神算网站源码

① 电脑中病毒怎么办

一、如何判断你的计算机是否感染了病毒电脑出故障不只是因为感染病毒才会有的，个人电脑使用过程中出现各种故障现象多是因为电脑本身的软、硬件故障引起的，网络上的多是由于权限设置所致。我们只有充分地了解两者的区别与联系，才能作出正确的判断，在真正病毒来了之时才会及时发现。下面我就简要列出了分别因病毒和软、硬件故障引起的一些常见电脑故障症状分析。 如下症状是因为被入侵还是因为软、硬件故障所至1、经常死机：病毒打开了许多文件或占用了大量内存；不稳定（如内存质量差，硬件超频性能差等）；运行了大容量的软件占用了大量的内存和磁盘空间；使用了一些测试软件（有许多BUG）；硬盘空间不够等等；运行网络上的软件时经常死机也许是由于网络速度太慢，所运行的程序太大，或者自己的工作站硬件配置太低。 2、系统无法启动：病毒修改了硬盘的引导信息，或删除了某些启动文件。如引导型病毒引导文件损坏；硬盘损坏或参数设置不正确；系统文件人为地误删除等。 3、文件打不开：病毒修改了文件格式；病毒修改了文件链接位置。文件损坏；硬盘损坏；文件快捷方式对应的链接位置发生了变化；原来编辑文件的软件删除了；如果是在局域网中多表现为服务器中文件存放位置发生了变化，而工作站没有及时涮新服器的内容（长时间打开了资源管理器）。 4、经常报告内存不够：病毒非法占用了大量内存；打开了大量的软件；运行了需内存资源的软件；系统配置不正确；内存本身就不够（目前基本内存要求为128M）等。 5、提示硬盘空间不够：病毒复制了大量的病毒文件（这个遇到过好几例，有时好端端的近10G硬盘安装了一个WIN98或WINNT4.0系统就说没空间了，一安装软件就提示硬盘空间不够）。硬盘每个分区容量太小；安装了大量的大容量软件；所有软件都集中安装在一个分区之中；硬盘本身就小；如果是在局域网中系统管理员为每个用户设置了工作站用户的"私人盘"使用空间限制，因查看的是整个网络盘的大小，其实"私人盘"上容量已用完了。 6、软盘等设备未访问时出读写信号：病毒感染；软盘取走了还在打开曾经在软盘中打开过的文件。 7、出现大量来历不明的文件：病毒复制文件；可能是一些软件安装中产生的临时文件；也或许是一些软件的配置信息及运行记录。 8、启动黑屏：病毒感染（记忆最深的是98年的4.26，我为CIH付出了好几千元的代价，那天我第一次开机到了Windows画面就死机了，第二次再开机就什么也没有了）；显示器故障；显示卡故障；主板故障；超频过度；CPU损坏等等 9、数据丢失：病毒删除了文件；硬盘扇区损坏；因恢复文件而覆盖原文件；如果是在网络上的文件，也可能是由于其它用户误删除了。 二、 蠕虫病毒的种类 1、 蠕虫病毒的种类：1988年11月2日，世界上第一个计算机蠕虫正式诞生。美国康乃尔大学一年级研究生莫里斯为了求证计算机程序能否在不同的计算机之间自我复制传播，他写了一段试验程序，为了程序能顺利进入另一台计算机，他写了一段破解用户口令的代码。11月2日早上5点，这段被称为"Worm"（蠕虫）的程序开始了它的旅行，它果然没有辜负莫里斯的期望：它爬进了几千台电脑，让它们死机，造成了经济损失高达9600万美元的记录。从此，"蠕虫"这个名词传开了，莫里斯也许并不知道：他在证明这个结论的同时，也打开了潘多拉魔盒。 A、邮件蠕虫：IFrame是一段用于往网页里放入一个小页面的HTML语言，它用来实现"框架"结构。当年有好事者测试出一个可怕的现象：往一个页面里放入多个IFrame时，框架里请求运行程序的代码就会被执行，如果有人故意做了一个执行破坏程序的页面，那后果可想而知。由于IFrame的尺寸可以自由设置，因此破坏者可以在一个页面里放入多个"看不见"的框架，并附带多个"看不见"的有害程序，浏览了那个网页的人自然就成了受害者！和IFrame漏洞相比，MIME漏洞更加出名，它其实只是一小段用来描述信息类型的数据。浏览器通过读取它来得知接收到的数据该怎么处理，如果是文本和图片就显示出来，是程序就弹出下载确认，是音乐就直接播放。