[計算機軟件及應(yīng)用]第9章計算機病毒的檢測、清除與免疫-文庫吧資料
2024-10-25 04:16本頁面
【正文】 出率提高到前所未有的水平，而另一方面，又大大降低了總的誤報率 啟發(fā)式代碼掃描技術(shù) 啟發(fā)式反毒技術(shù)的未來展望 ? 任何改良的努力都會有不同程度的質(zhì)量提高，但是不能企望在沒有虛報為代價的前提下使檢出率達(dá)到 100%，或者反過來說，在相當(dāng)長的時間里虛報和漏報的概率不可能達(dá)到 0%，因為病毒在本質(zhì)上也是程序，某些正常程序可能使用具有病毒特征的功能 (可疑功能調(diào)用 ) ? 反毒技術(shù)的進步也會從另一方面激發(fā)和促使病毒制作者不斷研制出更新的病毒，具有某種反啟發(fā)式掃描技術(shù)的功能，從而可以逃避這類檢測技術(shù)的檢測 啟發(fā)式代碼掃描技術(shù) 虛擬機簡介 ? 查毒的虛擬機是一個軟件模擬的 CPU，它可以象真正 CPU一樣取指令、譯碼、執(zhí)行，可以模擬一段代碼在真正 CPU上運行得到的結(jié)果 ? 虛擬機的基本工作原理和簡單流程 – 給定一組機器碼序列，虛擬機會自動從中取出第一條指令操作碼部分，判斷操作碼類型和尋址方式以確定該指令長度，然后在相應(yīng)的函數(shù)中執(zhí)行該指令，并根據(jù)執(zhí)行后的結(jié)果確定下條指令的位置，如此循環(huán)反復(fù)直到某個特定情況發(fā)生以結(jié)束工作 ? 設(shè)計虛擬機查毒的目的是為了對抗加密變形病毒 ? 虛擬執(zhí)行技術(shù)使用范圍遠(yuǎn)不止自動脫殼 (虛擬機查毒實際上是自動跟蹤病毒入口的解密子將加密的病毒體按其解密算法進行解密 )，它還可以應(yīng)用在跨平臺高級語言解釋器、惡意代碼分析、調(diào)試器 虛擬機查毒技術(shù) 單步斷點跟蹤與虛擬執(zhí)行 ? 目前有兩種方法可以跟蹤控制病毒的每一步執(zhí)行，并能夠在病毒循環(huán)解密結(jié)束后從內(nèi)存中讀出病毒體明文 – 單步和斷點跟蹤法，和目前一些程序調(diào)試器相類似 ? 當(dāng) CPU在執(zhí)行一條指令之前會先檢查標(biāo)志寄存器，如果發(fā)現(xiàn)其中的陷阱標(biāo)志被設(shè)置則在指令執(zhí)行結(jié)束后引發(fā)一個單步陷阱 INT 1H – 虛擬執(zhí)行法 虛擬機查毒技術(shù) 單步斷點跟蹤與虛擬執(zhí)行 ? 單步斷點跟蹤的優(yōu)缺點 – 用單步和斷點跟蹤法的唯一好處就在于它不用處理每條指令的執(zhí)行，這意味著它無需編寫大量的特定指令處理函數(shù)，因為所有的解密代碼都交由 CPU執(zhí)行，調(diào)試器不過是在代碼被單步中斷的間隙得到控制權(quán)而已 – 這種方法的缺點也是相當(dāng)明顯的 ? 容易被病毒覺察到，病毒只須進行簡單的堆棧檢查，或直接調(diào)用 IsDebugerPresent就可確定自己正處于被調(diào)試狀態(tài) ? 由于沒有相應(yīng)的機器碼分析模塊，指令的譯碼、執(zhí)行完全依賴于 CPU，所以將導(dǎo)致無法準(zhǔn)確地獲取指令執(zhí)行細(xì)節(jié)并對其進行有效的控制 ? 單步和斷點跟蹤法要求待查可執(zhí)行文件真實執(zhí)行，即其將做為系統(tǒng)中一個真實的進程在自己的地址空間中運行，這當(dāng)然是病毒掃描所不能允許的 – 單步和斷點跟蹤法可以應(yīng)用在調(diào)試器、自動脫殼等方面，但不合適于查毒 虛擬機查毒技術(shù) 單步斷點跟蹤與虛擬執(zhí)行 ? 