5-1-1反病毒軟件的編制技術(shù)和最新查毒技術(shù)介紹

1、Virus.計算機病毒與防治課程小組教學(xué)單元5-1分析反病毒軟件的編制技術(shù)分析反病毒軟件的編制技術(shù) 主動防御技術(shù)主動防御技術(shù) 計算機病毒特征碼計算機病毒特征碼 靜態(tài)啟發(fā)式查毒技術(shù)靜態(tài)啟發(fā)式查毒技術(shù) 第一講第一講反病毒軟件的編制技術(shù)和最新查毒技術(shù)介紹反病毒軟件的編制技術(shù)和最新查毒技術(shù)介紹 計算機病毒與防治課程小組動態(tài)啟發(fā)式查毒技術(shù)動態(tài)啟發(fā)式查毒技術(shù) 反病毒軟件的編制技術(shù) 隨著網(wǎng)絡(luò)的發(fā)展和各種移動存儲設(shè)備的普及，計算機病毒的傳播途徑日益增多，相信經(jīng)常使用計算機的朋友，都使用過殺毒軟件。那么殺毒軟件是根據(jù)什么原理來查、殺病毒的呢？殺毒軟件都包括哪些結(jié)構(gòu)？大家一起來討論大家一起來討論 6.1 計算機病

2、毒特征碼所謂的病毒特征碼可以說就是病毒的“指紋”，當(dāng)殺毒軟件公司收集到一個新的病毒時，他們就會從這個病毒程序中截取一小段獨一無二而且足以表示這個病毒的二進(jìn)制程序代碼，來當(dāng)作查毒程序辨認(rèn)此病毒的依據(jù)，而這段獨一無二的二進(jìn)制程序代碼就是所謂的病毒碼。二進(jìn)制程序代碼是計算機的最基本語言，在計算機中所有可以執(zhí)行的程序幾乎都是由二進(jìn)制程序代碼所組成。 6.1 計算機病毒特征碼 例如，如果有一個Windows的程序被病毒感染，那么殺毒軟件公司就必須先研究出Windows文件的格式，看看Windows文件是怎么被系統(tǒng)執(zhí)行，以便找出Windows程序的進(jìn)入點，因為病毒就是藏身在這個地方來取得控制權(quán)并進(jìn)行傳染及

3、破壞，知道病毒程序在一個Windows文件中所存在的位置之后，就可以從這個區(qū)域來找出一段特殊的病毒特征碼供查毒程序使用。計算機病毒與防治課程小組6.1 計算機病毒特征碼計算機病毒與防治課程小組 在殺毒軟件公司中都有技術(shù)人員專門在為各種不同類型的病毒提取病毒特征碼，可是當(dāng)病毒愈來愈多，要找出每一個病毒都獨一無二的病毒碼可能就不太容易，有時甚至這些病毒碼還會誤判到一些不是病毒的正常文件，所以通常殺毒軟件公司在將病毒碼送給客戶前都必須先經(jīng)過一番嚴(yán)格的測試，才放在Internet上供使用者自由下載或做成產(chǎn)品出售。6.1 計算機病毒特征碼計算機病毒與防治課程小組目前的大多數(shù)殺病毒軟件采用的方法主要是特征

4、碼查毒方案與人工解毒并行，亦即在查病毒時采用特征碼查毒，在殺病毒時采用人工編制解毒代碼。但是，特征碼查毒方案也具有極大的局限性。特征碼的描述取決于人的主觀因素，從長達(dá)數(shù)千字節(jié)的病毒體中擷取十余字節(jié)的病毒特征碼，需要對病毒進(jìn)行跟蹤、反匯編以及其它分析，如果病毒本身具有反跟蹤技術(shù)和變形、解碼技術(shù)，那么跟蹤和反匯編以獲取特征碼的情況將變得極其復(fù)雜。此外，要擷取一個病毒的特征碼，必然要獲取該病毒的樣本，再由于對特征碼的描述各個不同，特征碼方法在國際上很難得到廣域性支持。特征碼查病毒主要的技術(shù)缺陷表現(xiàn)在較大的誤查和誤報上，而殺病毒技術(shù)又導(dǎo)致了反病毒軟件的技術(shù)遲滯。 6.2最新查毒技術(shù)解析計算機病毒與防治

5、課程小組80年代末期，基于個人電腦病毒的誕生，隨即就有了清除病毒的工具反病毒軟件。這一時期，病毒所使用的技術(shù)還比較簡單，從而檢測相對容易，最廣泛使用的就是特征碼匹配的方法。然而為了躲避殺毒軟件的查殺，病毒開始了進(jìn)化，逐漸演變?yōu)樽冃蔚男问?，每感染一次，就對自身變一次形，通過對自身的變形來躲避查殺。這樣一來，同一種病毒的變種病毒大量增加，殺毒軟件單純依靠病毒庫和特征碼技術(shù)已經(jīng)不能適應(yīng)如今的網(wǎng)絡(luò)安全。于是，便出現(xiàn)了廣譜特征碼的概念.6.2最新查毒技術(shù)解析廣譜特征碼技術(shù)在一段時間內(nèi)，對于處理某些變形的病毒提供了一種方法，但是也使誤報率大大增加，所以采用廣譜特征碼的技術(shù)目前也不能有效的對新病毒和未知病毒