请留意最后一个类型：音乐，浏览器对它采取的动作是：播放。 B、网页里的爬虫 C、社会学虫子 D、系统漏洞蠕虫 2、几个典型病毒实例 A、油画 在网络上流传着一幅诡异的油画，据说很多人看后会产生幻觉，有人解释为油画的构图色彩导致的视觉刺激，也有人认为是心理作用，众说纷纭，却没有令人信服的答案。面对着屏幕上那两个看似正常的孩子，会使人入神的看，而丝毫没有注意到IE浏览器左下角的状态栏打开页面的进度条一直没停止过。电脑光驱自动弹了出来，刚按回去又弹了出来，鼠标正在不听使唤的乱跑，键盘也没了反应，过了一会儿，电脑自己重启了，而且永远停留在了"NTLDR is missing..."的出错信息上。显而易见，这又是一个典型的木马破坏事件，你打开的根本不是图片。IE浏览器的功能很强大，它可以自动识别并打开特定格式的文件而不用在乎它是什么文件后缀名，因为IE对文件内容的判断并不是基于后缀名的，而是基于文件头部和MIME。当用户打开一个文件时，IE读取该文件的头部信息并在本机注册表数据库内查找它对应的MIME格式描述，例如打开一个MIDI文件，IE先读取文件前面一段数据，根据MIDI文件的标准定义，它必须包含以"RIFF"开头的描述信息，根据这段标记，IE在注册表定位找到了"x-audio/midi"的MIME格式，然后IE确认它自己不具备打开这段数据的能力，所以它根据注册表里的文件后缀名信息找到某个已经注册为打开后缀名为".MID"的文件，然后提交给此程序执行，我们就看到了最终结果。正是因为这个原理，所以IE很容易受伤。入侵者通过伪造一个MIME标记描述信息而使网页得以藏虫，在这里也是相同的道理，小王打开的实际上是一个后缀名改为图片格式的HTML页面，它包含上述两个漏洞的病毒文件和一个高度和宽度都设置为100%的图片IMG标记，所以人们看来这只是一个图片文件，然而，图片的背后却是恶毒的木马。木马程序体积都比较大，下载需要一定时间，这就是IE进度条一直没停止的原因。入侵者为了确保受害者打开页面的时间可以使整个木马文件下载完毕，就采用了社会工程学，让受害者不会在很短的时间内关闭页面。 B、位图特性（BMP）他是一家公司的网络管理员，在服务器维护和安全设置方面有足够多的经验，因此他无需惧怕那些利用浏览器漏洞实现的病毒。这天他在一个技术论坛里看到一个网友发的关于AMD某些型号的处理器存在运算瑕庇的帖子，并给出一个测试页面连接，根据官方描述，如果你用的CPU存在瑕庇，那么你会看到页面上的测试图片显示得破损错乱。他心里一惊：自己用的CPU正是这个型号。他马上点击了页面连接。看着页面上乱七八糟的一幅图片，他心里凉了一截：这台机器的CPU居然有问题，而他还要用这台机器处理公司的重要数据的！他马上去管理部找负责人协商，把显示着一幅胡里花哨图片的机器晾在一边。管理部答应尽快给他更换一台机器，让他把硬盘转移过去，因为上面有重要的业务资料。他回来时看到那幅图片还在耀武扬威，他厌恶的关闭了页面，照例打开存放资料的文件夹，他的脑袋一下子空白了：资料不见了！谁删除了？他慌乱的查找硬盘每个角落，可那些文件却像蒸发了一样。许久，他终于反应过来了：机器被入侵了！他取下硬盘直奔数据恢复公司而去。事后他仔细分析了原因，因为机器已经通过了严格的安全测试而且打了所有补丁，通过网页漏洞和溢出攻击是不可能的了，唯一值得怀疑的只有那个所谓的瑕庇测试网页了，他迅速下载分析了整个页面代码，看着页面源代码里后缀名为".BMP"的IMG标记和一堆复杂的脚本代码，他知道自己是栽在了BMP木马的手上。那幅"测试瑕庇"的图片，无论到什么机器上都是一样有"瑕庇"，因为它根本不是图片文件，而是一个以BMP格式文件头部开始的木马程序。为什么看似温顺的图片文件也变成了害人的兇器？这要从位图（Bitmap）格式说起，许多朋友应该都知道流传了很久的被称为"图片藏字"的"密文"传播方式，即在位图文件尾部追加一定量的数据而不会对原位图文件造成太大破坏，这是位图格式的限制宽松而造成的。