第4章节计算机病毒.pptVIP

4.4.3 病毒的检测与查杀 病毒的检测 （2） 校验和法 计算正常文件内容校验和： （1）在检测病毒工具中加入校验和法。 （2）在应用程序中加入校验和自我检查功能。 （3）将校验和检查程序常驻内存。 优点：能检测未知病毒 缺点：不能识别病毒种类和名称，对正常文件 的改变虚假报警 Evaluation only. Created with Aspose.Slides for .NET 3.5 Client Profile . Copyright 2004-2011 Aspose Pty Ltd. 4.4.3 病毒的检测与查杀 病毒的检测 （3） 行为监测法 行为监测法是将病毒中比较特殊的共同行为归纳起来。当程序运行时监视其行为，若发现类似病毒的行为，立即报警。 优点：既能发现已知病毒，又能预报未知病毒 缺点：可能虚假报警，不能识别病毒名称，实现较难 Evaluation only. Created with Aspose.Slides for .NET 3.5 Client Profile . Copyright 2004-2011 Aspose Pty Ltd. 4.4.3 病毒的检测与查杀 病毒的检测 （4）软件模拟法 模拟CPU执行，在虚拟机下执行疑似病毒的变体引擎解码程序，再用特征代码法。 优点：对付特征代码法不能应对的变种病毒 缺点：误报率高，实现难度大 Evaluation only. Created with Aspose.Slides for .NET 3.5 Client Profile . Copyright 2004-2011 Aspose Pty Ltd. 4.4.3 病毒的检测与查杀 1．特征代码法 从病毒程序中抽取一段独一无二、足以代表该病毒特征的二进制程序代码，并将这段代码作为判断该病毒的依据，这就是所谓的病毒特征代码。 采用病毒特征代码法的检测工具，必须不断更新病毒资料库，否则检测工具便会过期老化，逐渐失去实用价值。 特征代码法的优点 检测准确 快速 可识别病毒的名称 最简单 开销最小 缺点 不能检测未知病毒、变种病毒和隐蔽性病毒，需定期更新病毒资料库，具有滞后性。 Evaluation only. Created with Aspose.Slides for .NET 3.5 Client Profile . Copyright 2004-2011 Aspose Pty Ltd. 4.4.3 病毒的检测与查杀 2．校验和法 校验和法是根据文件的内容，计算其校验和，并将所有文件的校验和放在资料库中。检测时将文件现有内容的校验和与资料库中的校验和做比较，若不同则判断为被感染病毒。 运用校验和法查病毒可以采用三种方式： （1）在检测病毒工具中加入校验和法。 （2）在应用程序中加入校验和自我检查功能。 （3）将校验和检查程序常驻内存。 Evaluation only. Created with Aspose.Slides for .NET 3.5 Client Profile . Copyright 2004-2011 Aspose Pty Ltd. 4.4.3 病毒的检测与查杀 3．行为监测法 行为监测法是将病毒中比较特殊的共同行为归纳起来。当程序运行时监视其行为，若发现类似病毒的行为，立即报警。 4．软件模拟法 用程序代码虚拟一个CPU、各个寄存器、硬件端口也虚拟出来，调入被调的“样本”，通过内存和寄存器以及端口的变化来了解程序的执行情况。将病毒放到虚拟机中执行，则病毒的传染和破坏等动作一定会被反映出来。 Evaluation only. Created with Aspose.Slides for .NET 3.5 Client Profile . Copyright 2004-2011 Aspose Pty Ltd. 蠕虫病毒分析? 蠕虫病毒是目前对计算机威胁最大的网络病毒，蠕虫病毒的特征： 1．蠕虫病毒的自我复制能力 用VB脚本语言编写实现自我复制程序。 Set objFs=CreateObject(Scripting.FileSystemObject) ‘创建一个文件系统对象 Set fso=objFs.CreateTextFile(c:\virus.txt,1) ‘通过文件系统对象的方法创建了一个TXT文件。 如果把这两行保存成为.vbs的VB脚本文件，点击鼠标就会在C盘中创建一个TXT文件了。如果把第二行改为： objFs.GetFile(WScript.ScriptFullName).Cop