电子商务:理论与实务

　　《电子商务：理论与实务/21世纪经济管理新形态教材·电子商务系列》：　　3）搜索法　　搜索法是用每一种计算机病毒体含有的特定字符串对被检测的对象进行扫描。如果在被检测对象内部发现了某一种特定字节串，就表明发现了该字节串所代表的计算机病毒。国外将这种按搜索法工作的计算机病毒扫描软件叫做VirusScanner。计算机病毒扫描软件由两部分组成：①计算机病毒代码库，含有经过特别选定的各种计算机病毒的代码串。②利用该代码库进行扫描的扫描程序。目前常见的防杀计算机病毒软件对已知计算机病毒的检测大多采用这种方法。计算机病毒扫描程序能识别的计算机病毒的数目完全取决于计算机病毒代码库内所含计算机病毒的种类多少。显而易见，库中计算机病毒代码种类越多，扫描程序能认出的计算机病毒就越多。计算机病毒代码串的选择是非常重要的。短小的计算机病毒只有一百多个字节，长的有上万字节。如果随意从计算机病毒体内选一段作为代表该计算机病毒的特征代码串，可能在不同的环境中，该特征串并不真正具有代表性，不能用于将该串所对应的计算机病毒检查出来。选这种串作为计算机病毒代码库的特征串就是不合适的。　　另外，代码串不应含有计算机病毒的数据区，数据区是经常变化的。一定要在仔细分析了程序之后选出*具代表特性的，足以将该计算机病毒区别于其他计算机病毒的字节串。选出特征代码串是很不容易的，是计算机病毒扫描程序的精华所在。一般情况下，代码串是连续的若干个字节组成的串，但是有些扫描软件采用的是可变长串，即在串中包含一个到几个“模糊”字节。扫描软件遇到这种串时，只要除“模糊”字节之外的字串都能完好匹配，则也能判别出计算机病毒。　　除前面说的选特征串规则外，*重要的一条是特征串必须能将计算机病毒与正常的非计算机病毒程序区分开。如果将非计算机病毒程序当成计算机病毒报告给用户，则是假警报，这种“狼来了”的假警报太多，就会使用户放松警惕，等计算机病毒一来，破坏就严重了；再就是若将这假警报送给杀计算机病毒程序，会将好程序给“杀死”了。　　4）分析法　　使用分析法的通常是防杀计算机病毒技术人员。使用分析法的目的在于：　　（1）确认被观察的磁盘引导扇区和程序中是否含有计算机病毒。　　（2）确认计算机病毒的类型和种类，判定其是否是一种新的计算机病毒。　　（3）搞清楚计算机病毒体的大致结构，提取特征识别用的字节串或特征字，增添到计算机病毒代码库供计算机病毒扫描和识别程序用。　　（4）详细分析计算机病毒代码，制定相应的防杀计算机病毒措施。　　上述四个目的按顺序排列，正好是使用分析法的工作顺序。使用分析法要求具有比较全面的有关计算机、DOS、Windows、网络等的结构和功能调用以及关于计算机病毒方面的各种知识，这是与其他检测计算机病毒方法不一样的地方。　　要使用分析法检测计算机病毒，除了要具有相关的知识外，还需要反汇编工具、二进制文件编辑器等分析用的工具程序和专用的试验计算机。因为即使是很熟练的防杀计算机病毒技术人员，使用性能完善的分析软件，也不能保证在短时间内将计算机病毒代码完全分析清楚。而计算机病毒有可能在被分析阶段继续传染甚至发作，把软盘硬盘内的数据完全毁坏掉，这就要求分析工作必须在专门设立的试验计算机上进行，不怕其中的数据被破坏。在不具备条件的情况下，不要轻易开始分析工作，很多计算机病毒采用了自加密、反跟踪等技术，使得分析计算机病毒的工作经常是冗长和枯燥的。特别是某些文件型计算机病毒的代码可达10KB以上，与系统的牵扯层次很深，使详细的剖析工作十分复杂。　　5）人工智能陷阱技术和宏病毒陷阱技术　　人工智能陷阱技术是一种监测计算机行为的常驻式扫描技术。它将所有计算机病毒所产生的行为归纳起来，一旦发现内存中的程序有任何不当的行为，系统就会有所警觉，并告知使用者。这种技术的优点是执行速度快、操作简便，且可以侦测到各式计算机病毒；其缺点就是程序设计难，且不容易考虑周全。不过在这千变万化的计算机病毒世界中，人工智能陷阱扫描技术是一个至少具有主动保护功能的新技术。　　宏病毒陷阱技术（macrotrap）结合了搜索法和人工智能陷阱技术，依行为模式来侦测已知及未知的宏病毒。其中，配合OLE2技术，可将宏与文件分开，使得扫描速度变得飞快，而且可有效地将宏病毒彻底清除。　　……