系统判断一个位图文件的方法并不是严格盘查，而是仅仅从文件头部的54字节里读取它的长宽、位数、文件大小、数据区长度就完成了图片的识别，宽松的盘查机制使得BMP木马得以诞生。不过先要澄清一点概念，BMP木马并不是在BMP位图文件屁股后追加的EXE文件，而是一个独立的EXE可执行文件，但是它的文件PE头部已经用位图文件头部替换了，由于系统的盘查机制，这个EXE文件就被浏览器认成位图文件了。既然是位图，在浏览器的程序逻辑里，这是需要下载到Internet高速缓存文件夹然后显示在页面上的文件，但是因为这个文件本来就不是位图，它被强制显示出来以后自然会变成一堆无意义的垃圾数据，在用户眼里，它就成了一幅乱七八糟的图像。但这不是引起木马危机的原因，要留意的是这些文字："需要下载到Internet高速缓存文件夹"！这说明浏览器已经请狼入室了--木马已经在硬盘上安家了，但是目前它还在沉睡中，因为它的文件头部被改为位图格式，导致它自身已经不能运行，既然不能运行，理所当然就不能对系统构成危害，那么这只狼在硬盘呆多久也是废物一个，入侵者当然不能任由它浪费，因此他们在做个页面给浏览器下载木马的同时，也会设置页面代码让浏览器帮忙脱去这只狼的外衣--把位图格式头部换成可执行文件的PE头部，然后运行它。经过这些步骤，一只恶狼进驻了系统。这个无法修补的漏洞十分可怕，用户很难知道他们正在浏览的页面是否正在偷偷下载着木马数据，因为即使他们打好了所有补丁也无济于事，木马是被IE"合法"下载的，不属于代码漏洞，而且单靠程序本身也很难判断这个图像是不是木马程序，机器靠二进制完成处理工作，而不是视网膜成象交给大脑判断。但是，由于这也是需要下载文件的入侵方式，它能否下载完毕以及用户愿不愿意去看页面就要取决于入侵者的社会工程学了，在任何一个页面里放出一个乱七八糟的图片或者来一个隐藏的图片框都不是最明智的选择，除非利用一些"暇庇声明"或更能引起人的兴趣的伎俩。那家公司的网管之所以会这么不设防，就是因为攻击者偷用了人们的"心理盲区"，因为人们对安全、漏洞、病毒、暇庇等内容会特别敏感，所以入侵者发个专业暇庇案例就欺骗了一大堆人，这次是拿真实的事件：AMD某些型号CPU会导致图像显示出问题的暇庇来做鱼饵，下一次又该拿什么了呢？ C、魔鬼的诅咒（JPEG、GIF）对于某娱乐论坛的大部分用户来说，今天是个黑色的日子，因为他们在看过一个《被诅咒的眼睛》油画帖子后，系统遭到了不明原因的破坏。论坛管理层的技术人员立即对这个帖子进行了多次分析，可是整个页面就只有一个JPEG图片的连接，其他恶意代码和程序根本不存在。入侵者靠什么破坏了看帖用户的机器？难道竟是这个JPEG图片？答案恐怕让人难以接受，的确就是这幅JPEG图片让用户感染了病毒。尽管病毒研究一直未曾停止，可是发展到这个地步，实在让人不能承受：再下去是不是打开一个文本文件都会被感染病毒？图片带毒来袭，实在让所有人都擦了一把汗，然而我们都知道，JPEG、GIF等格式图片不具备可以执行自身并散播病毒的条件，这不符合逻辑。回忆一下2004年9月14日的事，微软发布了MS04-028安全公告：JPEG处理(GDI+)中的缓冲区溢出可能使代码得以执行。没错，就是这个漏洞，它的术语叫GDI+，对应的动态链接库为GdiPlus.dll，这是一种图形设备接口，能够为应用程序和程序员提供二维媒介图形、映像和版式，大部分Windows程序都调用这个DLL完成JPEG格式图片的处理工作。但是现在，正是这个"公众人物"成了众矢之的。说到这里，有基础的读者应该明白了吧：并不是图片自己能传播病毒，而是系统负责图形处理工作的模块会在处理图片时发生溢出导致图片内携带的恶意指令得以执行破坏。如果某个图片工具不调用这个系统模块，而是使用自己的处理模块，那么同样包含恶意指令的图片就不能达到破坏目的。但是因为这个系统模块是默认的处理模块，所以大部分程序在"JPEG病毒"面前纷纷落马。