第四章启发式病毒扫描（HScanner）的实现-Read.docVIP

摘 要 针对二进制病毒的启发式扫描技术 摘要: 传统病毒扫描采用特征值扫描技术，虽然这种方法能够非常有效的查知已知的病毒，但是对新病毒完全无能无力！并且一些加密的多态病毒不可能提取出一个满意的特征值，因此也无法利用特征值扫描技术来检测。启发式病毒扫描从一定意义上讲就是一种病毒预测技术，它针对病毒的普遍特征（自我复制，破坏系统），再加上病毒分析师的经验总结，对未知病毒进行有效的预测。随着现在病毒复杂性的提高，这种启发式扫描技术将有非常广阔的发展前景。 本文主要针对当前存在的二进制病毒提出一种简单的启发式病毒扫描方式。 关键字： 启发式 二进制病毒 宏病毒 虚拟机 反汇编 ABSTRACT Abstract The traditional method for detecting viruses is Signature Scanning. Although it’s very efficient for the known viruses ,it has no use for the new viruses about which we have not known, especially for the encoded polymorphic viruses which may not have an unique signature. In some words, the heuristic scanning is a method of forecasting. With the two common characteristics(replication and destroying) and the experience of experts of virus detecting ,it can detect the unknown viruses efficiently. With the development of virus, this method of virus scanning will have a broader prospect. This paper will introduce a detailed method of heuristic virus scanning for binary virus. Key Words： heuristic, binary virus ,macro virus, virtual machine, deassemble 目 录 PAGE ii 目 录 TOC \o 1-3 \h \z HYPERLINK \l _To第一章 前言 PAGEREF _To\h 1 HYPERLINK \l _To1.1 缘起 PAGEREF _To\h 1 HYPERLINK \l _To1.2什么是病毒 PAGEREF _To\h 1 HYPERLINK \l _To1.3病毒的两大基本特征 PAGEREF _To\h 2 HYPERLINK \l _To1.3.1破坏性 PAGEREF _To\h 2 HYPERLINK \l _To1.3.2病毒的自我复制（传播）特性 PAGEREF _To\h 3 HYPERLINK \l _To1.4病毒的分类 PAGEREF _To\h 3 HYPERLINK \l _To1.5识别病毒的方法 PAGEREF _To\h 4 HYPERLINK \l _To第二章 二进制病毒与宏病毒介绍 PAGEREF _To\h 5 HYPERLINK \l _To2.1二进制病毒 PAGEREF _To\h 5 HYPERLINK \l _To2.1.1二进制病毒的生成（编写） PAGEREF _To\h 5 HYPERLINK \l _To2.1.2二进制病毒的传播方式 PAGEREF _To\h 5 HYPERLINK \l _To2.1.3二进制病毒的破坏性 PAGEREF _To\h 7 HYPERLINK \l _To2