計(jì)算機(jī)病毒檢測與查殺技術(shù)相關(guān)思考

張 衡

（荊楚理工學(xué)院，荊門 448000）

在當(dāng)前計(jì)算機(jī)各類程序軟件相繼出現(xiàn)的同時(shí)，五花八門的病毒種類也隨之滋生，計(jì)算機(jī)病毒的出現(xiàn)無時(shí)無刻不在對計(jì)算機(jī)系統(tǒng)安全及用戶隱私安全產(chǎn)生威脅。計(jì)算機(jī)病毒不利于互聯(lián)網(wǎng)的健康發(fā)展，甚至已經(jīng)成為損害人們信息財(cái)產(chǎn)的主要方式。那么在這樣的背景下，要想保證國家信息和網(wǎng)絡(luò)安全，就要加強(qiáng)對于計(jì)算機(jī)病毒檢測和查殺技術(shù)的研究，以此不斷提升人們的網(wǎng)絡(luò)安全防范意識(shí)，積極構(gòu)建完善的信息基礎(chǔ)設(shè)施安全保障體系，積極提升計(jì)算機(jī)的安全性。

1 計(jì)算機(jī)病毒分類

計(jì)算機(jī)病毒有很多種，首先程序型病毒，其主要以感染文件擴(kuò)展名為.COM、.EXE、.OVL等可執(zhí)行程序?yàn)橹?，安裝時(shí)不得不通過含有病毒的程序載體，從而使得計(jì)算機(jī)內(nèi)存中就會(huì)有病毒存在，一些文件在感染之后，一執(zhí)行就會(huì)被刪除。其次宏病毒，就是以具有宏功能的數(shù)據(jù)文件為對象，Microsoft或Excel文檔等都容易受到攻擊，因?yàn)楸桓腥疚募?huì)直接通過網(wǎng)絡(luò)共享或下載，所以宏病毒的傳播速度相對較快[1]。引導(dǎo)型病毒在入侵系統(tǒng)文件時(shí)，主要對磁盤的內(nèi)容產(chǎn)生一定的威脅，如果感染病毒后，磁盤的分區(qū)表及有關(guān)的內(nèi)容將可能會(huì)被改寫，一旦用戶將此類磁盤啟動(dòng)開，就會(huì)感染電腦硬盤。對于存在危險(xiǎn)的移動(dòng)編碼，一般也叫做腳本，通常而言，這一類的正常代碼不屬于病毒，然而也有一些計(jì)算機(jī)的惡意代碼會(huì)影響到系統(tǒng)的運(yùn)行，因而在某種程度上也可以將其視為病毒類型之一。就特洛伊木馬型程序而言，病毒本身不會(huì)復(fù)制，其主要指的是計(jì)算機(jī)用戶在進(jìn)行程序運(yùn)行時(shí)，只要發(fā)作，就可設(shè)置后門，定時(shí)的發(fā)送該用戶的隱私，到木馬程序的控制端，能夠任意的控制該計(jì)算機(jī)，比如刪除文件、拷貝和改密碼等。實(shí)際上，隨著病毒的不斷發(fā)展，對于計(jì)算機(jī)病毒已經(jīng)不容易分類了，因?yàn)楦嗟牟《径紟в幸欢ǖ木C合性。

2 計(jì)算機(jī)病毒主流技術(shù)及原理

計(jì)算機(jī)病毒傳播的方式和原理也有很多種，有直接發(fā)送傳播，通過利用社會(huì)工程學(xué)，典型案例就是通過某一軟件平臺(tái)，讓其傳送帶有病毒的圖像文件，盡管這種方式較為原始，但成功率也相對較高。還有利用電子郵件進(jìn)行傳播，這有兩種，首先利用附件進(jìn)行傳播，著名的“愛蟲”，就是因?yàn)猷]件的主題是帶有誘惑性的“I LOVE YOU ”，附件為“LOVE-LETTER-FOR-YOU.TXT.VBS.”用戶一旦打開附件之后，計(jì)算機(jī)就會(huì)感染病毒。并通過搜索outlook地址簿、發(fā)送帶有病毒的郵件、通過IRC感染其他用戶[2]。其次，還會(huì)利用網(wǎng)頁郵件進(jìn)行病毒傳播。如果計(jì)算機(jī)用戶點(diǎn)擊了郵件，則就會(huì)感染病毒。釋放病毒的黑客等往往會(huì)利用計(jì)算機(jī)用戶的好奇心理發(fā)送其感興趣的郵件，雖然看起來不像是垃圾文件，但用戶一旦點(diǎn)開則會(huì)感染病毒。還有利用網(wǎng)頁啟動(dòng)和系統(tǒng)漏洞等進(jìn)行病毒傳播。

