为您找到与计算机病毒检测技术 病毒知识点相关的共200个结果:
预防电脑病毒是很重要的,小编为大家带来怎样预防,一起来学习保护电脑安全。
在与病毒的对抗中,及早发现病毒很重要。早发现,早处置,可以减少损失。检测病毒方法有:特征代码法、校验和法、行为监测法、软件模拟法,这些方法依据的原理不同,实现时所需开销不同,检测范围不同,各有所长。
1、特征代码法
特征代码法是检测已知病毒的最简单、开销最小的方法。它的实现是采集已知病毒样本。病毒如果既感染COM文件,又感染EXE文件,对这种病毒要同时采集COM型病毒样本和EXE型病毒样本。打开被检测文件,在文件中搜索,检查文件中是否含有病毒数据库中的病毒特征代码。如果发现病毒特征代码,由于特征代码与病毒一一对应,便可以断定,被查文件中患有何种病毒。
采用病毒特征代码法的检测工具,面对不断出现的新病毒,必须不断更新版本,否则检测工具便会老化,逐渐失去实用价值。病毒特征代码法对从未见过的新病毒,自然无法知道其特征代码,因而无法去检测这些新病毒。
特征代码法的优点是:检测准确快速、可识别病毒的名称、误报警率低、依据检测结果,可做解毒处理。
其缺点是:
A、速度慢。随着病毒种类的增多,检索时间变长。如果检索5000种病毒,必须对5000种病毒特征代码逐一检查。如果病毒种数再增加,检病毒的时间开销就变得十分可观。此类工具检测的高速性,将变得日益困难。
B、不能检查多形性病毒。特征代码法是不可能检测多态性病毒的。国外专家认为多态性病毒是病毒特征代码法的索命者。
C、不能对付隐蔽性病毒。隐蔽性病毒如果先进驻内存,后运行病毒检测工具,隐蔽性病毒能先于检测工具,将被查文件中的病毒代码剥去,检测工具的确是在检查一个虚假的"好文件",而不能报警,被隐蔽性病毒所蒙骗。
2、校验和法
将正常文件的内容,计算其校验和,将该校验和写入文件中或写入别的文件中保存。在文件使用过程中,定期地或每次使用文件前,检查文件现在内容算出的校验和与原来保存的校验和是否一致,因而可以发现文件是否感染,这种方法叫校验和法,它既可发现已知病毒又可发现未知病毒。在SCAN和CPAV工具的后期版本中除了病毒特征代码法之外,还纳入校验和法,以提高其检测能力。
这种方法既能发现已知病毒,也能发现未知病毒,但是,它不能识别病毒类,不能报出病毒名称。由于病毒感染并非文件内容改变的唯一的非他性原因,文件内容的改变有可能是正常程序引起的,所以校验和法常常误报警。而且此种方法也会影响文件的运行速度。
校验和法的优点是:方法简单能发现未知病毒、被查文件的细微变化也能发现。
其缺点是:发布通行记录正常态的校验和、会误报警、不能识别病毒名称、不能对付隐蔽型病毒。
3、行为监测法
利用病毒的特有行为特征性来监测病毒的方法,称为行为监测法。通过对病毒多年的观察、研究,有一些行为是病毒的共同行为,而且比较特殊。在正常程序中,这些行为比较罕见。当程序运行时,监视其行为,如果发现了病毒行为,立即报警。
行为监测法的优点:可发现未知病毒、可相当准确地预报未知的多数病毒。
行为监测法的缺点:可能误报警、不能识别病毒名称、实现时有一定难度。
4、软件模拟法
多态性病毒每次感染都变化其病毒密码,对付这种病毒,特征代码法失效。因为多态性病毒代码实施密码化,而且每次所用密钥不同,把染毒的病毒代码相互比较,也无法找出相同的可能做为特征的稳定代码。虽然行为检测法可以检测多态性病毒,但是在检测出病毒后,因为不知病毒的种类,难于做消毒处理。
浏览量:2
下载量:0
时间:
状态检测防火墙是目前使用最广泛的防火墙,用来防护黑客攻击。但是,随着专门针对应用层的Web攻击现象的增多,在攻击防护中,状态检测防火墙的有效性越来越低。
设计状态检测防火墙时,并没有专门针对Web应用程序攻击,为了适应不断增长的Web应用程序的威胁,新一代的深度检测防火墙出现了。
本文先介绍了防火墙技术的演变过程,然后介绍了深度检测技术的四个基本特征。
1、防火墙技术的演变过程
防火墙技术的演变过程,如图1所示。到目前为止,主要有包过滤防火墙、状态检测防护墙和深度检测防火墙三种类型。
1.1 包过滤防火墙(Packet Filter Firewall)
包过滤防火墙----第一代防火墙,没有状态的概念。通过包过滤,管理员能够允许或禁止ACLs(Access Control Lists,访问控制列表)中的选项,包过滤防火墙主要具有以下属性:
★ 数据包到达的物理网络接口;
★ 源IP地址和端口;
★ 目标IP地址和端口;
但是,包过滤防火墙的安全性有一定的缺陷,因为系统对应用层信息无感知,也就是说,防火墙不理解通信的内容,所以可能被黑客所攻破。
由于种种原因,人们认为包过滤防火墙不过安全,于是逐渐被状态检测防火墙所取代。
