計算機病毒的檢測方法1精選ppt計算機病毒進行傳染，必然會留下痕跡。檢測計算機病毒，就是要到病毒寄生場所去檢查，發(fā)現(xiàn)異常情況，并進而驗明“正身”，確認(rèn)計算機病毒的存在。病毒靜態(tài)時存儲于磁盤中，激活時駐留在內(nèi)存中。因此對計算機病毒的檢測分為對內(nèi)存的檢測和對磁盤的檢測。2精選ppt

一般對磁盤進行病毒檢測時，要求內(nèi)存中不帶病毒，因為某些計算機病毒會向檢測者報告假情況。例如4096病毒在內(nèi)存中時，查看被它感染的文件長度時，不會發(fā)現(xiàn)該文件的長度已發(fā)生變化，而當(dāng)在內(nèi)存中沒有病毒時，才會發(fā)現(xiàn)文件長度已經(jīng)增加了4096字節(jié)。

又如引導(dǎo)區(qū)型的巴基斯坦大腦病毒，當(dāng)它被激活在內(nèi)存中時，檢查引導(dǎo)區(qū)時看不到病毒程序而只看到正常的引導(dǎo)扇區(qū)。3精選ppt

病毒檢測的原理主要基于下列幾種方法：利用病毒特征代碼串的特征代碼法利用文件內(nèi)容校驗的校驗和法用軟件虛擬分析的軟件模擬法比較被檢測對象與原始備份的比較法運用反匯編技術(shù)分析被檢測對象確認(rèn)是否為病毒的分析法4精選ppt

1.病毒的檢測方法

1.1特征代碼法特征代碼法被認(rèn)為是用來檢測已知病毒的最簡單、開銷最小的方法。原理：將所有病毒的病毒碼加以剖析，并且將這些病毒獨有的特征搜集在一個病毒碼資料庫中，簡稱“病毒庫”，檢測時，以掃描的方式將待檢測程序與病毒庫中的病毒特征碼進行一一對比，如果發(fā)現(xiàn)有相同的代碼，則可判定該程序已遭病毒感染。5精選ppt在設(shè)計此類檢測工具時，應(yīng)考慮如下一些問題：（1）高速性。隨著病毒種類的增多，檢索時間變長。如果檢索5000種病毒，必須對5000個病毒特征代碼逐一檢查。如果病毒種數(shù)再增加，檢查病毒的時間開銷就變得十分可觀。此類工具檢測的高速性，將變得日益困難。（2）誤報警率低。（3）要具有檢查多態(tài)性病毒的能力。此要求是對病毒檢測工具的新要求，特征代碼法是不可能檢測多態(tài)性病毒的。6精選ppt（4）能對付隱蔽性病毒。隱蔽性病毒如果先進駐內(nèi)存，后運行病毒檢測工具，隱蔽性病毒能先于檢測工具，將被查文件中的病毒代碼剝?nèi)?，檢測工具的確是在檢查一個有毒文件，但它真正看到的卻是一個虛假的“好文件”，而不能報警，被隱蔽性病毒所蒙騙。

7精選ppt1.2校驗和法

校驗和法是將正常文件的內(nèi)容，計算其“校驗和”，將該校驗和寫入文件中或?qū)懭雱e的文件中保存。在文件使用過程中，定期地或每次使用文件前，檢查文件現(xiàn)在內(nèi)容算出的校驗和與原來保存的校驗和是否一致，以此來發(fā)現(xiàn)文件是否感染。優(yōu)點:既可發(fā)現(xiàn)已知病毒又可發(fā)現(xiàn)未知病毒。

常用:在許多常用的檢測工具中，都采用了這種方法。8精選ppt缺點不能識別病毒種類，不能報出病毒名稱

誤報警:由于病毒感染并非文件內(nèi)容改變的惟一的排他性原因，文件內(nèi)容的改變有可能是正常程序引起的，所以校驗和法常常誤報警。

會影響文件的運行速度當(dāng)已有軟件版本更新、變更口令或修改運行參數(shù)時，校驗和法都會誤報警。9精選ppt校驗和法對隱蔽性病毒無效:隱蔽性病毒進駐內(nèi)存后，會自動剝?nèi)ト径境绦蛑械牟《敬a，使校驗和法受騙，對一個有毒文件算出正常校驗和。10精選ppt1.3軟件模擬法為了檢測多態(tài)性病毒，國外研制了新的檢測方法——軟件模擬法。它是一種軟件分析器，用軟件方法來模擬和分析程序的運行，以后演繹為虛擬機上進行的查毒，啟發(fā)式查毒技術(shù)等，是相對成熟的技術(shù)。新型檢測工具納入了軟件模擬法，該類工具開始運行時，使用特征代碼法檢測病毒，如果發(fā)現(xiàn)隱蔽病毒或多態(tài)性病毒嫌疑時，啟動軟件模擬模塊，監(jiān)視病毒的運行，待病毒自身的密碼譯碼以后，再運用特征代碼法來識別病毒的種類。11精選ppt

1.4比較法

比較法是用原始的或正常的文件與被檢測的文件進行比較。長度比較法內(nèi)容比較法內(nèi)存比較法中斷比較法比較時可以靠打印的代碼清單（比如DEBUG的口命令輸出格式）進行比較，或用程序來進行比較（如DOS的DISKCOMP、COMP或PCTOOLS等其他軟件）。

12精選ppt可以發(fā)現(xiàn)那些尚不能被現(xiàn)有的查病毒程序發(fā)現(xiàn)的計算機病毒。因為病毒傳播得很快，新病毒層出不窮，由于目前還沒有做出通用的能查出一切病毒，或通過代碼分析，可以判定某個程序中是否含有病毒的查毒程序，發(fā)現(xiàn)新病毒就只有靠比較法和分析法，有時必須結(jié)合這兩者一同工作。13精選ppt1.長度比較法及內(nèi)容比較法病毒感染系統(tǒng)或文件，必然引起系統(tǒng)或文件的變化，既包括長度的變化，又包括內(nèi)容的變化。因此，將無毒的系統(tǒng)或文件與被檢測的系統(tǒng)或文件的長度和內(nèi)容進行比較，即可發(fā)現(xiàn)病毒。14精選ppt2．內(nèi)存比較法這是一種對內(nèi)存駐留病毒進行檢測的方法。由于病毒駐留于內(nèi)存，必須在內(nèi)存中申請一定的空間，并對該空間進行占用、保護。因此，通過對內(nèi)存的檢測，觀察其空間變化，與正常系統(tǒng)內(nèi)存的占用和空間進行比較，可以判斷是否有病毒駐留其間。但無法判定為何種病毒。此法對于那些隱蔽型病毒無效。15精選ppt3．中斷比較法病毒為實現(xiàn)其隱蔽和傳染破壞之目的，常采用“截留盜用”技術(shù)，更改、接管中斷向量，讓系統(tǒng)中斷向量轉(zhuǎn)向執(zhí)行病毒控制部分。因此，將正常系統(tǒng)的中斷向量與有毒系統(tǒng)的中斷向量進行比較，可以發(fā)現(xiàn)是否有病毒修改和盜用中斷向量。16精選ppt

比較法的好處是簡單、方便，不需專用軟件。缺點是無法確認(rèn)病毒的種類名稱。17精選ppt1.5分析法一般使用分析法的人不是普通用戶，而是反病毒技術(shù)人員。使用分析法的目的是：（1）確認(rèn)被觀察的磁盤引導(dǎo)區(qū)和程序中是否含有病毒。（2）確認(rèn)病毒的類型和種類