病毒防护技术(三)反病毒技术.ppt

,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,补充 计算机病毒防护技术,B.1,概述,B.2,计算机病毒工作机制,B.3,反病毒技术,B.4,典型计算机病毒,B.5,计算机病毒查杀软件,B.3,反病毒技术,计算机病毒检测技术,计算机病毒清除,计算机病毒免疫,计算机病毒预防,病毒技术与反病毒技术存在着相互对立相互依存的关系，二者在彼此的较量中不断发展。,总的来讲病毒技术落后于反病毒技术。,计算机病毒的防治可分为：计算机病毒的检测、计算机病毒的清除、计算机病毒的免疫和计算机病毒的预防。,一、计算机病毒主要检测技术,检测计算机病毒方法有,:,外观检测法、特征代码法、系统数据对比法、实时监控法和软件模拟法等方法，这些方法依据的原理不同，实现时所需开销不同，检测范围也不同，各有所长。,1.,外观检测法,计算机病毒侵入计算机系统后，通常会使计算机系统的某些部分发生变化，进而引发一些异常现象，如屏幕显示异常、声音异常、文件系统异常、系统运行速度的异常、打印机并行端口的异常和通信串行口的异常等。,这些异常虽然不能准确地判断系统感染了何种计算机病毒，但是可以根据这些异常现象来判断计算机病毒的存在，尽早地发现计算机病毒，便于及时有效地进行处理。外观检测法是计算机病毒防治过程中起着重要辅助作用的一个环节，可通过其初步判断计算机是否感染了计算机病毒。,2.,比较法,进行原始的或者正常的预备检验对象的特征比较,由于病毒的感染会引起文件长度和内容、内存以及中断向量的变化，从这些特征的比较中可以发现异常，从而判断病毒的有无。,优点：简单，方便，不用专用的软件。,缺点：无法确认计算机病毒的种类和名称。,3.,特征代码法,计算机病毒程序通常具有明显的特征代码，特征代码可能是计算机病毒的感染标记,(,由字母或数字组成串,),，如“快乐的星期天”计算机病毒代码中含有“,Today is Sunday”,，“,1434”,计算机病毒代码中含有“,It is my birthday”,等。,在被计算机病毒感染的文件或计算机中，总能找到这些特征代码。将这些己知计算机病毒的特征代码串收集起来就构成了,计算机病毒特征代码数据库,，这样，我们就可以通过搜索、比较计算机系统,(,可能是文件、磁盘、内存等,),中是否含有与特征代码数据库中特征代码匹配的特征代码，来确定被检计算机系统是否感染了计算机病毒，并确定感染了何种计算机病毒。,1,）实现步骤：,特征代码法被广泛应用于很多著名计算机病毒检测工具中，是目前被公认为是检测己知计算机病毒的最简单、开销最小的方法。特征代码法的实现步骤如下。,(1),采集己知计算机病毒样本。,(2),在计算机病毒样本中，抽取计算机病毒特征代码。,(3),将特征代码纳入计算机病毒数据库。,(4),检测文件。打开被检测文件，在文件中搜索，根据数据库中的计算机病毒特征代码，检查文件中是否含有这些特征代码，如果发现计算机病毒特征代码，由特征代码与计算机病毒一一对应，便可以断定，被查文件所感染的是何种计算机病毒。,2,）优缺点,特征代码法的优点如下,:,(1),检测准确，快速,;,(2),可识别计算机病毒的具体类型,:,(3),误报率低,:,(4),依据检测结果，针对具体计算机病毒类型，可做杀毒处理。,3,）缺点：,(1),由于相对于新计算机病毒的出现，发现特征代码的时间滞后，使得新计算机病毒就有可乘之机。,(2),搜集己知计算机病毒的特征代码，研发开销大。,(3),在网络上效率低，因为在网络服务器上，长时间搜索会使整个网络性能变坏。,(4),不易识别变形计算机病毒。,4.,行为监测法,(,实时监控法,),实时监控反计算机病毒技术一向为反计算机病毒界所看好，被认为是比较彻底的反计算机病毒的解决方案。,通过对计算机病毒多年的观察研究，人们发现计算机病毒有一些行为是计算机病毒的共同行为，而且比较特殊。在正常程序中，这些行为比较罕见。当程序运行时，我们可以监视其行为，一旦出现了这些计算机病毒行为，立即报警。这种方法称为行为监测法或实时监控法。,1),监测病毒的行为特征,作为监测计算机病毒的行为特征可列举如下,:,(1),占用,INT13H,。