中国计算机反病毒30年重要反病毒技术

中国计算机反病毒30年重要反病毒技术

从1988年我国发现第一个病毒“小球”算起，至今中国计算机反病毒之路已经走过了三十年。三十年弹指一挥间，计算机病毒和反病毒技术发生了翻天覆地的变化，计算机病毒迄今为止已经超百万种，而计算机反病毒技术也已经更新了一代又一代。

中国计算机反病毒发展史以1998年为界分为前十年和后二十年两个重要阶段。前十年历史主要是查杀感染文件型和引导区病毒的历史，后二十年主要是针对蠕虫和木马的历史。发展到今天，计算机病毒更加复杂，多数新病毒是集后门、木马、蠕虫等特征于一体的混合型病毒，而病毒技术也从以前以感染文件和复制自身，给电脑用户带来麻烦和恶作剧为目的，变成了以隐藏和对抗杀毒软件并最终实施盗号窃秘为目的。

DOS杀毒时代

无论是病毒还是反病毒，在一定时间阶段内必定是基于某一类主流平台的，从DOS 时代至今，操作平台发生了几次重大演变，从DOS进展到WINODWS时代，从WINDOWS 单机操作到目前互联时代，计算机已经单一的信息孤岛发展成为全球互联网中的一个信息节点，相应地计算机病毒的发展也与此息息相关。

DEBUG手工杀毒

1988年至1989年，我国先后出现了最早的计算机病毒“小球”和“大麻”，而当时国内并没有杀毒软件，这时候，一些程序员使用微软的软件缺陷调试程序DEBUG来跟踪清除病毒，这也成为最早最原始的手工杀毒技术。DEBUG通过跟踪程序运行过程，寻找病毒的突破口，然后通过DEBUG强大的编译功能将其清除。由于DEBUG强大的侦错能力，在早期的反病毒工作中发挥了重大作用，但由于使用DEGUG需要精通汇编语言和一些硬盘底层技术，所以，能够熟练使用DEBUG杀病毒的人并不多，而早期经常使用DEBUG跟踪破解病毒的程序员，在长期的杀毒工作过程中积累了经验以及病毒样本，多数成为后来计算机反病毒行业的中坚技术力量。

随着操作系统和病毒技术的发展，以及DOS病毒的退出历史舞台，现在的反病毒工程师已经很少用DEBUG去破解病毒，而是普遍应用了IDA、OllyDbg等反编译程序，但用DEBUG手工杀毒至今仍然是老一代反病毒人员津津乐道和难以忘怀的往事。

宏病毒杀毒技术

1997年下半年，微软的Office逐渐普及，然而，不知从什么时候开始，许多用户开始发现，平时很正常的WORD文档无法打印，一篇稿件写完后去无法保存......一场“宏”病毒大潮来袭！经过反病毒工程师分析，导致此类怪现象的原因，是因为电脑用户的WORD文档中多了一个未知的“宏”。“宏”是WORD中的一种自动执行的一组操作命令，病毒正是利用WORD此项功能，将一些有害的代码添加为“宏”命令，从而破坏WORD的正常使用，甚至可以删除WORD文档。由于这种“宏”极具传染性，所以被称为“宏病毒”。

然而，由于微软的WORD文档格式和算法是保密的，而“宏病毒”所在的文件位置却并不确定，而且杀毒软件清除宏病毒的还不能破坏WORD文档，这给杀除“宏”带来很大的困难。因此，在那个时候，衡量一款杀毒软件的杀毒能力，只要看它处理“宏”病毒的情况就可以了。随着大多数杀毒软件开始加入清除“宏病毒”的功能，慢慢地“宏”病毒开始逐渐被消灭。