3 計(jì)算機(jī)病毒的潛伏隱藏機(jī)制

要想更好的應(yīng)用計(jì)算機(jī)病毒檢測和查殺技術(shù)，就要加強(qiáng)對于計(jì)算機(jī)病毒的潛伏機(jī)制了解，只有這樣才能夠更加精準(zhǔn)的檢測、查殺計(jì)算機(jī)病毒。一般而言，計(jì)算機(jī)感染病毒之后，病毒會(huì)受到來自計(jì)算機(jī)防火墻及管理員的系統(tǒng)檢測及查殺，一旦有異常問題，都會(huì)導(dǎo)致其被直接查殺。那么端口隱藏就是一種方法，其通過潛伏，使用IP協(xié)議族中的其他協(xié)議，而不是TCP/UDP來進(jìn)行通訊，以此來欺騙Netstat和端口掃描軟件，常見的就是應(yīng)用ICMP協(xié)議[3]。另外還有寄生手段來進(jìn)行隱藏，就是直接尋找、寄生一個(gè)已經(jīng)打開的端口，通常情況下只進(jìn)行監(jiān)聽，在接受到特殊指令時(shí)，就執(zhí)行命令。指令無法辨識(shí)的時(shí)候，計(jì)算機(jī)系統(tǒng)會(huì)直接作出處理，而對于能夠辨識(shí)的指令，則會(huì)導(dǎo)致木馬激活并運(yùn)行，在任務(wù)執(zhí)行完畢之后再進(jìn)行隱蔽。當(dāng)然，計(jì)算機(jī)病毒單純依靠端口隱藏是不夠的，其還會(huì)隱藏進(jìn)程，這又有進(jìn)程欺騙和不適用進(jìn)程這兩種?？梢哉f，要想有效檢測、查殺計(jì)算機(jī)病毒，做好病毒預(yù)防工作，就要學(xué)會(huì)從“攻”的角度出發(fā)，深入了解計(jì)算機(jī)病毒的潛伏隱藏機(jī)制，這樣才能夠做到“知己知彼，百戰(zhàn)不殆”。

4 計(jì)算機(jī)病毒檢測和查殺技術(shù)

4.1 行為基礎(chǔ)下的病毒檢測技術(shù)

眾所周知，計(jì)算機(jī)系統(tǒng)的運(yùn)行，就是通過編寫對應(yīng)的代碼來進(jìn)行的，那么隨著編寫技術(shù)的不斷發(fā)展，計(jì)算機(jī)病毒編寫自然也就更加的復(fù)雜和隱蔽。在加上當(dāng)前變形技術(shù)的快速發(fā)展，導(dǎo)致計(jì)算機(jī)病毒可以在短時(shí)間內(nèi)，變成多種模式，而變種的病毒，又在類型、大小和數(shù)量等各個(gè)方面有著一定的差異，其共同點(diǎn)就是傳播的速度快，這就表示對于計(jì)算機(jī)病毒檢測的難度越來越高[4]。所以，專業(yè)的研究工作者會(huì)針對此研發(fā)出全新的病毒查殺技術(shù)，即行為基礎(chǔ)下的病毒檢測技術(shù)，其可以有效處理眾多復(fù)雜、綜合的計(jì)算機(jī)病毒程序問題，及時(shí)解決固定性的計(jì)算機(jī)病毒。不僅如此，該病毒檢測技術(shù)無需進(jìn)行全部數(shù)據(jù)采集，就可以直接處理病毒，還有已知的病毒和未知的病毒進(jìn)行檢測和查殺。

4.2 數(shù)據(jù)加密形式病毒檢測技術(shù)

計(jì)算機(jī)病毒檢測與查殺技術(shù)類型中較為常見的手段之一就是應(yīng)用加密病毒檢測技術(shù)，通過數(shù)據(jù)加密技術(shù)對病毒感染及黑客攻擊都有很好的防范作用。通過數(shù)據(jù)加密技術(shù)的應(yīng)用，當(dāng)有病毒想要入侵計(jì)算機(jī)系統(tǒng)時(shí)，就可以應(yīng)用加密手段來阻止這一行為，實(shí)現(xiàn)保護(hù)數(shù)據(jù)的目標(biāo)。另外，在實(shí)際的數(shù)據(jù)傳輸過程中，也可以直接應(yīng)用加密技術(shù)，以此避免信息被竊取等問題[5]。然后進(jìn)行計(jì)算機(jī)數(shù)據(jù)加密時(shí)，需要構(gòu)建相應(yīng)的密鑰交換及管理方案，以便于在最大限度上適應(yīng)資源局限性，保證信息傳輸?shù)暮侠硇裕S護(hù)整個(gè)計(jì)算機(jī)網(wǎng)絡(luò)的安全。

