淺析計算機病毒及其檢測

摘 要 本文通過對計算機病毒的原理與特征進行簡要梳理，從計算機病毒的發展歷史到其病毒的特征及其危害性，作一個完整性的認識，從而建立起計算機安全的概念，并提出預防計算機病毒的辦法。

關鍵詞 計算機病毒 特征 危害性 檢測

中圖分類號：TP393.08文獻標識碼：A

隨著計算機技術的發展，計算機已經深入到社會的各個方面，無論是學習還是工作，無論是國家建設還是軍事國防，它的戰略地位和作用已被人們充分認識。但是，計算機技術發展的同時也帶來了一系列社會問題與安全威脅，特別是計算機病毒的出現，不管是對個人還是對企業，或者是對國家都造成了很大的危害。并且計算機病毒的品種和數量與日俱增，形式不斷變化，破壞性也進一步加強，而對于一般的計算機管理人員和一般用戶對計算機病毒沒有清楚的認識，一方面導致在使用計算機的時候具有很大的心理負擔，嚴重干擾了他們日常的工作和學習，另一方面又使使用者陷入不利的位置，無法避免計算機病毒的侵害。因此，對計算機病毒原理的了解和認識，掌握計算機病毒的工作原理、特征以及檢測與防治對使用者而言已經迫在眉睫。

1 計算機病毒的基本概念

圖1 病毒的靜態結構圖2 病毒的動態結構

計算機病毒這個術語最早由L.M.Aleman引入，而以形式化的定義來對計算機病毒進行概括的則是F.Cohen。計算機病毒在F.Cohen的形式化定義里很難以自然語言進行描述，但他同時也指出，計算機病毒是“一個程序，它能夠通過把自身（或自己的一個變體）包含在其他程序中來進行傳染。通過這種傳染性質，一個病毒能夠傳播到整個的計算機系統或網絡（通過用戶的授權感染他們的程序）。每個被病毒傳染的程序表現得像一個病毒，因此傳染不斷擴散。”①而實質上，隨著計算機技術的發展和對計算機病毒的研究，我們可以把計算機病毒定義為一種在計算機運行過程能把自身精確復制和有修改的復制到其他程序體內的一種程序，它的本質是一種非授權的程序加載，剽竊系統軟硬件資源作為其生存、繁殖和擴散的保障。一般情況下，計算機病毒主要由以下三部分組成：病毒引導模塊、病毒傳染模塊、病毒激發與表現模塊，如圖1、2所示：②

正是通過病毒內部的這三個模塊，由引導模塊把病毒導入系統，而由傳染模塊向計算機的其他部件進行傳染，再由激發模塊激活計算機病毒對計算機實施干擾或破壞，從而使計算機不能正常工作，導致系統癱瘓，信息喪失。

計算機病毒按傳染對象及其載體可分為操作系統型病毒及文件型病毒。操作系統型病毒在系統引導時先于正常系統的引導，將其病毒程序導入系統中，從而傳染至軟盤引導扇區、硬盤主引導扇區和硬盤DOS分區引導扇區。當病毒截得一定的中斷向量時，由激發模塊激發病毒，從而向內向外進行傳染，在滿足一定條件時，便向載體計算機進行破壞。而文件型病毒一般是對系統中的可執行文件進行感染，這種病毒的依附有其自主性，它可以選擇可執行文件的首部、中部或者尾部進行依附，就目前的病毒來看，一般是首部或尾部。在病毒依附于可執行文件之后，一旦可執行文件運行，病毒便能首先獲得系統的控制權，以此完成自身病毒的傳染和對系統的破壞，當激發模塊完成病毒的傳染和對計算機的破壞之后，繼而修改可執行文件。

2 計算機病毒的特征

計算機病毒的感染與運行產生對計算機破壞的作用是由計算機病毒的特征所決定的。我們從下面這個典型的計算機病毒的偽碼序列就可看出它的基本特征：（見圖3）

以上的偽碼序列我們可以清楚的觀察出計算機病毒具有傳染性、破壞性以及偽裝性。

傳染性是計算機病毒的顯著特色，也是衡量一個程序是不是計算機病毒的重要標志，它具有很強的再生機制，只要一接觸便會被傳染，無論是否是可執行程序，而傳染上之后，計算機病毒一般會隱藏在可執行文件中，或者是首部或者尾部，只要一運行，便又迅速傳染其他文件。

破壞性是計算機病毒被設計出來的主要目的，更是它的主要特征。當計算機系統感染病毒之后，病毒便會根據設計者的指示，或者破壞系統資源，或者破壞系統中的數據，又或者干擾計算機的正常運行以竊取用戶的作息，甚至破壞整個系統，使計算機系統的運行遭到全面的摧毀。概括起來，計算機的攻擊和破壞主要集中在三個方面：③（1）感染和破壞計算機硬盤或軟盤的引導扇區，改寫Flash BIOS芯片中的系統程序；（2）感染系統文件和可執行文件；（3）刪除或更改軟盤和硬盤中的文件。

