計算機病毒的檢測方法

1、計算機病毒的檢測方法 計算機病毒進行傳染，必然會留下痕計算機病毒進行傳染，必然會留下痕跡。檢測計算機病毒，就是要到病毒寄跡。檢測計算機病毒，就是要到病毒寄生場所去檢查，發(fā)現異常情況，并進而生場所去檢查，發(fā)現異常情況，并進而驗明驗明“正身正身”，確認計算機病毒的存在。，確認計算機病毒的存在。病毒靜態(tài)時存儲于磁盤中，激活時駐留病毒靜態(tài)時存儲于磁盤中，激活時駐留在內存中。在內存中。 因此對計算機病毒的檢測分為因此對計算機病毒的檢測分為對內存對內存的檢測和對磁盤的檢測。的檢測和對磁盤的檢測。 一般對磁盤進行病毒檢測時，要求內存中不一般對磁盤進行病毒檢測時，要求內存中不帶病毒，因為某些計算機病毒會向檢測

2、者報告帶病毒，因為某些計算機病毒會向檢測者報告假情況。假情況。 例如例如40964096病毒在內存中時，查看被它感染的病毒在內存中時，查看被它感染的文件長度時，不會發(fā)現該文件的長度已發(fā)生變文件長度時，不會發(fā)現該文件的長度已發(fā)生變化，而當在內存中沒有病毒時，才會發(fā)現文件化，而當在內存中沒有病毒時，才會發(fā)現文件長度已經增加了長度已經增加了40964096字節(jié)。字節(jié)。 又如又如引導區(qū)型的巴基斯坦大腦病毒，當它引導區(qū)型的巴基斯坦大腦病毒，當它被激活在內存中時，檢查引導區(qū)時看不到病毒被激活在內存中時，檢查引導區(qū)時看不到病毒程序而只看到正常的引導扇區(qū)。程序而只看到正常的引導扇區(qū)。 病毒檢測的原理主要基于下

3、列幾種方法：病毒檢測的原理主要基于下列幾種方法： 利用病毒特征代碼串的利用病毒特征代碼串的特征代碼法特征代碼法利用文件內容校驗的利用文件內容校驗的校驗和法校驗和法用軟件虛擬分析的用軟件虛擬分析的軟件模擬法軟件模擬法比較被檢測對象與原始備份的比較被檢測對象與原始備份的比較法比較法運用反匯編技術分析被檢測對象確認運用反匯編技術分析被檢測對象確認是否為病毒的是否為病毒的分析法分析法1. 病毒的檢測方法病毒的檢測方法 1.1 特征代碼法特征代碼法 特征代碼法被認為是用來檢測已知病毒的特征代碼法被認為是用來檢測已知病毒的最簡單、開銷最小最簡單、開銷最小的方法。的方法。 原理：原理： 將所有病毒的病毒碼加

4、以剖析，并且將這將所有病毒的病毒碼加以剖析，并且將這些病毒獨有的特征搜集在一個病毒碼資料庫些病毒獨有的特征搜集在一個病毒碼資料庫中，簡稱中，簡稱“病毒庫病毒庫”，檢測時，檢測時，以掃描的方以掃描的方式將待檢測程序與病毒庫中的病毒特征碼進式將待檢測程序與病毒庫中的病毒特征碼進行一一對比，如果發(fā)現有相同的代碼，則可行一一對比，如果發(fā)現有相同的代碼，則可判定該程序已遭病毒感染。判定該程序已遭病毒感染。在設計此類檢測工具時，應考慮如下一些問題：在設計此類檢測工具時，應考慮如下一些問題： （1） 高速性。高速性。 隨著病毒種類的增多，檢索時間變長。如果檢隨著病毒種類的增多，檢索時間變長。如果檢索索500

5、0種病毒，必須對種病毒，必須對5000個病毒特征代碼個病毒特征代碼逐一檢查。如果病毒種數再增加，檢查病毒的時逐一檢查。如果病毒種數再增加，檢查病毒的時間開銷就變得十分可觀。此類工具檢測的高速性，間開銷就變得十分可觀。此類工具檢測的高速性，將變得日益困難。將變得日益困難。（2） 誤報警率低。誤報警率低。（3） 要具有檢查多態(tài)性病毒的能力。此要求是對要具有檢查多態(tài)性病毒的能力。此要求是對病毒檢測工具的新要求，特征代碼法是不可能檢病毒檢測工具的新要求，特征代碼法是不可能檢測多態(tài)性病毒的。測多態(tài)性病毒的。（4） 能對付隱蔽性病毒。隱蔽性病毒如果先進能對付隱蔽性病毒。隱蔽性病毒如果先進駐內存，后運行病毒

