大家好，今天Win10系统之家小编给大家分享「杀毒软件如何工作的」的知识，如果能碰巧解决你现在面临的问题，记得收藏本站或分享给你的好友们哟~，现在开始吧！

1.杀毒软件的工作原理是什么?

　　1。特征码比对法：各大安全厂商通过设立在全球各地的蜜罐服务器搜集病毒样本，然后又病毒分析工程师提取病毒特征码（即该病毒所独有的程序代码），添加入杀毒软件病毒库中。杀毒软件在进行扫描时会生成文件特征码与病毒库中的进行比对，如相同则确认为病毒。
2。启发式扫描：随着病毒的层出不穷，病毒变种不断增多，特征码法远跟不上病毒生成速度，各大安全厂商针对以发现的病毒，总结出一些恶意代码，如在程序中发现这些代码，就会向用户报警，发现疑似病毒文件，询问用户处理方案。
3。主动防御：以上两种方法主要用于杀毒软件对文件的扫描过程。现在各大杀软会对操作系统的敏感区域入系统文件夹、注册表启动项等部位进行重点监控，一旦发现有程序对敏感部位进行可疑修改，便会提醒用户，询问用户是否允许进行修改。
4。虚拟机技术：也叫沙盘，早期用于方针测试，最早好像由卡巴斯基和Bitdefender引入杀毒软件，主要用于扫描加壳程序。即当用户扫描一个程序时，杀毒软件会在一个虚拟的内存环境中运行该程序，在该虚拟环境中改程序的所有操作对实体系统不会有任何影响。而在虚拟运行中，程序需要脱壳才能正常运行，这时杀毒软件会对脱壳后的程序代码和运行过程进行分析，确定是否有病毒。
以上就是杀毒软件的大致技术和原理。当然每种技术又有很多种实现方法，一般扫描时的病毒特征码比对方法就是所说的杀毒引擎，不同的杀软其杀毒效率和效果也自然不同。

