第4章 计机病毒.pptVIP

4.4.3 病毒的检测与查杀 病毒的检测 （2） 校验和法 计算正常文件内容校验和： （1）在检测病毒工具中加入校验和法。 （2）在应用程序中加入校验和自我检查功能。 （3）将校验和检查程序常驻内存。 优点：能检测未知病毒 缺点：不能识别病毒种类和名称，对正常文件 的改变虚假报警 患则堤椎联聪胆商趴皋军阉赖束衣宏紫螟猪趋肃孤宪遏臃疆炉唇峦流夕鲸第4章 计算机病毒第4章 计算机病毒 4.4.3 病毒的检测与查杀 病毒的检测 （3） 行为监测法 行为监测法是将病毒中比较特殊的共同行为归纳起来。当程序运行时监视其行为，若发现类似病毒的行为，立即报警。 优点：既能发现已知病毒，又能预报未知病毒 缺点：可能虚假报警，不能识别病毒名称，实现较难 牙嫩倾娩图粥臀赎碴避艾筋辣滦距窜蒋攀从徊污蜡飞泣线尧颁层扳溉过茎第4章 计算机病毒第4章 计算机病毒 4.4.3 病毒的检测与查杀 病毒的检测 （4）软件模拟法 模拟CPU执行，在虚拟机下执行疑似病毒的变体引擎解码程序，再用特征代码法。 优点：对付特征代码法不能应对的变种病毒 缺点：误报率高，实现难度大 防矩侄室灭忧瘫牲认题歇融稠辽简珠好嘴雏爸拙陌艳帮卜襄晦龚玩沫戏港第4章 计算机病毒第4章 计算机病毒 4.4.3 病毒的检测与查杀 1．特征代码法 从病毒程序中抽取一段独一无二、足以代表该病毒特征的二进制程序代码，并将这段代码作为判断该病毒的依据，这就是所谓的病毒特征代码。 采用病毒特征代码法的检测工具，必须不断更新病毒资料库，否则检测工具便会过期老化，逐渐失去实用价值。 特征代码法的优点 检测准确 快速 可识别病毒的名称 最简单 开销最小 缺点 不能检测未知病毒、变种病毒和隐蔽性病毒，需定期更新病毒资料库，具有滞后性。 荧道冯愚铆涛鞘问匈鲸扯泌钓戳卖翔吊讳泥晒井寒昼眉支匠椰胚梢坊嗽坟第4章 计算机病毒第4章 计算机病毒 4.4.3 病毒的检测与查杀 2．校验和法 校验和法是根据文件的内容，计算其校验和，并将所有文件的校验和放在资料库中。检测时将文件现有内容的校验和与资料库中的校验和做比较，若不同则判断为被感染病毒。 运用校验和法查病毒可以采用三种方式： （1）在检测病毒工具中加入校验和法。 （2）在应用程序中加入校验和自我检查功能。 （3）将校验和检查程序常驻内存。 均踞顶原脂网至逝李酒谱印节楚寐旗辙稀宽调党圭口嘶译玉冯标绷皆著韶第4章 计算机病毒第4章 计算机病毒 4.4.3 病毒的检测与查杀 3．行为监测法 行为监测法是将病毒中比较特殊的共同行为归纳起来。当程序运行时监视其行为，若发现类似病毒的行为，立即报警。 4．软件模拟法 用程序代码虚拟一个CPU、各个寄存器、硬件端口也虚拟出来，调入被调的“样本”，通过内存和寄存器以及端口的变化来了解程序的执行情况。将病毒放到虚拟机中执行，则病毒的传染和破坏等动作一定会被反映出来。 砒准妻字怂好疆孺皂碘娩券取芝米值泡竿赡檀谢跺培刘唾森销搭硷苏所传第4章 计算机病毒第4章 计算机病毒 蠕虫病毒分析? 蠕虫病毒是目前对计算机威胁最大的网络病毒，蠕虫病毒的特征： 1．蠕虫病毒的自我复制能力 用VB脚本语言编写实现自我复制程序。 Set objFs=CreateObject(Scripting.FileSystemObject) ‘创建一个文件系统对象 Set fso=objFs.CreateTextFile(c:\virus.txt,1) ‘通过文件系统对象的方法创建了一个TXT文件。 如果把这两行保存成为.vbs的VB脚本文件，点击鼠标就会在C盘中创建一个TXT文件了。如果把第二行改为： objFs.GetFile(WScript.ScriptFullName).Copy （“C：\virus.vbs”） 就可以实现将自身复制到C盘virus.vbs这个文件上。 4.4.3 病毒的检测与查杀 盲嗅窄匆带映捧腮僻俭疹临拍峨睡鸟锭剐溢众毛瘪馋磺哥棕煞掇鹊吨志漾第4章 计算机病毒第4章 计算机病毒 2．蠕虫病毒的传播性 Set objOA=Wscript.CreateObject （“Outlook.Application”）‘创建一个OUTLOOK应用的对象 Set objMapi=objOA.GetNameSpace （“MAPI”） ‘取得MAPI名字空间 For i=1 to objMapi.AddressLists.Count ‘遍历地址簿 Set objAddList=objMapi.AddressLists （i）