杀双料病毒和变形病毒

除了宏病毒杀毒技术外，清除变形病毒和引导区、文件型的“双料”病毒也是DOS时代较为典型的杀毒技术。“双料”病毒既感染磁盘引导区、又感染可执行文件，如果只解除了文件上的病毒，而没解除硬盘主引导区的病毒，系统引导时又将病毒调入内存，会重新感染文件。如果只解除了主引导区的病毒，而可执行文件上的病毒没解除，一执行带毒的文件时，就又将硬盘主引导区感染。狡诈的变形加密病毒，几乎让人解不开。用具有特殊技术的查毒方法，使上述病毒在静态环境中是很容易被发现。所谓静态环境就是指重新加电，用干净软盘引导系统。这样，就可在内存无病毒的状态下，用具有特殊扫描方法的软件去主动搜索病毒。

WINDOWS视窗时代从“杀毒”到“反病毒”的关键一跃

随着WINDOWS95和WINDOWS98操作系统的逐渐普及，电脑开始进入可视化视窗时代，随着电脑与外界数据交换越来越频繁，电脑病毒开始从各种入口入侵。除了软盘，光盘、硬盘、网上邻居、电子邮件、网络下载、注册表等等都可能成为病毒感染的通道。病毒越来越多，一味地杀毒将使电脑用户疲于应付，这时，反病毒工程师开始意识到有效防御病毒比单纯杀毒对于用户来讲价值更大。

安装版的杀毒软件与操作系统同步运行，对通过文件、邮件、网页等途径进入电脑的数据进行实时过滤，发现病毒在内存阶段立即清除，抵御病毒于系统之外。

随着这一技术的发展和完善，目前实时监控技术已经非常完善，从各大病毒入侵通道封杀病毒，成为目前杀毒软件最主流最具价值的核心技术。目前，衡量一款杀毒软件的防杀能力，也主要通过测式实时监控性能，例如，发现网页上的病毒，是在下载过程中（内存阶段）报警并清除还是在下载完毕后才能报警并处理？经过层层压缩和加密的病毒，杀毒软件是根目录时便能侦测到并报警，还是选择了这个病毒压缩包才能报警？病毒实时监控技术又包含了许多分支技术等，这些技术使得杀毒软件在实时监控病毒时更灵敏，清除病毒也更彻底。

互联网时代主动防御新时代

近年来，伴随着互联网的高速发展，病毒也进入了愈加猖狂和泛滥的新阶段，并呈现出了以下几个特征：

1、病毒的种类和数量在迅速增长；

2、传播手段越来越广泛；

3、病毒的技术水平越来越高。

病毒制造者不断更新着病毒的制造技术，不断推出病毒的新变种，利用新的技术手段隐

藏自身进程，通过加壳和免杀技术终止杀毒软件的运行，逃避杀毒软件对于病毒的查杀，达到传播有害程序、破坏数据文件、非法窃取利益的目的。更值得关注的是，进入2008年以来，大部分主流病毒技术都进入了驱动级，开始与杀毒软件争抢系统驱动的控制权，从而控制杀毒软件，致使杀毒软件功能失效。

此外，病毒的危害也越来越大。更多的木马和病毒破坏电脑系统、造成死机、蓝屏、数据丢失、窃取用户帐号密码等，给用户造成巨大的损失和破坏。“熊猫烧香”、“机器狗”、“ARP 病毒”、“磁碟机”这些病毒迅速在互联网上疯狂传播，被感染的计算机数量急速增长，严重影响着个人用户和企业用户的信息安全。

伴随着计算机病毒的飞速发展，一些新的计算机反病毒技术也应运而生。

未知病毒主动防御技术

当前的杀毒软件都是通过从病毒样本中提取病毒特征值来构成病毒特征库，采用特征扫描技术，通过与计算机中的应用程序或者文件等的特征值逐一比对，来判断计算机是否已经被病毒感染，即由专业反病毒人员在反病毒公司对可疑程序进行人工分析研究。杀毒软件厂商只有通过用户上报或者通过技术人员在网络上搜索才能捕获到新病毒，然后从新病毒中提取病毒特征值添加到病毒库中，用户通过升级获取最新的病毒库，才能判断某个程序是病毒。