6、檢測工具，隱蔽性病毒能駐內存，后運行病毒檢測工具，隱蔽性病毒能先于檢測工具，將被查文件中的病毒代碼剝去，先于檢測工具，將被查文件中的病毒代碼剝去，檢測工具的確是在檢查一個有毒文件，但它真檢測工具的確是在檢查一個有毒文件，但它真正看到的卻是一個虛假的正看到的卻是一個虛假的“好文件好文件”，而不能，而不能報警，被隱蔽性病毒所蒙騙。報警，被隱蔽性病毒所蒙騙。 1.2 校驗和法校驗和法 校驗和法是將正常文件的內容，計算其校驗和法是將正常文件的內容，計算其“校驗和校驗和”，將該校驗和寫入文件中或寫入別，將該校驗和寫入文件中或寫入別的文件中保存。的文件中保存。 在文件使用過程中，定期地或每次使用文件在文件

7、使用過程中，定期地或每次使用文件前，檢查文件現在內容算出的校驗和與原來保前，檢查文件現在內容算出的校驗和與原來保存的校驗和是否一致，以此來發(fā)現文件是否感存的校驗和是否一致，以此來發(fā)現文件是否感染。染。優(yōu)點優(yōu)點: 既可發(fā)現已知病毒又可發(fā)現未知病毒。既可發(fā)現已知病毒又可發(fā)現未知病毒。 常用常用: 在許多常用的檢測工具中，都采用了這種方在許多常用的檢測工具中，都采用了這種方法。法。 缺點缺點 不能識別病毒種類，不能報出病毒名稱不能識別病毒種類，不能報出病毒名稱 誤報警誤報警:由于病毒感染并非文件內容改變的惟由于病毒感染并非文件內容改變的惟一的排他性原因，文件內容的改變有可能是正常一的排他性原因，文件

8、內容的改變有可能是正常程序引起的，所以校驗和法常常誤報警。程序引起的，所以校驗和法常常誤報警。 會影響文件的運行速度會影響文件的運行速度 當已有軟件版本更新、變更口令或修改運行參當已有軟件版本更新、變更口令或修改運行參數時，校驗和法都會誤報警。數時，校驗和法都會誤報警。校驗和法對隱蔽性病毒無效校驗和法對隱蔽性病毒無效: 隱蔽性病毒進駐內存后，會自動剝去染毒程序隱蔽性病毒進駐內存后，會自動剝去染毒程序中的病毒代碼，使校驗和法受騙，對一個有毒文中的病毒代碼，使校驗和法受騙，對一個有毒文件算出正常校驗和。件算出正常校驗和。1.3 軟件模擬法軟件模擬法 為了檢測多態(tài)性病毒，國外研制了新的檢測為了檢測多

9、態(tài)性病毒，國外研制了新的檢測方法方法軟件模擬法軟件模擬法。它是一種軟件分析器，。它是一種軟件分析器，用軟件方法來模擬和分析程序的運行，以后演用軟件方法來模擬和分析程序的運行，以后演繹為虛擬機上進行的查毒，啟發(fā)式查毒技術等，繹為虛擬機上進行的查毒，啟發(fā)式查毒技術等，是相對成熟的技術。是相對成熟的技術。 新型檢測工具納入了軟件模擬法，該類工具新型檢測工具納入了軟件模擬法，該類工具開始運行時，使用特征代碼法檢測病毒，如果開始運行時，使用特征代碼法檢測病毒，如果發(fā)現隱蔽病毒或多態(tài)性病毒嫌疑時，啟動軟件發(fā)現隱蔽病毒或多態(tài)性病毒嫌疑時，啟動軟件模擬模塊，監(jiān)視病毒的運行，待病毒自身的密模擬模塊，監(jiān)視病毒的運