4.3 簽名和特征代碼病毒檢測技術(shù)

在當(dāng)前計(jì)算機(jī)病毒檢測過程中，病毒簽名就是宿主計(jì)算機(jī)被入侵的標(biāo)記，不同的病毒入侵宿主計(jì)算機(jī)程序時(shí)，都會(huì)在不同的位置，顯示不同的標(biāo)記。這些標(biāo)記有可能是圖片，也有可能是字符和數(shù)字，比如：FGG、2496、4184等，不同的病毒有不同的簽名，所放置的位置也不同。經(jīng)過實(shí)踐表示，在了解病毒簽名的內(nèi)容和位置之后，根據(jù)該程序的特定位置查詢病毒簽名，找到之后，就可以明確程序是被什么樣的病毒所感染[6]。可以說，病毒簽名是一種不同的識(shí)別標(biāo)記，但有些病毒中沒有簽名，其是一個(gè)特別的代碼，也可以應(yīng)用相同的方法，直接在可疑的程序中，查詢有著特殊性質(zhì)的代碼，以此進(jìn)行病毒檢測。比如，在計(jì)算機(jī)文件中，發(fā)現(xiàn)了攜有病毒數(shù)據(jù)庫中的特征碼，就可以明確其感染了什么樣的病毒，這也是一種較為常用的、可靠的病毒檢測方法。但該技術(shù)的最大問題，就是需要依靠已有的病毒簽名和特征碼，也就是說，其只能夠檢測已有的病毒，對于新產(chǎn)生的病毒無法檢測、查殺。

4.4 全面病毒檢測技術(shù)

全面病毒檢測技術(shù)作為一種完整的病毒檢測技術(shù)，其可以對計(jì)算機(jī)中已知和未知的病毒進(jìn)行檢測，其可以實(shí)現(xiàn)對計(jì)算機(jī)中的病毒進(jìn)行有效修復(fù)的目標(biāo)[7]。該技術(shù)的應(yīng)用需要首先需要全方位了解計(jì)算機(jī)系統(tǒng)中的資料及文件內(nèi)容，從而依據(jù)發(fā)現(xiàn)受到計(jì)算機(jī)病毒感染后產(chǎn)生了變化或被更改的資料信息，并利用原本的文件信息，以此來覆蓋被計(jì)算機(jī)病毒所更改的文件內(nèi)容，修復(fù)文件內(nèi)容，并對徹底清除計(jì)算機(jī)病毒。

4.5 啟發(fā)式掃描病毒檢測技術(shù)

該檢測技術(shù)的應(yīng)用原理為充分利用殺毒軟件對病毒種類及入侵方式的記憶效果，并在結(jié)合原有病毒類型基礎(chǔ)上的殺毒軟件功能，對整個(gè)計(jì)算機(jī)進(jìn)行病毒檢測。如果在計(jì)算機(jī)系統(tǒng)中存在類似于計(jì)算機(jī)病毒的因素，則該檢測技術(shù)會(huì)自動(dòng)啟動(dòng)，并對用戶進(jìn)行適度的預(yù)警通告，以提醒計(jì)算機(jī)使用者盡快做出處理。啟發(fā)式掃描病毒檢測技術(shù)在對計(jì)算機(jī)中未知的病毒進(jìn)行檢測時(shí)，需要保證計(jì)算機(jī)在正常運(yùn)行的狀態(tài)下，才能夠開展檢測工作[8]。因此，該技術(shù)進(jìn)行病毒查殺時(shí)的關(guān)鍵程序在于先對所有的程序進(jìn)行統(tǒng)一掃描，掃描完畢之后實(shí)施相應(yīng)的病毒檢測，然后進(jìn)行病毒分析，并提供使用者及時(shí)處理病毒。

5 結(jié)束語

總而言之，計(jì)算機(jī)病毒技術(shù)和反病毒技術(shù)之間本身就是兩股對立的理想，其也是在不斷的對抗和斗爭過程中取得發(fā)展的，相關(guān)人員需要科學(xué)認(rèn)知這兩者之間的關(guān)系，才能不斷提升計(jì)算機(jī)病毒檢測、查殺技術(shù)。以后的計(jì)算機(jī)病毒依然還會(huì)存在，而防御計(jì)算機(jī)病毒的研究人員同樣會(huì)研究出更加新型的病毒查殺技術(shù)與軟件，并對其進(jìn)行科學(xué)、有效的應(yīng)用，才能夠更好的保障計(jì)算機(jī)系統(tǒng)的正常運(yùn)行，真正實(shí)現(xiàn)我國計(jì)算機(jī)技術(shù)的健康發(fā)展。