,所有的引导型计算机病毒都攻击,BOOT,扇区或主引导扇区。系统启动时，当,BOOT,扇区或主引导扇区获得执行权时，系统就开始工作。一般引导型计算机病毒都会占用,INT13H,功能，在其中放置计算机病毒所需的代码。,(2),修改,DOS,系统数据区的内存总量。,计算机病毒常驻内存后，为了防止,DOS,系统将其覆盖，通常必须修改内存总量。,(3),对,.COM,和,.EXE,文件做写入动作。,计算机病毒要感染，必须要篡改,.COM,和,.EXE,文件。,(4),计算机病毒程序与宿主程序的绑定和切换。,染毒程序运行时，先运行计算机病毒，而后执行宿主程序。在两者切换时，也有许多特征行为。,(5),格式化磁盘或某些磁道等破坏行为。,(6),扫描、试探特定网络端口。,(7),发送网络广播。,(8),修改文件、文件夹属性，添加共享等。,2),病毒防火墙,实时监控法具有前导性，监控访问系统资源的一切操作，任何程序在调用之前都要被检查一遍。一旦发现可疑行为就报警，并自动清除计算机病毒代码，将计算机病毒拒之门外，做到防患于未然。,Internet,己经成为计算机病毒传播的主要途径，实时性是当前反计算机病毒阵营的迫切需要，计算机病毒防火墙的概念正是基于实时反计算机病毒技术之上提出来的，其宗旨就是对系统实施实时监控，对流入、流出系统的数据中可能含有的计算机病毒代码进行过滤。,计算机病毒防火墙的优越性：,它对计算机病毒的过滤有着良好的实时性，也就是说计算机病毒一旦入侵系统或从系统向其他资源感染时，它就会自动检测到并加以清除，这就最大可能地避免了计算机病毒对资源的破坏。,计算机病毒防火墙能有效地阻止计算机病毒从网络向本地计算机系统的入侵，而这一点恰恰是传统杀毒工具难以实现的，因为它们顶多能静态清除网络驱动器上己被感染文件中的计算机病毒，对计算机病毒在网络上的实时传播却无能为力，而,实时过滤性,技术就使杀除网络计算机病毒成了计算机病毒防火墙的,拿手好戏,。,计算机病毒防火墙的“双向过滤”功能保证了本地系统不会向远程,(,网络,),资源传播机算机病毒。这一优点在使用电子邮件时体现得最为明显，因为它能在用户发出邮件前自动将其中可能含有的计算机病毒全都过滤掉，确保不会对他人造成无意的损害。,计算机病毒防火墙还具有操作更简便、更透明的优点。有了它自动、实时的保护，就无需不时停下正常工作而去费时费力地查毒、杀毒了。,3,）优缺点,优点,:,不仅可以发现已知计算机病毒，而且可以相当准确地预报未知的计算机病毒。,缺点：有可能误报。,5.,校验和法,计算出正常文件的程序代码的校验和，并保存起来，可供被校验对象对照比较，以判断是否感染了病毒。,优点：可侦测到各式计算机病毒，包括未知病毒。,缺点：误判率高，无法确认计算机病毒的种类。,6.,感染实验法：,感染实验法是一种简单实用的检测计算机病毒方法。由于计算机病毒检测工具落后于计算机病毒的发展，当计算机病毒检测工具不能发现计算机病毒时，如果不会用感染实验法，便束手无策。如果会用感染实验法，就可以检测出计算机病毒检测工具不认识的新计算机病毒，可以摆脱对计算机病毒检测工具的依赖，自主地检测可疑新计算机病毒。,方法原理：利用了计算机病毒最重要的基本特征一一感染特性。所有的计算机病毒都会进行感染，如果不会感染，就不称其为计算机病毒。如果系统中有异常行为，最新版的检测工具也查不出计算机病毒时，就可以做感染实验。运行可疑系统中的程序后，再运行一些确切知道不带毒的正常程序，然后观察这些正常程序的长度及校验和，如果发现有的程序增长，或者校验和发生变化，就可断言系统中有计算机病毒。,8.,病毒分析法,一般使用病毒分析法的人不是普通用户，而是反计算机病毒技术人员。使用病毒分析法目的如下：,(1),确认被观察的磁盘引导区和程序中是否含有计算机病毒。,(2),确认计算机病毒的类型和种类，判定其是否是一种新计算机病毒。,(3),搞清楚计算机病毒体的大致结构，提取特征识别用的字符串或特征字，用于增添到计算机病毒代码库以供计算机病毒扫描和识别程序用。,(4),详细分析计算机病毒代码，为制定相应的反计算机病毒措施制定方案。,上述,4,个目的按顺序排列起来，正好大致是使用病毒分析法的工作顺序。