这个溢出是怎么产生的呢？这要从系统如何读取JPEG格式图形的原理说起，系统处理一个JPEG图片时，需要在内存里加载JPEG处理模块，然后JPEG处理模块再把图片数据读入它所占据的内存空间里，也就是所说的缓冲区，最后我们就看到了图片的显示，然而就是在图片数据进入缓冲区的这一步出了错--Windows规定了缓冲区的大小，却没有严格检查实际容纳的数据量，这个带缺陷的边界检查模式导致了噩梦：入侵者把一个JPEG图片的数据加工得异常巨大并加入恶意指令，那么这个图片在系统载入内存时候会发生什么情况呢？图片数据会涨满整个JPEG处理模块提供的缓冲区并恰好把恶意指令溢出到程序自身的内存区域，而这部分内存区域是用于执行指令的，即核心区，于是恶意指令被程序误执行了，入侵者破坏系统或入侵机器的行为得以正常实施。有人也许会疑惑，入侵者都是神算子吗，他们为什么能准确的知道会是哪些数据可以溢出执行？答案很简单，因为Windows在分配JPEG处理模块的空间时，给它指定的内存起始地址是固定的，入侵者只要计算好这个空间大小，就能知道会有哪些数据被执行了，所以JPEG病毒迅速传播起来。所谓JPEG病毒，并不是JPEG图片能放出病毒，而是系统处理JPEG图片的模块自己执行了JPEG图片携带的病毒，所以我们大可不必人心惶惶，只要补上了GDIPLUS.DLL的漏洞，那么即使你机器上的所有JPEG图片都带有病毒数据，它们也无法流窜出来搞破坏，正如美国马萨诸塞州立大学助理教授奥斯汀所言："病毒不仅仅是可自我复制的代码，他们需要通过可执行代码的方式来进行传播。JPEG文件不能执行代码，他们是由应用软件打开的数据文件。应用软件不会去查找数据文件中的可执行的代码，为此不会运行这些病毒代码。" 蠕虫病毒，则是对个人用户威胁最大，同时也是最难以根除，造成的损失也更大的一类蠕虫病毒 对于个人用户而言，威胁大的蠕虫病毒采取的传播方式一般为电子邮件(Email)以及恶意网页等等对于利用email传播得蠕虫病毒来说，通常利用的是社会工程学(Social Engineering)，即以各种各样的欺骗手段那诱惑用户点击的方式进行传播恶意网页确切的讲是一段黑客破坏代码程序，它内嵌在网页中，当用户在不知情的情况下打开含有病毒的网页时，病毒就会发作。这种病毒代码镶嵌技术的原理并不复杂，所以会被很多怀不良企图者利用，在很多黑客网站竟然出现了关于用网页进行破坏的技术的论坛，并提供破坏程序代码下载，从而造成了恶意网页的大面积泛滥，也使越来越多的用户遭受损失。对于恶意网页，常常采取vb script和java script编程的形式！由于编程方式十分的简单！所以在网上非常的流行！Vb script和java script是由微软操作系统的wsh（Windows Scripting HostWindows脚本主机）解析并执行的，由于其编程非常简单，所以此类脚本病毒在网上疯狂传播，疯狂一时的爱虫病毒就是一种vbs脚本病毒，然后伪装成邮件附件诱惑用户点击运行，更为可怕的是，这样的病毒是以源代码的形式出现的，只要懂得一点关于脚本编程的人就可以修改其代码，形成各种各样的变种。下面以一个简单的脚本为例：Set o**Fs=CreateO**ect （"Scripting.FileSystemO**ect"）(创建一个文件系统对象)o**Fs.CreateTextFile （"C:\virus.txt"， 1）(通过文件系统对象的方法创建了TXT文件)如果我们把这两句话保存成为.vbs的VB脚本文件，点击就会在C盘中创建一个TXT文件了。倘若我们把第二句改为：o**Fs.GetFile （WScript.ScriptFullName）.Copy （"C:\virus.vbs"）就可以将自身复制到C盘virus.vbs这个文件。本句前面是打开这个脚本文件，WScript.ScriptFullName指明是这个程序本身，是一个完整的路径文件名。