1.2 状态检测防火墙(Stateful Inspection Firewall)
状态检测防火墙出现,并成为市场上的绝对领导者,主要有以下原因,包括性能,部署能力和扩展能力。他们在90年代中期得到了迅速发展。1993年,Check Point公司成功推出了世界上第一台商用的状态检测防火墙产品。
状态检测防火墙工作于网络层,与包过滤防火墙相比,状态检测防火墙判断允许还是禁止数据流的依据也是源IP地址,目的IP地址,源端口,目的端口和通讯协议等。与包过滤防火墙不同的是,状态检测防火墙是基于会话信息做出决策的,而不是包的信息;
状态检测防火墙验证进来的数据包时,判断当前数据包是否符合先前允许的会话,并在状态表中保存这些信息。状态检测防火墙还能阻止基于异常TCP的网络层的攻击行为。网络设备,比如路由器,会将数据包分解成更小的数据帧,因此,状态检测设备,通常需要进行IP数据帧的重组,按其原来顺序组装成完整的数据包。
1.3 深度检测防火墙(Deep Inspection Firewall)
深度检测防火墙,将状态检测和应用防火墙技术结合在一起,以处理应用程序的流量,防范目标系统免受各种复杂的攻击。结合了状态检测的所有功能,深度检测防火墙能够对数据流量迅速完成网络层级别的分析,并做出访问控制决;对于允许的数据流,根据应用层级别的信息,对负载做出进一步的决策。
深度检测防火墙深入分析了TCP或UDP数据包的内容,以便对负载有个总的认识。
2、深度检测技术的四个基本特征
新的深度检测技术仍在不断出现,以实现不同的深度检测功能,但是我们需要了解深度检测技术所具有的基本特征。
高级的深度检测防火墙整合了包过滤防火墙和状态检测防火墙的所有功能,如图1所示。
高级的深度检测技术一般具有以下四个方面的特征:
◆ 应用层加密/解密;
◆ 正常化;
◆ 协议一致性;
◆ 双向负载检测;
这四种特征,为Web应用程序提供了重要防护,如果其中一种特征没有实现的话,深度检测防火墙在抵制应用层攻击时,效果会大打折扣。
2.1 应用层加密/解密
SSL广泛被应用于各种场合,以确保相关数据的安全性。这就对防火墙提出了新要求:必须能够处理数据加密/解密。如果不对SSL加密的数据进行解密,防火墙就不能对负载的信息进行分析,更不可能判断数据包中是否含有应用层攻击信息。如果没有解密功能,深度检测的所有优点都无法体现出来。
由于SSL加密的安全性很高,企业常使用SSL技术,以确保关键应用程序的通讯数据的安全性。如果深度检测不能对企业中关键应用程序提供深度检测安全性的话,整个深度检测的优势将失去意义。
2.2 正常化
防范应用层攻击,很大程度上依赖于字符串匹配。不正常的匹配会造成安全漏洞。比如,为了探知某种请求的安全策略是否被启用,防火墙通常根据请求的URL与安全策略来进行匹配。一旦与某种策略条件完全匹配,防火墙就采用对应的安全策略。指向同一个资源的URL或许有多种不同形态,如果该URL的编码方式不同的话,二进制方式的比较就不起作用了。攻击者会利用各种技术,对输入的URL进行伪装,企图避开字符串匹配,以达到越过安全设备的目的。
这些攻击行为,在欺骗IDS和IPS方面,特别有效,因为攻击代码只要与安全设备的特征库有一点点不同的话,就能够达到目的。
解决字符串匹配问题需要利用正常化技术,深度检测能够识别和阻止大量的攻击。对于防范隐藏在帧数据、Unicode、URL编码,双重URL编码和多形态的Shell等类型的攻击行为,必须要用到正常化技术。
2.3 协议一致性
应用层协议,如HTTP、SMTP、POP3、DNS、IMAP和FTP,在应用程序中经常用到。每个协议,都由RFC(Request For Comments)相关规范创建。
深度检测防火墙,必须确认应用层数据流是否与这些协议定义相一致,以防止隐藏其中的攻击。
深度检测在应用层进行状态检测。协议一致性,通过对协议报文的不同字段进行解密而实现,当协议中的字段被识别出来后,防火墙采用RFC定义的应用规则,来检查其合法性。
2.4 双向负载检测
深度检测具有强大功能,能够允许数据包通过,拒绝数据包,检查或修改第4到7层数据包,包括包头或负载。HTTP深度检测能够查看到消息体中的URL,包头和参数等信息。深度检测防火墙能够自动进行动态配置,以便正确检测服务变量,如最大长度,隐藏字段和Radio按钮等等。如果请求的变量不匹配,不存在或者不正确的话,深度检测防火墙会将请求丢弃掉,将该事件写入日志,并给管理员发出警告信息。
深度检测技术允许修改或转换URL,包头和参数,这一点与应用层上的NAT类似。
3、总结
在复杂的Web环境中,为了提供全面的应用程序防护,深度检测是必需的。为了能够有效的阻止Web攻击,防火墙必须能够应用基于源IP地址、目的IP地址、端口以及应用程序内容的安全策略。
