计算机病毒的检测-网络与信息化中心.pdfVIP

计算机病毒的检测 高山：gshan at dlut.edu.cn 2011年3 月 病毒检测原理  利用病毒特征代码串的特征代码法  利用文件内容校验的校验和法  利用病毒特有行为特征的行为监测法  用软件虚拟分析的软件模拟法  比较被检测对象与原始备份的比较法  利用病毒特性进行检测的感染实验法  运用反汇编技术分析被检测对象确认是否为病毒 的分析法 特征代码法  用来检测已知病毒的最简单、开小最小的方法  原理是将所有病毒的病毒码加以剖析，并将这些 病毒独有的特征搜集到一个病毒码资料库中（病 毒库）  检测时以扫描的方式将待检测程序与病毒库中的 病毒特征码进行一一对比，若发现相同的代码， 则可判定该程序已遭病毒感染 基本步骤  1、采集已知病毒样本，如果病毒同时感染com、 exe 文件，对这种病毒要同时采集两种样本  2、从病毒样本中抽取病毒特征码，原则如下：  抽取特殊代码，使其不大可能与普通正常程序 代码吻合  抽取的代码长度适当，减少时间空间开销  如果同时感染com、exe ，需要抽取两种样本共 有代码 基本步骤  3、将特征代码纳入病毒库  4、打开被检测文件，在文件中搜索，检查 文件中是否含有病毒数据库中的病毒特征 代码  5、如果发现病毒特征代码，由于特征代码 与病毒一一对应，便可断定，被检查的文 件中带有何种病毒 特征代码的利弊  优点：准确、快速、误报率低、识别病毒 名称  缺点：不能检测未知病毒、多态病毒，不 能对付隐蔽性病毒，搜集代码费用大 此类检测工具要考虑的问题  高速性  误报率低  能检测多态性病毒  能对付隐蔽性病毒 举例 病毒名 特征代码 感染目标 Disk Killer C3 10 E2 F2 C6 06 F3 01 FF 90 EB 55 Fboot、Hboot command、com、 4096 FF 76 06 2E 8F 06 B3 12 exe Taiwan 8A 0E 95 00 81 E1 FE 00 BA 9E com 搜索法  搜索法是用每一种病毒体含有的特征字节串对被 检测的对象进行扫描，如果发现特征字节串，就 表明发现了该特征串所代表的病毒。  当被扫描的文件很长时，扫描所花的时间也多。  当新的病毒特征串未加入病毒代码库时，老版本 的扫描程序无法识别新病毒。  当病毒产生新的变种时，病毒特征串被改变，因 此可以躲过扫描程序。  容易产生误报警。 校验和法  是将正常文件的内容，计算其校验和，将 结果写入文件或其他文件中保存，在文件 使用过程中，定期的或每次使用文件前， 检查文件现在内容算出的校验和是否和原 来保存的校验和一致，以此来发现文件是 否被感染 校验和法优缺点  优点：方法简单、能发现未知病毒、被查 文件的细微变化也能发现  缺点：必须记录正常状态的校验和、会误 报警、不能识别病毒名称、不能对付隐蔽 性病毒 行为监测法  利用病毒的特有行为特征来监测病毒的方 法  通过对病毒多年研究、观察，发现一些行 为是病毒的共同行为