计算机安全技术分析与防治.pptVIP

5.3 文件型病毒 3．文件型病毒的检测 常用的办法是借助于“查毒软件”，其基本思想是：在一个文件的特定位置，查找病毒的特定标识，如果存在，则认为文件被病毒感染。这种检测病毒的方法称为“特征标识匹配法”，它一次可以检查磁盘上的所有可执行文件。 (1）检测系统内存中是否含有病毒 病毒的传染性是它的重要特性。病毒一般都是修改 INT 21H中断来截获系统调用，因此可以根据INT 21H中断向量的入口地址来判断是否有病毒驻留内存。 用DOS命令MEM，可以列出系统中驻留的所有程序，检查其中是否有非法程序驻留。如果发现非法驻留的程序，则可以判定系统内存中含有病毒。 第三十页，共五十六页。 5.3 文件型病毒 （2）检查文件中的病毒 对可执行文件中病毒的判定，一般情况下只能采用比较法，即通过观察文件的长度或日期时间是否变化来判断有无病毒。 4．文件型病毒的清除 文件型病毒和被感染文件的链接方式是多种多样的，有的病毒驻留在文件的首部，有的则驻留在尾部，而且各个病毒保存被感染文件的参数的方法和位置也各不相同。因此要清除文件中的病毒，就要分析病毒程序代码，找出病毒和被感染文件之间的链接关系，才有可能把病毒从被感染文件中分离出来。 第三十一页，共五十六页。 5.3 文件型病毒 清除文件中的病毒一般应按照以下步骤进行： (1)分析病毒与被感染文件之间的链接方式； (2)确定病毒程序驻留在文件的