月：在这个月里，发生了一起重大的事件，“莫里斯的蠕虫”（Morris ‘s Worm），第一个因特网的病毒出现，该病毒在美国感染了超过6000台电脑（包括美国国家航空和航天局研究院的电脑），并使他们部分瘫痪，由于网络瘫痪造成的损失，预计超过9千6百万美元。“莫里斯的蠕虫”利用了VAX和SUN公司开发的Unix系统上的漏洞，使自己可以繁殖和传播（关于莫里斯是有意利用了这一漏洞还是还是程序本身的错误还存在争议，但是我倾向于认为是程序员有意的行为，这种自我繁殖带给制造者的满足感可能是这个病毒的作者最根本的动机了）。这一病毒同时还进行密码偷窃和权限修改等工作，可以认为这是最早木马类病毒的一次尝试。
1988年12月：在DEC.Net上也出现了蠕虫病毒，这个病毒的名字叫“嗨.来吧”（HI.COM），病毒在屏幕上输出一个云杉的图像，并告诉用户他们“不要继续工作了，回家享受好时光吧！”。同样在这个时候，反病毒软件已经开始成熟了，所罗门公司的反病毒工具（Doctors Solomon's Anti-virus Toolkit）成为当时最强大的反病毒软件。
1989年
新病毒“数据罪犯”（Datacrime）、“弗曼楚”（FuManchu）出现，病毒家族也开始出现，比如说“杨基”（Yankee）病毒，这个病毒在荷兰和英国造成了极大的恐慌，因为从10月13号到12月31号，它会格式化硬盘，摧毁所有的数据。
1989年9月，IBM进入反病毒软件市场，推出了IBM反病毒软件。
1989年10月，DECNet上出现新的蠕虫病毒，“手淫蠕虫”(WANK WORM)。
1989年12月：叫做“艾滋病”(AIDS)的特洛伊木马出现，大约2万张上面写着“艾滋病信息磁盘版本2.0”的磁盘被发放，启动90次以后，这个木马程序会加密磁盘上的所有文件名，设置属性为不可见，除了还有一个文件是可读的，其中包含了一张189美元的帐单，以及邮寄的的地址：巴拿马邮政信箱7＃。当然，这一拙劣的敲诈行为使作者很快被起诉并送进了监狱。
1989年，大量的病毒流进俄罗斯，在这种情况下，俄罗斯的一些程序员开始开发自己的杀毒软件，著名的AVP软件（反病毒工具）在这一年首次发布。
1989年，引导型病毒“小球”和“石头”通过香港和美国进入中国内地，并在很少的一些大型企业和研究机构之间开始流行。有报道的大陆第一起病毒报告来自西南铝加工厂，是“小球”病毒的感染报告。
1989年7月，公安部计算机管理监察局监察处病毒研究小组推出了中国最早的杀毒软件 Kill版本6.0，这一版本可以检测和清除当时在国内出现的六种病毒。KILL软件在随后的很长一段时间内一直由公安部免费发放。
1990
这一年发生了一些重要的事情，首先是第一个多态病毒“变色龙”(Chameleon)出现（又叫做“V2P1”、“V2P2”和“V2P6”），在此之前，杀毒软件都是使用“带掩码的特征比较法”，将病毒的片段和一些预先采样的数据片段进行比较来判断一个文件是不是被病毒感染，当“变色龙”出现以后，杀毒软件不得不寻找新的方法来检测和发现病毒。其次是“病毒制造工厂”(virus production factory)的出现，保加利亚的程序员开发了这样一个可以用于开发病毒的工具软件，使得不计其数的新病毒在保加利亚被制造出来，包括了“马铃薯”(Murphy)、“野兽”(Beast)以及修改过的“埃迪”(Eddie)病毒。有一个叫做“黑暗复仇者”(Dark Avenger)的家伙或者组织在这一年特别活跃，制造了很多病毒，它制造的病毒使用了一些新的算法进行感染，并且在系统中隐藏自己的行踪。
这一年同样是在保加利亚，第一个专门为病毒制造者而开的电子公告板建立了，这个电子公告板的主要任务就是进行病毒信息交流和病毒的交换。
在1990年7月，英国的一个电脑杂志：“今日个人电脑”(PC Today)所附赠的软磁盘被名叫“磁盘杀手”(DiskKiller)的病毒感染，这份杂志售出了超过50，000份。
电脑病毒技术本身在这一年也得到了长足的发展，在1990年下半年，两个著名的病毒“费雷多”(Frodo)和“鲸”(Whale)出现，它们使用了一些非常复杂的方法来隐藏自己的存在，特别是大小为9K字节的“鲸”，使用了多级加密解密和反跟踪技术来隐藏自己。
1990年，中国，深圳华星公司推出基于硬件的反病毒系统——华星防病毒卡，迎合了当时人们对有形的卡的盲目崇拜，认为磁盘上的东西不值钱、不可靠，只有插在电脑里面的东西才值得花钱购买，取得不错的销售业绩。
1991
电脑病毒的数量持续上升，在这一年已经增加到几百种，杀毒软件这一行业也日益活跃，两个重要的工具软件开发商：“赛门铁克”（Symantec）和“中心点”（Central Point）公司推出了自己的杀毒软件。实际上，这两家公司都是收购了早期很小的杀毒软件公司之后，将小公司的人员和产品一锅端，然后打上自己的品牌，从而进入这个市场的，这也是大公司进入新市场的一条主要途径。“赛门铁克”公司以“诺顿”工具软件，最重要的是“诺顿磁盘医生”（Norton Disk Doctor）而知名，“中心点”公司以产品“个人电脑工具集”（PCTools）而知名。
4月份，一次大规模的病毒事件爆发，这次的主角是一个能够同时感染文件和引导区的复合病毒“蒸馏酒”（Tequila），同年9月，采用了同样的原理，一个名叫“变形虫”（Amoeba）的病毒开始流行。
1991年夏天，“目录二代”（DIRII）病毒开始流行，和其他一些病毒不一样的是，“目录二代”病毒不存在于某个文件或者引导扇区中，他把自己分成小块，然后放在磁盘上的多个扇区中，运行的时候再进行组装和执行。
1991年11月：中国瑞星公司成立，并推出瑞星防病毒卡。
1992
在这一年，非IBM PC兼容机或者非DOS兼容的病毒基本上被遗忘了，网络上的漏洞得到了修补，错误被改正，大量的蠕虫病毒不再能够快速的复制和传播。运行在微软DOS操作系统下的文件型、引导型以及文件／引导复合型病毒，随着DOS的广泛流行，变成电脑病毒故事里面的主角。电脑病毒的数量以几何级数增长，几乎每天都会发生新的病毒感染事件，人们开发出各种各样的杀毒软件，大量书籍和杂志中出现关于电脑病毒的内容。
1992年早期，第一个多台病毒生成器“MtE”开发出来，病毒爱好者利用这个生成器生成了很多新的多态病毒，“Mte”也是随后很多多态病毒生成器的原型系统。
原型系统：计算机科学中常见的一个术语，一般指首先实现了某种功能或者验证了某种概念的系统，原型系统一般比较简陋，功能比较单一而且不很完善，但是原型系统往往开创了一系列新的、完善系统的先例。
1992年3月：“米开朗基罗”（Michelangelo）病毒和随之而来由反病毒软件厂商造成的歇斯底里是这个月的标志。从某种意义上，这是第一个对病毒进行炒作并且获得成功的案例，反病毒软件厂商学会夸大病毒造成的威胁，不去实际告诉用户如何保护自己的数据，而是想方设法让他们把目光集中到自己的产品上，这一切的原因只有一个——利润。一家美国公司声称3月6号，超过5百万台电脑上的数据将会被破坏，而实际上真正遭遇“米开朗基罗”病毒的电脑只有大概10，000台。成功的炒作得到的效果就是很多家反病毒厂商的利润都增长了好几倍。
1992年7月：第一个病毒构造工具集（virus construction sets），“病毒创建库”（Virus Create Library）开发成功，这是一个非常著名的病毒制造工具，实际上，直到1999年，国内还有一些个人和组织利用这一工具制造病毒。这个工具的成功同时还刺激了新的、更加强大和完善的病毒制造工具不断的被开发出来。
1992年晚期：第一个视窗病毒开发成功，实际上，大量DOS环境下的病毒在视窗环境下仍然能够成功的运行，称这个病毒是第一个视窗病毒是因为该病毒首次对视窗操作系统独特的可执行文件格式进行感染，这个病毒的出现宣告了病毒发展历史上新的一页的到来。
这一年，“目录2”病毒开始大规模进入中国，
中国，南京信源自动化技术有限公司成立，推出DOS环境下的内存驻留反病毒软件“硬盘卫士”（HD GUARD）和DOS杀毒软件VRV（Virus RemoVer）。
1993
在这一年里，病毒制造者除了制造大量普通的病毒、使用多态生成器／病毒构造机构造一系列的病毒以外，他们开始进行更加严重的破坏活动，使用一些新的方法感染文件并且将病毒注入系统。这一年中比较典型的病毒有：
“保护模式是简单的”（PMBS），工作在英特尔80386芯片保护模式下的病毒。
"陌生"（Strange） ， 一个自我隐藏技术的杰作，通过对硬件中断0Dh和76H的模拟实现隐藏自身。
“影子卫士”（Shadowgard）和“红宝石”（Carbuncle）极大地拓展了共生病毒的概念。（共生病毒，一种病毒如果可以表现为不同的形态则称为共生病毒，例如同时感染引导区和文件，或者同时感染Office 文档和普通的可执行文件）
“埃米”（Emmie）、“梅提里卡”（Metallica）、“炸弹人”（Bomber）、“乌拉圭”（Uruguay）和“咬嚼者”（Cruncher）病毒相继出现，它们使用了一些非常新颖的技术进行感染，这样，杀毒软件很难在被感染文件中找到病毒代码。
1993年春天，微软发行了自己的反病毒软件——微软反病毒软件（MSAV），这是微软购买了“中心点”公司的CPAV之后发布的微软版CPAV。但这是一次不成功的尝试，微软很快就认识到作为一个通用软件厂商，如此深入的进入一个非常专业的领域是非常不明智的，比尔.盖茨很快就放弃了这一产品。
1993年6月，中国，公安部正式决定将KILL的所有有形和无形资产、开发人员移交公安部所属的中国金辰安全技术实业公司进行商品化销售。此时，KILL的版本号为V68，产品形式分为5寸磁盘和3寸磁盘两种。
在这一年，瑞星的防病毒卡占据了80%以上的反病毒市场，达到了防病毒卡销售的顶峰。
1994
病毒通过光盘进行传播在这一年变得非常普遍，在随后的几年，直到因特网的广泛使用之前，光盘迅速成为最主要的病毒传播渠道。大量的光盘在制造的时候，由于使用的母盘中包括了病毒，所以压制出来的光盘也包括了病毒，由于光盘中的内容是不能被改写的，所以这些病毒无法清除，唯一的解决方法只能是将这些感染了病毒的光盘销毁。
在1994年早期，英国发现了两种极其复杂的多态病毒：“SMEG.病原体”和“SMEG.Queeg”（直到今天，仍然有大量的反病毒软件不能完全检测他们的所有变体！），由于病毒的作者将感染的文件放到了电子公告板上，所以这两种病毒在公众媒体造成了很大的恐慌。
另外一次恐慌是一个并不存在的病毒“好时光”（GoodTimes）造成的（注意不是我们在后面将要描述的“欢乐时光”），谣传说这种病毒可以通过电子邮件进行传染。这种不存在病毒的恐慌和欺骗后来称之为“好时光欺骗”。稍后在DOS下面真的出现了很普通的一个病毒里面包括了文本信息“好时光”，但是一般认为这个DOS病毒是响应“好时光欺骗”专门制造出来的，和那种谣传接收电子邮件就会被感染的病毒没有任何关系。
电脑病毒所引发的法律问题也变得非常普遍，各国都开始尝试将病毒制造者定罪。1994年夏天，“SMEG”病毒的作者被捕，差不多同时，英国也逮捕了一个病毒制造者团伙，这个团伙自称为“真正残酷的病毒协会”，在挪威也有一些病毒的作者被捕。这些病毒的作者之所以被捕其实很简单，他们继承了早期病毒制造者的好传统，在病毒中包括了自己的联系信息，或者在通过电子公告板首次发布的时候，很得意的宣布了作者的详细创意和联系方法，因此警方可以很方便的找到他们，在后来的病毒制作和发布中，病毒制造者就谨慎了许多，警方很难轻易的找到一个病毒的真正作者。
本年度也有一些值得一提的病毒：
1994年1月：“移动者”（Shifter）病毒，首次感染对象模块文件(OBJ文件)，“幻影1”（Phantom1），第一个首次在莫斯科流行的多态病毒。
对象模块文件：和高级语言开发工具密切相关，当在DOS环境或者视窗环境下开发程序的时候，C或者其他语言的编译器会生成多个OBJ中间文件，然后将所有的这些OBJ中间文件组合成一个可执行的文件。
1994年3月：“源代码病毒”（SrcVir）：首次感染C语言和帕斯卡（PASCAL）语言源代码的病毒.
1994年6月：“一半”（OneHalf）病毒出现，在俄罗斯和中国最流行的病毒之一。
1994年9月：“3APA3A”，一种新的引导型病毒出现，使用了一种非常特殊的方法进入DOS操作系统并进行感染，当时所有的杀毒软件对于这种新病毒都无能为力。
1994年春天，最早的杀毒软件厂商的领导者之一，“中心点”公司结束了自己的运做，被“赛门铁克”公司收购，“赛门铁克”公司在这段时间内收购了大量的杀毒软件厂商，包括“皮特.诺顿计算”（Peter Norton Computing）、“第五代系统”（ Fifth Generation Systems）等公司。
1994年2月，国务院发布了《中华人民共和国计算机信息系统安全保护条例》将计算机信息系统安全（包括防病毒软件）划归公安部管理。
1994年7月，王江民推出了“超级巡警”——KV100杀毒软件，并首次提出了广谱病毒码的概念，首次在《软件报》上公布《反病毒公告》，开创了用印刷的形式让用户进行手工升级的先河，虽然对这种升级方式的有效性仍然存在很多争论，但是KV100依靠这种方式极大地提高了知名度，为后来KV300的成功打下了良好的基础。
1995
DOS病毒技术的发展在这一年中基本上陷于停滞，我所说的停顿是指技术本身的停顿，也就是说没有什么新的感染或者隐藏等病毒相关技术的出现，但是病毒的数量和传播并没有停顿，在这一年中仍然出现了很多非常复杂的病毒例如“死亡坠落”（Night Fall）、“胡桃钳子”（Nutcracker）等，以及一些很有趣的病毒例如“两性体”（bisexual）、“RNMS”等。这一年中，DOS批处理病毒 "视窗启动"（WinStart）和“死硬2”（DieHard2）病毒在世界范围内广泛的流传。
1995年1月：微软的视窗95演示盘被病毒“表格”（Form）感染，微软将演示盘发送给测试者，其中一个可能是过于勤劳的测试者对这些磁盘进行了病毒检测，结果很吃惊的发现了病毒。这是微软第一次在发行的光盘中包含了病毒，当然这远远不是最后一次。
1995年春天：两家著名的杀毒软件公司“雷霆字节反病毒”（ThunderBYTE Anti-virus）和“诺曼第数据防护”（Norman Data Defense）公司宣布将联合进行反病毒系统的开发。
1995年秋天：病毒和反病毒发展历史的一个转折点，第一个能够保存在WORD文件中，运行在微软字处理软件里的病毒“概念”（Concept）病毒开始在世界范围内流行，这一病毒的出现宣告了一种新形态的病毒的出现——宏病毒。在很长一段时间里，这一病毒在所有的病毒感染统计中一直占据最重要的位置。
1996
1996年1月，第一个视窗95病毒出现——“博扎”（Win95.Boza）
1996年3月：第一个开始大规模流行的视窗版本3病毒，“触角”（Tentacle）病毒首次被发现，这一病毒首次出现在法国一家医院和一些研究机构的网络中。在这一病毒出现之前，虽然有很多的视窗病毒被制造出来，但是这些制造出来的病毒都只在病毒收集者之间、电子公告板或者一些专门的杂志上出现，“触角”病毒实际上是第一个真正流行起来的视窗病毒。
1996年6月：第一个真正OS/2操作系统下的病毒，“AEP”病毒出现，在此之前的OS/2病毒只能使用病毒文件替换原来的文件，或者以伴随病毒的形式出现，这一病毒首次可以将自己附着在OS/2可执行文件的后面，实现了病毒的真正定义——感染。
1996年7月：第一个微软电子数据表病毒“拉若克斯”（Laroux）病毒出现，这一病毒首次发现是在两家石油公司，一家在阿拉斯加，另外一家在南非，所以我们猜想是一个石油勘探软件的程序员制作了这个病毒。和先前的字处理程序病毒一样，这一病毒利用了在电子数据表格软件中可以变成的某种宏语言。任何微软的电子数据表或者字处理文档中都可以包括这种语言所编写的程序，当然也可以包括这种语言所编写的病毒。随着微软操作系统的日益复杂，各种宏语言慢慢变成统一的BASIC语言（VBA ：专门为应用软件设计的可视化BASIC语言），功能也变得越来越强大，使用这种语言编写的病毒功能也随之越来越强大。
BASIC语言：BASIC是初学者通用符号指令代码（Beginner's All-purpose symbolic instruction Code）的缩写，是国际上广泛使用的一种计算机高级语言。BASIC简单、易学，目前仍是计算机入门的主要学习语言之一。BASIC语言自其问世经历了以下四个阶段：第一阶段：（1964年～70年代初）1964年BASIC语言问世。第二阶段：（1975年～80年代中） 微机上固化的BASIC，ROM BASIC，第三阶段：（80年代中～90年代初）结构化BASIC语言，以True BASIC为代表，第四阶段：（1991年以来）以可视化的BASIC为代表，在因特网时代这一古老的语言又焕发了新的青春。
1996年12月：视窗95下的第一个内存驻留病毒，“打孔机”（Punch）病毒出现，该病毒驻留在视窗95的内存中，以一个Vxd驱动程序的形式存在，拦截所有的文件操作并进行传染，这种原理在随后的CIH病毒中得到应用和发展并且造成了极大地破坏。由于程序设计中的明显缺陷，“打孔机”病毒不能在正常的视窗95环境进行感染中，所以这种革命性的病毒并没有真正流行起来。
实际上1996年是新一轮病毒进化的开始，在这一年中，随着微软新的操作系统视窗95、视窗NT和微软办公软件（Office）的流行，病毒制造者不得不面对一个新的环境，他们在这一年中开始使用一些新的感染和隐藏方法，制造出在新的环境下可以自我复制和传播的病毒，随后，病毒制造者的技术水平日益提高，他们对新的操作系统环境（视窗95和视窗NT）和应用系统环境（Office，包括字处理和电子数据表格软件等）的掌握也越来越深，他们开始在病毒中增加多态、反跟踪等技术手段，在新的技术层次上重复了早期在DOS操作系统环境下病毒的进化过程，和DOS环境下漫长的进化相比，在新的环境下病毒的进化过程要快得多。
1997
1997年2月：第一个Linux环境下的病毒“上天的赐福”（Bliss）出现，Linux在此之前还是一个没有被病毒感染过的乐土。
1997年2月到3月：随着微软办公软件从版本6升级到版本97，宏病毒也升级到版本97。最早针对微软办公软件97的宏病毒都是直接从较早期版本转换过来的，但是病毒制造者对新技术的跟踪速度是惊人的，他们很快就推出了专门为微软办公软件97定制的宏病毒。
1997年3月：针对微软字处理软件版本6和版本7的宏病毒“分享欢乐”（ ShareFun）病毒出现，这种病毒的特殊之处在于除了通常的通过字处理文档传播之外，“分享欢乐”还可以通过微软的邮件程序发送自己。
1997年4月：第一个使用文件传输协议（FTP）进行传播的蠕虫病毒，“本垒打”（ Homer）病毒出现。
文件传输协议：（File Transfer Protocol）使用这一协议，人们可以在主机和自己家庭的电脑之间交换文件。这是最简单的因特网应用协议之一，可以列出远程目录，对文件名字进行拷贝、删除、改名等操作，最重要的是，可以将硬盘上的文件上传到远程的主机上，或者将远程主机上的文件下载到自己的硬盘上。
1997年6月：视窗95环境下第一个可以自我加密／解密的病毒出现，这一病毒最先出现在莫斯科，在一些电子公告板上公布后造成了一些慌乱。
1997年11月：“世界语”（ Esperanto）病毒出现，正如名字所表示的那样，这一病毒的开发者想让它成为病毒世界的世界语—同时感染DOS、视窗和苹果的麦克机操作系统。幸运的是，由于软件中存在的一些缺陷，“世界语”没有实现它的设计目标。
1997年12月：一种新的病毒形态，“mIRC蠕虫”出现，“mIRC”是视窗环境下最常见的一种IRC客户端程序，在当时发布的mIRC版本中存在一个漏洞，利用这个漏洞，病毒可以通过IRC的频道复制和传播自己。后来的IRC版本中堵住了这个漏洞，“mIRC蠕虫”病毒也就随之慢慢的消失了。
IRC客户端：IRC是因特网INTERNET RELAY CHAT的缩写，意思是通过因特网中转的聊天，通过特殊的协议(RFC1459 IRC协议)，大家连到一台或者多台IRC服务器上进行聊天。和普通的使用浏览器进行的聊天相比，它最大的特点是速度快(正常情况下一秒钟内你就可以看到对方的“讲话”),功能多，和类似QQ的即时聊天系统相比，IRC可以实现多对多的群体聊天功能。
要实现IRC聊天需要IRC服务器和IRC客户端，IRC服务器在网上有很多，IRC客户端就是你在视窗环境下实际进行聊天的程序，其中最著名的就是mIRC程序。
1997年在美国和欧洲的主要杀毒软件厂商中，发生了一些丑闻。两家非常著名的杀毒软件厂商开始了一场口水大战，首先是McAfee公司宣布他们的专家在所罗门公司出品的杀毒软件中发现了一个很有意思的特性：所罗门公司的病毒检测软件可以工作在两种模式下面，正常模式和高级模式，正常模式的速度很快，但是对于某些少见的病毒可能无法检测，高级模式的速度比较慢，但是检测的病毒数量更多，他们发现，所罗门公司的软件可以在这两种模式之间自动切换，当软件发现自己象是在检测一个测试用的病毒库的时候，会自动切换到高级模式，而在检测普通文件的时候会切换到正常模式，这样，杀毒软件既得到了非常快的检测速度，也可以得到非常好的病毒检出率。
随后，所罗门公司开始反击，指责McAfee公司发布了非法的广告，其中有直接攻击所罗门公司的内容。同时，好像是觉得不够热闹似的，McAfee和趋势公司闹上了法庭，他们争论的焦点有关因特网和电子邮件病毒检测技术的专利；随后是赛门铁克公司，也跳出来指责McAfee公司使用了赛门铁克公司的代码。
这一点充分证明了国外的消费者观念和国内消费者观念的巨大差别，对于国外用户来说，在产品中没有充分实现你的承诺就是一种欺骗行为，换句话来说，在用户不知情的情况下为了某种性能或者评测数据的考虑自动的切换工作模式是某种意义上的商业欺骗。而在国内，我相信没有任何消费者会因为这样一种技术上的处理对杀毒软件厂商提出怀疑或者责难。实际上，国内厂商使用的模式切换、性能增强措施，甚至某些通过提高误报率来迎合用户希望查到病毒的心理的技术手段，远远超过了国外所谓的“欺骗”的范畴。但是至今还没有用户或者厂商对此提出过指责。