深度检测技术还在不断发展,但是深度检测技术一般具有应用层加密/解密、正常化、协议一致性、双向负载检测等四个方面的特征。
企业部署Web应用程序时,应该要确保防火墙能够满足这些应用程序要求得的安全需求,并且防火墙能够满足深度检测技术中的四项基本特征。
浏览量:3
下载量:0
时间:
多年来,企业一直依靠状态检测防火墙、入侵检测系统、基于主机的防病毒系统和反垃圾邮件解决方案来保证企业用户和资源的安全。但是情况在迅速改变,那些传统的单点防御安全设备面临新型攻击已难以胜任。为了检测出最新的攻击,安全设备必须提高检测技术。本文着重介绍针对未知的威胁和有害流量的检测与防护,在防火墙中多个前沿的检测技术组合在一起,提供启发式扫描和异常检测,增强防病毒、反垃圾邮件和其它相关的功能。
现今为了成功的保护企业网络,安全防御必须部署在网络的各个层面,并采用更新的检测和防护机制。用于增强现有安全防御的一些新型安全策略包括:
设计较小的安全区域来保护关键系统。
增加基于网络的安全平台,以提供在线(“in-line”)检测和防御。
采用统一威胁管理(Unified Threat Management,简称UTM),提供更好的管理、攻击关联,降低维护成本。
研究有效的安全策略,并培训用户。
浏览量:2
下载量:0
时间:
1.计算机病毒的定义
计算机病毒(Computer Virus)在《中华人民共和国计算机信息系统安全保护条例》中被明确定义,病毒指“编制者在计算机程序中插入的破坏计算机功能或者破坏数据,影响计算机使用并且能够自我复制的一组计算机指令或者程序代码”。与医学上的“病毒”不同,计算机病毒不是天然存在的,是某些人利用计算机软件和硬件所固有的脆弱性编制的一组指令集或程序代码。它能通过某种途径潜伏在计算机的存储介质(或程序)里,当达到某种条件时即被激活,通过修改其他程序的方法将自己的精确拷贝或者可能演化的形式放入其他程序中,从而感染其他程序,对计算机资源进行破坏,所谓的病毒就是人为造成的,对其他用户的危害性很大!
2.常用的反病毒软件技术
特征码技术:基于对已知病毒分析、查解的反病毒技术
目前的大多数杀病毒软件采用的方法主要是特征码查毒方案与人工解毒并行,亦即在查病毒时采用特征码查毒,在杀病毒时采用人工编制解毒代码。
特征码查毒方案实际上是人工查毒经验的简单表述,它再现了人工辨识病毒的一般方法,采用了“同一病毒或同类病毒的某一部分代码相同”的原理,也就是说,如果病毒及其变种、变形病毒具有同一性,则可以对这种同一性进行描述,并通过对程序体与描述结果(亦即“特征码”)进行比较来查找病毒。而并非所有病毒都可以描述其特征码,很多病毒都是难以描述甚至无法用特征码进行描述。使用特征码技术需要实现一些补充功能,例如近来的压缩包、压缩可执行文件自动查杀技术。
但是,特征码查毒方案也具有极大的局限性。特征码的描述取决于人的主观因素,从长达数千字节的病毒体中撷取十余字节的病毒特征码,需要对病毒进行跟踪、反汇编以及其它分析,如果病毒本身具有反跟踪技术和变形、解码技术,那么跟踪和反汇编以获取特征码的情况将变得极其复杂。此外,要撷取一个病毒的特征码,必然要获取该病毒的样本,再由于对特征码的描述各个不同,特征码方法在国际上很难得到广域性支持。特征码查病毒主要的技术缺陷表现在较大的误查和误报上,而杀病毒技术又导致了反病毒软件的技术迟滞。
未来的反病毒技术: 虚拟现实
对于未来技术的展望可能只是一种近乎飘渺的幻想,但是就如同计算机病毒最初的描述出现在科幻小说里,虽然还有许许多多我们目前仍在实现却仍未实现的技术,甚至还有许多我们根本未考虑到的因素。只要技术足够成熟,网络世界中是完全有可能出现类似人工智能的反病毒技术。
未来反病毒的疑难之一就是:我们永远无法写出一个合理的程序来辨识和查杀病毒。病毒掌握了人类所掌握的一切,它同样能辨识和分析反毒程序,并对自身重新编程;而反毒程序要可能同样地对病毒进行探测,再进行自编程。病毒与反毒程序的角逐就变成了自编程能力的实现,而这样的结果只能导致网络空间紧张,甚至崩溃!
我们还可以考虑用另一种方式:人工进入计算网络世界的方法来查杀病毒。人有足够的智能和经验积累来完成对病毒的辨识和杀除,而这就只剩下建立人与计算机之间的“桥”的问题了。
目前的虚拟现实技术重点放在了对人与人的自然界交流方式———“感官”的计算机描述的实现上,它如同人们所有的知觉都最终传感给大脑,大脑对这种传感作出一种体验上的描述,从而形成知觉意识。如果计算机将二进制代码流表述成脑电波的流信息,并通过神经传感给大脑,则完全可以描述并引导、控制人的一切思维。简单地说,人的思维与计算机语言存在了这样一个通用的接口!