GetFile函数获得这个文件，Copy函数将这个文件复制到C盘根目录下virus.vbs这个文件。这么简单的两句就实现了自我复制的功能，已经具备病毒的基本特征--自我复制能力。此类病毒往往是通过邮件传播的，在vb script中调用邮件发送功能也非常的简单，病毒往往采用的方法是向outlook中的地址薄中的邮件地址发送带有包含自身的邮件来达到传播目的，一个简单的实例如下：Set o**OA=Wscript.CreateO**ect （"Outlook.Application"）（创建一个OUTLOOK应用的对象）Set o**Mapi=o**OA.GetNameSpace （"MAPI"）（取得MAPI名字空间）For i=1 to o**Mapi.AddressLists.Count（遍历地址簿） Set o**AddList=o**Mapi.AddressLists （i） For j=1 To o**AddList. AddressEntries.Count Set o**Mail=o**OA.CreateItem （0） o**Mail.Recipients.Add （o**AddList. AddressEntries （j））（取得收件人邮件地址 ）o**Mail.Su**ect="你好!" （设置邮件主题，这个往往具有很大的诱惑性质）o**Mail.Body="这次给你的附件，是我的新文档！" （设置信件内容）o**Mail.Attachments.Add （"c:\virus.vbs"）（把自己作为附件扩散出去 ）o**Mail.Send（发送邮件）NextNext Set o**Mapi=Nothing（清空o**Mapi变量，释放资源）set o**OA=Nothing(清空o**OA变量)这一小段代码的功能是向地址簿中的用户发送电子邮件，并将自己作为附件扩散出去。这段代码中的第一行是创建一个Outlook的对象，是必不可少的。在其下是一个循环，在循环中不断地向地址簿中的电子邮件地址发送内容相同的信件。这就是蠕虫的传播性。由此可以看出，利用vb script编写病毒是非常容易的，这就使得此类病毒的变种繁多，破坏力极大，同时也是非常难以根除的！ 三、个人用户对蠕虫病毒的防范措施通过上述的分析，我们可以知道，病毒并不是非常可怕的，网络蠕虫病毒对个人用户的攻击主要还是通过社会工程学，而不是利用系统漏洞！所以防范此类病毒需要注意以下几点：1、必须安装防病毒软件。瑞星在杀毒软件的同时整合了防火强功能，从而对蠕虫兼木马程序有很大克制作用。2、经常升级病毒库，杀毒软件对病毒的查杀是以病毒的特征码为依据的，而病毒每天都层出不穷，尤其是在网络时代，蠕虫病毒的传播速度快，变种多，所以必须随时更新病毒库，以便能够查杀最新的病毒! 一般要做到一周一次或者更多次。但由于我们安装的杀毒软件一般是一个安装几台机器，会遇我升级失败的情况，一个ID号的软件一天有升级数目的限制，如遇到这种情况，就改天再升级，即可解决这个问题。3、提高防杀毒意识.不要轻易去点击陌生的站点，有可能里面就含有恶意代码！4、不随意查看陌生邮件，尤其是带有附件的邮件，由于有的病毒邮件能够利用ie和outlook的漏洞自动执行，所以计算机用户需要升级ie和outlook程序，及常用的其他应用程序！ 1、Message Error、 Do***ent Re: Mail Authentification Re: Is that your do***ent? Notice again 5、要养成经常升级系统的习惯：具体方法A、将开始菜单设置成经典模式。然且在开始菜单中点击windows update项按指引即可完成升级。B、也可以配置自动更新（建议不采用这种方法） 6、不要轻信QQ里推荐给你的图片、网址什么的，有时这些东西往往是你的朋友（网友）发给你的。 7、 要养成良好的计算机应用习惯，备份重要的数据。 8、不要轻信有人得用系统信使发来的消息，浏览不明网站.

