摘自陈立新《计算机病毒防治百事通》清华大学出版社 3JM0 m (
计算机病毒比较法诊断的原理 6= s!~
比较法是用原始的或正常的与被检测的进行比较。比较法包括长度比较法、内容比较法、内存比较法、中断比 wgxr8;8`q
较法等。比较时可以靠打印的代码清单(比如DEBUG的口命令输出格式)进行比较,或用程序来进行比较(如DOS的 B}8xA}<
DISKCOMP、COMP或PCTOOLS等其他软件)。这种比较法不需要专用的查病毒程序,只要用常规DOS软件和 PCTOOLS等 &{NN!X
工具软件就可以进行。而且用这种比较法还可以发现那些尚不能被现有的查病毒程序发现的计算机病毒。因为病毒 g-"@%ps
传播得很快,新病毒层出不穷,由于目前还没有做出通用的能查出一切病毒,或通过代码分析,可以判定某个程序 S/)P&V%
中是否含有病毒的查毒程序,发现新病毒就只有靠比较法和分析法,有时必须结合这两者来一同工作。 |oPCmsO3R{
1.长度比较法及内容比较法 J3gJSRT@P
病毒感染系统或文件,必然引起系统或文件的变化,既包括长度的变化,又包括内容的变化。因此,将无毒的 K>X#,lE-
系统或文件与被检测的系统或文件的长度和内容进行比较,即可发现病毒。长度比较法和内容比较法就是从长度和 )WavG1
内容两方面进行比较而得名。 13wO6tS
k
以长度或内容是否变化做为检测病毒的依据,在许多场合是有效的。但是,众所周知,现在还没有一种方法可 [ZU6z?Pf
以检测所有的病毒。长度比较法和内容比较法有其局限性,只检查可疑系统或文件的长度和内容是不充分的。因为: ]3]I`e{
(1)长度和内容的变化可能是合法的。有些普通的命令可以引起长度和内容变化。 =mxG[zDtQ
(2)某些病毒感染文件时,宿主文件长度可保持不变。 XQ]no aU
上述情况下,长度比较法和内容比较法不能区别程序的正常变化和病毒攻击引起的变化,不能识别保持宿主程 UXwnE@`F
序长度不变的病毒,无法判定为何种病毒。实践告诉人们,只靠检测长度或内容是不充分的,将长度比较法、内容 /]m5HW(P7K
比较法做为检测病毒的手段之一,与其他方法配合使用,效果更好。 reJw&t