第九章 计算机病毒查杀方法25462幻灯片.pptVIP

计算机病毒查杀 上海交通大学信息安全工程学院 本章学习目标 掌握计算机病毒诊断知识 掌握杀毒引擎扫描算法 了解病毒诊断实验 理解计算机病毒清除知识 本章内容： 计算机病毒的诊断 原理 方法 源码分析 计算机病毒的清除 典型病毒的查杀 1 计算机病毒的诊断 内容： 计算机病毒的诊断原理 计算机病毒的诊断方法 高速模式匹配 自动诊断的源码分析 计算机病毒的诊断原理 用什么来判断？ 染毒后的特征 常用方法： 比较法 校验和 扫描法 行为监测法 行为感染试验法 虚拟执行法 陷阱技术 先知扫描 分析法等等 比较法 比较法是用原始或正常的对象与被检测的对象进行比较。 手工比较法是发现新病毒的必要方法。 比较法又包括： 注册表比较法 工具RegMon 弱点:正常程序也操作注册表 文件比较法 通常比较文件的长度和内容两个方面 工具FileMon 弱点：长度和内容的变化有时是合法的 病毒可以模糊这种变化 内存比较法 主要针对驻留内存病毒 判断驻留特征 中断比较法 将正常系统的中断向量与有毒系统的中断向量进行比较 比较法的好处：简单 比较法的缺点：无法确认病毒，依赖备份 校验和法 首先，计算正常文件内容的校验和并且将该校验和写入某个位置保存。然后，在每次使用文件前或文件使用过程中，定期地检查文件现在内容算出的校验和与原来保存的校验和是否一致，从而可以发现文件是否感染，这种方法叫校验和法，它既可发现已知病毒又可发现未知病毒。 优点： 方法简单 能发现未知病毒 被查文件的细微变化也能发现 缺点： 必须预先记录正常态的校验和 会误报警 不能识别病毒名称 程序执行附加延迟 不对付隐蔽性病毒。 扫描法 扫描法是用每一种病毒体含有的特定字符串（Signature）对被检测的对象进行扫描。如果在被检测对象内部发现了某一种特定字符串，就表明发现了该字符串所代表的病毒。 扫描器由两部分组成： 特征串（Signature）和扫描算法（Scanner） 选择代码串的规则是： 代码串不应含有病毒的数据区，数据区是会经常变化的。 在保持唯一性的前提下，应尽量使特征代码长度短些，以减少时间和空间开销。 代码串一定要在仔细分析了程序之后才能选出最具代表性的，足以将该病毒区别于其他病毒和该病毒的其他变种的代码串。 特征串必须能将病毒与正常的非病毒程序区分开。 例如:给定特征串为“E9?7C?00?10???37?CB”，则“E9?7C?00?10?27?37?CB”和“E9?7C?00?10?9C?37?CB”都能被识别出来. 其优点包括：????（1）当特征串选择得很好时，病毒检测软件让计算机用户使用起来方便快速，对病毒了解不多的人也能用它来发现病毒。????（2）不用专门软件，用编辑软件也能用特征串扫描法去检测特定病毒。????（3）可识别病毒的名称。????（4）误报警率低。????（5）依据检测结果，可做杀毒处理。 缺点：????（1）当被扫描的文件很长时，扫描所花时间也较多。????（2）不容易选出合适的特征串，有时会发出假警报。????（3）新病毒的特征串未加入病毒代码库时，老版本的扫毒程序无法识别出新病毒。????（4）怀有恶意的计算机病毒制造者得到代码库后，会很容易地改变病毒体内的代码，生成一个新的变种，使扫描程序失去检测它的能力。????（5）容易产生误警报。只要正常程序内带有某种病毒的特征串，即使该代码段已不可能被执行，而只是被杀死的病毒体残余，扫描程序仍会报警。????（6）不易识别变异类病毒。????（7）搜集已知病毒的特征代码，费用开销大。????（8）在网络上使用效率低。 行为监测法 利用病毒的特有行为特性来监测病毒的方法称为行为监测法。 常用行为： 占用INT 13H 修改DOS系统数据区的内存总量 对COM和EXE文件做写入动作 写注册表 自动联网请求 优点：发现未知病毒 缺点：难度大、误报警 感染实验法 这种方法的原理是利用了病毒的最重要的基本特征：感染特性。观察正常程序和可疑程序的表现是非不同。 ?1．检测未知引导型病毒的感染实验法 a.先用一张软盘，做一个清洁无毒的系统盘，用DEBUG程序，读该盘的BOOT扇区进入内存，计算其校验和，并记住此值。同时把正常的BOOT扇区保存到一个文件中。上述操作必须保证系统环境是清洁无毒的 b.在这张实验盘上拷贝一些无毒的系统应用程序。 c.启动可疑系统，将实验盘插入可疑系统，运行实验盘上的程序，重复一定次数。 d.再在干净无毒机器上，检查实验盘的BOOT扇区，可与原BOOT扇区内容比较，如果实验盘BOOT扇区内容已改变，可以断定可疑系统中有引导型病毒。 2．检测未知文件型病毒的感染实验法 a.在干净系统中制作一张实验盘，上面存放一些应用程序，这些程