admin管理员组文章数量:1533859
2024年4月1日发(作者:)
代码库查杀原理
代码库查杀原理
杀毒软件是根据什么来进行病毒判断并查杀的呢?在讲这个问题之前首先要弄清楚杀
毒软件检测病毒的方法,在与病毒的对抗中,及早发现病毒有重要。早发现,早处理,可
以减少损失。检测病毒的方法有:特征码法、校验和法、行为检测法、软件模拟法。这些
方法依据原理不同,实现时所需开销不同,检测范围不同,各有所长。
一,特征码法
特征码法被早期应用于SCAN、CPAV等著名病毒检测工具中。国外专家认为特征码
法是检测已知病毒的最简单、开销最小的方法。
特征码法的实现步凑如下:
1、抽取的代码比较特殊,不大可能与普通正常程序代码吻合。
2、抽取的代码要适当长度,一方面维持特征码的唯一性,另一方面又不要有太大的空
间与时间的开销。如果一种病毒的特征码增强一字节,要检测3000种病毒,增加的空间
就是3000字节。在保持唯一性的前提下,尽量使特征码长度短些。
杀毒软件在扫描文件的时候,在文件中搜索是否含有病毒数据库中的病毒特征码。如
果发现病毒特征码,由于特征码与病毒一一对应,便可以断定为病毒。这里的特征码分为
两个部分,第一个是特征码位置;第二部分是狭义上的特征码。
杀毒软件运用特征码扫描确定某文件为病毒时,这个文件需要满足两个条件:
1、该文件中的某一位置与杀毒软件病毒库的某一位置相对应。
2、该位置上存放的代码与病毒库中定义的该位置上的代码相同。
采用病毒特征码法的检测工具,面对不断出现的新病毒必须不断更新版本,否则检测
工具便会老化,逐渐失去实用价值。病毒特征码法对从未见过的新病毒,自然无法知道其
特征码,因而无法去检测这些新病毒。
特征码法的优点是检测准确快速、可识别病毒的名称、误报率低、依据检测结果可做
解毒处理。缺点是不能检测未知病毒、搜集已知病毒的特征码,费用开销大、在网络上效
率低(在网络服务器上,因长时间检索会使整个网络性能变坏)。特征码分为文件特征码和
内存特征码两种。内存特征码是程序载入内存之后所具有的特征码,在非运行状态下是不
可发觉的。关于有关特征码的知识,笔者会在后面的章节中详细介绍。
特征码的特点:
A、速度慢。随着病毒种类的增多、检索时间变长。如果检索5000种病毒,必须对
5000个病毒特征码逐一检查。如果病毒种数在增加,检病毒的时间开销就变得十分可观。
B、误报率低。
C、不能检查多态性病毒。特征码法是不可能检测多态性病毒的。国外专家认为多态
性病毒是病毒特征码法的索命者。
版权声明:本文标题:代码库查杀原理 内容由热心网友自发贡献,该文观点仅代表作者本人, 转载请联系作者并注明出处:https://m.elefans.com/dianzi/1711901497a333062.html, 本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容,一经查实,本站将立刻删除。
发表评论