如果用户不升级，用户计算机上安装的杀毒软件就不能防范新出现的病毒，这也是专业反病毒工程师一直强调用户要及时升级杀毒软件病毒库的原因。这种特征值扫描技术的原理决定了杀毒软件的滞后性，使用户不能对网络新病毒及时防御，网络病毒的频频爆发，已经使国际国内反病毒领域开始意识到，杀毒软件赖以生存的事后“补丁”式技术越来越被动，所以主动防御监测技术应运而生。

反病毒Rootkit技术

越来越多的病毒开始利用Rootkit技术隐藏自身，利用HOOK技术破坏系统文件，防止被安全软件所查杀。反病毒Rootkit、反病毒Hook技术能够阻止病毒利用HOOK技术破坏系统文件，防御病毒于系统之外。

启发式扫描

启发式分为静态启发和动态启发。静态启发在杀毒软件中内置一个特别的启发特征库，然后将病毒的原码与这个库进行比较，如果符合或接近这个库里的病毒特征，就将其报为相应的病毒。动态启发与虚拟机结合的十分紧密，主要应用在对病毒的扫描和查杀。

虚拟机脱壳

虚拟机的原理是在系统上虚拟一个操作环境，然后在这个虚拟环境下运行病毒，在病毒现出原形后将其清除。虚拟机目前主要应用在脱壳方面。许多未知病毒其实是换汤不换药，只是把原病毒加了一个壳，如果能成功地把病毒的这层壳脱掉，就很容易将病毒清除了。对于虚拟机的应用，许多反病毒专家各执一词，有人强调虚拟机杀毒技术，认为这项技术可以很

好地清除未知病毒。而有的专家则对此持保留态度，原因是虚拟机需要占用太多的系统资源，虚拟机功能的强大是建立在消耗大量的系统资源基础上的，过分强调和应用虚拟机杀毒技术，可能会导致整个操作系统都不能进行工作。

“沙盒”（Sandbox）技术

虽然同为防范未知病毒的杀毒技术，可是，“沙盒”技术与主动防御技术原理截然不同。主动防御是发现程序有可疑行为时立即拦截，终止运行；“沙盒”技术则是发现可疑行为让程序继续运行，当发现的确是病毒时才终止。对于程序的可疑行为，电脑虚拟的“沙盒”会记下他的每一个动作；在病毒充分暴露了其病毒属性后，“沙盒”则会执行“回滚”机制，将病毒的痕迹和动作抹去，恢复系统到正常状态。

内核级主动防御

进入2008年以来，大部分主流病毒技术都进入了驱动级，病毒已经不再一味逃避杀毒软件追杀，而是开始与杀毒软件争抢系统驱动的控制权，在争抢系统驱动控制权后，转而控制杀毒软件，使杀毒软件功能失效。

目前几乎所有的盗号木马病毒都具备了这一特征，病毒应用了包括ROOTKIT技术、进程注入、文件加密存放等主流编程技术，导致电脑一旦被病毒感染，清除十分困难。内核级主动防御系统能够防御驱动型病毒终止杀毒软件，在CPU阶段对病毒进行拦截和清除。

对于病毒的活动来说，由于反病毒软件必须保证其在内存阶段即被截获并作出处理，所以普通的用户级程序是无法监控的，只有工作于系统核心层的程序才能监控系统活动。内核级主动防御系统将查杀病毒模块直接移植到系统核心层直接监控病毒，让工作于系统核心态的驱动程序去拦截所有的文件访问。目前国内外杀毒软件普遍的技术研发现状只是部分监控模块运行于内核层，而内核级主动防御系统将查毒和杀毒模块都运行于系统内核层，可以有效防范未知病毒对计算机系统的入侵，并能够在系统内核阶段完成对计算机病毒的防御和清除，解决目前杀毒软件普遍面临的难以有效防御和清除驱动型病毒的技术难题。这也是目前计算机信息安全领域技术发展方向。

综合来说，内核级主动防御系统既能解决层出不穷的新病毒的问题，而且针对病毒采用的对抗杀毒软件技术提出了有针对性的解决方法，能够解决电脑和互联网用户面临的越来越广泛的疑难病毒问题。