上游充通大兽 扫描法 SHANGHAI JIAO TONG UNIVERSITY ©扫描法是用每一种病毒体含有的特定字符串 (Signature)对被检测的对象进行扫描。如果在 被检测对象内部发现了某一种特定字符串，就表 明发现了该字符串所代表的病毒。 ©扫描器由两部分组成： ·特征串(Signature)和扫描算法(Scanner) 信息安全王程学院
信息安全工程学院 扫描法 扫描法是用每一种病毒体含有的特定字符串 （Signature）对被检测的对象进行扫描。如果在 被检测对象内部发现了某一种特定字符串，就表 明发现了该字符串所代表的病毒。 扫描器由两部分组成： • 特征串（Signature）和扫描算法（Scanner）
上游充通大学 SHANGHAI JIAO TONG UNIVERSITY 选择代码串的规则是： ·代码串不应含有病毒的数据区，数据区是会经常变化的。 在保持唯一性的前提下，应尽量使特征代码长度短些，以减少时 间和空间开销。 代码串一定要在仔细分析了程序之后才能选出最具代表性的，足 以将该病毒区别于其他病毒和该病毒的其他变种的代码串。 ·特征串必须能将病毒与正常的非病毒程序区分开。 例如：给定特征串为“E97C0010?37CB”,则 “E97C00102737CB”和“E97C00109C37CB"”都能被识 别出来. 信息安全王程学院
信息安全工程学院 选择代码串的规则是： • 代码串不应含有病毒的数据区，数据区是会经常变化的。 • 在保持唯一性的前提下，应尽量使特征代码长度短些，以减少时 间和空间开销。 • 代码串一定要在仔细分析了程序之后才能选出最具代表性的，足 以将该病毒区别于其他病毒和该病毒的其他变种的代码串。 • 特征串必须能将病毒与正常的非病毒程序区分开。 • 例如:给定特征串为“E9 7C 00 10 ? 37 CB” ，则 “E9 7C 00 10 27 37 CB”和“E9 7C 00 10 9C 37 CB”都能被识 别出来
上游充通大兽 SHANGHAI JIAO TONG UNIVERSITY ©其优点包括： (1)当特征串选择得很好时，病毒检测软件 让计算机用户使用起来方便快速，对病毒了解不 多的人也能用它来发现病毒。 (2)不用专门软件，用编辑软件也能用特征 串扫描法去检测特定病毒。 (3)可识别病毒的名称。 (4)误报警率低。 (5)依据检测结果，可做杀毒处理。 信息安全王程学院
信息安全工程学院 其优点包括： （1）当特征串选择得很好时，病毒检测软件 让计算机用户使用起来方便快速，对病毒了解不 多的人也能用它来发现病毒。 （2）不用专门软件，用编辑软件也能用特征 串扫描法去检测特定病毒。 （3）可识别病毒的名称。 （4）误报警率低。 （5）依据检测结果，可做杀毒处理
上游充通大粤 SHANGHAI JIAO TONG UNIVERSITY 缺点： 当被扫描的文件很长时，扫描所花时间也较多。 不容易选出合适的特征串，有时会发出假警报。 (3)新病毒的特征串耒加入病毒代码库时，老版本的扫毒程序无 法识别出新病毒。 (4)怀有恶意的计算机病毒制造者得到代码库后，，会很容易地改 变病毒体内的代码，生成一个新的变种，使扫描程序失去检测它的 能力 5),容易产生误警报。 只要正常程序内带有某种病毒的特征串， 即使该代码段已不可能被执行，而只是被杀死的病毒体残余，扫描 程序仍会报警。 (6)不易识别变异类病毒 (7) 搜集白知病毒的特征代码，费用开销大。 (8) 在网络上使用效率低。 信息安全工程学院
信息安全工程学院 缺点： （1）当被扫描的文件很长时，扫描所花时间也较多。 （2）不容易选出合适的特征串，有时会发出假警报。 （3）新病毒的特征串未加入病毒代码库时，老版本的扫毒程序无 法识别出新病毒。 （4）怀有恶意的计算机病毒制造者得到代码库后，会很容易地改 变病毒体内的代码，生成一个新的变种，使扫描程序失去检测它的 能力。 （5）容易产生误警报。只要正常程序内带有某种病毒的特征串， 即使该代码段已不可能被执行，而只是被杀死的病毒体残余，扫描 程序仍会报警。 （6）不易识别变异类病毒。 （7）搜集已知病毒的特征代码，费用开销大。 （8）在网络上使用效率低
上游充通大学 行为监测法 SHANGHAI JIAO TONG UNIVERSITY 利用病毒的特有行为特性来监测病毒的方法称为行为监 测法。 常用行为： ·占用INT13H 修改DOS系统数据区的内存总量 对COM和EXE文件做写入动作 ·写注册表 自动联网请求 优点：发现未知病毒 缺点：难度大、误报警 信息安全工程学院
信息安全工程学院 行为监测法 利用病毒的特有行为特性来监测病毒的方法称为行为监 测法。 常用行为： • 占用INT 13H • 修改DOS系统数据区的内存总量 • 对COM和EXE文件做写入动作 • 写注册表 • 自动联网请求 优点：发现未知病毒 缺点：难度大、误报警