如何查找看不到该病毒的文件？

1. 计算机病毒2113的定义

计算机病毒（计算机病毒）在1653年的《中华人民共和国计算机信息安全4102系统条例5261》中明确定义为: “是指创建或插入破坏计算机功能的计算机程序. 或破坏数据并影响计算机使用，以及一组可以自我复制的计算机指令或程序代码.

2. 计算机病毒的特征

一个具有自我复制能力，强烈的传染性，一定的潜伏性，特定的可触发性和极大的破坏性的人造特殊程序.

3. 病毒的必然存在

需要访问，复制和传输计算机信息. 作为一种信息，病毒可以繁殖，感染和破坏. 并且，当病毒获得控制后，他们将积极寻找感染的目标并广泛传播.

4. 计算机病毒的长期性

计算机操作系统的弱点经常被病毒利用. 改进系统的安全性是防病毒的重要方面，但是还不存在完善的系统. 提高一定程度的安全性将使该系统大部分时间都可以用于病毒检查，并且该系统会失去可用性和实用性. 另一方面，信息机密性的要求使得不可能在泄漏和捕获病毒之间进行选择. 这样，病毒和反病毒将成为长期的技术对抗. 病毒主要通过杀毒软件进行处理，而杀毒技术将成为一项长期的科学研究.

5. 计算机病毒的产生

该病毒并非来自突然或意外原因. 突然断电和意外错误将在计算机的磁盘和内存中产生乱码和随机指令，但是这些代码无序且令人困惑. 该病毒是一个相对完善，精致而严谨的代码，按严格的顺序组织，并与它所在的系统网络环境相适应和协调，该病毒不会偶然形成，并且需要具有一定的长度，这种基本大概来说，长度不能由随机码生成.

病毒是人为的特殊程序. 现在，流行病毒是有意写成的. 大多数病毒都能找到作者信息和来源信息. 根据大量的数据分析统计数据，该病毒作者的主要情况和目的是: 一些天才程序员不满老板，以表达自我并证明自己的能力，以求好奇，，祝贺和求爱，用于获取控制密码，为未付费的软件保留的陷阱等. 当然，有政治，军事，宗教和种族群体. 为满足专利等需求而特别准备的，其中还包括一些病毒研究机构和黑客测试病毒.

6. 计算机病毒的分类

根据对计算机病毒的多年研究，按照科学，系统和严格的方法，计算机病毒可分为以下几种:

根据计算机病毒属性分类

a，病毒存在的媒体

根据病毒所在的媒体，该病毒可以分为网络病毒，文件病毒和启动病毒. 网络病毒通过计算机网络在网络中传播可执行文件，文件病毒感染计算机中的文件（例如: COM，EXE，DOC等），引导病毒感染计算机的引导扇区（Boot）和系统引导扇区硬盘（MBR），这三种情况的混合类型，例如: 多种类型的病毒（文件和启动类型）感染文件和启动扇区，此类病毒通常具有复杂的算法，它们使用非常规方法入侵系统，使用加密和变形算法.

b. 病毒感染方法

c. 病毒的破坏能力

根据病毒破坏的能力，它可以分为以下几种类型:

无害类型: 除了减少感染期间的可用磁盘空间外，它对系统没有其他影响.

无害: 这种病毒只会减少内存，显示图像，发出声音和发出类似声音.

危险: 这种病毒会导致计算机系统运行中的严重错误.

非常危险: 这种病毒会删除程序，破坏数据并清除系统内存区域和操作系统中的重要信息.

