計算機病毒的檢測方法

1、計算機病毒的檢測方法 計算機病毒進行傳染，必然會留下痕計算機病毒進行傳染，必然會留下痕跡。檢測計算機病毒，就是要到病毒寄跡。檢測計算機病毒，就是要到病毒寄生場所去檢查，發(fā)現(xiàn)異常情況，并進而生場所去檢查，發(fā)現(xiàn)異常情況，并進而驗明驗明“正身正身”，確認計算機病毒的存在。，確認計算機病毒的存在。病毒靜態(tài)時存儲于磁盤中，激活時駐留病毒靜態(tài)時存儲于磁盤中，激活時駐留在內(nèi)存中。在內(nèi)存中。 因此對計算機病毒的檢測分為因此對計算機病毒的檢測分為對內(nèi)存對內(nèi)存的檢測和對磁盤的檢測。的檢測和對磁盤的檢測。 一般對磁盤進行病毒檢測時，要求內(nèi)存中不一般對磁盤進行病毒檢測時，要求內(nèi)存中不帶病毒，因為某些計算機病毒會向檢測

2、者報告帶病毒，因為某些計算機病毒會向檢測者報告假情況。假情況。 例如例如40964096病毒在內(nèi)存中時，查看被它感染的病毒在內(nèi)存中時，查看被它感染的文件長度時，不會發(fā)現(xiàn)該文件的長度已發(fā)生變文件長度時，不會發(fā)現(xiàn)該文件的長度已發(fā)生變化，而當在內(nèi)存中沒有病毒時，才會發(fā)現(xiàn)文件化，而當在內(nèi)存中沒有病毒時，才會發(fā)現(xiàn)文件長度已經(jīng)增加了長度已經(jīng)增加了40964096字節(jié)。字節(jié)。 又如又如引導區(qū)型的巴基斯坦大腦病毒，當它引導區(qū)型的巴基斯坦大腦病毒，當它被激活在內(nèi)存中時，檢查引導區(qū)時看不到病毒被激活在內(nèi)存中時，檢查引導區(qū)時看不到病毒程序而只看到正常的引導扇區(qū)。程序而只看到正常的引導扇區(qū)。 病毒檢測的原理主要基于下

3、列幾種方法：病毒檢測的原理主要基于下列幾種方法： 利用病毒特征代碼串的利用病毒特征代碼串的特征代碼法特征代碼法利用文件內(nèi)容校驗的利用文件內(nèi)容校驗的校驗和法校驗和法用軟件虛擬分析的用軟件虛擬分析的軟件模擬法軟件模擬法比較被檢測對象與原始備份的比較被檢測對象與原始備份的比較法比較法運用反匯編技術分析被檢測對象確認運用反匯編技術分析被檢測對象確認是否為病毒的是否為病毒的分析法分析法1. 病毒的檢測方法病毒的檢測方法 1.1 特征代碼法特征代碼法 特征代碼法被認為是用來檢測已知病毒的特征代碼法被認為是用來檢測已知病毒的最簡單、開銷最小最簡單、開銷最小的方法。的方法。 原理：原理： 將所有病毒的病毒碼加

4、以剖析，并且將這將所有病毒的病毒碼加以剖析，并且將這些病毒獨有的特征搜集在一個病毒碼資料庫些病毒獨有的特征搜集在一個病毒碼資料庫中，簡稱中，簡稱“病毒庫病毒庫”，檢測時，檢測時，以掃描的方以掃描的方式將待檢測程序與病毒庫中的病毒特征碼進式將待檢測程序與病毒庫中的病毒特征碼進行一一對比，如果發(fā)現(xiàn)有相同的代碼，則可行一一對比，如果發(fā)現(xiàn)有相同的代碼，則可判定該程序已遭病毒感染。判定該程序已遭病毒感染。在設計此類檢測工具時，應考慮如下一些問題：在設計此類檢測工具時，應考慮如下一些問題： （1） 高速性。高速性。 隨著病毒種類的增多，檢索時間變長。如果檢隨著病毒種類的增多，檢索時間變長。如果檢索索500

5、0種病毒，必須對種病毒，必須對5000個病毒特征代碼個病毒特征代碼逐一檢查。如果病毒種數(shù)再增加，檢查病毒的時逐一檢查。如果病毒種數(shù)再增加，檢查病毒的時間開銷就變得十分可觀。此類工具檢測的高速性，間開銷就變得十分可觀。此類工具檢測的高速性，將變得日益困難。將變得日益困難。（2） 誤報警率低。誤報警率低。（3） 要具有檢查多態(tài)性病毒的能力。此要求是對要具有檢查多態(tài)性病毒的能力。此要求是對病毒檢測工具的新要求，特征代碼法是不可能檢病毒檢測工具的新要求，特征代碼法是不可能檢測多態(tài)性病毒的。測多態(tài)性病毒的。（4） 能對付隱蔽性病毒。隱蔽性病毒如果先進能對付隱蔽性病毒。隱蔽性病毒如果先進駐內(nèi)存，后運行病毒

