[閒聊] 電腦病毒的檢測

一、如何及早的發現病毒

首先應注意內存情況，絕大部分的病毒是駐留內存的；其次應注意常用的可執行文件的字節數，大多數病毒在對文件進行傳染後會使文件的長度增加。內存病毒一般有兩種：
1、加載在系統內存裡面運行的病毒，刪除文件後會重新寫入或生成病毒文件；
2、加載在硬盤引導區裡面的病毒，格式化硬盤也無濟於事。

二、電腦病毒的檢測

1、檢測病毒的方法-特征代碼法
實現步驟：採集已知的病毒樣本，從中抽取病毒代碼
依據原則：
抽取的代碼比較特殊，不大可能與普通正常程序代碼吻合。
抽取的代碼要有適當的長度，一方面維持特征代碼的唯一性，另一方面不要有太大的空間與時間開銷。
將特征代碼納入病毒數據庫。
檢測過程：打開被檢測文件，在文件中搜索，檢查文件中是否含有病毒數據庫中的病毒特征代碼。如果發現，由於特征代碼與病毒一一對應，便可以斷定，被查文件中含有何種病毒。
優點：檢測準確快速、可識別病毒的名稱、誤報警率低、依據檢測結果，可做解毒處理
缺點：不能檢測未知病毒，需要蒐集已知病毒的特征代碼，費用開銷大、在網絡上效率低。
病毒檢測工具SCAN、CPAV

2、檢測病毒的方法-校驗和法
計算正常文件內容的校驗和，將該校驗和寫入文件中或別的文件中保存，在文件使用過程中，定期地或每次使用文件前，檢查文件現在內容算出的校驗和與原來是否一致，因而可以發現文件是否感染，這種方法叫校驗和法。
運用校驗和法查病毒採用3種方式：
在病毒檢測工具中納入校驗和法
在應用程序中放入校驗和法自我檢查功能
將校驗和檢查程序常駐內存
優點：能發現未知病毒
缺點：不能識別病毒名稱，會誤報警、不能對付隱蔽型病毒（隱蔽型病毒進駐內存後，會自動剝去染毒程序中的病毒代碼，使校驗和法受騙，對一個有毒文件算出正常校驗和）

3、檢測病毒的方法-行為監測法
行為監測法：利用病毒的特有行為特徵性來監測病毒的方法。
通過對病毒多年的觀察、研究，有一些行為是病毒的共同行為，而且比較特殊。在正常程序中，這些行為比較罕見。當程序運行時，監視其行為，如果發現了病毒行為，立即報警。
行為監測法的優點：可發現未知病毒、可相當準確地預報未知的多數病毒。
行為監測法的缺點：可能誤報警、不能識別病毒名稱、實現時有一定難度。

4、檢測病毒的方法-軟件模擬法
多態性病毒每次感染都變化其病毒密碼，對付這種病毒，特征代碼法失效。因為多態性病毒代碼實施密碼化，而且每次所用密鑰不同，把染毒的病毒代碼相互比較也各不相同，因此，出現了一種新的病毒監測方法，那就是軟件模擬法。該類工具開始使用特征代碼法監測病毒，如果發現隱蔽病毒或多態性病毒嫌疑時，啟動軟件模擬模塊，監測病毒的運行，待病毒自身的密碼譯碼後，再運用特征代碼法來識別病毒的種類。

三、檢測病毒的方法(小結)
1、特征代碼法
採集病毒樣本，抽取特征代碼
特點：能快速、準確檢驗已知病毒，不能發現未知的病毒。
2、校驗和法：根據文件內容計算的校驗和與以前的作比較。
優點：能判斷文件細微變化，發現未知病毒。
缺點：當軟件升級、改口令時會產生誤報；不能識別病毒名稱；對隱蔽性病毒無效。
3、行為監測法：基於對病毒特有行為的判斷
特點：發現許多未知病毒；可能誤報，實施難
4、軟件模擬法：一種軟件分析器，用軟件方法來模擬和分析程序的運行。
特點：可用於對付多態病毒。