这些病毒对系统造成的危害不是它们自己的算法中存在危险的调用，而是当它们被感染时，它们将导致不可预知的灾难性破坏. 由其他程序引起的病毒引起的错误也可能损坏文件和扇区，并且这些病毒还根据引起破坏的能力进行了划分. 当前一些无害的病毒也可能导致DOS，Windows和其他操作系统的新版本损坏. 例如: 在早期的病毒中，有一种“ Denzuk”病毒可以在360K磁盘上很好地运行而不会造成任何损坏，但是它可能会在以后的高密度软盘上造成很多数据丢失.

d. 病毒专用算法

根据特定于病毒的算法，病毒可以分为:

伴随病毒: 这种类型的病毒不会更改文件本身. 它们根据算法生成具有相同名称和不同扩展名（COM）的EXE文件的附带主体，例如: XCOPY.EXE的附带主体为XCOPY .COM. 该病毒会将自身写入COM文件，并且不会更改EXE文件. DOS加载文件时，将首先执行协同程序，然后协同程序将加载并执行原始EXE文件.

“蠕虫”病毒: 在不更改文件和数据信息的情况下通过计算机网络传播，使用网络从一台计算机的内存传播到另一台计算机的内存，计算网络地址并发送自己的病毒通过网络. 有时它们存在于系统中，通常不占用内存以外的其他资源.

寄生病毒: 除了伴随和“蠕虫”类型，其他病毒也可以称为寄生病毒，它们附着在系统的引导扇区或文件上，并通过系统的功能传播，并根据算法进行划分: << /

实践病毒: 病毒本身包含错误，无法很好地传播. 例如，某些病毒正处于调试阶段.

复杂的病毒: 它们通常不直接修改DOS中断和扇区数据，而是通过内部DOS修改（例如设备技术和文件缓冲区）来修改. 看到资源并使用更先进的技术并不容易. 使用DOS空闲数据区域工作.

变种病毒（也称为幻影病毒）: 这种类型的病毒使用复杂的算法，使每个副本具有不同的内容和长度. 他们的一般方法是将解码算法与无关指令和经过修改的病毒体混合在一起.

7. 计算机病毒的开发

在病毒开发的历史中，病毒的出现是有规律的. 通常，在新的病毒技术出现之后，病毒迅速发展，然后反病毒技术的发展将抑制其传播. 升级操作系统后，该病毒将被调整为一种生成新病毒技术的新方式. 它可以分为:

a，DOS引导阶段

1987年，计算机病毒主要是引导型病毒，代表性的是“小球”和“石头”病毒.

当时，计算机的硬件较少且功能简单. 通常，它需要在软盘之后启动. 引导型病毒使用软盘原理启动. 他们修改系统启动扇区. 当计算机启动时，它首先获得控制权，减少系统内存，修改磁盘读写中断，影响系统效率，并在系统访问磁盘时传播. 1989年，引导病毒发展为感染硬盘. 典型的代表人物是“石头2”.

b. DOS可执行阶段

1989年，可执行文件病毒出现. 他们使用DOS系统的机制来加载和执行文件. 代表为“耶路撒冷”和“星期日”病毒. 当系统执行文件并修改DOS中断时，病毒代码就控制了. 在系统调用期间感染，并将其自身附加到可执行文件以增加文件长度. 在1990年，它发展成为一种可以感染COM和EXE文件的复杂病毒.

c，伴随，批处理阶段

在1992年，伴随病毒出蝉”病毒，当它感染EXE文件时，它会生成一个与EXE同名的COM伴侣. 当它感染COM文件时，原始COM文件将更改为同名EXE文件. 原始名称的伴侣，文件扩展名是COM. 这样，当DOS加载文件时，病毒就可以控制了. 这种病毒的特点是它不会更改原始文件的内容，日期和属性，并且在删除病毒时只需要删除其伴随的主体即可. 在非DOS操作系统中，某些伴随病毒使用操作系统的描述语言来工作. 典型代表是“海盗旗”病毒. 执行该命令时，它要求输入用户名和密码，然后返回错误消息. 删除自己. 批处理病毒是一种可以在DOS下运行的病毒，类似于“海盗旗”病毒.