这种理论如果得以实现,则虚拟现实技术将进入新的发展领域。虽然从理论上讲是不可能在对病毒未知的情况下对其做出精确判断从而预防,但是在实际应用中,经过反病毒专家多年的统计、分析、研究积累的经验,完全有可能以概率方式对病毒危险进行一种分级制测定并对其使用反病毒程序,在相当程度上达到较精确地防御未知病毒的侵入。
浏览量:2
下载量:0
时间:
如果是你,你是怎样检测电脑病毒的呢!下面由读文网小编给你做出详细的电脑病毒检查介绍!希望对你有帮助!欢迎回访读文网网站,谢谢!
利用病毒的特有行为特征性来监测病毒的方法,称为行为监测法。通过对病毒多年的观察、研究,有一些行为是病毒的共同行为,而且比较特殊。当程序运行时,监视其行为,如果发现了病毒行为,立即报警。
行为监测法的长处:可发现未知病毒、可相当准确地预报未知的多数病毒。行为监测法的短处:可能误报警、不能识别病毒名称、实现时有一定难度。
软件模拟法,以后演绎为虚拟机查毒,启发式查毒技术,是相对成熟的技术。
看过“计算机病毒检测方法 ”人还看了:
浏览量:3
下载量:0
时间:
计算机病毒无处不在,常常伴随着我们电脑,那么我们要怎么样去检测计算机电脑病毒呢?下面由读文网小编给你做出详细的计算机病毒检测方法介绍!希望对你有帮助!
灭毒
1、在注册表里删除随系统启动的非法程序,然后在注册表中搜索所有该键值,删除之。当成系统服务启动的病毒程序,会在Hkey_Local_MachineSystemControlSet001services和controlset002services里藏身,找到之后一并消灭。
2、停止有问题的服务,改自动为禁止。
3、如果文件system32driversetchosts被篡改,恢复它,即只剩下一行有效值“127.0.0.1localhost”,其余的行删除。再把host设置成只读。
4、重启电脑,摁F8进“带网络的安全模式”。目的是不让病毒程序启动,又可以对Windows升级打补丁和对杀毒软件升级。
5、搜索病毒的执行文件,手动消灭之。
6、对Windows升级打补丁和对杀毒软件升级。
7、关闭不必要的系统服务,如remoteregistryservice。
8、第6步完成后用杀毒软件对系统进行全面的扫描,剿灭漏网之鱼。
9、上步完成后,重启计算机,完成所有操作。
看了“怎么样检测计算机病毒”文章的还看了:
浏览量:4
下载量:0
时间:
恶劣的计算机病毒,检测出来了,却杀不了,该怎么办呢?下面由读文网小编给你做出详细的计算机病毒检测出来杀不了解决方法介绍!希望对你有帮助!
不一定啊,病毒一般不是体检出来的,哥们看样子你对杀毒不是特别理解啊
我教你一个简单的杀毒办法把
下载腾讯电脑管家“8.9”最新版,对电脑首先进行一个体检,打开所有防火墙避免系统其余文件被感染。
打开杀毒页面开始查杀,切记要打开小红伞引擎。如果普通查杀不能解决问题,您可以打开腾讯电脑管家---杀毒——全盘杀毒- 进行深度扫描。
查杀处理完所有病毒后,立刻重启电脑,再进行一次安全体检,清除多余系统缓存文件,避免二次感染。
浏览量:3
下载量:0
时间:
计算机病毒也是可以检测出来的,那么计算机病毒的检测技术是怎么样的呢?下面由读文网小编给你做出详细的计算机病毒检测技术介绍!希望对你有帮助!
