病毒防治基本知识 如何预防病毒 病毒防治要以预防为主，在具体实施上要遵循以下防毒原则： （1）新购买的电脑要先用查毒杀毒工具进行检查，或经格式化、重新安装系统后再使用，以免机器带毒。 （2）写保护所有系统盘，绝不把用户数据或程序写到系统盘上。 至少应准备一份格式化硬盘时使用的原始系统盘，并加写保护，一旦系统受到“病毒”侵犯，就应先用该系统盘引导系统，并视情况，诊治、消除病毒，恢复后备文件，必要时也可以对盘格式化。
（3）经常性地制作文件备份，以备硬盘遭破坏、无意的格式化操作以及病毒的蓄意侵害时，能立即恢复文件，免受损失。存有重要资料的软盘一定要写保护。
（4）不要用软盘开机引导系统，绝不用外来的软盘引导系统，因为引导型病毒只有通过引导染毒盘才能将病毒传染给硬盘。
（5）要使用原版软件，尽可能少用游戏软件、公共软件，要尽可能从第一作者获得共享软件、自由软件、公共软件。绝不运行来历不明的软件和盗版软件。
（6）要尽可能使用多种最新的查毒、杀毒软件来检查外来的软件。 未经检查的可执行文件不能拷入硬盘。绝不使用未作病毒检查的软件。
（7）安装真正有效的防毒软件或防病毒卡。
（8）必须保持忧患意识，并且要为电脑系统感染病毒作出一些应变计划，如学习如何查毒杀毒和救回数据，训练经常使用电脑的人，要有正确的防毒杀毒知识，另外留意与一些反病毒专家保持联系，以便及时获得新病毒防治信息。
（9）作为一个单位组织，建议专门安排一台独立的电脑供测试病毒，给无法确认是否被病毒感染的新软件操作使用，或者检查磁盘有否带毒等。
常见防毒预防工具
防毒工具预防是指在病毒尚未入侵、或刚刚入侵时，就拦截、阻止病毒的入侵，或立即告警。下面是几种防毒工具预防方法的利弊分析。
（1）将大量的消毒/杀毒软件汇集一体，检查是否存在己知病毒。如在开机时或在执行每一个可执行文件前执行扫描程序，典型的软件就是与CPAV一同提供的VWATCH.COM，这类软件的缺点是：对变种或未知类病毒无效；系统开销较大，常驻占用内存，每次扫描都要花费一定时间，己知病毒越多，扫描时间越长。
（2）检测一些病毒经常要改变的系统信息，如引导区、中断向量表、可用内存空间等来检测系统中是否存在病毒行为。这类软件有Virusafe、Virusword、WatchDog和警犬DOG等。其缺点在于：无法准确识别正常程序与病毒程序的行为，常常错误报警，频频误警的结果是使用户失去对病毒的戒心。
（3）监测写盘操作。若对引导区BR或主引导区MBR写操作，则报警。 若有一个程序对可执行文件进行写操作，就认为该程序可能是病毒，阻止其写操作，并报警。目前，一些低价的防病毒卡就采用该方法。其缺点在于：一些正常程序与病毒程序同样有写操作，而常常被误警，如运行KILL程序或安装程序，或运行编译链接LINK程序时就报警。
（4）对电脑系统中的文件形成一个密码检验码和实现对程序完整性的验证，在程序执行前或是定期对程序进行密码校验，如有不匹配现象，即报警。这类软件有：Checksum、F.cohen 博士的Cryptographic以及CPAV等。其优点在于：易于早发现病毒，对已知和未知类病毒都有防止和遏制能力。但错误报警仍很多。
（5）智能判断型：设计病毒行为过程判定知识库，应用人工智能技术，有效区分正常程序与病毒程序行为，是否误报取决于知识库选取的合理性。其局限性在于：单一的知识库无法覆盖所有的病毒行为，如对不驻留内存的新病毒，就会漏报。目前有些防病毒卡就采用这种方法。