d，幻影，多态阶段

1994年，随着汇编语言的发展，可以以不同的方式实现相同功能. 这些方式的组合使看似随机的代码产生相同的运算结果. 幽灵病毒每次被感染时都会使用此功能生成不同的代码. 例如，“半”病毒会生成一部分亿万种可能的解码操作. 在解码之前，病毒主体被隐藏在数据中. 要了解这种类型的病毒，它必须能够对这些数据进行解码，从而增加了对病毒的检测. 困难. 多态病毒是一种综合病毒，可以同时感染引导区和程序区. 它们大多数具有解码算法. 病毒通常需要释放两个以上的子程序.

e，发电机，变形机台

1995年，用汇编语言将一些数据操作放入了不同的通用寄存器中，并且可以计算出相同的结果. 随机插入一些空操作和无关指令不会影响操作结果. 解码算法可以由生成. 生成病毒时，此复合体称为病毒和变体计算机. 典型的代表是“病毒制造机器” VCL，它可以立即产生成千上万种不同的病毒. 在分析过程中不能使用传统的特征识别方法. 该命令需要在宏级别进行分析并进行解码以找到解决方案病毒. 变体机器是一种指令生成机制，它增加了解码的复杂性.

f，网络，蠕虫阶段

1995年，随着Internet的普及，病毒开始使用Internet进行传播，它们只是前几代病毒的改进. 在非DOS操作系统中，“蠕虫”是典型代表. 它不占用内存以外的任何资源，不修改磁盘文件，使用网络功能搜索网络地址，并将自身扩展到下一个地址，有时在网络上. 服务器和启动文件存在.

g，窗台

1996年，随着Windows和Windows 95的日益普及，使用Windows进行工作的病毒开始发展. 他们修改（NE，PE）文件，典型的代表是DS.3873. 这类病毒的忧虑更为复杂. 他们使用保护模式和API调用接口来工作，并且释放方法更加复杂.

h，宏病毒阶段

1996年，随着Windows Word功能的增强，还可以使用Word宏语言来编译病毒. 该病毒使用类似于Basic的语言，该语言易于编写和感染Word文档文件. 在Excel和AmiPro中出现的具有相同工作机制的病毒也属于此类别. 由于Word文档格式不是公开可用的，因此很难检测到此类病毒.

i，互联网舞台

1997年，随着Internet的发展，各种病毒也开始使用Internet进行传播. 一些携带病毒的数据包和电子邮件正在增加. 如果这些电子邮件意外打开，则机器可能中毒.

j，Java，邮件阶段

1997年，随着Java在万维网上的普及，使用Java语言进行传播和数据获取的病毒开始出现，典型的代表就是Java Snake病毒. 还有一些使用邮件服务器进行传播和破坏的病毒，例如Mail-Bomb病毒，它会严重影响Internet的效率.

8. 计算机病毒的危害

1988年11月2日下午5: 1: 59，美国康奈尔大学计算机科学的23岁的莫里斯进入了他编写的蠕虫程序，并进入了计算机网络. 几个小时之内，互联网就被封锁了. 该网络连接到大学和研究机构的155,000台计算机，使网络拥塞且运行缓慢. 这次事件就像是计算机世界的大地震，引起了巨大的反响，震惊了全世界，引起了人们对计算机病毒的恐慌，并使更多的计算机专家关注并致力于计算机病毒的研究. 1988年下半年，我国在国家统计局系统中首次发现了“小球”病毒. 最近的CIH病毒，漂亮的杀伤性病毒等在世界范围内造成了巨大的经济和社会损失.

如您所见，随着计算机和Internet的日益普及，计算机病毒和崩溃的发生，重要数据被破坏和丢失，将造成社会财富的巨大浪费，甚至给全人类带来灾难.

9. 防病毒技术的发展趋势

随着计算机技术的发展越来越快，计算机病毒技术和计算机防病毒技术之间的对抗变得越来越尖锐. 据统计，每天基本上有数十种新病毒出现，其中许多具有很大的破坏性. 有点粗心会给计算机用户带来严重的后果. 下面我们主要介绍国内杀毒行业的发展.

