計算機(jī)病毒的檢測

最簡單的方法是用較新的防病毒軟件對磁盤進(jìn)行全面的檢測。
如何及早的發(fā)現(xiàn)新病毒
首先應(yīng)注意內(nèi)存情況，絕大部分的病毒是駐留內(nèi)存的。
其次應(yīng)注意常用的可執(zhí)行文件的字節(jié)數(shù)。大多數(shù)病毒在對文件進(jìn)行傳染后會使文件的長度增加。
對于軟盤，則應(yīng)注意是否無故出現(xiàn)壞塊（有些病毒會在盤上做壞蔟標(biāo)記，以便將其自身部分隱藏其中）。

檢測病毒的方法-特征代碼法
實(shí)現(xiàn)步驟：采集已知的病毒樣本，從中抽取病毒代碼
依據(jù)原則：
抽取的代碼比較特殊，不大可能與普通正常程序代碼吻合。
抽取的代碼要有適當(dāng)?shù)拈L度，一方面維持特征代碼的唯一性，另一方面不要有太大的空間與時間開銷。
將特征代碼納入病毒數(shù)據(jù)庫。
檢測過程：打開被檢測文件，在文件中搜索，檢查文件中是否含有病毒數(shù)據(jù)庫中的病毒特征代碼。如果發(fā)現(xiàn)，由于特征代碼與病毒一一對應(yīng)，便可以斷定，被查文件中含有何種病毒。
優(yōu)點(diǎn)：檢測準(zhǔn)確快速、可識別病毒的名稱、誤報警率低、依據(jù)檢測結(jié)果，可做解毒處理
缺點(diǎn)：不能檢測未知病毒，需要搜集已知病毒的特征代碼，費(fèi)用開銷大、在網(wǎng)絡(luò)上效率低。
病毒檢測工具SCAN、CPAV

檢測病毒的方法-校驗(yàn)和法
計算正常文件內(nèi)容的校驗(yàn)和，將該校驗(yàn)和寫入文件中或別的文件中保存，在文件使用過程中，定期地或每次使用文件前，檢查文件現(xiàn)在內(nèi)容算出的校驗(yàn)和與原來是否一致，因而可以發(fā)現(xiàn)文件是否感染，這種方法叫校驗(yàn)和法。
運(yùn)用校驗(yàn)和法查病毒采用3種方式：
在病毒檢測工具中納入校驗(yàn)和法
在應(yīng)用程序中放入校驗(yàn)和法自我檢查功能
將校驗(yàn)和檢查程序常駐內(nèi)存
優(yōu)點(diǎn)：能發(fā)現(xiàn)未知病毒
缺點(diǎn)：不能識別病毒名稱，會誤報警、不能對付隱蔽型病毒（隱蔽型病毒進(jìn)駐內(nèi)存后，會自動剝?nèi)ト径境绦蛑械牟《敬a，使校驗(yàn)和法受騙，對一個有毒文件算出正常校驗(yàn)和）

檢測病毒的方法-行為監(jiān)測法
行為監(jiān)測法：利用病毒的特有行為特征性來監(jiān)測病毒的方法。
通過對病毒多年的觀察、研究，有一些行為是病毒的共同行為，而且比較特殊。在正常程序中，這些行為比較罕見。當(dāng)程序運(yùn)行時，監(jiān)視其行為，如果發(fā)現(xiàn)了病毒行為，立即報警。
行為監(jiān)測法的優(yōu)點(diǎn)：可發(fā)現(xiàn)未知病毒、可相當(dāng)準(zhǔn)確地預(yù)報未知的多數(shù)病毒。
行為監(jiān)測法的缺點(diǎn)：可能誤報警、不能識別病毒名稱、實(shí)現(xiàn)時有一定難度。

檢測病毒的方法-軟件模擬法
多態(tài)性病毒每次感染都變化其病毒密碼，對付這種病毒，特征代碼法失效。因?yàn)槎鄳B(tài)性病毒代碼實(shí)施密碼化，而且每次所用密鑰不同，把染毒的病毒代碼相互比較也各不相同，因此，出現(xiàn)了一種新的病毒監(jiān)測方法，那就是軟件模擬法。該類工具開始使用特征代碼法監(jiān)測病毒，如果發(fā)現(xiàn)隱蔽病毒或多態(tài)性病毒嫌疑時，啟動軟件模擬模塊，監(jiān)測病毒的運(yùn)行，待病毒自身的密碼譯碼后，再運(yùn)用特征代碼法來識別病毒的種類。

檢測病毒的方法(小結(jié))
特征代碼法
采集病毒樣本，抽取特征代碼
特點(diǎn)：能快速、準(zhǔn)確檢驗(yàn)已知病毒，不能發(fā)現(xiàn)未知的病毒。
校驗(yàn)和法： 根據(jù)文件內(nèi)容計算的校驗(yàn)和與以前的作比較。
優(yōu)點(diǎn)：能判斷文件細(xì)微變化，發(fā)現(xiàn)未知病毒。
缺點(diǎn)：當(dāng)軟件升級、改口令時會產(chǎn)生誤報；不能識別病毒名稱；對隱蔽性病毒無效。
行為監(jiān)測法： 基于對病毒特有行為的判斷
特點(diǎn)：發(fā)現(xiàn)許多未知病毒；可能誤報，實(shí)施難
軟件模擬法：一種軟件分析器，用軟件方法來模擬和分析程序的運(yùn)行。
特點(diǎn)：可用于對付多態(tài)病毒。