病毒总是会想方设法地入侵我们的电脑搞破坏，虽然你可以使用反病毒之类的软件，但也绝不能忽视平时的预防工作。“御敌于国门之外”是最理想的，所以建议大家应采用“防为先”的原则来对付病毒。下面的防毒、治毒观点，希望对大家有所借鉴。
1.先制作一张应急盘
制作一个无毒的系统应急引导盘是非常非常必要的，最好还要复制一个反病毒软件和一些你认为比较实用的工具软件到这个盘上，然后关上写保护。
2.谨防入口
有了好用的东东，我们都喜欢与朋友共享，根据经验，建议你在扫描病毒前最好不要用软盘启动系统，君不见，90%以上的病毒是引导型病毒？也不要执行未检验的压缩文件，比如从网上Down的文件(在网吧里还是可以考虑的^_^)。还有，劝大家要小心电子邮件的附件(虽然有些从表面上看是文本形式的)，即使是朋友发过来的也别轻易就去双击运行。
3.实施备份
对于我们在日常工作中辛辛苦苦创作的论文、费时费力地从网上收集来的各种资料，这都是你的劳动成果，应该是至少每周进行一次备份，而且最好是进行异地备份(就是备份到你的电脑之外的存储设备，比如软盘或USB移动硬盘)。这样当电脑内的文件万一被病毒破坏后，它们就派上大用场了，当然在此之前一定要确认你的备份文件是“干净”的。
4.“我的电脑”
你的私人电脑，最好不要让别人随便乱动：菜鸟会动不动就在上面来个“误操作”什么的，大虾也难免想借你的爱机试试他刚“研究”的几板斧。不管是哪种情况都有可能让你的资料瞬间全无，哭都来不及！所以至少你要严防他人在你的电脑上使用他自己的软盘或光盘，不管他是有意还是无意的。
5.留心异状
奉劝各位一句：平时使用电脑时一定要细心加小心地注意它的表现，如果发觉有异常症状出现，比如速度慢得像蜗牛、256MB的内存竟然不够、突然增加一些从未谋面的文件、系统或自己熟悉的文件长度有所增减等，你的第一反应就应该是：中毒了！！！此时你务必要停下手头的工作，马上进行病毒的查杀，千万马虎不得！否则，你的损失只能是越来越严重，若等到系统崩溃、一切化为乌有的那一刻，就悔之晚矣！
6.不忘升级
安装了反病毒软件并不是一劳永逸的，千万别让病毒从反病毒软件的眼皮底下溜入系统。所以你要时常关心反病毒方面的报道或常到对应的反病毒厂商的网页上溜达溜达，了解最近病毒的活动动向，更新病毒的查杀代码，升级你的反病毒软件。

② 图片病毒是什么原理

图片病毒技术原理剖析

一、被诅咒的油画
在网络上流传着一幅诡异的油画，据说很多人看后会产生幻觉，有人解释为油画的构图色彩导致的视觉刺激，也有人认为是心理作用，众说纷纭，却没有令人信服的答案。在网络公司上班的秘书小王也从一个网友那里得知了这幅画，她马上迫不及待的点击了网友给的图片连接。
图片出来了，小王终于见识到了传说中诡异的油画，面对着屏幕上那两个看似正常的孩子，她却觉得背后凉飕飕的。那网友也很热心的和她聊这幅画的来源，小王入神的听着，丝毫没有注意到IE浏览器左下角的状态栏打开页面的进度条一直没停止过。
如果说小王刚才只是背后发冷的话，那么现在她已经是全身发冷了：电脑光驱自动弹了出来，刚按回去又弹了出来，她着急的请教那个网友，那边很平静的说：“哦，也许是光驱坏了吧，我有事先下了，你找人修一下。”然后头像暗了。
小王已经无法回复他的话了：鼠标正在不听使唤的乱跑，键盘也没了反应，过了一会儿，电脑自己重启了，而且永远停留在了“NTLDR is missing...”的出错信息上。
显而易见，这又是一个典型的木马破坏事件，但是小王打开的是图片，难道图片也会传播病毒了？答案很简单也很出人意料：小王打开的根本不是图片。
IE浏览器的功能很强大，它可以自动识别并打开特定格式的文件而不用在乎它是什么文件后缀名，因为IE对文件内容的判断并不是基于后缀名的，而是基于文件头部和MIME。当用户打开一个文件时，IE读取该文件的头部信息并在本机注册表数据库内查找它对应的MIME格式描述，例如打开一个MIDI文件，IE先读取文件前面一段数据，根据MIDI文件的标准定义，它必须包含以“RIFF”开头的描述信息，根据这段标记，IE在注册表定位找到了“x-audio/midi”的MIME格式，然后IE确认它自己不具备打开这段数据的能力，所以它根据注册表里的文件后缀名信息找到某个已经注册为打开后缀名为“.MID”的文件，然后提交给此程序执行，我们就看到了最终结果。