我国计算机反病毒技术的研究始于反病毒卡的开发. 防病毒卡的核心实际上是一个软件，但已在ROM中固化. 它的起点是通过不断变化的动态驻留内存来监视计算机的运行，根据汇总的病毒行为规则和经验确定是否存在病毒活动，并通过拦截中断控制规则和经验确定是否存在病毒活动，并且可以拦截中断控制以使内存中的病毒麻痹，从而使其失去感染其他文件和破坏信息的能力，这是防病毒卡“具有病毒操作”功能的基本原理. 防病毒卡的主要缺点是与常规软件特别是国产软件不兼容. 有时会出现虚假警报和漏报的病毒，这降低了计算机的运行速度和升级难度. 防病毒技术不成熟，病毒知识在不断变化，技术手段越来越高. 尝试用恒定的技术来处理该病毒是不可能的. 防病毒卡动态监控技术和病毒行为规则的研究在计算机病毒的发现中发挥了重要作用. 这些技术是防病毒卡更换的关键. 但是作为一种产品，仅这部分技术还不够，而且这部分技术还不太实用，因此反病毒卡用户的数量正在减少.

随着防病毒卡的减少，防病毒软件越来越受欢迎. 防病毒软件最重要的功能是彻底干净地清除病毒. 如果可以使用防病毒卡，那么可以使用防病毒软件.

第一代防病毒技术是采用简单的病毒签名从受感染的文件中删除病毒. 该方法可以高度可靠地准确删除病毒. 后来，病毒技术发展起来，尤其是使用加密和转换技术，使得这种简单的静态扫描方法变得毫无用处. 伴随的防病毒技术也迈出了一步.

第二代防病毒技术使用静态广谱特征扫描来检测病毒. 此方法可以检测更多变形的病毒，但另一方面，虚警率也会增加文件型病毒有哪些，尤其是在这种不严格的情况下. 删除病毒的功能确定方法非常危险，很容易造成文件和数据损坏. 因此，静态防病毒技术也有难以克服的缺点.

第三代反病毒技术的主要特点是将静态扫描技术与动态仿真跟踪技术相结合，将病毒搜索和病毒清除功能结合在一起，形成了可以全面实现预防，调查和防范的整体解决方案. 消除. 必须使用各种方法（例如防病毒）来防止驻留内存入侵病毒. 可以删除任何检测到的病毒，而不会损坏文件和数据. 随着病毒数量的增加和新病毒技术的发展，静态扫描技术将降低病毒检测软件的速度，并且驻留内存防病毒模块容易出现误报.

第四代防病毒技术基于病毒家族系统的命名规则，多位CRC检查和扫描机制，启发式智能代码分析模块以及动态数据恢复模块（可以检测高级隐藏在压缩文件中的压缩病毒），内存解毒模块，自我免疫模块和其他先进的解毒技术更好地解决了以前的防病毒技术失去平衡的情况.

10. 病毒检测方法

在抗击病毒中，重要的是及早发现病毒. 及早发现和早期处置可以减少损失. 病毒检测方法包括: 特征码方法，校验和方法，行为监控方法和软件仿真方法. 这些方法基于不同的原理，不同的实现成本，不同的检测范围和强度.

特征码方法

特征码方法早已应用于著名的病毒检测工具，例如SCAN和CPAV. 外国专家认为，特征码方法是检测已知病毒的最简单，最便宜的方法.

特征码方法的实现步骤如下:

收集已知病毒的样本. 如果病毒同时感染COM文件和EXE文件，请同时收集该病毒的COM型病毒样本和EXE型病毒样本.