2.杀毒软件工作原理

　　杀毒软件是根据什么来进行病毒判断并查杀得呢？
 病毒检测的方法 
 在与病毒的对抗中，及早发现病毒很重要。早发现，早处置，可以减少损失。检测病毒方法有：特征代码法、校验和法、行为监测法、软件模拟法 
 这些方法依据的原理不同，实现时所需开销不同，检测范围不同，各有所长。 
 特征代码法 
 特征代码法被早期应用于SCAN、CPAV等著名病毒检测工具中。国外专家认为特征代码法是检测已知病毒的最简单、开销最小的方法。 
 特征代码法的实现步骤如下： 
 采集已知病毒样本，病毒如果既感染COM文件，又感染EXE文件，对这种病毒要同时采集COM型病毒样本和EXE型病毒样本。 
 在病毒样本中，抽取特征代码。依据如下原则： 
 抽取的代码比较特殊，不大可能与普通正常程序代码吻合。抽取的代码要有适当长度，一方面维持特征代码的唯一性，另一方面又不要有太大的空间与时间的开销。如果一种病毒的特征代码增长一字节，要检测3000种病毒，增加的空间就是3000字节。在保持唯一性的前提下，尽量使特征代码长度短些，以减少空间与时间开销。 
 在既感染COM文件又感染EXE文件的病毒样本中，要抽取两种样本共有的代码。将特征代码纳入病毒数据库。 
 打开被检测文件，在文件中搜索，检查文件中是否含有病毒数据库中的病毒特征代码。如果发现病毒特征代码，由于特征代码与病毒一一对应，便可以断定，被查文件中患有何种病毒。 
 采用病毒特征代码法的检测工具，面对不断出现的新病毒，必须不断更新版本，否则检测工具便会老化，逐渐失去实用价值。病毒特征代码法对从未见过的新病毒，自然无法知道其特征代码，因而无法去检测这些新病毒。 
 特征代码法的优点是：检测准确快速、可识别病毒的名称、误报警率低、依据检测结果，可做解毒处理。其缺点是：不能检测未知病毒、搜集已知病毒的特征代码，费用开销大、在网络上效率低（在网络服务器上，因长时间检索会使整个网络性能变坏）。 
 其特点： 
 A.速度慢。随着病毒种类的增多，检索时间变长。如果检索5000种病毒，必须对5000个病毒特征代码逐一检查。如果病毒种数再增加，检病毒的时间开销就变得十分可观。此类工具检测的高速性，将变得日益困难。 
 B.误报警率低。 
 非C.不能检查多形性病毒。特征代码法是不可能检测多态性病毒的。国外专家认为多态性病毒是病毒特征代码法的索命者。 
 D.不能对付隐蔽性病毒。隐蔽性病毒如果先进驻内存，后运行病毒检测工具，隐蔽性病毒能先于检测工具，将被查文件中的病毒代码剥去，检测工具的确是在检查一个虚假的“好文件”，而不能报警，被隐蔽性病毒所蒙骗。 
 校验和法 
 将正常文件的内容，计算其校验和，将该校验和写入文件中或写入别的文件中保存。在文件使用过程中，定期地或每次使用文件前，检查文件现在内容算出的校验和与原来保存的校验和是否一致，因而可以发现文件是否感染，这种方法叫校验和法，它既可发现已知病毒又可发现未知病毒。在SCAN和CPAV工具的后期版本中除了病毒特征代码法之外，还纳入校验和法，以提高其检测能力。 
 这种方法既能发现已知病毒，也能发现未知病毒，但是，它不能识别病毒类，不能报出病毒名称。由于病毒感染并非文件内容改变的唯一的非他性原因，文件内容的改变有可能是正常程序引起的，所以校验和法常常误报警。而且此种方法也会影响文件的运行速度。 
 病毒感染的确会引起文件内容变化，但是校验和法对文件内容的变化太敏感，又不能区分正常程序引起的变动，而频繁报警。用监视文件的校验和来检测病毒，不是最好的方法。 
 这种方法遇到下述情况：已有软件版更新、变更口令、修改运行参数、校验和法都会误报警。 
 校验和法对隐蔽性病毒无效。隐蔽性病毒进驻内存后，会自动剥去染毒程序中的病毒代码，使校验和法受骗，对一个有毒文件算出正常校验和。 