（6）智能监察型：设计病毒特征库(静态)、病毒行为知识库(动态)、受保护程序存取行为知识库(动态)等多个知识库及相应的可变推理机，通过调整推理机，能够对付新类型病毒，误报和漏报较少。这是未来防毒技术发展的方向。
如何选择一个可靠的反病毒系统
选用反病毒系统，应该首先考虑以下几点：
（1）安全性和可靠性。该系统是否具有完善的系统安全保护措施? 系统本身是否具有抗击病毒感染的能力?系统在预期的情况下是否能够正确地工作，而在意外的情况下，是否也能作出适当的处理?有的系统只对磁盘检测，而不先检查内存，结果磁盘刚消毒，却又被存在内存中的病毒重新感染上，这样的系统就不是一个可靠的反病毒系统。
（2）诊治能力和防护能力。该系统能够诊治多少种病毒?防护措施是否合理?错误报警的频率多少?在安装防病毒系统之前必须彻底地对系统诊治，以免已受病毒感染的程序也得到合法的保护。对于一个新系统,防治工作就显得更为重要，许多病毒都会产生一系列变异病毒，开发再多的诊治程序也无济于事，只有积极采取防治方法，才能争取主动，防治才是抑制、根治病毒的理想手段，特别是对于还未发现过的新病毒。
（3）适应国情的程度。该系统是否适应汉字操作系统的特殊要求?是否可选用汉字提示?是否适合国产电脑? 汉字信息处理技术是我国电脑应用的重要基础，汉字操作系统通过扩充或修改显示器、键盘和打印机等设备的中断驱动程序，使电脑能够处理汉字信息。国外许多著名的防病毒系统，如：VGUARD、VIRUSAFE等,都不适合在国内使用，原因就在于它们都把汉字操作系统对中断的合理修改看成是“非法”的，而频频错误报警。
防范引导型病毒的依据
（１）引导型病毒是在安装操作系统之前进入内存，寄生对象又相对固定，因此该类型病毒基本上不得不采用减少操作系统所掌管的内存容量(0:413H单元)的方法来驻留内存高端。而正常的系统引导过程一般是不减少系统内存的。
比较系统引导前、后的内存容量(0:413H)，如果不相等，内存容量减少，可认定内存有引导型病毒。如：“小球”、“大麻”等引导型病毒驻留内存高端后，内存容量减少了1～2KB。
防病毒卡实现时，一般是在BIOS系统自检完成后保存当时的内存容量，并在系统引导完成后比较当前的内存容量与保存的内存容量是否相等。
（２）引导型病毒需要把病毒传染给软盘，一般是通过修改INT 13H的中断向量，而新INT 13H中断向量段址必定指向内存高端的病毒程序。
所以，比较系统引导前、后INT 13H中断向量，如果不相等，并且新INT 13H 中断向量段址又指向内存高端，可认定内存有引导型病毒。“小球”、 “大麻”等引导型病毒驻留内存高端后，都要修改INT 13H的中断向量。
（３）引导型病毒感染硬盘时，必定驻留硬盘的主引导扇区或引导扇区，并且只驻留一次，因此引导型病毒一般都是在软盘启动过程中把病毒传染给硬盘的。而正常的引导过程一般是不对硬盘主引导区或引导区进行写盘操作的。
软盘启动引导系统过程中，如果对硬盘主引导区或引导区有写盘操作，可认定软盘引导区有病毒。这个控制需要借助硬卡／防病毒卡实现。例外的情况是，引导区安装有加密软件（如：PC-LOCK）时，可能会误断。
（４）引导型病毒的寄生对象相对固定，把当前的系统主引导扇区和引导扇区与干净的主引导扇区和引导扇区进行比较，如果内容不一致，可认定系统引导区异常。
