杀毒软件如何查杀病毒，原理是什么，当他发现一个病毒之后，是如何进行清除的。。。

杀毒软件如何查杀病毒，原理是什么，当他发现一个病毒之后，是如何进行清除的。。。

一个杀毒软件的构造的复杂程度要远远高于木马或病毒，
所以其原理也比较复杂。
而且鉴于
现在木马病毒越来越向系统底层发展，
杀毒软件的编译技术也在不断向系统底层靠近。
例如
现在的“主动防御”技术，就是应用
RING0
层的编译技巧。这里我简单为大家介绍一下基
本构成。

一个杀毒软件一般由扫描器、
病毒库与虚拟机组成，
并由主程序将他们结为一体，
如图
1
。

扫描器是杀毒软件的核心，
用于发现病毒，
一个杀毒软件的杀毒效果好坏就直接取决于它的
扫描器编译技术与算法是否先进，
而且杀毒软件不同的功能往往对应着不同的扫描器，
也就
是说，
大多数杀毒软件都是由多个扫描器组成的。
而病毒库存储的特征码形式则取决于扫描
器采用哪种扫描技术。
它里面存储着很多病毒所具有的独一无二的特征字符，
我们称之为
“特
征码”
。特征码总的分来只有两个，文件特征码与内存特征码。文件特征码存在于一些未执
行的文件里，例如
EXE
文件、
RMVB
文件、
jpg
文件甚至是
txt
文件中都有可能存在文件特
征码，
也都有可能被查杀。
而内存特征码仅仅存在于内存中已运行的应用程序。
而虚拟机则
是最近引进的概念，它可以使病毒在一个由杀毒软件构建的虚拟环境中执行，与现实的
CPU
、硬盘等完全隔离，从而可以更加深入的检测文件的安全性。

简单的说，
杀毒软件的原理就是匹配特征码。
当扫描得到一个文件时，
杀毒软件会检测这个
文件里是否包含病毒库里所包含的特征码，
如果有，
则报毒病查杀，
如果没有，
纵然这个文
件确实是一个病毒，它也会把它当作正常文件来看待。
我觉得腾讯电脑管家就是最好的杀毒软件了
二、基于文件扫描的杀毒技术

基于文件的杀毒技术可以分为“第一代扫描技术”
、
“第二代扫描技术”与“算法扫描”这三
种方法，
对于免杀爱好者来说，
要对每一种方法烂熟于心，
才能成为高手！
但做为一个初学
者来说了解一下即可。
这里我们就简单介绍一下其中两种种方法，
详细的技术原理如果各位
得这有兴趣的话可以自己研究。

病毒是一段程序，不同种类的病毒，它们的代码千差万别，任何人都不可能预测明天将会出现什么新病毒。但有一点可以肯定，只要出现了一项新的计算机技术，充分利用这项新技术编制的新病毒就一定离我们不远了。而由于软件种类极其丰富，且某些正常程序也使用了类似病毒的操作甚至借鉴了某些病毒的技术。所以，虽然有些人利用病毒某些共有的操作（如驻内存，改中断）这种共性，制作了声称可查所有病毒的程序，但这种方法对病毒进行检测势必会造成较多的误报情况，不够可靠，目前都只能作为辅助的手段配合使用，无法独立推广。 实际上，计算机病毒学鼻祖早在80年代初期就已经提出了计算机病毒的模型，证明只要延用现行的计算机体系，计算机病毒就存在“不可判定性”。杀病毒必须先搜集到病毒样本，使其成为已知病毒，然后剖析病毒，再将病毒传染的过程准确地颠倒过来，使被感染的计算机恢复原状。因此可以看出，一方面计算机病毒是不可灭绝的，另一方面病毒也并不可怕，世界上没有杀不掉的病毒。 常用的反病毒软件技术 特征码技术：基于对已知病毒分析、查解的反病毒技术 目前的大多数杀病毒软件采用的方法主要是特征码查毒方案与人工解毒并行，亦即在查病毒时采用特征码查毒，在杀病毒时采用人工编制解毒代码。 特征码查毒方案实际上是人工查毒经验的简单表述，它再现了人工辨识病毒的一般方法，采用了“同一病毒或同类病毒的某一部分代码相同”的原理，也就是说，如果病毒及其变种、变形病毒具有同一性，则可以对这种同一性进行描述，并通过对程序体与描述结果（亦即“特征码”）进行比较来查找病毒。而并非所有病毒都可以描述其特征码，很多病毒都是难以描述甚至无法用特征码进行描述。使用特征码技术需要实现一些补充功能，例如近来的压缩包、压缩可执行文件自动查杀技术。 但是，特征码查毒方案也具有极大的局限性。特征码的描述取决于人的主观因素，从长达数千字节的病毒体中撷取十余字节的病毒特征码，需要对病毒进行跟踪、反汇编以及其它分析，如果病毒本身具有反跟踪技术和变形、解码技术，那么跟踪和反汇编以获取特征码的情况将变得极其复杂。此外，要撷取一个病毒的特征码，必然要获取该病毒的样本，再由于对特征码的描述各个不同，特征码方法在国际上很难得到广域性支持。特征码查病毒主要的技术缺陷表现在较大的误查和误报上，而杀病毒技术又导致了反病毒软件的技术迟滞。 虚拟机技术：启发式探测未知病毒的反病毒技术 虚拟机技术的主要作用是能够运行一定规则的描述语言。由于病毒的最终判定准则是其复制传染性，而这个标准是不易被使用和实现的，如果病毒已经传染了才判定是它是病毒，定会给病毒的清除带来麻烦。 那么检查病毒用什么方法呢？客观地说，在各类病毒检查方法中，特征值方法是适用范围最宽、速度最快、最简单、最有效的方法。但由于其本身的缺陷问题，它只适用于已知病毒，对于未知病毒，如果能够让病毒在控制下先运行一段时间，让其自己还原，那么，问题就会相对明了。可以说，虚拟机是这种情况下的最佳选择。 虚拟机在反病毒软件中应用范围广，并成为目前反病毒软件的一个趋势。一个比较完整的虚拟机，不仅能够识别新的未知病毒，而且能够清除未知病毒，我们会发现这个反病毒工具不再是一个程序，而成为可以和卡斯帕罗夫抗衡的ibm深蓝超级计算机。首先，虚拟机必须提供足够的虚拟，以完成或将近完成病毒的“虚拟传染”；其次，尽管根据病毒定义而确立的“传染”标准是明确的，但是，这个标准假如能够实施，它在判定病毒的标准上仍然会有问题；第三，假如上一步能够通过，那么，我们必须检测并确认所谓“感染”的文件确实感染的就是这个病毒或其变形。 目前虚拟机的处理对象主要是文件型病毒。对于引导型病毒、word／excel宏病毒、木马程序在理论上都是可以通过虚拟机来处理的，但目前的实现水平仍相距甚远。就像病毒编码变形使得传统特征值方法失效一样，针对虚拟机的新病毒可以轻易使得虚拟机失效。虽然虚拟机也会在实践中不断得到发展。但是，pc的计算能力有限，反病毒软件的制造成本也有限，而病毒的发展可以说是无限的。让虚拟技术获得更加实际的功效，甚至要以此为基础来清除未知病毒，其难度相当大。 受病毒在理论上就是不可判定的这一根本前提的制约，事实上，无论是启发式，亦或是虚拟机，都只能是一种工程学的努力，其成功的概率永远不可达到100％。这是惟一的却又是无可奈何的缺憾。

如以上回答内容为低俗、色情、不良、暴力、侵权、涉及违法等信息，可以点下面链接进行举报！

点此我要举报以上问答信息