 运用校验和法查病毒采用三种方式： 
 ①在检测病毒工具中纳入校验和法，对被查的对象文件计算其正常状态的校验和，将校验和值写入被查文件中或检测工具中，而后进行比较。 
 ②在应用程序中，放入校验和法自我检查功能，将文件正常状态的校验和写入文件本身中，每当应用程序启动时，比较现行校验和与原校验和值。实现应用程序的自检测。 
 ③将校验和检查程序常驻内存，每当应用程序开始运行时，自动比较检查应用程序内部或别的文件中预先保存的校验和。 
 校验和法的优点是：方法简单能发现未知病毒、被查文件的细微变化也能发现。其缺点是：发布通行记录正常态的校验和、会误报警、不能识别病毒名称、不能对付隐蔽型病毒。 
 行为监测法 
 利用病毒的特有行为特征性来监测病毒的方法，称为行为监测法。通过对病毒多年的观察、研究，有一些行为是病毒的共同行为，而且比较特殊。在正常程序中，这些行为比较罕见。当程序运行时，监视其行为，如果发现了病毒行为，立即报警。 
 这些做为监测病毒的行为特征如下： 
 A.占有INT 13H 
 所有的引导型病毒，都攻击Boot扇区或主引导扇区。系统启动时，当Boot扇区或主引导扇区获得执行权时，系统刚刚开工。一般引导型病毒都会占用INT 13H功能，因为其他系统功能未设置好，无法利用。引导型病毒占据INT 13H功能，在其中放置病毒所需的代码。 
 B.改DOS系统为数据区的内存总量 
 病毒常驻内存后，为了防止DOS系统将其覆盖，必须修改系统内存总量。 
 C.对COM、EXE文件做写入动作 
 病毒要感染，必须写COM、EXE文件。 
 D.病毒程序与宿主程序的切换 
 染毒程序运行中，先运行病毒，而后执行宿主程序。在两者切换时，有许多特征行为。 
 行为监测法的长处：可发现未知病毒、可相当准确地预报未知的多数病毒。行为监测法的短处：可能误报警、不能识别病毒名称、实现时有一定难度。 
 软件模拟法 
 多态性病毒每次感染都变化其病毒密码，对付这种病毒，特征代码法失效。因为多态性病毒代码实施密码化，而且每次所用密钥不同，把染毒的病毒代码相互比较，也无法找出相同的可能做为特征的稳定代码。虽然行为检测法可以检测多态性病毒，但是在检测出病毒后，因为不知病毒的种类，难于做消毒处理。 
 计算机病毒的防治策略 
 计算机病毒的防治要从防毒、查毒、解毒三方面来进行；系统对于计算机病毒的实际防治能力和效果也要从防毒能力、查毒能力和解毒能力三方面来评判。 
 “防毒”是指根据系统特性，采取相应的系统安全措施预防病毒侵入计算机。“查毒”是指对于确定的环境，能够准确地报出病毒名称，该环境包括，内存、文件、引导区（含主导区）、网络等。“解毒”是指根据不同类型病毒对感染对象的修改，并按照病毒的感染特性所进行的恢复。该恢复过程不能破坏未被病毒修改的内容。感染对象包括：内存、引导区（含主引导区）、可执行文件、文档文件、网络等。 
 防毒能力是指预防病毒侵入计算机系统的能力。通过采取防毒措施，应可以准确地、实时地监测预警经由光盘、软盘、硬盘不同目录之间、局域网、因特网（包括FTP方式、E-MAIL、HTTP方式）或其它形式的文件下载等多种方式进行的传输；能够在病毒侵入系统是发出警报，记录携带病毒的文件，即时清除其中的病毒；对网络而言，能够向网络管理员发送关于病毒入侵的信息，记录病毒入侵的工作站，必要时还要能够注销工作站，隔离病毒源。 
 查毒能力是指发现和追踪病毒来源的能力。通过查毒应该能准确地发现计算机系统是否感染有病毒，并准确查找出病毒的来源，并能给出统计报告；查解病毒的能力应由查毒率和误报率来评判。 
 解毒能力是指从感染对象中清除病毒，恢复被病毒感染前的原始信息的能力；解毒能力应用解毒率来评判。