第二节 电脑病毒的编年史
谁打开了潘多拉的魔盒

显然，在巴贝奇的差分机上不存在任何病毒，早期基于电子管的电子计算机，比如说埃利亚特，也不可能有电脑病毒存在。但是Univac 1108，一个很古老的公司，一种很古老的机器，以及IBM360/370机器上，已经有一些可以看成是病毒的程序存在，比如“流浪的野兽”（Pervading Animal） 和 “圣诞树”（Christmas tree），因此，可以认为最早的病毒出现在七十年代初甚至六十年代末，虽然那时候没有任何人称这些程序为病毒。
一般意义上的病毒(可以运行在IBM PC机及其兼容机上)一般认为是在1986年左右出现的。从那以后的十五年时间里，出现了大概6万余种病毒，病毒的数量不断增大，和病毒制作的技术也逐步提高，从某种意义上，病毒是所有软件中最先利用操作系统底层功能，以及最先采用了复杂的加密和反跟踪技术的软件之一，病毒技术发展的历史，就是软件技术发展的历史。
下面我们将尽可能详细的描述病毒发展历史上的重要事件，以及这些事件的背景。

萌芽时期，磁芯大战
五十年代末六十年代初，在著名的美国电话电报公司（AT&T）下设的贝尔实验室里，三个年轻的程序员：道格拉斯、维索斯基和罗伯特•莫里斯，在工作之余编制了一个叫“磁芯大战” (core war)的游戏。“磁芯大战”基本的玩法就是想办法通过复制自身来摆脱对方的控制并取得最终的胜利，这可谓病毒的第一个雏形。虽然由于这种自我复制是在一个特定的受控环境下进行的，所以不能认为是真正意义上的病毒，但是这些软件的基本行为和后来的电脑病毒已经非常类似了。

六十年代晚期到七十年代早期：
这个时候是大型电脑的时代，就是那种占据了几个房间的大家伙。在大型电脑时代，由于开发人员的错误或者是出于恶作剧的目的，一些程序员制作了被称为“兔子”的程序，他们在系统中分裂出替身，占用系统资源，影响正常的工作，但是这些“兔子”很少在系统之间相互拷贝。
这个时期，在一种型号的大型电脑—Univax 1108系统上，首次出现了和现代病毒本质上是一样的东西，一个叫做“流浪的野兽”（Pervading Animal）的程序可以将自己附着到其它程序的最后！