在病毒样本中，提取功能代码. 根据以下原则:

提取的代码是特殊的，不可能与正常的正常程序代码匹配. 提取的代码应具有适当的长度，一方面保持特征代码的唯一性，另一方面，不应有太多的空间和时间开销. 如果病毒的签名代码增加一个字节，以检测3000种病毒，则额外的空间为3000字节. 在保持唯一性的前提下，功能代码应尽可能短，以减少空间和时间开销.

在同时感染COM文件和EXE文件的病毒样本中，将提取两个样本的通用代码. 将签名代码整合到病毒中.

打开检测到的文件，在文件中搜索，然后检查文件是否在病毒中包含病毒签名代码. 如果找到了病毒签名代码，则由于签名代码与病毒是一一对应的，因此可以确定正在检查的文件中是哪种病毒.

面对不断出现的新病毒，必须不断更新使用病毒签名代码方法的检测工具，否则检测工具将老化并逐渐失去其实用价值. 病毒签名代码方法自然无法知道以前从未见过的新病毒的签名代码，因此无法检测到这些新病毒.

特征码方法的优点是: 准确快速的检测，可识别的病毒名称，较低的误报率以及根据检测结果进行的排毒处理. 缺点是它无法检测到未知病毒，也无法收集已知病毒的签名代码. 它在网络上具有高成本和低效率（在网络服务器上，由于长期检索，整个网络性能将下降）. 其特点:

A. 速度慢. 随着病毒类型的增加，搜索时间变得更长. 如果检索到5000种病毒，则必须一一检查5000种病毒签名代码. 如果病毒类型的数量再次增加，则病毒检测的时间成本将变得非常可观. 此类工具的高速检测将变得越来越困难.

B. 误报率低.

非C. 无法检查多态病毒. 特征码方法无法检测多态病毒. 外国专家认为，多态病毒是病毒签名代码的主张者.

D. 无法处理隐藏的病毒. 如果隐藏病毒在内存中处于高级状态，然后运行病毒检测工具，则隐藏病毒可以在检测工具之前清除已检查文件中的病毒代码. 该检测工具的确在检查伪造的“好文件”，但不是警察被秘密病毒欺骗了.

校验和方法

计算普通文件内容的校验和，将校验和写入文件或将其保存在另一个文件中. 在使用文件的过程中，请定期或在每次使用文件之前检查文件当前内容计算出的校验和是否与最初保存的校验和一致，以便确定文件是否被感染. 此方法称为校验和方法. 它可以找到已知和未知病毒. 在更高版本的SCAN和CPAV工具中，除了病毒签名代码方法外，还包括一种校验和方法文件型病毒有哪些，以提高其检测能力.

此方法可以找到已知和未知病毒，但无法识别病毒类型，也无法报告病毒名称. 由于病毒感染不是文件内容更改的唯一其他原因，因此文件内容更改可能是由正常过程引起的，因此校验和方法通常会发出错误警报. 而且这种方法也会影响文件的速度.

病毒感染的确会引起文件内容的更改，但校验和方法对文件内容的更改过于敏感，无法区分由正常程序引起的更改，并经常发出警报. 使用监视文件的校验和检测病毒不是最佳方法.

此方法遇到以下情况: 更新现有软件版本，更改密码，修改操作参数和校验和方法将错误地报警.

校验和方法对隐藏的病毒无效. 隐藏的病毒进入内存后，它将自动从受感染的程序中删除病毒代码，欺骗校验和方法，并为有毒文件计算正常的校验和.

使用校验和方法以三种方式检查病毒:

①将校验和方法结合到病毒检测工具中，计算要检查的目标文件的正常状态的校验和，将校验和的值写入被检查的文件或检测工具中，然后进行比较.

②在应用程序中，放入校验和方法自校验功能，将文件正常状态的校验和写入文件本身，并在应用程序启动时将当前校验和与原始校验和值进行比较. 实施应用程序的自检.

③校验和检查程序驻留在内存中，每当应用程序开始运行时，它都会自动比较并预先检查存储在应用程序或其他文件中的校验和.