3.杀毒软件是运用什么原理杀毒的？

　　1.什么是杀毒软件引擎，与病毒库的关系？首先必须指出杀毒软件的引擎与其病毒库并没有什么直接的关系。杀毒引擎的任务和功能非常简单，就是对于给定的文件或者程序进程判断其是否是合法程序（对应于杀毒软件厂商自己定义的正常和非异常程序规范而言。正常的程序规范是指在程序所在系统平台上操所系统本身洗净有定义的或者业界已经公认的程序行为过程，比如操作系统正常运行就必须要求应用程序与系统核心进行进程响应并与交换相关数据。非异常程序活动是指可能存在非法程序操作结果但能够以较高的置信度确定其非非法程序活动规范的。一般情况下，相关文件的复制，移动，删除等都奔包括在该界定范围内）。我们知道病毒的最终目的有些是与合法活动很类似的，在这种情况下，要求软件厂商必须自己有一个行为规范界定规则，在一个给定的范围和置信度下，判断相关操作是否为合法。在这方面，各个厂商的界定是有区别的，一般而言非美国厂商界定是非常严格的，只有有很高的置信水平的程序行为，他们才判别为非病毒操作。记得前一阵论坛上有人给了四段简单的代码，很多杀毒软件将其判为病毒或有病毒性质的文件行为，实际上看那几段代码可以知道，其结果并不足以视之为病毒。美国厂商一般判断比较复杂，这主要由于美国市场上的杀毒软件引擎来源比较复杂，比如诺顿，有足够的技术资料确信它的杀毒软件引擎是自成体系的，而mcafee则存在一定的外界技术引进（收购所罗门）。用简单的话说，杀毒引擎就是一套判断特定程序行为是否为病毒程序（包括可疑的）的技术机制。一个完整的技术引擎遵守如下的行为过程： 1.非自身程序行为的程序行为捕获。包括来自于内存的程序运行，来自于给定文件的行为虚拟判断，来自于网络的动态的信息等等。一般情况下，我们称之为引擎前端。捕捉的方法非常多，除诺顿以外的杀毒软件采用的都是行为规范代码化的方法。诺顿由于与微软有这远远高于其它厂商合作关系，其实现过程比较独特，另有叙述。 2.基于引擎机制的规则判断。这个环节代表了杀毒引擎的质量水平，一个好的杀毒引擎应该能在这个环节发现很多或者称之为相当规模的病毒行为，存而避免进入下一个判断环节。传统的反病毒软件引擎使用的是基于特征码的静态扫描技术，即在文件中寻找特定十六进制串，如果找到，就可判定文件感染了某种病毒。但这种方法在当今病毒技术迅猛发展的形势下已经起不到很好的作用了。为了更好的发现病毒，相继开发了所谓的虚拟机，实时监控等相关技术。这个环节被叫做杀毒软件引擎工作的核心层。 3.引擎与病毒库的交互作用。这个过程往往被认为是收尾阶段，相对于前两个环节，这个阶段速度是非常慢的，杀毒引擎与要将非自身程序行为过程转化为杀毒软件自身可识别的行为标识符（包括静态代码等），然后与病毒库中所存贮的行为信息进行对应，并作出相应处理。当然必须承认，当前的杀毒软件对大量病毒的识别都是在这个阶段完成的。因此一个足够庞大的病毒库往往能够弥补杀毒软件引擎的不足之处。但是必须意识到，如果在核心层阶段就可以结束并清除病毒程序，那么杀毒软件的工作速度将会大幅提升。"很可惜的是，当前我们没有足够聪明的杀毒引擎来完成这个过程"，这就是为什么有病毒库的原因。诺顿是微软最高级的安全方面核心合作厂商，因此它的杀毒软件在某些方面工作比较特殊。比如在杀毒软件的安装，使用和功能实现方面，大部分厂商采用的是中间件技术，在系统底层与非自身应用程序之间作为中间件存在并实现其功能；另有一些厂商使用的是应用程序或者嵌入技术，相对而言这种方法安全性较低；诺顿和 mcafee实现方式比较相似，诺顿采用了基于系统最底层的系统核心驱动，这种实现方式是最安全的或者说最高级的实现方式，当然这需要微软的系统源代码级的支持（要花许多money），业界公认，这是最稳定的实现方法，但从目前而言，只诺顿一家。Mcafee实现方式与诺顿很接近，一般称之为软件驱动。相当于在系统中存在一个虚拟"硬件"，来实现杀毒软件功能。这些实现方式关系着杀毒引擎对程序行为进行捕捉的方式。

4.杀毒软件是怎样杀毒的?

　　我介绍下我用过比较好的杀软.安装好就可以免除病毒之苦! 金山.全国就他通过两次vb100.(全国就金山和瑞星参加.金山两次参加两次获得.瑞星两次只得一次) 我用着感觉占资源不太大!抢先杀这新技术不错.监控比较好.清除能力还可以!国产的老大! 官方网下载地址 http://www.duba.net/download/index.shtml 再给你个金山破解版的!http://www.gougou.com/search?search=%e9%87%91%e5%b1%b1%e6%af%92%e9%9c%b8%e7%a0%b4%e8%a7%a3%e7%89%88restype=-1id=10000002&ty=0&pattern=0 卡巴.不用说.杀毒强悍著称的卡巴!在中国占有一定地位. 我用的时候感觉就是占点资源麻烦了点.!新手和低配置机子最好别用.其他方面还可以! 官方网下载地址 http://www.kaspersky.com.cn/(你可以到360那下载.免费半年的!) 再给你个卡巴破解.http://www.97info.com/query.asp?q=%bf%a8%b0%cd&t=m nod32.全世界占用内存最少的杀软!微软用过4年!自然差不了多少!现在的3.0更是出色 我用着感觉好像没装杀软一样的快速!杀毒能力还可以.杀毒速度还是全世界最快的.总体很好! 官方网下载地址(メоrc﹎嗜殈原创如有雷同.实属抄袭) http://www.nod32cn.com/html/8/21/ 再给你个破解的http://www.97info.com/query.asp?q=nod32&t=m 现在用360那下载的话半年免费! 我用过这么多杀软就不一一介绍了.就上面3款我觉得最好用(メоrc﹎嗜殈原创如有雷同.实属抄袭) 防火墙我介绍风云.很不错.不用序列号的了.他百年升级一次!但防御效果绝对牛! 官方网下载http://www.218.cc/? 有人说瑞星那么好怎么不说.我觉得它就广告红.监控不好.次次都有病毒清除不到!说什么解压清理 占内存不比卡巴少.自动防御较差.我见过中毒的多半是用了瑞星! 下面给你介绍下安全配置! 金山+360安全卫士+ghost11.5适合256内存左右的用户(就是还原软件.这个不怎么损硬盘.推荐下载地址) ghost11.5下载地址http://www.skycn.com/soft/25989.html 卡巴+360安全卫士+ghost11.5适合512内存或更高的用户 nod32+360+ghost11.5适合128内存的用户.高内存用也没关系.好用~ 以上的安全搭配都不错.我用这么久没中过毒! 以上都是个人感受.