使用病毒分析法要求具有比较全面的有关计算机、,DOS,结构和功能调用以及关于计算机病毒方面的各种知识,此外还需要,Debug,Pctool,等分析用工具程序和专用的试验用计算机。,二、计算机病毒清除,病毒的清除：将病毒文件的病毒代码摘除，使之恢复为可正常执行的健全文件。,病毒的清除可用专用的杀毒软件，或者手动清除。,计算机病毒的手动清除,：,1.,在进程表中手动清除,察看系统进程表，将非正常进程清除。,1),进程的概念：,进程,是指在系统中正在运行的一个应用程序，即活动的程序。进程分为系统进程和应用程序进程。,系统进程,就是正在运行的系统程序，,应用程序进程,就是正在运行的应用程序。,进程管理器的启动，如下图：,2),最基本的系统进程列表,（,1,）,system Idle Process,进程文件,:system process,进程名称,:Windows,内存处理系统进程 描 述,:Windows,页面内存管理进程，拥有,0,级优先。介 绍：该进程作为单线程运行在每个处理器上，并在系统不处理其他线程的时候分派处理器的时间。它的,cpu,占用率越大表示可供分配的,CPU,资源越多，数字越小则表示,CPU,资源紧张。,（,2,）,alg.exe,进程文件,:,alg,or,alg.exe,进程名称,:,应用层网关服务 描 述,:,这是一个应用层网关服务用于网络共享。介 绍：一个网关通信插件的管理器，为“,Internet,连接共享服务”和“,Internet,连接防火墙服务”提供第三方协议插件的支持。,（,3,）,csrss.exe,进程文件,:,csrss,or,csrss.exe,进程名称,:Client/Server Runtime Server Subsystem,描 述,:,客户端服务子系统，用以控制,Windows,图形相关子系统。介 绍,:,这个是用户模式,Win32,子系统的一部分。,csrss,代表客户,/,服务器运行子系统，而且是一个基本的子系统必须一直运行。,csrss,用于维持,Windows,的控制，创建或者删除线程和一些,16,位的虚拟,MS-DOS,环境。,（,4,）,ddhelp.exe,进程文件,:,ddhelp,or,ddhelp.exe,进程名称,:DirectDraw Helper,描 述,:DirectDraw Helper,是,DirectX,这个用于图形服务的一个组成部分。,（,5,）,dllhost.exe,进程文件,:,dllhost,or,dlhost.exe,进程名称,:DCOM DLL Host,进程 描 述,:DCOM DLL Host,进程支持基于,COM,对象支持,DLL,以运行,Windows,程序。介 绍：,com,代理，系统附加的,dll,组件越多，则,dllhost,占用的,cpu,资源和内存资源就越多。,（,6,）,explorer.exe,进程文件,:explorer or,explorer.exe,进程名称,:,程序管理 描 述,:Windows Program Manager,或者,Windows Explorer,用于控制,Windows,图形,Shell,，包括开始菜单、任务栏，桌面和文件管理。介 绍：这是一个用户的,shell,，在我们看起来就像任务条，桌面等等。或者说它就是资源管理器，不相信你在运行里执行它看看。它对,windows,系统的稳定性还是比较重要的。,（,7,）,inetinfo.exe,进程文件,:,inetinfo,or,inetinfo.exe,进程名称,:IIS Admin Service Helper,描 述,:,InetInfo,是,Microsoft Internet,Infomation,Services(IIS),的一部分，用于,Debug,调试除错。介绍：,IIS,服务进程，蓝码正是利用的,inetinfo.exe,的缓冲区溢出漏洞。,（,8,）,internat.exe,进程文件,:,internat,or,internat.exe,进程名称,:Input Locales,描 述,:,这个输入控制图标用于更改类似国家设置、键盘类型和日期格式。