偽裝性是計算機病毒寄生于計算機的某一個合法程序與系統，悄悄隱藏起來，在用戶不察覺的情況下對計算機其他文件進行傳染，在完成自己傳染和對計算機系統的破壞后，又把控制權交回宿主程序，繼續完成宿主程序的功能。在很多情況下，它會覆蓋多種文件或程序，以此隱藏它們的惡意功能，這就是它們的偽裝性。

當然，計算機病毒還有其他的特征，如非授權可執行性、潛伏性、可觸發性等，但這些在實質上可以歸于以上三個主要特性。

圖3

3 計算機病毒的檢測

遭受計算機病毒后，計算機會有一些顯著的表現，如電腦運行速度降低；程序訪問磁盤頻次增加；程序訪問不應訪問的磁盤驅動器；磁盤可用空間迅速減少；正常運行程序時出現異常現象或無法運行，屏幕出現不正常文字、圖畫；顯示屏出現異常文字及黑洞、小球、兩點等畫面；文件異常消失；文件部分丟失或整個文件被替代；出現不明來源的數據文件目錄④等等。

因此，用戶在使用計算機的過程中很有必要對計算機病毒進行檢測。下面介紹幾種檢測方法：

（1）通過行為異常來檢測，即behavioral abnormality；在這種方法里，將一個病毒監控器軟件（virus montor）裝下機器，用它來監視計算機系統在日常應用中的不同行為。這種監控器軟件知道病毒有一些試圖傳染和逃避檢測的典型活動，如試圖寫根扇區、修改中斷向量、寫系統文件等。這種方法最大的好處在于它適用于所有的病毒，包括已知與未知的，并且在病毒的傳染前就發現它，及時提醒用戶。

（2）通過仿真來檢測，即emulation；所謂仿真檢測就是被檢測的程序由病毒檢測程序來進行仿真，它用來決定程序的運行行為。這種方法與前面行為異常的檢測的方法不同在于，監控器軟件的監控是讓程序真正運行的，而該方法只在特定樣本輸入的情況下進行仿真，在仿真過程如一旦發現一個程序試圖修改中斷向量或打開敏感文件，則該程序便就是可疑的。這種檢測有一個缺點就是檢測的結果不夠精確，不可能總是正確地判定一個程序是否是計算機病毒。

（3）通過效驗和來檢測，即checksum；這種方法是為了保護程序不被修改或破壞，一個基于程序內容的效驗和被計算機出來并以加密方式存貯在程序內部或外部。通過校驗和這樣的方式，由于加密使用意向函數（one-way function），病毒傳染后要偽造一個同樣的檢驗和在計算上基本上不可能，從而檢測出是否遭受計算機病毒的感染與攻擊。

（4）通過動態的程序的完整性來檢測，即program integrity；這種方法是保證可執行程序在運行時的完整性，或在程序的完整性和運行之間檢測是否傳染。這種方法的基本途徑在于針對一個事先定義的程序“顆粒”，先計算一個加密的校驗和，事先對每個基本塊計算一個加密的效驗和，并把它存在基本塊⑤中。當每一次控制流入基本塊的頂部，重新計算校驗和，并把加密后的校驗和與存貯的檢驗和比較，這就能檢測出基本塊內部指令的完整性，從而知道是否感染計算機病毒。

（5）通過特征碼掃描來檢測，即signature scanning；這種方法是檢測計算機系統中或可執行程序中是否感染病毒最常見也是最簡單的方法，但這種方法只能針對已知病毒，對未知的病毒無法檢測，也不能直接應用于自我加密的病毒。

（6）通過手工檢測；對一些未知的病毒或已經變形的病毒，直截了當的方法就是對每一個未知的病毒或變形的病毒逐行編制一套特殊的程序去檢測不同的代碼序列。當然，這種方法在普通用戶中并不實用，極費時間又代價昂貴。

注釋

① Cohen，F. Computer aspects of computer viruses，ComputersSecurity，1989，8(4):325-344.

② 張亞華，劉宏飛，陳博.計算機病毒的人工檢測與防治對策[J].河南機電高等專科學校學報，1998(3):10.

③ 杜寶民，杜奕秋，王建生.談談算機病毒[J].吉林師范大學學報(自然科學版)，2003(3):98.

④ 李祥宏.計算機病毒的預防與檢測[J].商洛師范專科學校學報，1998(4):68.

⑤ 龔天富，侯文永.程序設計語言與編譯[M].電子工業出版社，1997.