|
|
|
|
|
计算机病毒检测就是采用各种检测方法将病毒识别出来。识别病毒的技术主要有特征判定技术（静态判定技术）、行为判定技术（动态判定技术）。
|
|
|
|
|
|
特征判定技术是根据病毒程序的特征，如感染标记、特征程序段内容、文件长度变化、文件校验和变化等，对病毒进行分类处理，以后在程序运行中凡有类似的特征点出现，则认定是病毒。
|
|
|
|
|
|
（1）比较法。比较法的工作原理是将可能的感染对象（引导扇区或计算机文件）与原始备份进行比较，如果发现不一致则说明有染毒的可能性。比较法以保留干净的原始备份为前提，不需要专门的查毒程序，用常规的具有比较功能的软件即可进行。优点是简单、方便，能够发现已知病毒和未知病毒。缺点是无法确认计算机病毒种类的名称及发现的异常是否真是病毒。
|
|
|
|
（2）校验和检测法。校验和检测法的工作原理是计算正常文件内容的校验和并保存，通过定期或实时地检测文件，比对当前文件算出的校验和与保存的校验和是否一致，判断文件是否感染了病毒。其优点是简单，能够发现已知病毒和未知病毒，并检测出文件的细微变化。缺点是不能够识别病毒种类。由于病毒感染并非文件内容改变的唯一原因（软件版本更新、变更密码、修改运行参数等都会引起文件发生变化），所以该方法容易产生病毒误报。隐蔽性病毒进驻内存后，会自动剥去染毒程序中的病毒代码，从而对有毒文件计算出正常的校验和，因此校验和检测对隐蔽性病毒无效。
|
|
|
|
（3）特征扫描法。特征扫描法的工作原理是对新发现的病毒样本进行分析，抽取其特征代码加入资料库中。查毒时，用资料库中的特征代码与被检测对象进行比对，如果发现与资料库中相吻合的特征代码，即可判定出相应的病毒。特征扫描法的优点在于能够准确地查出病毒并确定病毒的种类和名称，病毒误报警率低。缺点是不能检测未知病毒，特征代码库必须不断地丰富和更新。由于搜集已知病毒的特征代码，费用开销大。在网络服务器上，因长时间检索会使整个网络性能降低。
|
|
|
|
（4）启发式扫描法。启发式扫描法是凭借过去的经历和知识逼近问题的技巧来检测病毒。它检查一个文件的特征，例如大小或结构体系，并且通过代码的行为来确定被感染的可能性。启发式扫描法是为了克服传统扫描工具不能检测未知病毒的缺点而提出的新技术。它专门用来寻找未知病毒及与已知病毒特征接近、但还未被收录的病毒。启发式检测技术也被用来寻找那些已知的、不提供自身特征的一些病毒，如一些新的变形病毒。
|
|
|
|
|
|
通常病毒会具有一些正常程序少有的特有行为，例如：占用INT 13H；修改DOS系统数据区的内存常量；向.COM和.EXE可执行文件做写入动作；病毒程序与宿主程序的切换等。行为判定技术解决如何有效地辨别病毒行为与正常程序行为。行为监测法是常用的行为判定技术，其工作原理就是利用病毒的特有行为监测病毒。通过监视程序行为，发现病毒并报警。行为监测法的优点是可以相当准确地预报未知的多数病毒，缺点是可能虚假报警和不能识别病毒名称，而且实现起来有一定的难度。
|
|
|
|
|
|
计算机病毒严重干扰了人们对计算机的使用，各种病毒防治方法也不断涌现，一般常用的有以下几种：
|
|
|
|
|
|
（2）网络杀毒。现在病毒传播的主要手段是通过网络进行的，在本地网络的入口设置病毒防治系统，可以有效防止病毒进入本地局域网。一般可以在路由器、防火墙中加入反病毒模块，专门针对网络蠕虫、邮件病毒、网页恶意代码等。
|
|
|
|
（3）个人防火墙。防火墙能够在一定程度上起到屏蔽Internet上恶意攻击的目的。现在反病毒厂商与防火墙厂商开展了各种合作。同时，反病毒厂商也积极开发自己的个人防火墙，在产品上实现反病毒与防黑客二者合一。
|
|
|
|
（4）邮件杀毒。电子邮件在带来方便和快捷的同时，也充当了病毒传播的主要工具。很多极具破坏力的病毒都把电子邮件作为一个重要的传播渠道。对于一款杀毒软件而言，邮件杀毒的功能必不可少。邮件杀毒可以分为对已经收到的邮件进行查杀和接收邮件时的实时查杀。
|
|
|
|
（5）数据备份恢复系统。能杀灭所有病毒的软件不一定就是最好的软件。因为对任何人而言，原有的信息才是最为重要的，防病毒软件所应做的，除了要将病毒全部杀灭，更重要的是要将遭到病毒破坏的数据信息恢复到正常状态。因此，数据备份恢复系统应该成为病毒防治软件必备的功能部件。
|
|
|