正是因为这个原理，所以IE很容易受伤。入侵者通过伪造一个MIME标记描述信息而使网页得以藏虫，在这里也是相同的道理，小王打开的实际上是一个后缀名改为图片格式的HTML页面，它包含上述两个漏洞的病毒文件和一个高度和宽度都设置为100%的图片IMG标记，所以在小王看来，这只是一个图片文件，然而，图片的背后却是恶毒的木马。木马程序体积都比较大，下载需要一定时间，这就是IE进度条一直没停止的原因。入侵者为了确保受害者打开页面的时间可以使整个木马文件下载完毕，就采用了社会工程学，让受害者不会在很短的时间内关闭页面，当木马下载执行后，“图片”的诅咒就应验了。
二、位图特性的悲哀
他是一家公司的网络管理员，在服务器维护和安全设置方面有足够多的经验，因此他无需惧怕那些利用浏览器漏洞实现的病毒。这天他在一个技术论坛里看到一个网友发的关于AMD某些型号的处理器存在运算瑕庇的帖子，并给出一个测试页面连接，根据官方描述，如果你用的CPU存在瑕庇，那么你会看到页面上的测试图片显示得破损错乱。他心里一惊：自己用的CPU正是这个型号。他马上点击了页面连接。
看着页面上乱七八糟的一幅图片，他心里凉了一截：这台机器的CPU居然有问题，而他还要用这台机器处理公司的重要数据的！他马上去管理部找负责人协商，把显示着一幅胡里花哨图片的机器晾在一边。
管理部答应尽快给他更换一台机器，让他把硬盘转移过去，因为上面有重要的业务资料。他回来时看到那幅图片还在耀武扬威，他厌恶的关闭了页面，照例打开存放资料的文件夹，他的脑袋一下子空白了：资料不见了！谁删除了？他慌乱的查找硬盘每个角落，可那些文件却像蒸发了一样。许久，他终于反应过来了：机器被入侵了！他取下硬盘直奔数据恢复公司而去。
事后他仔细分析了原因，因为机器已经通过了严格的安全测试而且打了所有补丁，通过网页漏洞和溢出攻击是不可能的了，唯一值得怀疑的只有那个所谓的瑕庇测试网页了，他迅速下载分析了整个页面代码，看着页面源代码里后缀名为“.BMP”的IMG标记和一堆复杂的脚本代码，他知道自己是栽在了BMP木马的手上。
那幅“测试瑕庇”的图片，无论到什么机器上都是一样有“瑕庇”，因为它根本不是图片文件，而是一个以BMP格式文件头部开始的木马程序。
为什么看似温顺的图片文件也变成了害人的兇器？这要从位图（Bitmap）格式说起，许多朋友应该都知道流传了很久的被称为“图片藏字”的“密文”传播方式，即在位图文件尾部追加一定量的数据而不会对原位图文件造成太大破坏，这是位图格式的限制宽松而造成的。系统判断一个位图文件的方法并不是严格盘查，而是仅仅从文件头部的54字节里读取它的长宽、位数、文件大小、数据区长度就完成了图片的识别，宽松的盘查机制使得BMP木马得以诞生。
不过先要澄清一点概念，BMP木马并不是在BMP位图文件屁股后追加的EXE文件，而是一个独立的EXE可执行文件，但是它的文件PE头部已经用位图文件头部替换了，由于系统的盘查机制，这个EXE文件就被浏览器认成位图文件了。既然是位图，在浏览器的程序逻辑里，这是需要下载到Internet高速缓存文件夹然后显示在页面上的文件，但是因为这个文件本来就不是位图，它被强制显示出来以后自然会变成一堆无意义的垃圾数据，在用户眼里，它就成了一幅乱七八糟的图像。但这不是引起木马危机的原因，要留意的是这些文字：“需要下载到Internet高速缓存文件夹”！这说明浏览器已经请狼入室了——木马已经在硬盘上安家了，但是目前它还在沉睡中，因为它的文件头部被改为位图格式，导致它自身已经不能运行，既然不能运行，理所当然就不能对系统构成危害，那么这只狼在硬盘呆多久也是废物一个，入侵者当然不能任由它浪费，因此他们在做个页面给浏览器下载木马的同时，也会设置页面代码让浏览器帮忙脱去这只狼的外衣——把位图格式头部换成可执行文件的PE头部，然后运行它。经过这些步骤，一只恶狼进驻了系统。
这个无法修补的漏洞十分可怕，用户很难知道他们正在浏览的页面是否正在偷偷下载着木马数据，因为即使他们打好了所有补丁也无济于事，木马是被IE“合法”下载的，不属于代码漏洞，而且单靠程序本身也很难判断这个图像是不是木马程序，机器靠二进制完成处理工作，而不是视网膜成象交给大脑判断。但是，由于这也是需要下载文件的入侵方式，它能否下载完毕以及用户愿不愿意去看页面就要取决于入侵者的社会工程学了，在任何一个页面里放出一个乱七八糟的图片或者来一个隐藏的图片框都不是最明智的选择，除非利用一些“暇庇声明”或更能引起人的兴趣的伎俩。那家公司的网管之所以会这么不设防，就是因为攻击者偷用了人们的“心理盲区”，因为人们对安全、漏洞、病毒、暇庇等内容会特别敏感，所以入侵者发个专业暇庇案例就欺骗了一大堆人，这次是拿真实的事件：AMD某些型号CPU会导致图像显示出问题的暇庇来做鱼饵，下一次又该拿什么了呢？