一般防病毒卡实现时，通常是在安装防病毒卡时，先保存当时的系统主引导扇区和引导扇区，以后在系统每次引导时比较当前的引导扇区与保存的引导扇区。
一些广谱防病毒程序（如TIG.SYS）是采用自带的系统引导程序来实现的，因此，只要在系统每次引导时比较当前的引导扇区是否为这个自带的引导程序，即可判别系统引导区是否异常。这种防病毒程序对硬盘本身已感染引导型病毒的情况特别有效。
防范文件型病毒的依据
外壳型病毒按其驻留内存方式可分为高端驻留型、常规驻留型、内存控制链驻留型、设备程序补丁驻留型、不驻留内存型。
（１）高端驻留型病毒是通过申请一个与病毒体大小相同的内存块来获得内存控制块链中最后一个区域头，并通过减少最后一个区域头的分配块节数来减少内存容量，而使病毒驻留内存高端可用区。
监测DOS中断向量，如果INT 21H的中断入口指向内存高端可用区，可认定内存高端驻留有病毒。
（２）内存控制链驻留型病毒是将病毒驻留在系统分配给宿主程序的位置，并为宿主程序重新创建一个内存块，通过修改内存控制块链，使得宿主程序结束后只回收宿主程序的内存空间，从而达到病毒驻留内存的目的。
比较程序运行前、后内存控制块链中的最后一个控制块的段址，如果异常，并且INT 21H中断向量被修改，可能为病毒所为。
（３）常规驻留型病毒是采用DOS功能调用中的常驻退出的调用方式，将病毒驻留在系统分配给宿主程序的空间中。为了避免与宿主程序的合法驻留相冲突，这类病毒通常采用二次创建进程的方式，把宿主程序分离开来，并将病毒体放在宿主程序的物理位置的前面，病毒只驻留病毒体本身。
跟踪INT 21H中断，在程序执行EXEC、打开文件或查找文件等功能调用时，在进入正常INT 21H中断之前正常驻留程序一般不会有写盘操作，如果有写盘操作，可判定为病毒正在传染文件。
（４）驻留内存型病毒在带毒宿主程序驻留内存的过程中一般是不进行传染的，它驻留在系统内，通常通过改造INT 21H的EXEC（4BH）或查找文件（11H、12H 、4EH、4FH），监视待传染的程序，并在系统执行写文件、改属性、改文件名等操作时伺机传染。
通过运行一个“虚”程序，如果发现有写文件、改属性、改文件名等病毒惯用的行为，可认定内存有病毒。
（５）文件型病毒在传染文件时，需要打开待传染的程序文件，并进行写操作。因此，利用DOS运行可执行文件时需要释放多余的内存块，控制INT 21H的49H功能块，如果在该功能执行之前检测到写盘操作，可认定内存有病毒。
（６）对特定病毒也可根据特征串作动态监测，如在运行一个可执行文件前先扫描病毒特征串，若发现已知病毒，还可调用相应的消毒程序杀毒。
不驻留内存型病毒与驻留型病毒的不同，它是在带毒宿主程序执行时立即传染其它程序，一般不修改INT 21H中断，因此，对不驻留内存型病毒需要采用特征串动态监测方法。
除了对上述情况作肯定式报毒之外，还可以对有些情况作疑问式报警供用户选择。如更改主引导区、引导区，或修改IO.SYS、COMMAND.COM 时报警。或者预先对磁盘文件生成特征标志，发现可疑的变动时给予报警。
由于文件型病毒是寄生在可执行文件中，是在DOS 引导启动后才激活的，因此，用硬卡实现和用软件实现技术基本是一样的，它们都是在DOS的外围建立一个安全外壳，主要对在系统引导以后执行的程序实施检测，以防范寄生于可执行文件中的病毒。
以上介绍的肯定式报毒的病毒行为判定技术，既是许多防病毒卡常用的手法，也是一些广谱防病毒程序采用的技术。
(梁昌华）