檢測電腦病毒的方法

病毒要進行傳染，必然會留下痕迹。生物醫學病毒如此，電腦病毒也是一樣。檢測電腦病毒，就要到病毒寄生場所去檢查，發現異常情況，並進而驗明“正身”，確認電腦病毒的存在。電腦病毒靜態時儲存於硬碟中，被啟用時駐留在記憶體中，因此對電腦病毒的檢測可以分為對硬碟的檢測和對記憶體的檢測。

一般對硬碟進行病毒檢測時，要求記憶體中不帶病毒，因為某些電腦病毒會向檢測者報告假情況。例如“4096”病毒在記憶體中時，查看被它感染的檔案，不會發現該檔案的長度已發生變化，而當在記憶體中沒有病毒時，才會發現檔案長度已經增長了4096位元組;又例如，“DIR2”病毒在記憶體中，用Debug程式查看被感染檔案時，根本看不到“DIR2”病毒的代碼，很多檢測程式因此而漏過了被感染的檔案;還有引導區型的“巴基斯坦智囊”病毒，當它活躍在記憶體中時，檢查引導區就看不到病毒程式而只看到正常的開機磁區。因此，只有在要求確認某種病毒的類型和對其進行分析、研究時，才能在記憶體中帶毒的情況下作檢測工作。從原始的、未受病毒感染的DOS系統磁碟片啟動，可以保證記憶體中不帶病毒。啟動必須是上電啟動而不是按鍵盤上的“Alt+Ctrl+Del”三鍵的那種暖開機，因為某些病毒可以通過截取鍵盤中斷，將自己駐留在記憶體中。檢測硬碟中的病毒，啟動系統磁碟片的DOS版本號碼應該等於或高於硬碟內DOS系統的版本號碼。如果硬碟上使用了硬碟管理軟體DM、ADM，硬碟壓縮儲存管理軟體Stacker、DoubleSpace等，啟動系統磁碟片時應把這些軟體的驅動程式套件括在磁碟片上，並把它們寫入config.sys檔案中，否則用系統磁碟片引導啟動後，將不能訪問硬碟上的所有分區，使躲藏在其中的病毒逃過檢查。

檢測硬碟中的病毒可分成檢測引導區型病毒和檢測檔案型病毒。這兩種檢測的原理上相同，但由於病毒的儲存方式不同，檢測方法還是有差別的。主要是基於下列四種方法:比較被檢測對象與原始備份的比較法;利用病毒碼代碼串進行尋找的搜尋法;搜尋病毒體內特定位置的特徵字識別法;運用反組譯碼技術分析被檢測對象，確證是否為病毒的分析法。

比較法

這是用原始備份與被檢測的開機磁區或被檢測的檔案進行比較的方法，可以用列印的代碼清單(比如Debug的D命令輸出格式)進行比較，也可用程式來進行比較(如DOS的DISKCOMP、COMP或PCTOOLS等其它軟體)。比較法不需要專用的查病毒程式，只要用常規DOS軟體和PCTOOLS等工具軟體就可以進行，而且還可以發現那些尚不能被現有的殺毒軟體發現的電腦病毒。因為病毒傳播得很快，新病毒層出不窮，而目前還沒有能查出一切病毒的通用程式，或通過程式碼分析，可以判定某個程式中是否含有病毒的查毒程式，所以只有靠比較法和分析法，或這兩種方法相結合來發現新病毒。　對硬碟的主引導區或對DOS的開機磁區作檢查，用比較法能發現其中的程式原始碼是否發生了變化。由於要進行比較，因此保留好原始備份是非常重要的。製作備份時必須在無電腦病毒的環境裡進行，製作好的備份必須妥善保管，寫好標籤，貼好防寫保護。比較法的好處是簡單、方便，不用專用軟體;缺點是無法確認病毒的種類名稱。另外，造成被檢測程式與原始備份之間差別的原因尚需進一步驗證，以查明是電腦病毒造成的，還是DOS資料被偶然原因，如突然停電、程式失控、惡意程式等破壞的。這些要用到以後講的分析法，查看變化部分代碼的性質，以此來確認是否存在病毒。

搜尋法

這種方法主要是對每一種病毒含有的特定字串進行掃描，如果在被檢測對象內部發現了某一種特定位元組串，就表明發現了該位元組串所代表的病毒。國外稱這種按搜尋法工作的病毒掃描軟體為“Scanner”。這種病毒掃描軟體由兩部分組成:一部分是病毒程式碼程式庫，含有經過特別選定的各種電腦病毒的代碼串;另一部分是利用該程式碼程式庫進行掃描的掃描程式，病毒掃描程式能識別的電腦病毒的數目完全取決於病毒程式碼程式庫內所含病毒種類的多少。病毒代碼串的選擇是非常重要的，短小的病毒代碼只有一百多個位元組，長的也只有10KB位元組。一定要在仔細剖析器之後選出最具代表特性的，足以將該病毒區別於其它病毒和該病毒的其它變種的代碼串。一般情況下，代碼串是由連續若干個位元組組成的，但是有些掃描軟體採用的是可變長串，即在串中包含有一個到幾個“模糊”位元組。掃描軟體遇到這種串時，只要除“模糊”位元組之外的字串都能完好匹配，就也能夠判別出病毒。另外，特徵串還必須能將病毒與正常的非病毒程式區，不然就會出現“假報、誤判”。