,internat.exe,在启动的时候开始运行。它加载由用户指定的不同的输入点。,介 绍：它主要是用来控制输入法的，当你的任务栏没有“,EN”,图标，而系统有,internat.exe,进程，不妨结束掉该进程，在运行里执行,internat,命令即可。,（,9,）,kernel32.dll,进程文件,:kernel32 or kernel32.dll,进程名称,:Windows,壳进程 描 述,:Windows,壳进程用于管理多线程、内存和资源。,（,10,）,lsass.exe,进程文件,:,lsass,or,lsass.exe,进程名称,:,本地安全权限服务 描 述,:,这个本地安全权限服务控制,Windows,安全机制。管理,IP,安全策略以及启动,ISAKMP/Oakley(IKE),和,IP,安全驱动程序等。介 绍：这是一个本地的安全授权服务，并且它会为使用,winlogon,服务的授权用户生成一个进程。,（,11,）,mdm.exe,进程文件,:,mdm,or,mdm.exe,进程名称,:Machine Debug Manager,描 述,:Debug,除错管理用于调试应用程序和,Microsoft Office,中的,Microsoft Script Editor,脚本编辑器。介 绍：,Mdm.exe,的主要工作是针对应用软件进行排错,(Debug),。,（,12,）,mmtask.tsk,进程文件,:,mmtask,or,mmtask.tsk,进程名称,:,多媒体支持进程 描 述,:,这个,Windows,多媒体后台程序控制多媒体服务，例如,MIDI,。介 绍：这是一个任务调度服务，负责用户事先决定在某一时间运行的任务的运行。,（,13,）,mprexe.exe,进程文件,:,mprexe,or,mprexe.exe,进程名称,:Windows,路由进程 描 述,:Windows,路由进程包括向适当的网络部分发出网络请求。介 绍：这是,Windows,的,32,位网络界面服务进程文件，网络客户端部件启动的核心。“,A-311,木马,(Trojan.A-311.104)”,也会在内存中建立,mprexe.exe,进程，可以通过资源管理结束进程。,（,14,）,msgsrv32.exe,进程文件,:msgsrv32 or msgsrv32.exe,进程名称,:Windows,信使服务 描 述,:Windows,信使服务调用,Windows,驱动和程序管理。介 绍：,msgsrv32.exe,一个管理信息窗口的应用程序，,win9x,下如果声卡或者显卡驱动程序配置不正确，会导致死机或者提示,msgsrv32.exe,出错。,（,15,）,mstask.exe,进程文件,:,mstask,or,mstask.exe,进程名称,:Windows,计划任务 描 述,:Windows,计划任务用于设定继承在什么时间或者什么日期备份或者运行。介 绍：计划任务，它通过注册表自启动。因此，通过计划任务程序实现自启动的程序在系统信息中看不到它的文件名，一旦把它从注册表中删除或禁用，那么通过计划任务启动的程序全部不能自动运行。另外，攻击者在攻击过程中，也经常用到计划任务，包括上传文件、提升权限、种植后门、清扫脚印等。,（,16,）,regsvc.exe,进程文件,:,regsvc,or,regsvc.exe,进程名称,:,远程注册表服务 描 述,:,远程注册表服务用于访问在远程计算机的注册表。,（,17,）,rpcss.exe,进程文件,:,rpcss,or,rpcss.exe,进程名称,:RPC,Portmapper,描 述,:Windows,的,RPC,端口映射进程处理,RPC,调用,(,远程模块调用,),然后把它们映射给指定的服务提供者。介 绍：它不是在装载解释器时或引导时启动，如果使用中有问题，可以直接在在注册表,HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows,CurrentVersion,Run,HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices,添加,字符串值,，定向到,C:WINDOWSSYSTEMRPCSS,即可。