5.杀毒软件是如何工作的

　　在与病毒的对抗中，及早发现病毒很重要。早发现，早处置，可以减少损失。检测病毒方法有:特征代码法、校验和法、行为监测法、软件模拟法 。
这些方法依据的原理不同，实现时所需开销不同，检测范围不同，各有所长。
　　特征代码法的实现步骤如下:
采集已知病毒样本，病毒如果既感染COM文件，又感染EXE文件，对这种病毒要同时采集COM型病毒样本和EXE型病毒样本。
　　校验和法
将正常文件的内容，计算其校验和，将该校验和写入文件中或写入别的文件中保存。在文件使用过程中，定期地或每次使用文件前，检查文件现在内容算出的校验和与原来保存的校验和是否一致，因而可以发现文件是否感染，这种方法叫校验和法，它既可发现已知病毒又可发现未知病毒。在SCAN和CPAV工具的后期版本中除了病毒特征代码法之外，还纳入校验和法，以提高其检测能力。
　　行为监测法
利用病毒的特有行为特征性来监测病毒的方法，称为行为监测法。通过对病毒多年的观察、研究，有一些行为是病毒的共同行为，而且比较特殊。在正常程序中，这些行为比较罕见。当程序运行时，监视其行为，如果发现了病毒行为，立即报警。
　　软件模拟法
多态性病毒每次感染都变化其病毒密码，对付这种病毒，特征代码法失效。因为多态性病毒代码实施密码化，而且每次所用密钥不同，把染毒的病毒代码相互比较，也无法找出相同的可能做为特征的稳定代码。虽然行为检测法可以检测多态性病毒，但是在检测出病毒后，因为不知病毒的种类，难于做消毒处理。
　　计算机病毒的防治策略 
计算机病毒的防治要从防毒、查毒、解毒三方面来进行;系统对于计算机病毒的实际防治能力和效果也要从防毒能力、查毒能力和解毒能力三方面来评判。

6.杀毒软件的工作原理是怎样的？

　　传统的是通过病毒的定义版本来对比你电脑中的文件是否符合病毒特征，但由于病毒为了防杀有加壳的，这样直接就无法识别，这就得看你杀毒软件的脱壳能力，有的壳强的杀毒软件都脱不了。另外病毒版本如果没包含新出的病毒或变种那也发现不了。
于是更高级的技术有启发技术，通过分析病毒的更为本质的基因码查毒，这样就可以查杀未知变种病毒，还有行为分析技术，不依赖病毒码直接看程序的行为违不违法，还有云计算，就是把整个互联网连起来。
举个例子：比如你是警察，你有一份黑名单，你在一些关口的人流中一个个地盘查，看犯罪嫌疑人有没有再黑名单上的，有的话就逮他，你能力（引擎）不强的话逮都逮不着，黑名单随着犯罪人员不断更新，但如果犯人伪装得好，换个身份证，弄个易容术，你就发现不了它，这时候你就需要DNA鉴定技术，这样犯人再怎么伪装也逃不出，这就是启发式。主动防御是你没有黑名单，你只靠犯人的犯罪行为抓人，只要犯人一有可疑的犯罪行为，你立马抓人，这样就排出了黑名单跟不上犯罪人员数量的被动性。

以上就是关于「杀毒软件如何工作的」的全部内容，本文讲解到这里啦，希望对大家有所帮助。如果你还想了解更多这方面的信息，记得收藏关注本站~

【Win10系统之家②文章，转载请注明出处！】