三、魔鬼的诅咒
对于某娱乐论坛的大部分用户来说，今天是个黑色的日子，因为他们在看过一个《被诅咒的眼睛》油画帖子后，系统遭到了不明原因的破坏。
论坛管理层的技术人员立即对这个帖子进行了多次分析，可是整个页面就只有一个JPEG图片的连接，其他恶意代码和程序根本不存在。入侵者靠什么破坏了看帖用户的机器？难道竟是这个JPEG图片？
答案恐怕让人难以接受，的确就是这幅JPEG图片让用户感染了病毒。尽管病毒研究一直未曾停止，可是发展到这个地步，实在让人不能承受：再下去是不是打开一个文本文件都会被感染病毒？
图片带毒来袭，实在让所有人都擦了一把汗，然而我们都知道，JPEG、GIF等格式图片不具备可以执行自身并散播病毒的条件，这不符合逻辑。回忆一下2004年9月14日的事，微软发布了MS04-028安全公告：JPEG处理(GDI+)中的缓冲区溢出可能使代码得以执行。没错，就是这个漏洞，它的术语叫GDI+，对应的动态链接库为GdiPlus.dll，这是一种图形设备接口，能够为应用程序和程序员提供二维媒介图形、映像和版式，大部分Windows程序都调用这个DLL完成JPEG格式图片的处理工作。但是现在，正是这个“公众人物”成了众矢之的。
说到这里，有基础的读者应该明白了吧：并不是图片自己能传播病毒，而是系统负责图形处理工作的模块会在处理图片时发生溢出导致图片内携带的恶意指令得以执行破坏。如果某个图片工具不调用这个系统模块，而是使用自己的处理模块，那么同样包含恶意指令的图片就不能达到破坏目的。但是因为这个系统模块是默认的处理模块，所以大部分程序在“JPEG病毒”面前纷纷落马。
这个溢出是怎么产生的呢？这要从系统如何读取JPEG格式图形的原理说起，系统处理一个JPEG图片时，需要在内存里加载JPEG处理模块，然后JPEG处理模块再把图片数据读入它所占据的内存空间里，也就是所说的缓冲区，最后我们就看到了图片的显示，然而就是在图片数据进入缓冲区的这一步出了错——Windows规定了缓冲区的大小，却没有严格检查实际容纳的数据量，这个带缺陷的边界检查模式导致了噩梦：入侵者把一个JPEG图片的数据加工得异常巨大并加入恶意指令，那么这个图片在系统载入内存时候会发生什么情况呢？图片数据会涨满整个JPEG处理模块提供的缓冲区并恰好把恶意指令溢出到程序自身的内存区域，而这部分内存区域是用于执行指令的，即核心区，于是恶意指令被程序误执行了，入侵者破坏系统或入侵机器的行为得以正常实施。有人也许会疑惑，入侵者都是神算子吗，他们为什么能准确的知道会是哪些数据可以溢出执行？答案很简单，因为Windows在分配JPEG处理模块的空间时，给它指定的内存起始地址是固定的，入侵者只要计算好这个空间大小，就能知道会有哪些数据被执行了，所以JPEG病毒迅速传播起来。
所谓JPEG病毒，并不是JPEG图片能放出病毒，而是系统处理JPEG图片的模块自己执行了JPEG图片携带的病毒，所以我们大可不必人心惶惶，只要补上了GDIPLUS.DLL的漏洞，那么即使你机器上的所有JPEG图片都带有病毒数据，它们也无法流窜出来搞破坏，正如美国马萨诸塞州立大学助理教授奥斯汀所言：“病毒不仅仅是可自我复制的代码，他们需要通过可执行代码的方式来进行传播。JPEG文件不能执行代码，他们是由应用软件打开的数据文件。应用软件不会去查找数据文件中的可执行的代码，为此不会运行这些病毒代码。”
四、防范
对于虚假图片文件的欺骗手法，只要用户补上了MIME和IFRAME漏洞，那么入侵者让你停留多久也无济于事；至于BMP木马，它的防范是几乎不可避免，但是它有个最大的弱点，大部分情况下只能在Win9x环境正常执行，用Win2000以上的用户不必草木皆兵了；而对于JPEG病毒来说更好办了，微软已经提供JPEG模块的更新了，你倒是去补一下啊！即使真的一点也不会，买个防病毒软件在后台监视也OK了，但是为什么国内用户却偏偏喜欢徒劳的恐慌？
纵观这一系列图片病毒的原理和手法，我们可以发现“社会工程学”这个身影的扩大化趋势。如何避免被骗，这只能看你自己了。