,（,18,）,services.exe,进程文件,:services or,services.exe,进程名称,:Windows Service Controller,描 述,:,管理,Windows,服务。介 绍：大多数的系统核心模式进程是作为系统进程在运行。打开管理工具中的服务，可以看到有很多服务都是在调用,%systemroot%system32service.exe,（,19,）,smss.exe,进程文件,:,smss,or,smss.exe,进程名称,:Session Manager Subsystem,描 述,:,该进程为会话管理子系统，用以初始化系统变量，,MS-DOS,驱动名称类似,LPT1,以及,COM,，调用,Win32,壳子系统和运行在,Windows,登陆过程。简 介：这是一个会话管理子系统，负责启动用户会话。这个进程是通过系统进程初始化的并且对许多活动的，包括已经正在运行的,Winlogon,，,Win32,（,Csrss.exe,）线程和设定的系统变量作出反映。在它启动这些进程后，它等待,Winlogon,或者,Csrss,结束。如果这些过程时正常的，系统就关掉了。如果发生了什么不可预料的事情，,smss.exe,就会让系统停止响应（就是挂起）。,（,20,）,snmp.exe,进程文件,:,snmp,or,snmp.exe,进程名称,:Microsoft SNMP Agent,描 述,:Windows,简单的网络协议代理（,SNMP,）用于监听和发送请求到适当的网络部分。简 介：负责接收,SNMP,请求报文，根据要求发送响应报文并处理与,WinsockAPI,的接口。,（,21,）,spool32.exe,进程文件,:spool32 or spool32.exe,进程名称,:Printer Spooler,描 述,:Windows,打印任务控制程序，用以打印机就绪。,（,22,）,spoolsv.exe,进程文件,:,spoolsv,or,spoolsv.exe,进程名称,:Printer Spooler Service,描 述,:Windows,打印任务控制程序，用以打印机就绪。介 绍：缓冲（,spooler,）服务是管理缓冲区中的打印和传真作业。,（,23,）,stisvc.exe,进程文件,:,stisvc,or,stisvc.exe,进程名称,:Still Image Service,描 述,:Still Image Service,用于控制扫描仪和数码相机连接在,Windows,。,（,24,）,svchost.exe,进程文件,:,svchost,or,svchost.exe,进程名称,:Service Host Process,描 述,:Service Host Process,是一个标准的动态连接库主机处理服务,.,介 绍：,Svchost.exe,文件对那些从动态连接库中运行的服务来说是一个普通的主机进程名。,Svhost.exe,文件定位在系统的,%systemroot%system32,文件夹下。在启动的时候，,Svchost.exe,检查注册表中的位置来构建需要加载的服务列表。这就会使多个,Svchost.exe,在同一时间运行。每个,Svchost.exe,的回话期间都包含一组服务，以至于单独的服务必须依靠,Svchost.exe,怎样和在那里启动。这样就更加容易控制和查找错误。,windows 2k,一般有,2,个,svchost,进程，一个是,RPCSS,（,Remote Procedure Call,）服务进程，另外一个则是由很多服务共享的一个,svchost.exe,。而在,windows XP,中，则一般有,4,个以上的,svchost.exe,服务进程，,windows 2003 server,中则更多。,（,25,）,taskmon.exe,进程文件,:,taskmon,or,taskmon.exe,进程名称,:Windows Task Optimizer,描 述,:windows,任务优化器监视你使用某个程序的频率，并且通过加载那些经常使用的程序来整理优化硬盘。