七十年代上半叶：
“爬行者”病毒，出现在一种叫做泰尼克斯（Tenex）的操作系统上，这个病毒可以通过网络进行传播（又一个伟大的进步，当然不是现在意义上的因特网，那个时代的网络就是一对一的，通过调制解调器—就是你上网用的“猫”，将一台电脑和另外一台相连接）。一种叫做“清除者”（Reeper）的程序也被开发出来专门对付“爬行者”，这可能就是病毒和反病毒的第一次战争。
八十年代早期
电脑已经在国外变得非常普遍了，出现了最早的独立程序员，他们在为公司工作的同时，出于兴趣的原因，写了很多游戏或者其他的小程序，这些程序可以通过电子公告板（BBS）自由的流传，窃取帐号和密码成了所有爱好者所梦寐以求的事情，也是体现他们在这个社区独特价值的最好机会，所以在这一时期诞生了无数的特洛伊木马（Trojan horses），他们尽力将自己伪装得和真正的登录程序和提示程序一模一样，这样就可以骗取不明真相用户的密码了。
BBS电子公告板：BBS（Bulletin Board Service）是Internet上的一种电于信息服务系统。它提供一块公共电子白板，每个用户都可以在上面书写，可发布信息或提出看法。大部分BBS由教育机构，研究机构或商业机构管理。象日常生活中的黑板报一样，电子公告牌按不同的主题、分主题分成很多个布告栏，布告栏设立的依据是大多数BBS使用者的要求和喜好，使用者可以阅读他人关于某个主题的最新看法（几秒钟前别人刚发布过的观点），也可以将自己的想法毫无保留地贴到公告栏中。同样地，别人对你的观点的回应也是很快的（有时候几秒钟后就可以看到别人对你的观点的看法）。如果需要私下的交流，也可以将想说的话直接发到某个人的电子信箱中。如果想与正在使用的某个人聊天，可以启动聊天程序加人闲谈者的行列，虽然谈话的双方素不相识，却可以亲近地交谈。在BBS里，人们之间的交流打破了空间、时间的限制。在与别人进行交往时，无须考虑自身的年龄、学历、知识、社会地位、财富、外貌、健康状况，而这些条件往往是人们在其他交流形式中无可回避的。同样地，也无从知道交谈的对方的真实社会身份。这样，参与BBS的人可以处于一个平等的位置与其他人进行任何问题的探讨。这对于现有的所有其他交流方式来说是不可能的。
BBS连入方便，可以通过Internet登录，也可以通过电话网拨号登录。BBS站往往是由一些有志于此道的爱好看建立，对所有人都免费开放。而且，由于BBS的参与人众多，因此各方面的话题都不乏热心者。可以说，在BBS上可以找到任何你感兴趣的话题。在Internet没有广泛流行的时期，BBS基本上就是电脑网络的全部，人们利用BBS交流信息，发布程序，当然也包括传播病毒和木马程序。
1981年
在苹果机上，诞生了最早的引导区病毒——“埃尔科克隆者”（Elk Cloner）这个病毒将自己附着在磁盘的引导扇区上。这个病毒有很强的表现欲望，再发作的时候，她会尽力引起你的注意，关掉显示器、让显示的文本闪烁或者显示一大堆乱七八糟的信息。
1986
最早运行在IBM PC兼容机上的病毒“大脑”（Brain）开始流行。这是一种感染360K软盘的病毒（不是我们现在使用的软盘，是很古老的5.25英寸的大盘，而且容量只有360K，现在在一些老型号的机器上还可以见到），由于所有的人对于电脑病毒都没有任何心理准备，所以这种病毒在制造出来之后，立刻在世界范围内迅速传播。巴基斯坦的两兄弟：巴斯特(Basit)和埃姆佳德(Amjad Farooq Alvi)制造了这个病毒，他们在病毒中留下一条信息，其中有他们的名字、地址甚至还有电话号码（我想现在不会有人这么干了，因为警察会在第二天就造访你留下的地址！）。
根据作者的说法，他们是软件开发商，制作这个病毒的目的是为了检验一下盗版问题在巴基斯坦的严重程度，也就是说，如果你使用了他们开发未经授权的软件，其中可能就包括了这个病毒，考察这个病毒的流行程度就知道盗版问题的严重程度了。遗憾的是病毒的蔓延远远超过了制造者的预计，这一病毒成为世界性的问题，也宣告了一个拥有病毒和反病毒软件的电脑时代的到来。 “大脑”病毒还首次使用了巧妙的手段来伪装自己，如果你想要查看被病毒感染的地方，她会提供一个完好无损的东西给你。
同样在1986年，一个名叫莱夫•伯格（Ralph Burger）的程序员发现可以写出这样的程序：将自己复制之后然后加在一个DOS可执行程序的后面，在1986年12月，他首次发布了使用这一原理的病毒“VirDem”——“病毒魔鬼”？这可以认为是DOS文件型病毒的起源。
在中国，这一年公安部成立了计算机病毒研究小组，并派出专业技术人员到中科院计算所和美国、欧洲进修、学习计算机安全技术。
1987
这是电脑病毒技术飞速发展的一年，特别是DOS环境下的文件型病毒，在这一年得到了长足的进步。
“维也纳”（Vienna）病毒出现，这个病毒不是莱夫•伯格编写的，但是他得到这个病毒之后，对它进行了分析，并在他出的书《计算机病毒：高技术的瘟疫》中公布了分析的结果。这本书使得病毒制造的技术变得大众化了，书中详细的阐述了如何制造病毒，以及一些病毒构造的思路，在书出版以后，成百上千的病毒被这本书的读者们制造出来。
在这一年中，更多的IBM PC兼容机上的病毒出现了，这里面比较著名的有：“里海”（Lehigh），仅仅感染COMMAND.COM；“西瑞夫一号”（Suriv-1），又叫做”四月一号”感染所有的COM文件，“西瑞夫二号”（ Suriv-2）：感染EXE文件，值得一提的是，这是首个感染EXE文件的病毒，还有“西瑞夫三号”（Suriv-3），首次既感染COM文件又感染EXE文件。还有一些引导型病毒，比如出现在美国的“耶鲁”（Yale）病毒，新西兰的“石头”（Stoned）病毒和意大利的“乒乓”（PingPong）病毒。
另外，首次能够自我加密解密的病毒“小瀑布”（Cascade）也在这一年出现了。
这一年中，同样有一些非IBM PC兼容机上的病毒出现，比如在苹果机和土星机上的病毒。
1987年12月份，第一个网络病毒“圣诞树”（Christmas Tree）开始流行，这是一个使用REXX语言编写的病毒，在VM/CMS操作系统下传播。12月9号，“圣诞树”首次在西柏林大学的内部网络出现，然后通过网关（连接网络和网络之间的一种装置）进入欧洲学术研究网络，随后采用同样的方式进入IBM公司的内部网络。四天以后，由于不受节制的自我复制，整个网络充满了这个病毒的拷贝，从而造成了系统瘫痪。“圣诞树”病毒在运行之后，在屏幕上显示一个圣诞树的图象，然后把自己拷贝到当前所有的网络用户的机器上。
REXX语言，一种脚本语言，类似于DOS环境下的批处理程序。在IBM的操作系统中得到广泛的使用，是IBM版本的Unix—AIX环境下一种重要的开发工具。
1988
1988年，13号星期五，一些国家的公司和大学遭到了“耶鲁撒冷”（Jerusalem）病毒的拜访。在这一天，病毒摧毁了电脑上所有想要执行的文件。从某种意义上，“耶路撒冷”病毒首次通过自己的破坏引起了人们对电脑病毒的关注。从欧洲到美洲以及中东都有“耶路撒冷”病毒的报告，该病毒因攻击了耶路撒冷大学而得名。
在1988年，“耶路撒冷”、“小瀑布”、“ 石头”和“维也纳”病毒在人们没有注意的情况下感染了大量的电脑，这是因为当时反病毒软件远没有今天这么普遍，即使是电脑专家，也有很多人根本不相信电脑病毒的存在。皮特.诺顿，著名的诺顿工具软件的开发者，就宣称电脑病毒是不存在的，象纽约下水道的鳄鱼一样荒谬（不过具有讽刺意味的是，诺顿的公司仍然在数年以后推出了自己的杀毒软件）。
同时，利用人们对电脑病毒的恐惧，大量有关电脑病毒的笑话和恶作剧开始流行。最早一个恶作剧应该是麦克.罗齐埃里（Mike RoChenle）完成的，他在BBS上发布了一系列消息，描述了一种病毒可以在以2400波特率连线的时候，从一台机器复制到另外一台机器上。这个玩笑使得大量BBS用户放弃比较快的2400波特率，而使用1200波特率连接到BBS上。
波特率：上网速度的一种单位，每秒钟可以传送的数据的位数。波特率为2400表示每秒钟可以传送2400位，我们常用的文件大小的单位是字节，一个字节是8位，这样把波特率除以8就得到每秒传送的字节数，波特率为2400意味着每秒钟可以传送300个字节。现在一般通过猫上网的速度是56k，也就是波特率为56，000，除以8，我们就可以知道每秒钟传送的字节是7000字节，大概每秒钟7k左右，这是理想的速度，一般实际的传送速度会稍低于这个值，大概在每秒5－6k左右。
1988年11月：在这个月里，发生了一起重大的事件，“莫里斯的蠕虫”（Morris ‘s Worm），第一个因特网的病毒出现，该病毒在美国感染了超过6000台电脑（包括美国国家航空和航天局研究院的电脑），并使他们部分瘫痪，由于网络瘫痪造成的损失，预计超过9千6百万美元。“莫里斯的蠕虫”利用了VAX和SUN公司开发的Unix系统上的漏洞，使自己可以繁殖和传播（关于莫里斯是有意利用了这一漏洞还是还是程序本身的错误还存在争议，但是我倾向于认为是程序员有意的行为，这种自我繁殖带给制造者的满足感可能是这个病毒的作者最根本的动机了）。这一病毒同时还进行密码偷窃和权限修改等工作，可以认为这是最早木马类病毒的一次尝试。
1988年12月：在DEC.Net上也出现了蠕虫病毒，这个病毒的名字叫“嗨.来吧”（HI.COM），病毒在屏幕上输出一个云杉的图像，并告诉用户他们“不要继续工作了，回家享受好时光吧！”。同样在这个时候，反病毒软件已经开始成熟了，所罗门公司的反病毒工具（Doctors Solomon's Anti-virus Toolkit）成为当时最强大的反病毒软件。
1989年
新病毒“数据罪犯”（Datacrime）、“弗曼楚”（FuManchu）出现，病毒家族也开始出现，比如说“杨基”（Yankee）病毒，这个病毒在荷兰和英国造成了极大的恐慌，因为从10月13号到12月31号，它会格式化硬盘，摧毁所有的数据。
1989年9月，IBM进入反病毒软件市场，推出了IBM反病毒软件。
1989年10月，DECNet上出现新的蠕虫病毒，“手淫蠕虫”(WANK WORM)。
1989年12月：叫做“艾滋病”(AIDS)的特洛伊木马出现，大约2万张上面写着“艾滋病信息磁盘版本2.0”的磁盘被发放，启动90次以后，这个木马程序会加密磁盘上的所有文件名，设置属性为不可见，除了还有一个文件是可读的，其中包含了一张189美元的帐单，以及邮寄的的地址：巴拿马邮政信箱7＃。当然，这一拙劣的敲诈行为使作者很快被起诉并送进了监狱。
1989年，大量的病毒流进俄罗斯，在这种情况下，俄罗斯的一些程序员开始开发自己的杀毒软件，著名的AVP软件（反病毒工具）在这一年首次发布。
1989年，引导型病毒“小球”和“石头”通过香港和美国进入中国内地，并在很少的一些大型企业和研究机构之间开始流行。有报道的大陆第一起病毒报告来自西南铝加工厂，是“小球”病毒的感染报告。
1989年7月，公安部计算机管理监察局监察处病毒研究小组推出了中国最早的杀毒软件 Kill版本6.0，这一版本可以检测和清除当时在国内出现的六种病毒。KILL软件在随后的很长一段时间内一直由公安部免费发放。
1990
这一年发生了一些重要的事情，首先是第一个多态病毒“变色龙”(Chameleon)出现（又叫做“V2P1”、“V2P2”和“V2P6”），在此之前，杀毒软件都是使用“带掩码的特征比较法”，将病毒的片段和一些预先采样的数据片段进行比较来判断一个文件是不是被病毒感染，当“变色龙”出现以后，杀毒软件不得不寻找新的方法来检测和发现病毒。其次是“病毒制造工厂”(virus production factory)的出现，保加利亚的程序员开发了这样一个可以用于开发病毒的工具软件，使得不计其数的新病毒在保加利亚被制造出来，包括了“马铃薯”(Murphy)、“野兽”(Beast)以及修改过的“埃迪”(Eddie)病毒。有一个叫做“黑暗复仇者”(Dark Avenger)的家伙或者组织在这一年特别活跃，制造了很多病毒，它制造的病毒使用了一些新的算法进行感染，并且在系统中隐藏自己的行踪。
这一年同样是在保加利亚，第一个专门为病毒制造者而开的电子公告板建立了，这个电子公告板的主要任务就是进行病毒信息交流和病毒的交换。
在1990年7月，英国的一个电脑杂志：“今日个人电脑”(PC Today)所附赠的软磁盘被名叫“磁盘杀手”(DiskKiller)的病毒感染，这份杂志售出了超过50，000份。
电脑病毒技术本身在这一年也得到了长足的发展，在1990年下半年，两个著名的病毒“费雷多”(Frodo)和“鲸”(Whale)出现，它们使用了一些非常复杂的方法来隐藏自己的存在，特别是大小为9K字节的“鲸”，使用了多级加密解密和反跟踪技术来隐藏自己。
1990年，中国，深圳华星公司推出基于硬件的反病毒系统——华星防病毒卡，迎合了当时人们对有形的卡的盲目崇拜，认为磁盘上的东西不值钱、不可靠，只有插在电脑里面的东西才值得花钱购买，取得不错的销售业绩。
1991
电脑病毒的数量持续上升，在这一年已经增加到几百种，杀毒软件这一行业也日益活跃，两个重要的工具软件开发商：“赛门铁克”（Symantec）和“中心点”（Central Point）公司推出了自己的杀毒软件。实际上，这两家公司都是收购了早期很小的杀毒软件公司之后，将小公司的人员和产品一锅端，然后打上自己的品牌，从而进入这个市场的，这也是大公司进入新市场的一条主要途径。“赛门铁克”公司以“诺顿”工具软件，最重要的是“诺顿磁盘医生”（Norton Disk Doctor）而知名，“中心点”公司以产品“个人电脑工具集”（PCTools）而知名。
4月份，一次大规模的病毒事件爆发，这次的主角是一个能够同时感染文件和引导区的复合病毒“蒸馏酒”（Tequila），同年9月，采用了同样的原理，一个名叫“变形虫”（Amoeba）的病毒开始流行。
1991年夏天，“目录二代”（DIRII）病毒开始流行，和其他一些病毒不一样的是，“目录二代”病毒不存在于某个文件或者引导扇区中，他把自己分成小块，然后放在磁盘上的多个扇区中，运行的时候再进行组装和执行。
1991年11月：中国瑞星公司成立，并推出瑞星防病毒卡。
1992
在这一年，非IBM PC兼容机或者非DOS兼容的病毒基本上被遗忘了，网络上的漏洞得到了修补，错误被改正，大量的蠕虫病毒不再能够快速的复制和传播。运行在微软DOS操作系统下的文件型、引导型以及文件／引导复合型病毒，随着DOS的广泛流行，变成电脑病毒故事里面的主角。电脑病毒的数量以几何级数增长，几乎每天都会发生新的病毒感染事件，人们开发出各种各样的杀毒软件，大量书籍和杂志中出现关于电脑病毒的内容。
1992年早期，第一个多台病毒生成器“MtE”开发出来，病毒爱好者利用这个生成器生成了很多新的多态病毒，“Mte”也是随后很多多态病毒生成器的原型系统。
原型系统：计算机科学中常见的一个术语，一般指首先实现了某种功能或者验证了某种概念的系统，原型系统一般比较简陋，功能比较单一而且不很完善，但是原型系统往往开创了一系列新的、完善系统的先例。
1992年3月：“米开朗基罗”（Michelangelo）病毒和随之而来由反病毒软件厂商造成的歇斯底里是这个月的标志。从某种意义上，这是第一个对病毒进行炒作并且获得成功的案例，反病毒软件厂商学会夸大病毒造成的威胁，不去实际告诉用户如何保护自己的数据，而是想方设法让他们把目光集中到自己的产品上，这一切的原因只有一个——利润。一家美国公司声称3月6号，超过5百万台电脑上的数据将会被破坏，而实际上真正遭遇“米开朗基罗”病毒的电脑只有大概10，000台。成功的炒作得到的效果就是很多家反病毒厂商的利润都增长了好几倍。
