二进制病毒的启发式扫描技术.doc
约40页DOC格式手机打开展开
二进制病毒的启发式扫描技术,资源包括：正文doc格式共40页 20895字摘要:传统病毒扫描采用特征值扫描技术，虽然这种方法能够非常有效的查知已知的病毒，但是对新病毒完全无能无力！并且一些加密的多态病毒不可能提取出一个满意的特征值，因此也无法利用特征值扫描技术来检测。启发式病毒扫描从一定意义上讲就是一种病毒预测技术，它针对病毒的普遍特征（自我复制...
内容介绍
此文档由会员 莎士比亚 发布
资源包括：正文DOC格式共40页 20895字
摘要:
传统病毒扫描采用特征值扫描技术，虽然这种方法能够非常有效的查知已知的病毒，但是对新病毒完全无能无力！并且一些加密的多态病毒不可能提取出一个满意的特征值，因此也无法利用特征值扫描技术来检测。启发式病毒扫描从一定意义上讲就是一种病毒预测技术，它针对病毒的普遍特征（自我复制，破坏系统），再加上病毒分析师的经验总结，对未知病毒进行有效的预测。随着现在病毒复杂性的提高，这种启发式扫描技术将有非常广阔的发展前景。
本文主要针对当前存在的二进制病毒提出一种简单的启发式病毒扫描方式。
关键字：
启发式 二进制病毒 宏病毒 虚拟机 反汇编
Abstract
The traditional method for detecting viruses is Signature Scanning. Although it’s very efficient for the known viruses ,it has no use for the new viruses about which we have not known, especially for the encoded polymorphic viruses which may not have an unique signature. In some words, the heuristic scanning is a method of forecasting. With the two common characteristics(replication and destroying) and the experience of experts of virus detecting ,it can detect the unknown viruses efficiently. With the development of virus, this method of virus scanning will have a broader prospect.
This paper will introduce a detailed method of heuristic virus scanning for binary virus.
Key Words：
heuristic, binary virus ,macro virus, virtual machine, deassemble
目 录
第一章 前言 1
1.1 缘起 1
1.2什么是病毒 1
1.3病毒的两大基本特征 2
1.3.1破坏性 2
1.3.2病毒的自我复制（传播）特性 3
1.4病毒的分类 3
1.5识别病毒的方法 4
第二章 二进制病毒与宏病毒介绍 5
2.1二进制病毒 5
2.1.1二进制病毒的生成（编写） 5
2.1.2二进制病毒的传播方式 5
2.1.3二进制病毒的破坏性 7
2.2宏病毒 7
2.2.1宏病毒的传播方式 7
2.2.2宏病毒的危害 8
2.2.3宏病毒的预防 9
2.2.4宏病毒的清除 9
第三章 病毒扫描原理 10
3.1传统病毒扫描技术（特征值扫描） 10
3.2虚拟机查毒(针对MICROSOFT平台的二进制的启发扫描方法) 12
3.2.1虚拟机概论 12
3.2.2加密多态病毒 14
3.2.3启发式病毒扫描 16
3.3针对宏病毒的启发式扫描 17
3.3.1提取宏 17
3.3.2宏的语法分析 18
3.3.3对模块的行为作出分析 19
第四章 启发式病毒扫描（HSCANNER）的实现 21
4.1需求分析 21
4.1.1功能需求 21
4.1.2运行环境 21
4.1.3试验环境(复制病毒，replication) 21
4.2 系统结构与模块介绍 22
4.2.1 文件格式判断模块 22
4.2.2 可执行文件（二进制）预处理 23
4.2.3 反汇编二进制代码（虚拟机） 23
4.2.4虚拟机代码剖析 28
4.2.5分析，计算权值 29
第五章 前景展望 31
5.1 我们的不足 31
5.1.1 启发式查毒的“先天不足” 31
5.1.2我们的设计和实现中的缺点 32
5.2 改进 33
5.3 前景 33
致 谢 35
参考文献 36
摘要:
传统病毒扫描采用特征值扫描技术，虽然这种方法能够非常有效的查知已知的病毒，但是对新病毒完全无能无力！并且一些加密的多态病毒不可能提取出一个满意的特征值，因此也无法利用特征值扫描技术来检测。启发式病毒扫描从一定意义上讲就是一种病毒预测技术，它针对病毒的普遍特征（自我复制，破坏系统），再加上病毒分析师的经验总结，对未知病毒进行有效的预测。随着现在病毒复杂性的提高，这种启发式扫描技术将有非常广阔的发展前景。
本文主要针对当前存在的二进制病毒提出一种简单的启发式病毒扫描方式。
关键字：
启发式 二进制病毒 宏病毒 虚拟机 反汇编
Abstract
The traditional method for detecting viruses is Signature Scanning. Although it’s very efficient for the known viruses ,it has no use for the new viruses about which we have not known, especially for the encoded polymorphic viruses which may not have an unique signature. In some words, the heuristic scanning is a method of forecasting. With the two common characteristics(replication and destroying) and the experience of experts of virus detecting ,it can detect the unknown viruses efficiently. With the development of virus, this method of virus scanning will have a broader prospect.
This paper will introduce a detailed method of heuristic virus scanning for binary virus.
Key Words：
heuristic, binary virus ,macro virus, virtual machine, deassemble
目 录
第一章 前言 1
1.1 缘起 1
1.2什么是病毒 1
1.3病毒的两大基本特征 2
1.3.1破坏性 2
1.3.2病毒的自我复制（传播）特性 3
1.4病毒的分类 3
1.5识别病毒的方法 4
第二章 二进制病毒与宏病毒介绍 5
2.1二进制病毒 5
2.1.1二进制病毒的生成（编写） 5
2.1.2二进制病毒的传播方式 5
2.1.3二进制病毒的破坏性 7
2.2宏病毒 7
2.2.1宏病毒的传播方式 7
2.2.2宏病毒的危害 8
2.2.3宏病毒的预防 9
2.2.4宏病毒的清除 9
第三章 病毒扫描原理 10
3.1传统病毒扫描技术（特征值扫描） 10
3.2虚拟机查毒(针对MICROSOFT平台的二进制的启发扫描方法) 12
3.2.1虚拟机概论 12
3.2.2加密多态病毒 14
3.2.3启发式病毒扫描 16
3.3针对宏病毒的启发式扫描 17
3.3.1提取宏 17
3.3.2宏的语法分析 18
3.3.3对模块的行为作出分析 19
第四章 启发式病毒扫描（HSCANNER）的实现 21
4.1需求分析 21
4.1.1功能需求 21
4.1.2运行环境 21
4.1.3试验环境(复制病毒，replication) 21
4.2 系统结构与模块介绍 22
4.2.1 文件格式判断模块 22
4.2.2 可执行文件（二进制）预处理 23
4.2.3 反汇编二进制代码（虚拟机） 23
4.2.4虚拟机代码剖析 28
4.2.5分析，计算权值 29
第五章 前景展望 31
5.1 我们的不足 31
5.1.1 启发式查毒的“先天不足” 31
5.1.2我们的设计和实现中的缺点 32
5.2 改进 33
5.3 前景 33
致 谢 35
参考文献 36