虛擬執(zhí)行的缺點與優(yōu)點 – 使用虛擬執(zhí)行法的唯一缺點就在于它必須在內(nèi)部處理所有指令的執(zhí)行，這意味著它需要編寫大量的特定指令處理函數(shù)來模擬每種指令的執(zhí)行效果，這里根本不存在何時得到控制權(quán)的問題，因為控制權(quán)將永遠(yuǎn)掌握在虛擬機手中 – 虛擬執(zhí)行的優(yōu)點也是很明顯的，同時它正好填補了單步和斷點跟蹤法所力不能及的方面 ? 不可能被病毒覺察到，因為虛擬機將在其內(nèi)部緩沖區(qū)中為被虛擬執(zhí)行代碼設(shè)立專用的堆棧，所以堆棧檢查結(jié)果與實際執(zhí)行無差別 (不會向堆棧中壓入單步和斷點中斷時的返回地址 ) ? 由于虛擬機自身完成指令的解碼和地址的計算，所以能夠獲取每條指令的執(zhí)行細(xì)節(jié)并加以控制 ? 最為關(guān)鍵的一條在于虛擬執(zhí)行確實做到了“虛擬”執(zhí)行，系統(tǒng)中不會產(chǎn)生代表被執(zhí)行者的進程，因為被執(zhí)行者的寄存器組和堆棧等執(zhí)行要素均在虛擬機內(nèi)部實現(xiàn)，因而可以認(rèn)為它在虛擬機地址空間中執(zhí)行 虛擬機查毒技術(shù) 單步斷點跟蹤與虛擬執(zhí)行 ? 虛擬機的設(shè)計方案 – 自含代碼虛擬機 (SCCE) ? 自含代碼虛擬機工作起來象一個真正的 CPU。如果在被檢測對象內(nèi)部發(fā)現(xiàn)了某一種特定病毒碼，就表明發(fā)現(xiàn)了該病毒碼所代表的病毒 – 特征代碼掃描法 – 特征字掃描法 計算機病毒的診斷方法及其原理 行為監(jiān)測法診斷的原理 ? 利用病毒的特有行為特性監(jiān)測病毒的方法，稱為行為監(jiān)測法，也稱為人工智能陷阱法 ? 通過對病毒多年的觀察、研究，人們發(fā)現(xiàn)病毒有一些行為，是病毒的共同行為，而且比較特殊，在正常程序中，這些行為比較罕見。計算機病毒與反病毒技術(shù) 主要內(nèi)容 ? 計算機病毒的防范措施 ? 計算機病毒的檢測技術(shù)與原理 ? 啟發(fā)式查毒技術(shù) ? 虛擬機查毒技術(shù) ? 實時監(jiān)控技術(shù) ? 引導(dǎo)型病毒的清除 ? 文件型病毒的清除 ? 計算機病毒的免疫方法 第 9章 計算機病毒的檢測、清除與免疫 反病毒技術(shù)的產(chǎn)生與發(fā)展簡介 ? 反病毒技術(shù)應(yīng)運而生，并在與病毒對抗的過程中不斷發(fā)展 – 從“消毒軟件”到“防毒卡” – “查殺防三合一”實時反病毒軟件的誕生 ? 反病毒技術(shù)的發(fā)展歷程 – 第一代反病毒技術(shù) ? 采用單純的病毒特征代碼分析，清除染毒文件中的病毒 – 第二代反病毒技術(shù) ? 采用靜態(tài)廣譜特征掃描技術(shù)檢測病毒，可以檢測變形病毒，但是誤報率高 – 第三代反病毒技術(shù) ? 將靜態(tài)掃描技術(shù)和動態(tài)仿真跟蹤技術(shù)結(jié)合起來，將查找病毒和清除病毒合二為一 – 第四代反病毒技術(shù) 反病毒技術(shù)綜述 反病毒技術(shù)的產(chǎn)生與發(fā)展簡介 ? 基于病毒家族體系的命名規(guī)則、基于多位 CRC校驗和掃描機理、啟發(fā)式智能代碼分析模塊、動態(tài)數(shù)據(jù)還原模塊 (能查出隱蔽性極強的壓縮加密文件中的病毒 )、內(nèi)存解毒模塊、自身免疫模塊等先進的解毒技術(shù)，較好的解決了以前防毒技術(shù)顧此失彼、此
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1