引導(dǎo)型病毒機(jī)理和解析docxdocx(參考版)
2025-07-21 03:38本頁面
【正文】 。如果在系統(tǒng)中發(fā)現(xiàn)了引導(dǎo)型病毒，能立即查殺，如果這個(gè)病毒是由混合型病毒產(chǎn)生的，想要知道那個(gè)文件釋放出引導(dǎo)型病毒，可以在執(zhí)行每個(gè)命令文件后執(zhí)行一次診治程序，就能發(fā)現(xiàn)病毒來自哪個(gè)文件，進(jìn)而作進(jìn)一步處理。先讀取備份的文件，然后使用ROM BIOS設(shè)定的磁盤服務(wù)子程序直接讀寫磁盤，將當(dāng)前讀得的引導(dǎo)扇區(qū)與備份的數(shù)據(jù)加以比較，不一致時(shí)，予以報(bào)警并用備份數(shù)據(jù)加以覆蓋，清除病毒，然后重新啟動(dòng)計(jì)算機(jī)系統(tǒng)，以清除內(nèi)存中的病毒。有了備份的扇區(qū)數(shù)據(jù)和可信的INT 13中斷向量，就可以進(jìn)行日常診治。實(shí)現(xiàn)方法是這樣的：制作一張軟盤引導(dǎo)盤，并將其引導(dǎo)扇區(qū)內(nèi)容存于特定扇區(qū)，另做一個(gè)引導(dǎo)程序，該程序負(fù)責(zé)讀取系統(tǒng)啟動(dòng)時(shí)的LNT 13中斷向量（它是ROM BIOS設(shè)定的磁盤服務(wù)功能程序入口地址）；并保存它，然后調(diào)入并執(zhí)行原來正常的引導(dǎo)程序，完成DOS引導(dǎo)?；舅枷胧牵簜浞菡_的引導(dǎo)扇區(qū)，系統(tǒng)運(yùn)行時(shí)隨讀取引導(dǎo)扇區(qū)并與備份數(shù)據(jù)加以比較，進(jìn)而發(fā)現(xiàn)并清除引導(dǎo)型病毒。引導(dǎo)型病毒駐留內(nèi)存后，磁盤服務(wù)功能LNT 13的調(diào)用過程是：DOS擴(kuò)充部分病毒控制程序ROM BIOS，因而不能直接從中斷向量看出內(nèi)存是否有引導(dǎo)型病毒，雖然我們可以用DOS工具軟件檢查內(nèi)存，會(huì)發(fā)現(xiàn)病毒駐留內(nèi)存后常規(guī)內(nèi)存減小，但是我們并不能清除內(nèi)存中病毒，因?yàn)椴《境绦驃A在DOS擴(kuò)充部分和ROM RIOS之間。這兩種方法都要求用無毒軟盤啟動(dòng)以防止收到病毒欺騙，因?yàn)闉榱朔乐蛊渌绦蚋膶懖《菊紦?jù)的引導(dǎo)扇區(qū)，有些病毒程序采取了偽裝措施，在病毒程序控制下，外部程序?qū)σ龑?dǎo)扇區(qū)的讀寫被改向到其它扇區(qū)，在那里存有被病毒保存的原引導(dǎo)扇區(qū)程序。（2） 采用智能方法，綜合分析正確引導(dǎo)扇區(qū)的特征，對(duì)當(dāng)前引導(dǎo)扇區(qū)加以分析判斷，認(rèn)定是否正常，若認(rèn)為不正常，則設(shè)法恢復(fù)正常。另外還有中斷向量檢測法和首指令檢測法。病毒則隱藏在這些“丟失”的單元里，長期起破壞作用。但它也具有不能檢測未知病毒，在網(wǎng)絡(luò)上效率低等缺點(diǎn)。具體步驟如下：,EXE。特征代碼被用于SCAN、CPAV等著名病毒檢測工具中，國外專家認(rèn)為特征串判別法是檢測已知病毒的最簡單、開銷最小的方法。6 引導(dǎo)型計(jì)算機(jī)病毒的檢測方法（1）常用的引導(dǎo)型病毒檢測方法——特征串判別法。若是，且沒有病毒感染的標(biāo)志則將A盤0面0道1扇區(qū)和Q扇區(qū)，然后執(zhí)行正常的13H號(hào)中斷服務(wù)程序；若不是讀寫A盤或A盤有感染標(biāo)志，則判斷是否滿足破壞模塊的觸發(fā)條件（可用系統(tǒng)日期、時(shí)間或感染次數(shù)等），若滿足則執(zhí)行破壞模塊，否則執(zhí)行正常13H中斷服務(wù)程序。當(dāng)
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1