6、檢測工具，隱蔽性病毒能駐內(nèi)存，后運行病毒檢測工具，隱蔽性病毒能先于檢測工具，將被查文件中的病毒代碼剝?nèi)ィ扔跈z測工具，將被查文件中的病毒代碼剝?nèi)?，檢測工具的確是在檢查一個有毒文件，但它真檢測工具的確是在檢查一個有毒文件，但它真正看到的卻是一個虛假的正看到的卻是一個虛假的“好文件好文件”，而不能，而不能報警，被隱蔽性病毒所蒙騙。報警，被隱蔽性病毒所蒙騙。 1.2 校驗和法校驗和法 校驗和法是將正常文件的內(nèi)容，計算其校驗和法是將正常文件的內(nèi)容，計算其“校驗和校驗和”，將該校驗和寫入文件中或?qū)懭雱e，將該校驗和寫入文件中或?qū)懭雱e的文件中保存。的文件中保存。 在文件使用過程中，定期地或每次使用文件在文件

7、使用過程中，定期地或每次使用文件前，檢查文件現(xiàn)在內(nèi)容算出的校驗和與原來保前，檢查文件現(xiàn)在內(nèi)容算出的校驗和與原來保存的校驗和是否一致，以此來發(fā)現(xiàn)文件是否感存的校驗和是否一致，以此來發(fā)現(xiàn)文件是否感染。染。優(yōu)點優(yōu)點: 既可發(fā)現(xiàn)已知病毒又可發(fā)現(xiàn)未知病毒。既可發(fā)現(xiàn)已知病毒又可發(fā)現(xiàn)未知病毒。 常用常用: 在許多常用的檢測工具中，都采用了這種方在許多常用的檢測工具中，都采用了這種方法。法。 缺點缺點 不能識別病毒種類，不能報出病毒名稱不能識別病毒種類，不能報出病毒名稱 誤報警誤報警:由于病毒感染并非文件內(nèi)容改變的惟由于病毒感染并非文件內(nèi)容改變的惟一的排他性原因，文件內(nèi)容的改變有可能是正常一的排他性原因，文件

8、內(nèi)容的改變有可能是正常程序引起的，所以校驗和法常常誤報警。程序引起的，所以校驗和法常常誤報警。 會影響文件的運行速度會影響文件的運行速度 當已有軟件版本更新、變更口令或修改運行參當已有軟件版本更新、變更口令或修改運行參數(shù)時，校驗和法都會誤報警。數(shù)時，校驗和法都會誤報警。校驗和法對隱蔽性病毒無效校驗和法對隱蔽性病毒無效: 隱蔽性病毒進駐內(nèi)存后，會自動剝?nèi)ト径境绦螂[蔽性病毒進駐內(nèi)存后，會自動剝?nèi)ト径境绦蛑械牟《敬a，使校驗和法受騙，對一個有毒文中的病毒代碼，使校驗和法受騙，對一個有毒文件算出正常校驗和。件算出正常校驗和。1.3 軟件模擬法軟件模擬法 為了檢測多態(tài)性病毒，國外研制了新的檢測為了檢測多

9、態(tài)性病毒，國外研制了新的檢測方法方法軟件模擬法軟件模擬法。它是一種軟件分析器，。它是一種軟件分析器，用軟件方法來模擬和分析程序的運行，以后演用軟件方法來模擬和分析程序的運行，以后演繹為虛擬機上進行的查毒，啟發(fā)式查毒技術等，繹為虛擬機上進行的查毒，啟發(fā)式查毒技術等，是相對成熟的技術。是相對成熟的技術。 新型檢測工具納入了軟件模擬法，該類工具新型檢測工具納入了軟件模擬法，該類工具開始運行時，使用特征代碼法檢測病毒，如果開始運行時，使用特征代碼法檢測病毒，如果發(fā)現(xiàn)隱蔽病毒或多態(tài)性病毒嫌疑時，啟動軟件發(fā)現(xiàn)隱蔽病毒或多態(tài)性病毒嫌疑時，啟動軟件模擬模塊，監(jiān)視病毒的運行，待病毒自身的密模擬模塊，監(jiān)視病毒的運

10、行，待病毒自身的密碼譯碼以后，再運用特征代碼法來識別病毒的碼譯碼以后，再運用特征代碼法來識別病毒的種類。種類。1.4 比較法比較法 比較法是用原始的或正常的文件與被檢測比較法是用原始的或正常的文件與被檢測的文件進行比較。的文件進行比較。長度比較法長度比較法內(nèi)容比較法內(nèi)容比較法內(nèi)存比較法內(nèi)存比較法中斷比較法中斷比較法 比較時可以靠打印的代碼清單（比如比較時可以靠打印的代碼清單（比如DEBUG的口命令輸出格式）進行比較，或用的口命令輸出格式）進行比較，或用程序來進行比較（如程序來進行比較（如DOS的的DISKCOMP、COMP或或PCTOOLS等其他軟件）。等其他軟件）。 可以發(fā)現(xiàn)那些尚不能被現(xiàn)有

