计算机病毒比较法诊断的原理

《计算机病毒比较法诊断的原理》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、计算机病毒比较法诊断的原理比较法是用原始的或正常的与被检测的进行比较。比较法包括长度比较法、内容比较法、内存比较法、中断比较法等。比较时可以靠打印的代码清单（比如DEBUG的口命令输出格式）进行比较，或用程序来进行比较（如DOS的DISKCOMP、COMP或PCTOOLS等其他软件）。这种比较法不需要专用的查病毒程序，只要用常规DOS软件和PCTOOLS等工具软件就可以进行。而且用这种比较法还可以发现那些尚不能被现有的查病毒程序发现的计算机病毒。因为病毒传播得很快，新病毒层出不穷，由于目前还没有做出通用的能查出一切病

2、毒，或通过代码分析，可以判定某个程序中是否含有病毒的查毒程序，发现新病毒就只有靠比较法和分析法，有时必须结合这两者来一同工作。1．长度比较法及内容比较法病毒感染系统或文件，必然引起系统或文件的变化，既包括长度的变化，又包括内容的变化。因此，将无毒的系统或文件与被检测的系统或文件的长度和内容进行比较，即可发现病毒。长度比较法和内容比较法就是从长度和内容两方面进行比较而得名。以长度或内容是否变化做为检测病毒的依据，在许多场合是有效的。但是，众所周知，现在还没有一种方法可以检测所有的病毒。长度比较法和内容比较法有其局限性，

3、只检查可疑系统或文件的长度和内容是不充分的。因为：（1）长度和内容的变化可能是合法的。有些普通的命令可以引起长度和内容变化。（2）某些病毒感染文件时，宿主文件长度可保持不变。上述情况下，长度比较法和内容比较法不能区别程序的正常变化和病毒攻击引起的变化，不能识别保持宿主程序长度不变的病毒，无法判定为何种病毒。实践告诉人们，只靠检测长度或内容是不充分的，将长度比较法、内容比较法做为检测病毒的手段之一，与其他方法配合使用，效果更好。2．内存比较法这是一种对内存驻留病毒进行检测的方法。由于病毒驻留于内存，必须在内存中申请一定

4、的空间，并对该空间进行占用、保护。因此，通过对内存的检测，观察其空间变化，与正常系统内存的占用和空间进行比较，可以判定是否，有病毒驻留其间。但无法判定为何种病毒。此法对于那些隐蔽型病毒无效。3．中断比较法病毒为实现其隐蔽和传染破坏之目的，常采用“截留盗用”技术，更改、接管中断向量，让系统中断向量转向执行病毒控制部分。因此，将正常系统的中断向量与有毒系统的中断向量进行比较，可以发现是否有病毒修改和盗用中断向量。由于高版本的DOS系统在DOS引导之后重新管理一部分BIOS中断服务程序，即将原中断向量保存起来，这时；引导型

5、病毒所修改的中断向量也同时被保存起来，因而从中断向量中可能观察不到引导型病毒对中断向量的修改。与PCTOOLS一同提供的MI是一个非常有用的检测工具，它不仅能够显示系统内存大小、内存分配状况，而且能够显示出哪个驻留程序占用哪些内存空间、接管哪些中断向量。用MI软件可检测出文件型病毒常驻内存及更改部分中断向量的信息。使用比较法能发现异常，如文件的长度有变化，或虽然文件长度未发生变化，但文件内的程序代码发生了变化。对硬盘主引导区或对DOS的引导扇区做检查，比较法能发现其中的程序代码是否发生了变化。由于要进行比较，保留好原

6、始备份是非常重要的，制作备份时必须在元计算机病毒的环境里进行，制作好的备份必须妥善保管，写好标签，贴写好保护签。比较法的好处是简单、方便，不需专用软件。缺点是无法确认病毒的种类名称。另外，造成被检测程序与原始备份之间差别的原因尚需进一步验证，以查明是由于计算机病毒造成的，或是由于DOS数据被偶然原因，如突然停电、程序失控、恶意程序等破坏的。这些要用到下面介绍的分析法，查看变化部分代码的性质，以此来确证是否存在病毒。另外，当找不到原始备份时，用比较法就不能马上得到结论。从这里可以看到制作和保留原始主引导扇区和其他数据备

7、份的重要性。计算机病毒校验和法诊断的原理将正常文件的内容，计算其校验和，将该校验和写入文件中或写入别的文件中保存。在文件使用过程中，定期地或每次使用文件前，检查文件现在内容算出的校验和与原来保存的校验和是否一致，因而可以发现文件是否感染，这种方法叫校验和法，它既可发现已知病毒又可发现未知病毒。这种方法既能发现已知病毒，也能发现未知病毒，但是，它不能识别病毒种类，不能报出病毒名称。由于病毒感染井非文件内容改变的唯一的排他性原因，文件内容的改变有可能是正常程序引起的，所以校验和法常常误报警，而且此法也会影响文件的运行速度

8、。病毒感染的确会引起文件内容变化，但是校验和法对文件内容的变化太敏感，又不能区分正常程序引起的变动，而频繁报警。用监视文件的校验和来检测病毒，不是最好的方法。这种方法当遇到软件版本更新、变更口令以及修改运行参数时都会误报警。校验和法对隐蔽性病毒无效。隐蔽性病毒进驻内存后，会自动剥去染毒程序中的病毒代码，使校验和法受骗，对一个有毒文件算出正常校验