校验和方法的优点是该方法很简单，可以发现未知病毒和被检查文件中的细微变化. 缺点是: 发布通过记录正常状态的校验和，错误警报，无法识别病毒名称以及无法处理隐藏的病毒.

行为监控方法

一种利用病毒独特的行为特征监视病毒的方法称为行为监视方法. 通过对病毒的多年观察和研究，某些行为是该病毒的共同特征，并且相对特殊. 在正常程序中，这些行为相对很少见. 该程序运行时，请监视其行为，如果发现病毒行为，请立即报警.

这些病毒的监视行为特征如下:

A. 拥有INT 13H

所有引导病毒都会攻击引导扇区或主引导扇区. 当系统启动时，当引导扇区或主引导扇区获得执行权时，系统才刚刚启动. 通常，引导病毒将占据INT 13H功能，因为其他系统功能未设置且无法使用. 被引导的病毒具有INT 13H功能，并将病毒所需的代码放入其中.

B. 将DOS系统更改为数据区域中的内存总量

病毒驻留在内存中后，为了防止DOS系统覆盖它，必须修改系统内存的总量.

C. 写入COM和EXE文件

要感染病毒，必须编写COM和EXE文件.

D. 在病毒程序和主机程序之间切换

在被感染程序运行期间，病毒首先运行，然后执行主机程序. 在两者之间切换时，有很多特征行为.

行为监视方法的优点: 可以发现未知病毒，并且可以相当准确地预测大多数未知病毒. 行为监控方法的缺点: 可能是虚警，无法识别病毒名称，难以实施.

软件仿真方法

多态病毒每次被感染时都会更改其病毒密码. 要处理此病毒，签名代码方法将失败. 由于多态病毒代码已加密，并且每次使用的密钥都不相同，因此将被感染的病毒代码相互比较，就不可能找到相同的稳定代码，这可能是一个特征. 尽管行为检测方法可以检测出多态性病毒，但是在检测到病毒后，由于病毒的类型未知，因此很难执行消毒操作.

11. 计算机病毒的破坏行为

计算机病毒的破坏性行为反映了病毒的杀灭能力. 病毒破坏的强度取决于病毒作者的主观意愿和他拥有的技术能力. 数以万计不断扩大的病毒的破坏行为非常奇怪. 不可能详尽列出它们的破坏行为，并且很难进行全面描述. 根据某些病毒的信息，可以将病毒的破坏目标和攻击部分概括如下:

1. 攻击系统数据区，攻击部分包括:

硬盘主搜寻扇区，引导扇区，FAT表，文件目录. 一般来说，攻击系统数据区的病毒是恶性病毒，损坏的数据不易恢复.

2. 攻击文件

病毒可以通过多种方式攻击文件，例如删除，重命名，替换内容，丢失程序代码的一部分，内容反转，写入时间空白，碎片，伪造文件，丢失的文件簇和丢失的数据文件.

3. 攻击记忆

内存是计算机的重要资源，也是病毒的目标. 病毒还会占用并消耗系统内存资源，这可能导致某些大型程序被阻止. 病毒攻击内存的方式如下: 占用大量内存，更改内存总量，禁止内存分配和蚕食内存.

4. 干扰系统的运行

作为破坏手段，病毒会干扰系统的正常运行. 此类行为有很多种，可以列出以下方法: 不执行命令，干扰内部命令的执行，错误警报，无法打开文件，内部堆栈溢出，占用特殊数据区，交换当前磁盘，时钟反转，重新启动，崩溃，强制游戏，破坏串行和并行端口.

5. 速度

激活病毒后，其内部时间延迟程序将启动. 时间周期计数包含在时钟中，迫使计算机空闲，并且计算机速度显着下降.

6. 攻击盘

攻击磁盘数据，不写入磁盘，不执行读写操作，并且在写入磁盘时丢失字节.

7. 干扰屏幕显示

8.

9. 演讲者

10.

11.

12.

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-275981-1.html