1992年7月：第一个病毒构造工具集（virus construction sets），“病毒创建库”（Virus Create Library）开发成功，这是一个非常著名的病毒制造工具，实际上，直到1999年，国内还有一些个人和组织利用这一工具制造病毒。这个工具的成功同时还刺激了新的、更加强大和完善的病毒制造工具不断的被开发出来。
1992年晚期：第一个视窗病毒开发成功，实际上，大量DOS环境下的病毒在视窗环境下仍然能够成功的运行，称这个病毒是第一个视窗病毒是因为该病毒首次对视窗操作系统独特的可执行文件格式进行感染，这个病毒的出现宣告了病毒发展历史上新的一页的到来。
这一年，“目录2”病毒开始大规模进入中国，
中国，南京信源自动化技术有限公司成立，推出DOS环境下的内存驻留反病毒软件“硬盘卫士”（HD GUARD）和DOS杀毒软件VRV（Virus RemoVer）。
1993
在这一年里，病毒制造者除了制造大量普通的病毒、使用多态生成器／病毒构造机构造一系列的病毒以外，他们开始进行更加严重的破坏活动，使用一些新的方法感染文件并且将病毒注入系统。这一年中比较典型的病毒有：
“保护模式是简单的”（PMBS），工作在英特尔80386芯片保护模式下的病毒。
"陌生"（Strange） ， 一个自我隐藏技术的杰作，通过对硬件中断0Dh和76H的模拟实现隐藏自身。
“影子卫士”（Shadowgard）和“红宝石”（Carbuncle）极大地拓展了共生病毒的概念。（共生病毒，一种病毒如果可以表现为不同的形态则称为共生病毒，例如同时感染引导区和文件，或者同时感染Office 文档和普通的可执行文件）
“埃米”（Emmie）、“梅提里卡”（Metallica）、“炸弹人”（Bomber）、“乌拉圭”（Uruguay）和“咬嚼者”（Cruncher）病毒相继出现，它们使用了一些非常新颖的技术进行感染，这样，杀毒软件很难在被感染文件中找到病毒代码。
1993年春天，微软发行了自己的反病毒软件——微软反病毒软件（MSAV），这是微软购买了“中心点”公司的CPAV之后发布的微软版CPAV。但这是一次不成功的尝试，微软很快就认识到作为一个通用软件厂商，如此深入的进入一个非常专业的领域是非常不明智的，比尔.盖茨很快就放弃了这一产品。
1993年6月，中国，公安部正式决定将KILL的所有有形和无形资产、开发人员移交公安部所属的中国金辰安全技术实业公司进行商品化销售。此时，KILL的版本号为V68，产品形式分为5寸磁盘和3寸磁盘两种。
在这一年，瑞星的防病毒卡占据了80%以上的反病毒市场，达到了防病毒卡销售的顶峰。
1994
病毒通过光盘进行传播在这一年变得非常普遍，在随后的几年，直到因特网的广泛使用之前，光盘迅速成为最主要的病毒传播渠道。大量的光盘在制造的时候，由于使用的母盘中包括了病毒，所以压制出来的光盘也包括了病毒，由于光盘中的内容是不能被改写的，所以这些病毒无法清除，唯一的解决方法只能是将这些感染了病毒的光盘销毁。
在1994年早期，英国发现了两种极其复杂的多态病毒：“SMEG.病原体”和“SMEG.Queeg”（直到今天，仍然有大量的反病毒软件不能完全检测他们的所有变体！），由于病毒的作者将感染的文件放到了电子公告板上，所以这两种病毒在公众媒体造成了很大的恐慌。
另外一次恐慌是一个并不存在的病毒“好时光”（GoodTimes）造成的（注意不是我们在后面将要描述的“欢乐时光”），谣传说这种病毒可以通过电子邮件进行传染。这种不存在病毒的恐慌和欺骗后来称之为“好时光欺骗”。稍后在DOS下面真的出现了很普通的一个病毒里面包括了文本信息“好时光”，但是一般认为这个DOS病毒是响应“好时光欺骗”专门制造出来的，和那种谣传接收电子邮件就会被感染的病毒没有任何关系。
电脑病毒所引发的法律问题也变得非常普遍，各国都开始尝试将病毒制造者定罪。1994年夏天，“SMEG”病毒的作者被捕，差不多同时，英国也逮捕了一个病毒制造者团伙，这个团伙自称为“真正残酷的病毒协会”，在挪威也有一些病毒的作者被捕。这些病毒的作者之所以被捕其实很简单，他们继承了早期病毒制造者的好传统，在病毒中包括了自己的联系信息，或者在通过电子公告板首次发布的时候，很得意的宣布了作者的详细创意和联系方法，因此警方可以很方便的找到他们，在后来的病毒制作和发布中，病毒制造者就谨慎了许多，警方很难轻易的找到一个病毒的真正作者。
本年度也有一些值得一提的病毒：
1994年1月：“移动者”（Shifter）病毒，首次感染对象模块文件(OBJ文件)，“幻影1”（Phantom1），第一个首次在莫斯科流行的多态病毒。
对象模块文件：和高级语言开发工具密切相关，当在DOS环境或者视窗环境下开发程序的时候，C或者其他语言的编译器会生成多个OBJ中间文件，然后将所有的这些OBJ中间文件组合成一个可执行的文件。
1994年3月：“源代码病毒”（SrcVir）：首次感染C语言和帕斯卡（PASCAL）语言源代码的病毒.
1994年6月：“一半”（OneHalf）病毒出现，在俄罗斯和中国最流行的病毒之一。
1994年9月：“3APA3A”，一种新的引导型病毒出现，使用了一种非常特殊的方法进入DOS操作系统并进行感染，当时所有的杀毒软件对于这种新病毒都无能为力。
1994年春天，最早的杀毒软件厂商的领导者之一，“中心点”公司结束了自己的运做，被“赛门铁克”公司收购，“赛门铁克”公司在这段时间内收购了大量的杀毒软件厂商，包括“皮特.诺顿计算”（Peter Norton Computing）、“第五代系统”（ Fifth Generation Systems）等公司。
1994年2月，国务院发布了《中华人民共和国计算机信息系统安全保护条例》将计算机信息系统安全（包括防病毒软件）划归公安部管理。
1994年7月，王江民推出了“超级巡警”——KV100杀毒软件，并首次提出了广谱病毒码的概念，首次在《软件报》上公布《反病毒公告》，开创了用印刷的形式让用户进行手工升级的先河，虽然对这种升级方式的有效性仍然存在很多争论，但是KV100依靠这种方式极大地提高了知名度，为后来KV300的成功打下了良好的基础。
1995
DOS病毒技术的发展在这一年中基本上陷于停滞，我所说的停顿是指技术本身的停顿，也就是说没有什么新的感染或者隐藏等病毒相关技术的出现，但是病毒的数量和传播并没有停顿，在这一年中仍然出现了很多非常复杂的病毒例如“死亡坠落”（Night Fall）、“胡桃钳子”（Nutcracker）等，以及一些很有趣的病毒例如“两性体”（bisexual）、“RNMS”等。这一年中，DOS批处理病毒 "视窗启动"（WinStart）和“死硬2”（DieHard2）病毒在世界范围内广泛的流传。
1995年1月：微软的视窗95演示盘被病毒“表格”（Form）感染，微软将演示盘发送给测试者，其中一个可能是过于勤劳的测试者对这些磁盘进行了病毒检测，结果很吃惊的发现了病毒。这是微软第一次在发行的光盘中包含了病毒，当然这远远不是最后一次。
1995年春天：两家著名的杀毒软件公司“雷霆字节反病毒”（ThunderBYTE Anti-virus）和“诺曼第数据防护”（Norman Data Defense）公司宣布将联合进行反病毒系统的开发。
1995年秋天：病毒和反病毒发展历史的一个转折点，第一个能够保存在WORD文件中，运行在微软字处理软件里的病毒“概念”（Concept）病毒开始在世界范围内流行，这一病毒的出现宣告了一种新形态的病毒的出现——宏病毒。在很长一段时间里，这一病毒在所有的病毒感染统计中一直占据最重要的位置。
1996
1996年1月，第一个视窗95病毒出现——“博扎”（Win95.Boza）
1996年3月：第一个开始大规模流行的视窗版本3病毒，“触角”（Tentacle）病毒首次被发现，这一病毒首次出现在法国一家医院和一些研究机构的网络中。在这一病毒出现之前，虽然有很多的视窗病毒被制造出来，但是这些制造出来的病毒都只在病毒收集者之间、电子公告板或者一些专门的杂志上出现，“触角”病毒实际上是第一个真正流行起来的视窗病毒。
1996年6月：第一个真正OS/2操作系统下的病毒，“AEP”病毒出现，在此之前的OS/2病毒只能使用病毒文件替换原来的文件，或者以伴随病毒的形式出现，这一病毒首次可以将自己附着在OS/2可执行文件的后面，实现了病毒的真正定义——感染。
1996年7月：第一个微软电子数据表病毒“拉若克斯”（Laroux）病毒出现，这一病毒首次发现是在两家石油公司，一家在阿拉斯加，另外一家在南非，所以我们猜想是一个石油勘探软件的程序员制作了这个病毒。和先前的字处理程序病毒一样，这一病毒利用了在电子数据表格软件中可以变成的某种宏语言。任何微软的电子数据表或者字处理文档中都可以包括这种语言所编写的程序，当然也可以包括这种语言所编写的病毒。随着微软操作系统的日益复杂，各种宏语言慢慢变成统一的BASIC语言（VBA ：专门为应用软件设计的可视化BASIC语言），功能也变得越来越强大，使用这种语言编写的病毒功能也随之越来越强大。
BASIC语言：BASIC是初学者通用符号指令代码（Beginner's All-purpose symbolic instruction Code）的缩写，是国际上广泛使用的一种计算机高级语言。BASIC简单、易学，目前仍是计算机入门的主要学习语言之一。BASIC语言自其问世经历了以下四个阶段：第一阶段：（1964年～70年代初）1964年BASIC语言问世。第二阶段：（1975年～80年代中） 微机上固化的BASIC，ROM BASIC，第三阶段：（80年代中～90年代初）结构化BASIC语言，以True BASIC为代表，第四阶段：（1991年以来）以可视化的BASIC为代表，在因特网时代这一古老的语言又焕发了新的青春。
1996年12月：视窗95下的第一个内存驻留病毒，“打孔机”（Punch）病毒出现，该病毒驻留在视窗95的内存中，以一个Vxd驱动程序的形式存在，拦截所有的文件操作并进行传染，这种原理在随后的CIH病毒中得到应用和发展并且造成了极大地破坏。由于程序设计中的明显缺陷，“打孔机”病毒不能在正常的视窗95环境进行感染中，所以这种革命性的病毒并没有真正流行起来。
实际上1996年是新一轮病毒进化的开始，在这一年中，随着微软新的操作系统视窗95、视窗NT和微软办公软件（Office）的流行，病毒制造者不得不面对一个新的环境，他们在这一年中开始使用一些新的感染和隐藏方法，制造出在新的环境下可以自我复制和传播的病毒，随后，病毒制造者的技术水平日益提高，他们对新的操作系统环境（视窗95和视窗NT）和应用系统环境（Office，包括字处理和电子数据表格软件等）的掌握也越来越深，他们开始在病毒中增加多态、反跟踪等技术手段，在新的技术层次上重复了早期在DOS操作系统环境下病毒的进化过程，和DOS环境下漫长的进化相比，在新的环境下病毒的进化过程要快得多。
1997
1997年2月：第一个Linux环境下的病毒“上天的赐福”（Bliss）出现，Linux在此之前还是一个没有被病毒感染过的乐土。
1997年2月到3月：随着微软办公软件从版本6升级到版本97，宏病毒也升级到版本97。最早针对微软办公软件97的宏病毒都是直接从较早期版本转换过来的，但是病毒制造者对新技术的跟踪速度是惊人的，他们很快就推出了专门为微软办公软件97定制的宏病毒。
1997年3月：针对微软字处理软件版本6和版本7的宏病毒“分享欢乐”（ ShareFun）病毒出现，这种病毒的特殊之处在于除了通常的通过字处理文档传播之外，“分享欢乐”还可以通过微软的邮件程序发送自己。
1997年4月：第一个使用文件传输协议（FTP）进行传播的蠕虫病毒，“本垒打”（ Homer）病毒出现。
文件传输协议：（File Transfer Protocol）使用这一协议，人们可以在主机和自己家庭的电脑之间交换文件。这是最简单的因特网应用协议之一，可以列出远程目录，对文件名字进行拷贝、删除、改名等操作，最重要的是，可以将硬盘上的文件上传到远程的主机上，或者将远程主机上的文件下载到自己的硬盘上。
1997年6月：视窗95环境下第一个可以自我加密／解密的病毒出现，这一病毒最先出现在莫斯科，在一些电子公告板上公布后造成了一些慌乱。
1997年11月：“世界语”（ Esperanto）病毒出现，正如名字所表示的那样，这一病毒的开发者想让它成为病毒世界的世界语—同时感染DOS、视窗和苹果的麦克机操作系统。幸运的是，由于软件中存在的一些缺陷，“世界语”没有实现它的设计目标。
1997年12月：一种新的病毒形态，“mIRC蠕虫”出现，“mIRC”是视窗环境下最常见的一种IRC客户端程序，在当时发布的mIRC版本中存在一个漏洞，利用这个漏洞，病毒可以通过IRC的频道复制和传播自己。后来的IRC版本中堵住了这个漏洞，“mIRC蠕虫”病毒也就随之慢慢的消失了。
IRC客户端：IRC是因特网INTERNET RELAY CHAT的缩写，意思是通过因特网中转的聊天，通过特殊的协议(RFC1459 IRC协议)，大家连到一台或者多台IRC服务器上进行聊天。和普通的使用浏览器进行的聊天相比，它最大的特点是速度快(正常情况下一秒钟内你就可以看到对方的“讲话”),功能多，和类似QQ的即时聊天系统相比，IRC可以实现多对多的群体聊天功能。
要实现IRC聊天需要IRC服务器和IRC客户端，IRC服务器在网上有很多，IRC客户端就是你在视窗环境下实际进行聊天的程序，其中最著名的就是mIRC程序。
1997年在美国和欧洲的主要杀毒软件厂商中，发生了一些丑闻。两家非常著名的杀毒软件厂商开始了一场口水大战，首先是McAfee公司宣布他们的专家在所罗门公司出品的杀毒软件中发现了一个很有意思的特性：所罗门公司的病毒检测软件可以工作在两种模式下面，正常模式和高级模式，正常模式的速度很快，但是对于某些少见的病毒可能无法检测，高级模式的速度比较慢，但是检测的病毒数量更多，他们发现，所罗门公司的软件可以在这两种模式之间自动切换，当软件发现自己象是在检测一个测试用的病毒库的时候，会自动切换到高级模式，而在检测普通文件的时候会切换到正常模式，这样，杀毒软件既得到了非常快的检测速度，也可以得到非常好的病毒检出率。
随后，所罗门公司开始反击，指责McAfee公司发布了非法的广告，其中有直接攻击所罗门公司的内容。同时，好像是觉得不够热闹似的，McAfee和趋势公司闹上了法庭，他们争论的焦点有关因特网和电子邮件病毒检测技术的专利；随后是赛门铁克公司，也跳出来指责McAfee公司使用了赛门铁克公司的代码。
这一点充分证明了国外的消费者观念和国内消费者观念的巨大差别，对于国外用户来说，在产品中没有充分实现你的承诺就是一种欺骗行为，换句话来说，在用户不知情的情况下为了某种性能或者评测数据的考虑自动的切换工作模式是某种意义上的商业欺骗。而在国内，我相信没有任何消费者会因为这样一种技术上的处理对杀毒软件厂商提出怀疑或者责难。实际上，国内厂商使用的模式切换、性能增强措施，甚至某些通过提高误报率来迎合用户希望查到病毒的心理的技术手段，远远超过了国外所谓的“欺骗”的范畴。但是至今还没有用户或者厂商对此提出过指责。