计算机病毒检测第一:智能广谱扫描技术。这一技术是为了躲避杀毒软件的查杀,通过对非连续性和转变性较大的病毒的所有字节进行分析,并且进行整合的一种高变种的病毒,被称为智能广谱扫描技术,这一技术是按照目前病毒的类型和形式的千变万化的情况研发而出的。
由于传统的病毒在目前一些杀毒软件中都有一定的资料,检测技术也就相对比较简单,那么为了使用杀毒软件找出病毒,必须要对计算机病毒检测技术进行改革,智能广谱扫描技术能够对病毒的每一个字节进行分析,在发现程序代码中的字节出现相同或者是相近的两个病毒编码就可以确定其为病毒。
这一技术的优点有准确性高,查找病毒速度快等优点,但是需要收集较多的信息,针对于新的病毒并没有杀毒功能,主要是针对已经存在的病毒进行杀毒。
计算机病毒检测第二:虚拟机技术。虚拟机技术也就是用软件先虚拟一套运转环境,让病毒在虚拟的环境中进行,以此来分析病毒的执行行为,并且由于加密的病毒在执行的时候需要解密,那么就可以在解密之后通过特征码来查杀病毒,在虚拟的环境中病毒的运转情况都被监控
那么在实际的环境中就可以有效的检测出计算机病毒。虚拟机技术主要针对的是一些新生代的木马、蠕虫病毒等,这一技术具有提前预知性,识别速度较快等优点。
计算机病毒检测第三:特征码过滤技术。在病毒样本中选择特征码,特征码在一般情况下选得较长,甚至可以达到数十字节,通过特征码对各个文件进行扫描,在发现这一特征码的时候就说明该文件感染了病毒。
一般在选择特征码的时候可以根据病毒程序的长度将文件分成几份,这能够有效的避开采用单一特征码误报病毒现象的发生,此外在选择特征码的时候要避开选出的信息是通用信息,应该具有一定的特征,还要避开选取出来的信息都是零字节的
最后需要将选取出来的几段特征码,以及特征码的偏移量存入病毒库,再表示出病毒的名称也就可以。特征码过滤技术具有检测准确快速,误报警率低,可识别病毒名称等优点,但是它也存在着一些缺点,例如:速度慢,不能够对付隐蔽性的病毒等,主要是针对已知病毒进行分析和记忆贮存。
计算机病毒检测第四:启发扫描技术。由于新的病毒的不断出现,传统的特征码查杀病毒很难查出新的病毒,那么为了能够更好的检测病毒的相关代码,研发了启发式扫描技术,启发扫描技术不能够对一些模棱两可的病毒进行准确的分析,容易出现误报
但是这一技术能够在发现病毒的时候及时的提示用户停止运转程序。这一技术是通过分析指令出现的顺序,或者是特定的组合情况等一些常见的病毒来判断文件是否感染了病毒。
由于病毒需要对程序进行感染破坏,那么在进行病毒感染的时候都会有一定的特征,可以通过扫描特定的行为或者是多种行为的组合来判断程序是否是病毒,我们可以根据病毒与其他程序的不同之处进行分析,来判断病毒是否存在,这一技术主要是针对熊猫烧香病毒等。
此外还有主动防御技术,虽然这一技术是近些年才出现的新技术,但是它同样能够对抗病毒的威胁,在目前依靠特征码技术已经很难适应反病毒的需求,而主动防御技术就是全程监视病毒的行为
一旦发现出现异常情况,就通知用户或者是直接将程序的进行结束。利用这些计算机反病毒技术能够有效的防止病毒入侵计算机,给用户一个较好的使用环境。这一技术会主动出现造成误差,并且难以检测出行为正常技术较高的病毒,它能够在病毒出现后及时的提醒用户,主要针对的是global.exe病毒等。
看了“ 计算机病毒检测技术”文章的还看了:
浏览量:2
下载量:0
时间:
计算机如果中病毒了,那么我们要怎么样去检测呢?下面由读文网小编给你做出详细的计算机病毒检测方法介绍!希望对你有帮助!
提早发现病毒对计算机的防护是很重要的。早发现,早处置,可以减少损失。现在介绍几种检测病毒的方法,虽然方法不尽相同,但各具所长。 特征代码法、校验和法、行为监测法、软件模拟法,
病毒特征代码检测法
特征代码检测是目前较为普遍的病毒检测方法,是通过检测工具(反病毒软件)置入已知病毒特征代码来检测病毒,但对从未见过的新病毒,却无法检测。在技术上需要不断更新程序版本,升级病毒特征代码。
文件校验和法
将计算出系统正常文件内容的校验和进行保存。并定期检查文件的校验和与原来保存的校验和是否一致,从而发现文件是否感染病毒,这种方法叫文件校验和法。它既可发现已知病毒又可发现未知病毒,能观测文件的细微变化。
但是这种方法常常误报警,原因是病毒感染并非文件内容改变的惟一的非他性,还有可能是正常程序引起的。文件校验和法不是最好的方法,它会影响文件的运行速度。不能识别病毒名称、不能对付隐蔽型病毒。
行为特征监测法
利用病毒的特有行为特征性来监测病毒的方法,称为行为监测法。通过对病毒长期观察,研究、识别出病毒行为共同性和特殊性。当系统运行时,监视其行为,如果有病毒行为,会立即发出警报。行为特征监测法可以发现未知病毒、能相当准确地预报未知的多数病毒。但可能导致误报、不能识别病毒名称。
软件模拟法由此演绎为虚拟机上进行的查毒,启发式查毒技术等,是相对成熟的技术。
看了“计算机病毒检测方法有哪些 ”文章的还看了:
浏览量:3
下载量:0
时间:
怎么样查看自己计算机有没有中病毒呢?小编来教你方法!下面由读文网小编给你做出详细的计算机病毒检测方法介绍!希望对你有帮助!
最好的办法自然是用杀毒软件了,目前还没有其他更好的办法解决电脑中毒问题
我知道一个杀毒的好办法,杀毒效果特别好
1,下载腾讯电脑管家“8.11”最新版
2,打开杀毒页面开始查杀,切记要打开小红伞引擎。如果普通查杀不能解决问题,您可以打开腾讯电脑管家---杀毒——全盘杀毒- 进行深度扫描。
3,查杀处理完所有病毒后,立刻重启电脑,再进行一次安全体检,清除多余系统缓存文件,避免二次感染。
看了“计算机病毒检测方法有哪些 ”文章的还看了:
浏览量:2
下载量:0
时间:
计算机老是出现一些故障,很多人会怀疑是不是中毒了,但又不会检测,该怎么办呢?下面由读文网小编给你做出详细的计算机病毒检测方法介绍!希望对你有帮助!