11、的查病毒程序可以發(fā)現(xiàn)那些尚不能被現(xiàn)有的查病毒程序發(fā)現(xiàn)的計算機病毒。因為病毒傳播得很快，發(fā)現(xiàn)的計算機病毒。因為病毒傳播得很快，新病毒層出不窮，由于目前還沒有做出通用新病毒層出不窮，由于目前還沒有做出通用的能查出一切病毒，或通過代碼分析，可以的能查出一切病毒，或通過代碼分析，可以判定某個程序中是否含有病毒的查毒程序，判定某個程序中是否含有病毒的查毒程序，發(fā)現(xiàn)新病毒就只有靠比較法和分析法，有時發(fā)現(xiàn)新病毒就只有靠比較法和分析法，有時必須結(jié)合這兩者一同工作。必須結(jié)合這兩者一同工作。 1. 長度比較法及內(nèi)容比較法長度比較法及內(nèi)容比較法 病毒感染系統(tǒng)或文件，必然引起系統(tǒng)或文病毒感染系統(tǒng)或文件，必然引起系統(tǒng)或

12、文件的變化，既包括長度的變化，又包括內(nèi)容的件的變化，既包括長度的變化，又包括內(nèi)容的變化。因此，變化。因此，將無毒的系統(tǒng)或文件與被檢測的將無毒的系統(tǒng)或文件與被檢測的系統(tǒng)或文件的長度和內(nèi)容進行比較系統(tǒng)或文件的長度和內(nèi)容進行比較，即可發(fā)現(xiàn)，即可發(fā)現(xiàn)病毒。病毒。2 內(nèi)存比較法內(nèi)存比較法 這是一種對內(nèi)存駐留病毒進行檢測的方法。這是一種對內(nèi)存駐留病毒進行檢測的方法。由于病毒駐留于內(nèi)存，必須在內(nèi)存中申請一定由于病毒駐留于內(nèi)存，必須在內(nèi)存中申請一定的空間，并對該空間進行占用、保護。因此，的空間，并對該空間進行占用、保護。因此，通過對內(nèi)存的檢測，觀察其空間變化，與正常通過對內(nèi)存的檢測，觀察其空間變化，與正常系統(tǒng)

13、內(nèi)存的占用和空間進行比較，可以判斷是系統(tǒng)內(nèi)存的占用和空間進行比較，可以判斷是否有病毒駐留其間。但無法判定為何種病毒。否有病毒駐留其間。但無法判定為何種病毒。此法對于那些隱蔽型病毒無效。此法對于那些隱蔽型病毒無效。3 中斷比較法中斷比較法 病毒為實現(xiàn)其隱蔽和傳染破壞之目的，常病毒為實現(xiàn)其隱蔽和傳染破壞之目的，常采用采用“截留盜用截留盜用”技術，更改、接管中斷向量，技術，更改、接管中斷向量，讓系統(tǒng)中斷向量轉(zhuǎn)向執(zhí)行病毒控制部分。因此，讓系統(tǒng)中斷向量轉(zhuǎn)向執(zhí)行病毒控制部分。因此，將正常系統(tǒng)的中斷向量與有毒系統(tǒng)的中斷向量將正常系統(tǒng)的中斷向量與有毒系統(tǒng)的中斷向量進行比較，可以發(fā)現(xiàn)是否有病毒修改和盜用中進行比

14、較，可以發(fā)現(xiàn)是否有病毒修改和盜用中斷向量斷向量。 比較法的好處是簡單、方便，不需專用軟比較法的好處是簡單、方便，不需專用軟件。件。 缺點是缺點是無法確認病毒的種類名稱無法確認病毒的種類名稱。1.5 分析法分析法 一般使用分析法的人不是普通用戶，而是一般使用分析法的人不是普通用戶，而是反病毒技術人員。使用分析法的目的是：反病毒技術人員。使用分析法的目的是： （1） 確認被觀察的磁盤引導區(qū)和程序中是否確認被觀察的磁盤引導區(qū)和程序中是否含有病毒。含有病毒。（2） 確認病毒的類型和種類，判定其是否是確認病毒的類型和種類，判定其是否是一種新病毒。一種新病毒。（3） 搞清楚病毒體的大致結(jié)構(gòu)，提取特征識搞清楚病毒體的大致結(jié)構(gòu)，提取特征識別用的字符串或特征字，別用的字符串或特征字， 用于增添到病毒代用于增添到病