介 绍：任务管理器，它的功能是监视程序的执行情况并随时报告。能够监测所有在任务栏中以窗口方式运行的程序，可打开和结束程序，还可直接调出关闭系统对话框。,（,26,）,tcpsvcs.exe,进程文件,:,tcpsvcs,or,tcpsvcs.exe,进程名称,:TCP/IP Services,描 述,:TCP/IP Services Application,支持透过,TCP/IP,连接局域网和,Internet,。,（,27,）,winlogon.exe,进程文件,:,winlogon,or,winlogon.exe,进程名称,:Windows Logon Process,描 述,:Windows NT,用户登陆程序。这个进程是管理用户登录和退出的。而且,winlogon,在用户按下,CTRL+ALT+DEL,时就激活了，显示安全对话框。,（,28,）,winmgmt.exe,进程文件,:,winmgmt,or,winmgmt.exe,进程名称,:Windows Management Service,描 述,:Windows Management Service,透过,Windows Management Instrumentation data WMI),技术处理来自应用客户端的请求。简 介：,winmgmt,是,win2000,客户端管理的核心组件。当客户端应用程序连接或当管理程序需要他本身的服务时这个进程初始化。,（,29,）,system,进程文件,:system or system,进程名称,:Windows System Process,描 述,:Microsoft Windows,系统进程。介 绍：在任务管理器中会看到这项进程，属于正常系统进程。,3,）在,WindowsXP,中，以下进程是必须加载的：,smss.exe,、,csrss.exe,、,winlogon.exe,、,services.exe,、,lsass.exe,、,svchost.exe,(,可以同时存在多个,),、,spoolsv.exe,、,explorer.exe,、,System Idle Process,；,4,）察看进程表，找到非正常的进程，将其清除。,2.,在注册表中清除,如果发现计算机有不名的进程和异常情况请在注册表内下列地方进行核实找住可疑的程序进行删除。一般情况下，可执行文件病毒，可以在如下的注册表中清除。,HKEY_LOCAL_MACHINESoftwareMicrosoftWindows,CurrentVersion,Run,HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunOnce,HKEY_LOCAL_MACHINE Software Microsoft Windows,CurrentVersion,RunServicesOnce,HKEY_CURRENT_USER/SoftwareMicrosoftWindows,CurrentVersion,Run,HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunOnce,HKEY_CURRENT_USER Software Microsoft Windows,CurrentVersion,Policies ExplorerRun HKEY_CURRENT_USER Software Microsoft Windows,CurrentVersion,Explorer/,ShellFolders,Startup=C:/windows/start menu/programs/startup,3.,在染毒的文件代码中摘除,一些系统文件，如,win.ini,、,system.ini,、,config.sys,、,autoexec.bat,等，都是病毒经常侵入的文件，我们应该知道正常的文件内容，如果发现非正常语句，一般都是病毒，应及时摘除。,例如：系统,WIN.INI,文件内在,win.ini,文件中，“,run=”,和“,load=”,是可能加载“木马”程序的途径，必须仔细留心它们。