一般对硬盘进行病毒检测时,要求内存中不带病毒,因为某些电脑病毒会向检测者报告假情况。例如4096病毒在内存中时,查看被它感染的文件,不会发现该文件的长度已发生变化,而当在内存中没有病毒时,才会发现文件长度已经增lk了4096字节;又例如,DIR2病毒在内存中,用Debug程序查看被感染文件时,根本看不到DIR2病毒的代码,很多检测程序因此而漏过了被感染的文件;还有引导区型的巴基斯坦智囊病毒,当它活跃在内存中时,检查引导区就看不到病毒程序而只看到正常的引导扇区。因此,只有在要求确认某种病毒的类型和对其进行分析、研究时,才能在内存中带毒的情况下作检测工作。
从原始的、未受病毒感染的DOS系统软盘启动,可以保证内存中不带病毒。启动必须是上电启动而不是按键盘上的Alt+Ctrl+Del三键的那种热启动,因为某些病毒可以通过截取键盘中断,将自己驻留在内存中。检测硬盘中的病毒,启动系统软盘的DOS版本号应该等于或高于硬盘内DOS系统的版本号。如果硬盘上使用了硬盘管理软件DM、ADM,硬盘压缩存储管理软件Stacker、DoubleSpace等,启动系统软盘时应把这些软件的驱动程序包括在软盘上,并把它们写入config.sys文件中,否则用系统软盘引导启动后,将不能访问硬盘上的所有分区,使躲藏在其中的病毒逃过检查。
检测硬盘中的病毒可分成检测引导区型病毒和检测文件型病毒。这两种检测的原理上相同,但由于病毒的存储方式不同,检测方法还是有差别的。主要是基于下列四种方法:比较被检测对象与原始备份的比较法;利用病毒特征代码串进行查找的搜索法;搜索病毒体内特定位置的特征字识别法;运用反汇编技术分析被检测对象,确证是否为病毒的分析法。比较法
这是用原始备份与被检测的引导扇区或被检测的文件进行比较的方法,可以用打印的代码清单(比如Debug的D命令输出格式)进行比较,也可用程序来进行比较(如DOS的DISKCOMP、COMP或PCTOOLS等其它软件)。比较法不需要专用的查病毒程序,只要用常规DOS软件和PCTOOLS等工具软件就可以进行,而且还可以发现那些尚不能被现有的杀毒软件发现的计算机病毒。因为病毒传播得很快,新病毒层出不穷,而目前还没有能查出一切病毒的通用程序,或通过代码分析,可以判定某个程序中是否含有病毒的查毒程序,所以只有靠比较法和分析法,或这两种方法相结合来发现新病毒。
对硬盘的主引导区或对DOS的引导扇区作检查,用比较法能发现其中的程序源代码是否发生了变化。由于要进行比较,因此保留好原始备份是非常重要的。制作备份时必须在无电脑病毒的环境里进行,制作好的备份必须妥善保管,写好标签,贴好写保护。比较法的好处是简单、方便,不用专用软件;缺点是无法确认病毒的种类名称。另外,造成被检测程序与原始备份之间差别的原因尚需进一步验证,以查明是电脑病毒造成的,还是DOS数据被偶然原因,如突然停电、程序失控、恶意程序等破坏的。这些要用到以后讲的分析法,查看变化部分代码的性质,以此来确认是否存在病毒。搜索法
这种方法主要是对每一种病毒含有的特定字符串进行扫描,如果在被检测对象内部发现了某一种特定字节串,就表明发现了该字节串所代表的病毒。国外称这种按搜索法工作的病毒扫描软件为Scanner。这种病毒扫描软件由两部分组成:一部分是病毒代码库,含有经过特别选定的各种电脑病毒的代码串;另一部分是利用该代码库进行扫描的扫描程序,病毒扫描程序能识别的电脑病毒的数目完全取决于病毒代码库内所含病毒种类的多少。
病毒代码串的选择是非常重要的,短小的病毒代码只有一百多个字节,长的也只有10KB字节。一定要在仔细分析程序之后选出最具代表特性的,足以将该病毒区别于其它病毒和该病毒的其它变种的代码串。一般情况下,代码串是由连续若干个字节组成的,但是有些扫描软件采用的是可变长串,即在串中包含有一个到几个模糊字节。扫描软件遇到这种串时,只要除模糊字节之外的字串都能完好匹配,就也能够判别出病毒。另外,特征串还必须能将病毒与正常的非病毒程序区,不然就会出现假报、误报。