10、行，待病毒自身的密碼譯碼以后，再運用特征代碼法來識別病毒的碼譯碼以后，再運用特征代碼法來識別病毒的種類。種類。1.4 比較法比較法 比較法是用原始的或正常的文件與被檢測比較法是用原始的或正常的文件與被檢測的文件進行比較。的文件進行比較。長度比較法長度比較法內容比較法內容比較法內存比較法內存比較法中斷比較法中斷比較法 比較時可以靠打印的代碼清單（比如比較時可以靠打印的代碼清單（比如DEBUG的口命令輸出格式）進行比較，或用的口命令輸出格式）進行比較，或用程序來進行比較（如程序來進行比較（如DOS的的DISKCOMP、COMP或或PCTOOLS等其他軟件）。等其他軟件）。 可以發(fā)現那些尚不能被現有

11、的查病毒程序可以發(fā)現那些尚不能被現有的查病毒程序發(fā)現的計算機病毒。因為病毒傳播得很快，發(fā)現的計算機病毒。因為病毒傳播得很快，新病毒層出不窮，由于目前還沒有做出通用新病毒層出不窮，由于目前還沒有做出通用的能查出一切病毒，或通過代碼分析，可以的能查出一切病毒，或通過代碼分析，可以判定某個程序中是否含有病毒的查毒程序，判定某個程序中是否含有病毒的查毒程序，發(fā)現新病毒就只有靠比較法和分析法，有時發(fā)現新病毒就只有靠比較法和分析法，有時必須結合這兩者一同工作。必須結合這兩者一同工作。 1. 長度比較法及內容比較法長度比較法及內容比較法 病毒感染系統(tǒng)或文件，必然引起系統(tǒng)或文病毒感染系統(tǒng)或文件，必然引起系統(tǒng)或

12、文件的變化，既包括長度的變化，又包括內容的件的變化，既包括長度的變化，又包括內容的變化。因此，變化。因此，將無毒的系統(tǒng)或文件與被檢測的將無毒的系統(tǒng)或文件與被檢測的系統(tǒng)或文件的長度和內容進行比較系統(tǒng)或文件的長度和內容進行比較，即可發(fā)現，即可發(fā)現病毒。病毒。2 內存比較法內存比較法 這是一種對內存駐留病毒進行檢測的方法。這是一種對內存駐留病毒進行檢測的方法。由于病毒駐留于內存，必須在內存中申請一定由于病毒駐留于內存，必須在內存中申請一定的空間，并對該空間進行占用、保護。因此，的空間，并對該空間進行占用、保護。因此，通過對內存的檢測，觀察其空間變化，與正常通過對內存的檢測，觀察其空間變化，與正常系統(tǒng)

13、內存的占用和空間進行比較，可以判斷是系統(tǒng)內存的占用和空間進行比較，可以判斷是否有病毒駐留其間。但無法判定為何種病毒。否有病毒駐留其間。但無法判定為何種病毒。此法對于那些隱蔽型病毒無效。此法對于那些隱蔽型病毒無效。3 中斷比較法中斷比較法 病毒為實現其隱蔽和傳染破壞之目的，常病毒為實現其隱蔽和傳染破壞之目的，常采用采用“截留盜用截留盜用”技術，更改、接管中斷向量，技術，更改、接管中斷向量，讓系統(tǒng)中斷向量轉向執(zhí)行病毒控制部分。因此，讓系統(tǒng)中斷向量轉向執(zhí)行病毒控制部分。因此，將正常系統(tǒng)的中斷向量與有毒系統(tǒng)的中斷向量將正常系統(tǒng)的中斷向量與有毒系統(tǒng)的中斷向量進行比較，可以發(fā)現是否有病毒修改和盜用中進行比

14、較，可以發(fā)現是否有病毒修改和盜用中斷向量斷向量。 比較法的好處是簡單、方便，不需專用軟比較法的好處是簡單、方便，不需專用軟件。件。 缺點是缺點是無法確認病毒的種類名稱無法確認病毒的種類名稱。1.5 分析法分析法 一般使用分析法的人不是普通用戶，而是一般使用分析法的人不是普通用戶，而是反病毒技術人員。使用分析法的目的是：反病毒技術人員。使用分析法的目的是： （1） 確認被觀察的磁盤引導區(qū)和程序中是否確認被觀察的磁盤引導區(qū)和程序中是否含有病毒。含有病毒。（2） 確認病毒的類型和種類，判定其是否是確認病毒的類型和種類，判定其是否是一種新病毒。一種新病毒。（3） 搞清楚病毒體的大致結構，提取特征識搞清楚病毒體的大致結構，提取特征識別用的字符串或特征字，別用的字符串或特征字， 用于增添到病毒代用于增添到病