6、進(jìn)行查殺，那么，現(xiàn)如今種類繁多的殺毒軟件都有哪些新技術(shù)和新特征來適應(yīng)當(dāng)前的病毒威脅，又是如何實現(xiàn)的呢？目前最常用的是主動防御技術(shù)和啟發(fā)式查毒技術(shù)。6.2最新查毒技術(shù)解析主動防御技術(shù)：由于傳統(tǒng)的基于病毒庫掃描的反病毒軟件都是很被動的，只能在新病毒出現(xiàn)之后才能有應(yīng)付措施，一個病毒制造者所編寫的病毒很有可能在被殺毒軟件廠商截獲并添加到產(chǎn)品病毒庫之前進(jìn)入用戶電腦。此時，由于該病毒的特征碼還未添加到殺毒軟件病毒庫中，殺毒軟件會將病毒認(rèn)為是正常文件而放過，使得用戶電腦被病毒所感染。因此，業(yè)界將能夠主動檢測和攔截未知威脅的防御方法稱為“主動防御”。6.2最新查毒技術(shù)解析 殺毒軟件具有滯后性，這是業(yè)界公認(rèn)的一

7、個殺毒軟件弊端，而主動防御卻很好的解決了這個問題。 主動防御技術(shù)主要是針對未知病毒提出來的病毒防殺技術(shù)，在沒有病毒樣本的情況下，對病毒進(jìn)行全面而有效的全面防護(hù)，阻止病毒的運作，從技術(shù)層面上有效應(yīng)對未知病毒的肆虐，一是在未知病毒和未知程序方面，通過“行為判斷”技術(shù)識別大部分未被截獲的未知病毒和變種。另一方面，通過對漏洞攻擊行為進(jìn)行監(jiān)測，這樣可防止病毒利用系統(tǒng)漏洞對其它計算機進(jìn)行攻擊，從而阻止病毒的爆發(fā)。6.2最新查毒技術(shù)解析啟發(fā)式查毒技術(shù) 說到主動防御，不得不提起啟發(fā)式查毒技術(shù)，啟發(fā)式查毒技術(shù)屬于主動防御的一種，是當(dāng)前對付未知病毒的主要手段，從工作原理上可分為靜態(tài)啟發(fā)和動態(tài)啟發(fā)兩種。 啟發(fā)式指“

8、自我發(fā)現(xiàn)的能力”或“運用某種方式或方法去判定事物的知識和技能”，是殺毒軟件能夠分析文件代碼的邏輯結(jié)構(gòu)是否含有惡意程序特征，或者通過在一個虛擬的安全環(huán)境中前攝性的執(zhí)行代碼來判斷其是否有惡意行為。在業(yè)界前者被稱為靜態(tài)代碼分析，后者被成為動態(tài)虛擬機。計算機病毒與防治課程小組6.2最新查毒技術(shù)解析計算機病毒與防治課程小組 靜態(tài)啟發(fā)技術(shù)指的是在靜止?fàn)顟B(tài)下通過病毒的典型指令特征識別病毒的方法，是對傳統(tǒng)特征碼掃描的一種補充。由于病毒程序與正常的應(yīng)用程序在啟動時有很多區(qū)別，通常一個應(yīng)用程序在最初的指令，是檢查命令行輸入有無參數(shù)項、清屏和保存原來屏幕顯示等，而病毒程序則通常是最初的指令是直接寫盤操作、解碼指令，

9、或搜索某路徑下的可執(zhí)行程序等相關(guān)操作指令序列。 靜態(tài)啟發(fā)式就是通過簡單的反編譯，在不運行病毒程序的情況下，核對病毒頭靜態(tài)指令從而確定病毒的一種技術(shù)。靜態(tài)啟發(fā)技術(shù)6.2最新查毒技術(shù)解析 而相比靜態(tài)啟發(fā)技術(shù)，動態(tài)啟發(fā)技術(shù)要復(fù)雜和先進(jìn)很多。動態(tài)啟發(fā)式通過殺軟內(nèi)置的虛擬機技術(shù)，給病毒構(gòu)建一個仿真的運行環(huán)境，誘使病毒在殺軟的模擬緩沖區(qū)中運行，如運行過程中檢測到可疑的動作，則判定為危險程序并進(jìn)行攔截。這種方法更有助于識別未知病毒，對加殼病毒依然有效，但如果控制得不好，會出現(xiàn)較多誤報的情況。計算機病毒與防治課程小組動態(tài)啟發(fā)技術(shù)6.2最新查毒技術(shù)解析計算機病毒與防治課程小組動態(tài)啟發(fā)因為考慮資源占用的問題，因此目前只能使用比較保守的虛擬機技術(shù)。盡管如此，由于動態(tài)啟發(fā)式判斷技術(shù)具有許多不可替代的優(yōu)勢，因此仍然是目前檢