特征字识别法
这是基于特征串扫描法发展起来的一种方式,运行速度较快、误报频率较低。特征字识别法只须从病毒体内抽取很少的几个关键特征字,组成特征字库。由于需要处理的字节很少,又不必进行串匹配,因此大大加快了识别速度,当被处理的程序很大时,用这种办法比较合适。由于特征字识别法更注意电脑病毒的程序活性,因此减少了错报的可能性。使用基于特征串扫描法的查病毒软件方法与使用基于特征字识别法的查病毒软件方法是一样的,只要运行查毒程序,就能将已知的病毒检查出来。这两种方法的使用,都须要不断地对病毒库进行扩充,一旦捕捉到病毒,经过提取特征并加入到病毒库,就能使查病毒程序多检查出一种新病毒来。分析法
这种方法一方面可以确认被观察的磁盘引导区和程序中是否含有病毒,另一方面可以辨认病毒的类型和种类,判定是否为一种新病毒,另外还可以搞清楚病毒体的大致结构,提取用于特征识别的字节串或特征字,增添到病毒代码库中供病毒扫描和识别程序使用。同时,详细地分析病毒代码,还有助于制定相应的反病毒方案。与前三种检测病毒的方法不同,使用分析法检测病毒,除了要具有相关的知识外,还需要使用Debug、Proview等分析工具程序和专用的试验用计算机。因为即使是很精通病毒的技术人员,使用性能完善的分析软件,也不能完全保证在短时间内将病毒代码分析清楚;而病毒则有可能在被分析阶段继续传染甚至发作,把软盘、硬盘内的数据完全毁坏掉,所以分析工作必须在专门的试验用PC机上进行,不怕其中的数据被破坏。
不具备必要的条件,不要轻易开始分析工作。很多电脑病毒采用了自加密、抗跟踪等技术,使得分析病毒的工作经常是冗长枯燥的。特别是某些文件型病毒的源代码可达10KB以上,与系统的牵扯层次很深,使详细的剖析工作十分复杂。病毒检测的分析法是反病毒工作中不可或缺的重要技术,任何一个性能优良的反病毒系统的研制和开发都离不开专门人员对各种病毒详尽、认真的分析。
分析法分为静态和动态两种。静态分析是指利用Debug等反汇编程序将病毒代码打印成反汇编后的程序清单进行分析,看病毒分成哪些模块,使用了哪些系统调用,采用了哪些技巧,如何将病毒感染文件的过程翻转为清除病毒、修复文件的过程,哪些代码可被用做特征码以及如何防御这种病毒等等。分析人员的素质越高,分析过程就越快,理解也就越深;动态分析则是指利用Debug等程序调试工具在内存带毒的情况下,对病毒作动态跟踪,观察病毒的具体工作过程,以进一步在静态分析的基础上理解病毒工作的原理。在病毒编码比较简单的情况下,动态分析不是必须的。但是,当病毒采用了较多的技术手段时,就必须使用动、静相结合的分析方法才能完成整个分析过程。
看了“计算机病毒如何检测 ”文章的还看了:
浏览量:4
下载量:0
时间:
我想检测下计算机有没有中病毒,那么该怎么样去检测呢?下面由读文网小编给你做出详细的检测计算机病毒方法方法介绍!希望对你有帮助!
1. 最简单,最有效,最直观用杀毒软件。
2. 用系统自带的命令,netstat -an。查看下是否有向外的连接。这里要注意看得时候要把所有联网的东西都关了,包括QQ,浏览器,还有一些下载软件等。
查看到有向外联接的IP不一定就是中病毒了。可以到网上查询下IP的来源,可以简单判断,但不一定准的。
3. 用网络抓包工具,看是否向外发送不明数据包。
4. 查看启动项,运行msconfig,然后在启动里看看有没有可疑的启动项,有的话去看看源文件。
5. 右击“我的电脑”在里选“管理”然后再点服务,看下有没有可疑的服务存在,大部分服务只要去大的搜索网站搜一下就知道存在不存在了,是什么作用等等都很详细。
如果确定了服务是个病毒服务,那么就可以右击该服务,看下属性里,是不是有可执行文件路径,这是病毒的路径,删掉就行了,再到注册表里删掉相应的服务就可以了
看了“ 如何检测计算机病毒”文章的还看了:
浏览量:2
下载量:0
时间:
有时候想要查看下自己计算机有没有病毒,用什么方法检测好呢?下面由读文网小编给你做出详细的检测计算机病毒方法介绍!希望对你有帮助!