这一年McAfee和“网络将军”公司完成了他们的合并，新成立的公司成为一家信息安全服务和产品的提供商，新公司的名称是“网盟”（NAI）。
这一年，在中国发生了著名的毒岛论坛事件，有好事者在美国的地球村免费网站上建立了一个叫做“毒岛论坛”的站点，专门讨论反病毒技术，评比国内的反病毒软件和提供它们的的解密程序。1997年的下半年，“毒岛论坛”宣称KV 300软件中有病毒！并且迅速在网上公布了病毒的反汇编代码（由于KV 300软件是经过加密的，因此一般人无法简单地看到这一段代码）。数天之后，出于种种考虑，数家反病毒软件公司在京召开了记者招待会，声讨这种行为。而江民公司自己则辩称这是一个“逻辑锁”，不是病毒。只有使用了盗版软件的用户，才有可能数据被破坏。
事情最后以江民公司被认定违反了《计算机安全管理条例》，罚款3000元告终，而KV 300似乎没有受到太大的影响，“毒岛论坛”还因此被查封。
在1994年防病毒卡的销售达到最高峰之后，瑞星1995、1996年销售业绩大幅度下降，公司到了生死存亡的边缘，1997年开始，瑞星通过OEM和低价策略开始二次创业。
1997年，南京信源公司首次推出具有实时病毒防护功能的病毒防火墙，NetVRV软件。
1997年，出现了一家风靡一时的反病毒软件公司，华美星际，在当年推出的“病毒克星”产品获得很大的成功（“病毒克星”实际上是OEM “VRV”之后生产的产品），但是由于运作原因，该公司在1997年之后就销声匿迹了。
1998
病毒的数量和技术继续发展，特别是随着因特网的广泛使用，人们对于能够窃取口令和更改权限的木马程序有了更多的兴趣。视窗环境下的病毒“CIH”和“青猴病”（Marburg）通过一些电脑杂志附带的光盘广泛传播，这些光盘在制作的时候被病毒感染。
这一年中，一种新的病毒“HLLP.DeTroie”出现，这种病毒除了能够感染普通的视窗可执行文件以外还能够收集被感染机器的信息并且发送到病毒的所有者手中。应该感到幸运的是，这一病毒仅仅感染法语版的视窗操作系统，所以基本上没有在我国造成影响。
1998年一月：一种新的感染微软电子数据表的病毒“派克斯”（Paix）出现，这种感染表格的病毒同样实现了自我复制和传播的特性。
1998年2月到3月：“青猴病”（Marburg）病毒，第一个在32位视窗环境下运行的多态病毒被发现并且开始流行起来。这种病毒的出现给杀毒软件开发者出了一道难题，就像当初在DOS环境下遇到多态型病毒一样，他们不得不重新设计自己的病毒扫描引擎，从而可以识别出这种病毒和相应的变种。
1998年3月：“埃克塞斯4”（ AccessiV）病毒，第一个针对微软数据库软件的病毒出现，这个病毒本身没有造成很大的影响，因为随着字处理和电子数据表病毒的出现，人们知道出现这样一个病毒只是迟早的事情，所有的杀毒软件厂商对此已经有了充分的准备。
1998年3月：“十字架”（ Cross）病毒出现，这个病毒首次实现了对不同微软办公软件的感染，数据库和字处理软件。也就是说你的字处理文档和你的数据库文件中可能同时包括了这种病毒，在这种病毒之后，越来越多的，同时感染多种微软办公软件的病毒开始出现。
1998年5月：“红色队伍”（ RedTeam）病毒出现，这种病毒可以感染通常的视窗可执行文件，同时还可以通过一种电子邮件软件进行传播。
1998年6月：CIH病毒出现，CIH病毒是有史以来影响最大的病毒之一，最早出现在台湾，然后通过美国在台湾的海外办公室传播到美国，感染了一些因特网上的游戏服务器，直接引发了持续一年的恐慌（在中国CIH的恶梦是在下一年才真正开始的），CIH病毒所取得的巨大影响是因为它的破坏性，在某些电脑上，CIH病毒甚至可以损坏你的硬件。
1998年8月：非常好的远程控制工具“后门”（Back Orifice）出现，在“后门”之后，还出现了“网络公共汽车”（NetBus）、“阶段”(Phase)等类似的软件。
远程控制工具：通过网络控制某台机器的软件，包括客户端和服务器两个部分，服务器运行在被控制的电脑上，一般在后台运作，接收远程发来的命令并执行操作，客户端运行在网络的另外一边，控制者利用客户端发布命令。只要在一台联网的电脑上安装了远程控制的服务器端软件，你可以在任何一台联网的电脑上使用客户端软件，实现数据收集（包括口令和其他机密的文件），鼠标和键盘控制，击键记录等功能。由于远程控制软件的强大功能，人们往往利用远程控制软件作为木马程序，实现对系统非法存取的目的。
1998年8月：第一个感染“爪哇”（Java）可执行文件的病毒“陌生的酿造”（Strange Brew）问世，这一病毒没有什么实际的危害，因为“爪哇”语言在安全性上的一些预防措施，病毒不能复制并且传播到远程的电脑上。但是“陌生的酿造”至少证明了因特网浏览器被病毒感染的可能性。
这一年，南北信源反目为仇，先是划江而治，划分成北方市场和南方市场，然后由于市场和经营观念的冲突以及公司内部矛盾，开始相互起诉和争斗，两家公司都因此元气大伤，市场份额和影响急剧下降。
1998年11月：一种新的使用VB脚本语言编写的病毒“兔子”（Rabbit）诞生了，这种病毒充分利用了VB脚本语言专门为因特网所设计的一些特性。很自然的是，随着HTML语言本身开始具有编程能力，纯粹的HTML语言病毒“内在”也开始流行。很明显，病毒制造者将他们的注意力集中在网络蠕虫上，他们开始充分利用视窗系统强大的脚本语言，而且这种语言还可以和网络紧密的结合，制造大量的，可以通过网页、电子邮件传播的病毒。
在这一年中，杀毒软件厂商开始大规模的整合，1998年3月，赛门铁克和IBM宣布合并他们的反病毒业务部门，IBM随后放弃了自己独立开发杀毒软件。所罗门和网盟很快作出了反应，通过一桩上亿美元的交易，所罗门公司不复存在，网盟成功的收购了他的死敌所罗门公司，这桩交易给反病毒行业带来了非常大的震动，这样两家一直打斗得你死我活的公司居然采取这样一种方式结束了自己数年的竞争。
1998年5月：中国金辰安全技术实业公司和世界第二大软件公司美国CA公司在公安部举行签字仪式，双方共同合资成立北京冠群金辰软件有限公司。同时宣布在北京成立产品研发中心。1998年7月，冠群金辰公司发布KILL认证版。产品虽然名称还是叫做KILL，但基本核心已经完全使用了CA公司的技术。
1999年：这一年，病毒制造者很好的掌握了视窗操作系统下各种新的文件格式的感染方法，在视窗环境下隐藏自己的技术也得到了很大的进步，通过邮件进行病毒传播开始成为病毒传播的主要途径。宏病毒在这一年仍然是最流行的病毒。
1999年3月，一个名为“梅丽莎”(Melissa)的计算机病毒席卷欧、美各国的计算机网络。这种病毒利用邮件系统大量复制、传播，造成网络阻塞，甚至瘫痪。并且，这种病毒在传播过程中，还会造成泄密。
1999年6月，中国最大的通用软件厂商，金山公司首次发布金山毒霸的测试版，开始尝试进入杀毒软件市场。
1999年12月，“FunLove”病毒出现，这一病毒是一个设计非常巧妙的PE病毒，它的最大特点是感染能力强，清除非常困难，直到今天还是在国内广泛流行的病毒之一。
2000年，随着微软视窗操作系统逐步的COM化和脚本化，脚本病毒成为这一年的主流，大量使用脚本技术的病毒出现，脚本病毒和传统的病毒、木马程序相结合，给病毒技术带来了一个新的发展高峰。
2000年5月：“爱虫”(LoveLetter)病毒出现。“爱虫”病毒是一种脚本病毒，它通过微软的电子邮件系统进行传播。这一病毒的邮件主题为“I Love You”，包含一个附件“Love-Letter-for-you.txt.vbs”，一旦在微软电子邮件中打开这个附件，系统就会自动复制并向用户通讯簿中所有的电子邮件地址发送这一病毒，其传播速度比“梅莉沙”病毒还要快好几倍。
2000年11月：金山毒霸正式上市，金山正式进入反病毒软件市场。
2000年12：恶作剧程序“麦当劳女鬼”在网络上大规模流行并造成影响，根据报道，中国香港地区有职员被这个恶作剧程序惊吓致死。
2001年6月：“齿轮先生”（SirCAM）病毒出现，该病毒是一种首发于英国的恶性网络蠕虫病毒，对计算机具有较高的危害能力，它主要通过电子邮件附件进行传播，用户一旦打开带有病毒的附件，病毒就会自动发作，并随意选择机器硬盘中的文件向外发送，导致机器内的重要文件对外公开；病毒同时自动删除Ｃ盘中所有文件；病毒还会自动在硬盘中写入垃圾文件，直至吞噬硬盘所有可用空间，导致系统无法工作。
2001年7月：“红色代码”（Code Red）以及“红色代码二代”（Code Red II）出现。主要针对因特网上的服务器，该病毒能够迅速传播，并造成大范围的访问速度下降甚至阻断。“红色代码”造成的破坏主要是涂改网页,对网络上的其它服务器进行攻击，被攻击的服务器又可以继续攻击其它服务器。
2001年9月：“尼姆达”（Nimda）病毒出现。
第三节 微软和病毒，同盟还是敌人
操作系统
操作系统是一种系统软件，主要用于管理电脑的软件硬件资源和控制程序的执行。最早的电脑上是没有操作系统的，程序员使用穿孔纸带或者卡片将一系列的指令直接输入电脑中，然后通过打印机或者屏幕得到相应的结果。随着电脑程序越来越复杂，在早期的大型电脑上，为了使多个人可以同时使用这个昂贵的设备，发展了最早的多用户分时操作系统，这样可以使很多人可以同时使用一台大型电脑。
个人电脑的出现使操作系统有了另外的含义，电脑不再是需要很多人同时使用的昂贵设备了，操作系统的作用就由多用户管理变成了对硬件设备的管理，多任务的管理和增加越来越强大的多媒体功能。但是操作系统管理电脑软件硬件资源的功能始终没有改变，由于所有的文件操作和硬件访问都需要经过操作系统，而病毒的感染和发作经常涉及到文件读写、硬件设备的访问，所以病毒具有和操作系统很强的相关性。
从某种意义上说，电脑病毒实际上是依赖于操作系统最深的软件，在操作系统中一些最新、最难的技术，最早开始应用很多是由病毒完成的。包括设备驱动程序（Vxd）技术、文件覆盖技术、NTFS隐藏流的读写技术等等。

巨大的存在：微软
微软的操作系统，一向强调的是易用性和集成性，从来没有把系统的安全性作为重要的设计目标，所以称微软的操作系统是病毒的乐土一点都不为过。
在一个安全的操作系统（比如说Linux）里面，最重要的安全概念就是权限，简单而言，就是谁可以做什么事情，谁不能做什么事情。一个用户有一定的权限，一个文件有一定的权限，而一段代码也有一定的权限，特别是对于可执行的代码，权限的控制更为严格。只有系统管理员才能执行某些特定的程序，包括生成一个可以执行的程序等。但是对于视窗操作系统来说，权限的重要性远远比不过文件系统的方便性和性能，以及对以前应用程序的兼容性，所以对权限的控制也就非常马虎。虽然相对于视窗95／98系列，视窗NT和视窗2000的安全性好了很多。但是，由于整体设计思想的限制，造成了微软操作系统的漏洞不断，病毒可以很方便的利用这些漏洞突破微软脆弱的权限限制，进行感染或者其他破坏活动。
微软把易用性放在系统设计的首位，考虑任何问题的出发点都是如何方便用户使用，在他最新的Windows XP操作系统中，对于易用性和界面所作的努力可以说到了登峰造极的程度。但是易用性和安全性存在一定的冲突，从易用的角度上作出的很多权衡和折衷带来了太多的安全漏洞和隐患。
微软在视窗操作系统中，把脚本的概念发挥到极致，但正是这种强大的脚本，造成了目前大量新形式病毒的泛滥，各种基于脚本的病毒和木马在因特网上大量流行，造成了一次又一次恐慌，归本溯源，微软的脚本战略可能在其中担当了重要的脚色。
记得微软的反病毒软件MSAV吗？当微软发现进入这个专业领域需要投入太多精力的时候，盖茨迅速放弃了这个软件。但是随着视窗XP的出现，我们又在反病毒软件这个行业看见了一个巨大的幽灵——比尔•盖茨又回来了，在视窗XP发布之前提供给自愿测试人员的多个阿尔法和贝塔版本中，提供了集成的反病毒软件（当然，这次也不是微软自己开发的，象当年购买“中心点”公司的技术一样，微软购买了“网盟”公司的反病毒核心）。
奇怪的是，在预计10月25日最终发布的视窗XP的宣传和特性描述中，没有看到有关集成反病毒概念功能的任何文字，也就是说，微软很可能在最终的零售版本中不包括集成的反病毒功能，很难猜测比尔.盖茨这样做的理由何在，也许是因为觉得时机不成熟吧，我想全世界的杀毒软件厂商都象在等待死刑判决一样，等待盖茨什么时候正式把这个功能添加进去。
微软现在正在大力推行它的.NET战略。这种战略对于电脑病毒以及杀毒软件厂商将造成非常深远的影响。防病毒软件厂商将不得不在很大的程度上重新设计他们的产品，以此来对付由微软的.net平台发售而带来的各种恶意代码的威胁。 由.net带来的网络计算机服务模型的改变，将毫无疑问的为病毒编写者创造新鲜的感染机会和媒介。 特别是.Net将创造一些新的叫做一般代码运行时刻库（Common Language Runtime）的文件，这些文件将包含被称为微软媒介代码（MSIL）的可执行文件，而在现有的防病毒产品中并没有处理这些文件程序的代码。
赛门铁克的Eric Chien说由.Net引进的安全模式将实际上可能导致新的恶意代码发作数量的减少。在Sophos工作的一个病毒分析家，里查德•王（Richard Wang）说，现在对于防病毒研究者的一个挑战就是这些病毒代码并不需要处在一个文件当中，甚至可以不用出现在一台电脑中。所以一个.Net病毒将可能仅仅包含一些东西说明这些病毒是从什么地方来的。这就意味着防病毒产品必须以某种方式检查远程代码。 感染.Net的二进制代码的病毒，在.Net语言中写入的特洛伊木马和利用.Net服务的恶意代码就都成为可能的了。因为MSIL是作为一个使用Java模式建立的交叉平台语言而设计的，所以这就可能使得一种新形式的病毒在不同操作系统之间繁衍传播。MSIL可以被认为是一种.Net服务能在上面运行的任何硬件平台的编译器。当技术上可行的时候，微软将为Unix或者Linux发布一个公共代码运行时刻库，从而使得在MSIL中的病毒和计算机语言记录程序中的病毒产生更加广泛的跨平台的威胁。
.Net和恶意代码的问题对于现在来说，仍然还只是一个学术问题，而.Net产品和服务的广泛使用可能会在三年之后了，但是探讨这个问题仍然使人兴奋不已，因为网络服务代表着IT的未来，至少对于大多数软件厂商来说是这样的。关于这是代表一个更加安全，还是更加危险的世界的讨论，现在仍在进行中。我个人认为这将是一个更大的安全威胁，因为微软在增加新的功能的时候，首先考虑的是集成和易用性，这样将有新的漏洞出现，而针对这些漏洞的病毒永远会走在反病毒软件和用户安装补丁程序之前。
第四节 第三只眼睛看病毒
在开始一本艰难的图书之前，让我们先轻松一下。

下面是一些也许永远不会出现，也许已经存在的病毒：
病毒的正确名称不是“病毒”，而是一种“电脑微生物”。
生存权利病毒：不允许你删除一个文件，不管它有多旧。如果你试图删掉一个文件，它会要求你首先去会见一名法律顾问以寻求可能的变通方法。
阿诺德史瓦辛格病毒： 终结并停止驻留程序。
政府经济学家病毒：没有东西在工作，但是你的所有的诊断软件都说一切正常。
德克萨斯病毒：总是确定它自己比任何其他的病毒都大。(德克萨斯州的人总是自豪地认为自己的州是美国最大的州。)
耐克（Nike）病毒： Just does it. （耐克公司的广告语）
量子跃迁病毒：一天，你的PC是便携机，第二天它是Macintosh，然后是IBM工作站……
亚当和夏娃病毒： 从你的苹果中偷取字节。
航空公司病毒： 你身处达拉斯，而你的数据却在新加坡。
比尔克林顿病毒：许诺分给所有的进程相同的时间：50%给贫穷、缓慢的进程；50%给中产阶级进程；50%给富裕阶层。此外这种病毒还反对你的计算机干涉其他计算机的内政，虽然它已经这样做了。
国会病毒：计算机锁死，屏幕分裂成两半。（一半是驴子，另外一半是大象）。

关于AOL（美国在线，美国最大的因特网服务提供商）的笑话
“每天一笑(Joke-A-Day)”网站的管理员Ray Owens发布的一个和病毒有关的笑话，其中劝告人们务必删除“居心叵测”的AOL.exe病毒。结果Owens发现他的许多读者都对此确信不疑。更糟糕的是，他们把它转发给了自己的朋友。结果是：Owens收到了700多封信，一些信祝贺他发明了这个笑话，而相当一部分人则询问他“警告”是否是真的。还有不少人则把这个警告当真，真的把系统中的美国在线删除了。

一个流传很广的，关于视窗操作系统和病毒的关系的笑话

视窗操作系统是病毒吗？当然不是，虽然他们都使用大量系统资源用于复制，使系统变慢。病毒有时会用大量垃圾充满你的硬盘，视窗操作系统也会。病毒通常在用户不知道的情况下和一些有用的程序结合在一起，这一点也和视窗操作系统一样。病毒经常使用户感到系统很慢，从而想升级硬件，这一点也和视窗操作系统类似。到目前为止，好象视窗操作系统是病毒，但是，二者有着本质的区别：病毒通常由它们的作者提供良好的支持，而且可以在所有的系统上运行，而且它们的代码短小，执行速度快，而且越来越成熟，但视窗操作系统不是这样，所以，视窗操作系统绝对不是病毒！！！！

当CIH病毒出现以后

最近出现了一种名为CIH的新病毒，这是世界上第一例能够破坏BIOS的计算机病毒，有很强的破坏力。像往常一样，最先感到兴奋的是杀毒软件厂商，它们借机推出各自的新防毒软件。针对CIH病毒的特点，这些公司的宣传用语也是五花八门。节选如下：
A公司：我们的产品能够彻底地杀死CIH，为了使你更加放心，它将捎带着杀死BIOS。
B公司：本公司产品威力无比，能完全彻底地清除CIH。注：请在病毒发作后使用。
C公司：我公司是杀毒软件的权威，清除CIH病毒最彻底，请用户先把该病毒的样本寄给我们。
D公司：防毒、杀毒要有完整的解决方案，而能够提供这种方案的只有本公司一家。专家主张，强烈建议：每月26日不要开机。

软件开发商的秘密
所有的软件开发商都会在正式或者非正式的场合表示对微软垄断行为的控诉，他们认为微软掠夺了他们的利润，剥夺了他们生存的权利，但是实际上，他们在对比尔.盖茨都心存感激，因为在用户对他们软件的低劣质量提出质疑的时候，盖茨为他们准备好了一个标准答案：“这是视窗操作系统的问题，Windows本身就不稳定...”

一个反病毒软件厂商技术支持部门在碰到无法解决问题时的标准回答：
“在某些硬件环境下，由于微软特定版本的操作系统的某种隐含的不兼容性，可能会造成我们的软件非正常退出或者无法运行，请升级到最新版本或者提供进一步信息。”


第三章 什么是电脑病毒
电脑病毒（Computer Virus）在《中华人民共和国计算机信息系统安全保护条例》中被明确定义为："指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码"。在本章中，我们将力求提供最详尽的病毒知识。采用国际上通行的病毒分类方法，对电脑病毒的种类进行详细的论述，包括每种病毒的基本原理、危害以及最典型的例子等。
对电脑病毒的分类方法有很多种，在这里我们采用一种最普通的方法，根据病毒载体的类型进行分类，然后对几种重要的病毒类型进行重点阐述。
第一节 当你打开电源——引导型病毒
引导型病毒是IBM PC兼容机上最早出现的病毒，也是最早进入我国的病毒。引导病毒感染软磁盘的引导扇区，以及硬盘的主引导记录或者引导扇区。要想全面的了解引导型病毒，需要对基本输入输出系统（BIOS）、电脑的引导过程、分区、扇区、主引导记录等概念有清楚的认识，下面我们结合电脑的启动过程，详细解释这些基本的概念。
当你打开电脑的电源开关的时候，电脑开始启动，从整个机器开始通电到出现视窗系统熟悉的蓝天白云画面是一个非常复杂的过程，其中涉及了所有电脑中的重要部分。当电脑开始通电之后，首先是中央处理器（CPU）接收到一个复位指令，然后跳转到一个特定的地址开始执行，在IBM PC兼容机上这个地址是十六进制的FFFF0，这个地址落到基本输入输出系统（BIOS）的地址范围内。
基本输入输出系统（BIOS）：原来是在电脑的硬件和软件之间建立一个桥梁，通过访问BIOS提供的一些功能，软件可以不考虑是IBM还是康柏制造了这台电脑而实现一样的功能。但是在操作系统日益专业和复杂之后，对硬件的访问都是直接由操作系统进行了，所以现在BIOS的基本作用只是进行一些基本的系统硬件检测和引导系统了。BIOS采用非易失性的的存储介质存储，一般使用EPROM、EEPROM或者Flash ROM，也就是在断电之后内容仍然可以保留，包括了系统自我检测和配置的程序以及系统的配置数据。
基本输入输出系统（BIOS）在完成一些基本的硬件检测之后，根据用户的设置（在电脑的开机设置中，一般都有引导顺序这一项，可以选择A：、C:、CDROM或者C:、A:、CDROM等等多种组合），确定将哪一个扇区加载到内存中开始进行下一步的引导工作。如果是从A盘或者光盘引导，则将A盘（软磁盘）或者可引导光盘的引导扇区（第一个扇区）加载到内存中开始执行，如果是从C：（硬盘）引导，则将硬盘的主引导记录加载到内存中开始执行。如果是正常的主引导记录，会根据分区的信息加载适当的引导扇区到内存中，然后引导相应的操作系统。如果是被病毒感染的主引导记录，则会首先将病毒加载到内存中执行，然后再开始通常的引导过程。
磁道（Track）、柱面（cylinder）、扇区（Sector）：硬盘、软盘和其他一些磁性存储设备，基本存储的媒体都是一张或者多张可以