一般情况下，它们的等号后面什么都没有，如果发现后面跟有路径与文件名不是你熟悉的启动文件，你的计算机就可能中上“木马”了。,Win.ini,的正常内容（,windows,xp,）：,;for 16-bit app support,fonts,extensions,mci,extensions,files,Mail,MAPI=1,CMCDLLNAME32=mapi32.dll,CMCDLLNAME=,mapi.dll,CMC=1,MAPIX=1,MAPIXVER=1.0.0.1,OLEMessaging,=1,MCI,Extensions.BAK,aif,=,MPEGVideo,aifc,=,MPEGVideo,aiff,=,MPEGVideo,asf,=,MPEGVideo,asx,=,MPEGVideo,au=,MPEGVideo,m1v=,MPEGVideo,m3u=,MPEGVideo,mp2=,MPEGVideo,mp2v=,MPEGVideo,mp3=,MPEGVideo,mpa,=,MPEGVideo,mpe,=,MPEGVideo,mpeg=,MPEGVideo,mpg=,MPEGVideo,mpv2=,MPEGVideo,snd,=,MPEGVideo,wax=,MPEGVideo,wm=,MPEGVideo,wma=,MPEGVideo,wmv,=,MPEGVideo,wmx,=,MPEGVideo,wpl,=,MPEGVideo,wvx,=,MPEGVideo,m2v=,MPEGVideo,mod=,MPEGVideo,SciCalc,layout=1,SYSTEM.INI,文件中在,system.ini,文件中，在,BOOT,下面有个“,shell=,文件名”。正确的文件名应该是“,explorer.exe,”,，如果不是“,explorer.exe,”,，而是“,shell=,explorer.exe,程序名”，那么后面跟着的那个程序就是“木马”程序，就是说你已经中“木马”了。,System.ini,的正常内容（,windows,xp,）：,;for 16-bit app support,drivers,wave=,mmdrv.dll,timer=,timer.drv,mci,driver32,386enh,woafont,=app936.FON,EGA80WOA.FON=,EGA80WOA.FON,EGA40WOA.FON=,EGA40WOA.FON,CGA80WOA.FON=,CGA80WOA.FON,CGA40WOA.FON=,CGA40WOA.FON,三、计算机病毒免疫,计算机病毒免疫原理：根据病毒签名来实现。由于有些病毒在感染其他程序时要先判断是否已被感染过，即欲攻击的宿主程序是否已有相应的病毒签名，如有，则不在感染。,因此，可在“健康”的程序中进行病毒签名，起到免疫的效果。,四、计算机病毒预防,(1),经常对硬盘上的文件进行备份，这样不但在硬盘遭受破坏或无意格式化操作后能及时得到恢复，而且在计算机病毒侵害后也能得以恢复。,(2),凡不需要再写入数据的磁盘都应该具有防写保护，系统软盘（移动存储设备）更应有写保护。,(3),不要使用来历不明或不是正当途径复制的程序盘。因为很多程序,(,各类游戏居多,经长时间的流传，带有计算机病毒可能性较大。,(4),对于执行重要工作的计算机要专机专用、专盘专用；对交换的软件及数据文件要进行检查，确定无计算机病毒时方可使用。,(5),己发现计算机遭受计算机病毒感染，应尽快隔离此计算机病毒。如不明是何种计算机病毒或没有有效的杀毒软件时，可对硬盘和该染毒的软盘（移动存储设备）进行格式化。,(6),要使用国家安全部门认可的杀计算机病毒软件,(,及时升级,),，如“瑞星”、”卡巴斯基”、“金山毒霸”等，定期对计算机进行杀毒。,(7),安装防火墙,(,及时升级,),防火墙基于实时检测技术，可及时检测到各种病毒，无论是已知的还是未知的计算机病毒。,(8),不打开来历不明的电子邮件。,(9),尽可能使用正版软件，到软件开发公司的主页去下载相应的软件。,