一、中毒的一些表现
我们怎样知道电脑中病毒了呢?其实电脑中毒跟人生病一样,总会有一些明显的症状表现出来。例如机器运行十分缓慢、上不了网、杀毒软件生不了级、word文档打不开,电脑不能正常启动、硬盘分区找不到了、数据丢失等等,就是中毒的一些征兆。
二、中毒诊断
1、按Ctrl+Shift+Ese键(同时按此三键),调出windows任务管理器查看系统运行的进程,找出不熟悉进程并记下其名称(这需要经验),如果这些进程是病毒的话,以便于后面的清除。暂时不要结束这些进程,因为有的病毒或非法的进程可能在此没法结束。点击性能查看CPU和内存的当前状态,如果CPU的利用率接近100%或内存的占用值居高不下,此时电脑中毒的可能性是95%。
2、查看windows当前启动的服务项,由“控制面板”的“管理工具”里打开“服务”。看右栏状态为“启动”启动类别为“自动”项的行;一般而言,正常的windows服务,基本上是有描述内容的(少数被骇客或蠕虫病毒伪造的除外),此时双击打开认为有问题的服务项查看其属性里的可执行文件的路径和名称,假如其名称和路径为C:winntsystem32explored.exe,计算机中招。有一种情况是“控制面板”打不开或者是所有里面的图标跑到左边,中间有一纵向的滚动条,而右边为空白,再双击添加/删除程序或管理工具,窗体内是空的,这是病毒文件winhlpp32.exe发作的特性。
3、运行注册表编辑器,命令为regedit或regedt32,查看都有那些程序与windows一起启动。主要看Hkey_Local_MachineSoftwareMicroSoftWindowsCurrentVersionRun和后面几个RunOnce等,查看窗体右侧的项值,看是否有非法的启动项。WindowsXp运行msconfig也起相同的作用。随着经验的积累,你可以轻易的判断病毒的启动项。
4、用浏览器上网判断。像以前的Gaobot病毒,可以上yahoo.com,sony.com等网站,但是不能访问一些安全厂商的网站,杀毒软件不能上网升级。
5、取消隐藏属性,查看系统文件夹winnt(windows)system32,如果打开后文件夹为空,表明电脑已经中毒;打开system32后,可以对图标按类型排序,看有没有流行病毒的执行文件存在。顺便查一下文件夹Tasks,wins,drivers.目前有的病毒执行文件就藏身于此;driversetc下的文件hosts是病毒喜欢篡改的对象,它本来只有700字节左右,被篡改后就成了1Kb以上,这是造成一般网站能访问而安全厂商网站不能访问、著名杀毒软件不能升级的原因所在。
6、由杀毒软件判断是否中毒,如果中毒,杀毒软件会被病毒程序自动终止,并且手动升级失败。
三、灭毒
1、在注册表里删除随系统启动的非法程序,然后在注册表中搜索所有该键值,删除之。当成系统服务启动的病毒程序,会在Hkey_Local_MachineSystemControlSet001services和controlset002services里藏身,找到之后一并消灭。
2、停止有问题的服务,改自动为禁止。
3、如果文件system32driversetchosts被篡改,恢复它,即只剩下一行有效值“127.0.0.1localhost”,其余的行删除。再把host设置成只读。
4、重启电脑,摁F8进“带网络的安全模式”。目的是不让病毒程序启动,又可以对Windows升级打补丁和对杀毒软件升级。
5、搜索病毒的执行文件,手动消灭之。
6、对Windows升级打补丁和对杀毒软件升级。
7、关闭不必要的系统服务,如remoteregistryservice。
8、第6步完成后用杀毒软件对系统进行全面的扫描,剿灭漏网之鱼。
9、上步完成后,重启计算机,完成所有操作。
看了“如何检测计算机病毒好 ”文章的还看了:
浏览量:2
下载量:0
时间:
怀疑计算机中了病毒,那么用什么方法检测好呢?下面由读文网小编给你做出详细的检测计算机病毒方法介绍!希望对你有帮助!
通过查看计算机中得杀毒软件的查杀记录可以看到部分病毒文件的藏身处。一般会在以该用户用户名为名称的文件夹下找到痕迹,但是也未必。
前提是杀毒软件必须已经发现且处理过,如果未发现也不能在查杀记录中找到
看了“检测计算机病毒方法有哪些 ”文章的还看了:
浏览量:3
下载量:0
时间:
计算机中病毒了,手动该怎么样检测呢?下面由读文网小编给你做出详细的手动检测计算机病毒方法介绍!希望对你有帮助!
目前木马威胁之大已远超病毒,360安全卫士运用云安全技术,在拦截和查杀木马的效果、速度以及专业性上表现出色,能有效防止个人数据和隐私被木马窃取,被誉为“防范木马的第一选择”。
浏览量:2
下载量:0
时间:
每次一开机就会自动检测硬盘错误,导致开机花费时间长。那么win7怎么取消开机自动检测硬盘呢?读文网小编分享了win7取消开机自动检测硬盘的方法,希望对大家有所帮助。
如果分区是FAT32格式的话,也是会造成开机自动检测硬盘的,那么解决方法就是将其转换成NTFS,操作方法依次点击“开始”→“运行”,输入“CMD”打开命令提示符,在命令提示符中输入:convert X: /fs:ntfs,回车即可;
浏览量:14
下载量:0
时间:
电脑自动检测硬盘会使开机时间变得更长,那么win7如何取消开机自动检测硬盘呢?就让读文网小编来告诉大家win7取消开机自动检测硬盘的方法吧,希望可以帮助到大家。
第1步,打开电脑电源,在屏幕左下方出现“Press DEL to enter SETUP”提示信息时,按“Del”键(如果是Phinex BIOS,将提示按“F2”键)。
第2步,打开BIOS设置主界面,选中“Advanced BIOS Features(高级BIOS功能设置)”选项,并按回车键,如图2010040512所示。
图2010040512 选中“Advanced BIOS Features”选项
第3步,在“Advanced BIOS Features”界面中选中“Boot Up Floppy Seek(开机软驱检测)”选项,然后按回车键打开“Boot Up Floppy Seek”对话框。选中Disabled选项并按回车键,如图2010040513所示。
图2010040513 “Boot Up Floppy Seek”对话框
第4步,按Esc键返回BIOS设置主界面,选中“Save & Exit Setup”(存储并结束设置)选项,并按回车键。在打开的对话框中按Y键保存设置并退出BIOS程序,这样即可关闭开机软驱检测功能,如图2010040514所示。
图2010040514 按Y键保存设置
浏览量:2
下载量:0
时间: