数码资讯
浅谈主流技术与最新病毒技术的引入
在AV开发的历史上，可能有以下几种方法： 特征码技术、覆盖技术、常驻软件技术、特征过滤技术、自加密开放防病毒数据库技术、智能广谱技术、虚拟机技术、行为分析技术、病毒疫苗、Linux安装。 目前，也被广泛称为商业AV码滤波技术特征编码技术和特点，虚拟机技术、启发式扫描技术和行为分析技术；Zhuansh
选购提示
关注价格、性能、续航、售后和真实使用场景，理性比较后再下单。
在AV开发的历史上，可能有以下几种方法：
特征码技术、覆盖技术、常驻软件技术、特征过滤技术、自加密开放防病毒数据库技术、智能广谱技术、虚拟机技术、行为分析技术、病毒疫苗、Linux安装。
目前，也被广泛称为商业AV码滤波技术特征编码技术和特点，虚拟机技术、启发式扫描技术和行为分析技术；Zhuanshagongju和免疫工具覆盖法技术、软件技术、生化病毒疫苗和其他一些处理技术（根据特定病毒的争论，如杀死罗丝是一个相对简单的技术，专杀CIH更复杂）电脑维修论坛。
一般来说，关于杀戮工具的讨论不多。本文着重介绍商用AV存储器安装的几种技术。
首先，简要介绍了反病毒技术的历史：
70年代初
爬山虎的病毒出现的时候，一个称为清道夫的开发，这是专门对付爬行。这可能是第一个防病毒的防病毒程序。
1989、俄罗斯卡巴斯基带领他的实验室开发的著名的反病毒软件AVP（后来命名为KAV）。
然后杀了，赛门铁克的诺顿、McAfee、红星、KV等杀毒软件也纷纷出现。
在早期，反病毒技术的同义词是特征提取和搜索，但对传统病毒尚未成熟也有足够的威慑力。
1997，出现了一种病毒防火墙技术（也称为文件系统实时监控技术，这就是我们通常称之为监视）。
反病毒厂商已经发展了虚拟机、启发式检测等技术。也取得了良好的效果。
随着蠕虫病毒的猖獗，反病毒技术和入侵检测技术有了融合的趋势，这是目前正在进行的非常活跃的防御技术。
现在我们开始介绍签名和签名过滤技术：
数字签名技术是基于已知病毒检测分析防病毒技术。大多数的病毒软件使用这一技术。这种技术一般由软件测试+人工病毒签名分析并行，将反病毒厂商根据用户上报的样本提取特征码，然后添加到病毒库，自动根据的杀软库的描述在相应的代码相关的文件。一般来说，这种技术辅以解毒的方法，那就是使用手动解毒代码在抗病毒感染的文件修复案例。
检查病毒签名是人工禁毒经验的简单表达式，它模拟人工病毒的识别方法，使用相同的病毒或类似病毒必须在那是相同的想法，程序代码的某些部分存在，如果病毒及其变种都是一样的，你可以用一个描述它，并通过程序和描述的结果（即特征码）进行了比较，发现病毒，但不是所有的病毒都能描述其特征码。许多病毒很难描述甚至使用签名来描述。一般来说，在使用签名技术（如压缩包、压缩的可执行文件（或某种程度的炮击））时也会实现一些补充功能。
然而，特征码检测方法也有很大的局限性。首先，对厂商的特征码描述的主观因素，多从病毒体病毒的十字节编码特征提取几千字节，需要进行调试，病毒的拆卸和其它分析，如果病毒本身反跟踪技术（如常见的加花）和变形、解码技术，然后跟踪调试并获得签字的情况下拆卸将变得非常复杂。其次，提取病毒的特征码，有必要得到病毒样品先。最后，作为特征码描述供应商之间是不一样的在世界范围内，特征码法很难得到广泛的支持。
在签名开发早期使用的特征码是一个连续的字符，比如你的计算机是来自一个石头病毒。
石头！字符串，和非常著名的EICAR测试字符，这一切。但随着病毒技术的发展，病毒代码开始改变。由于在算法的一些独特的创意，病毒可以任意组合自己的代码，使代码不稳定，但最终的执行结果可以保证稳定。这样，传统的连续字符不能满足需求。在这一点上，出现了基于偏移计算新的特征码技术（的技术是由Dr.Solomon），使特征码摆脱连续字符的限制。虽然病毒本身可以结合自己的代码，代码必须在同一堆栈操作。只要我们在第一个特征码附近搜索第二个第三个点，就可以通过打破分散的特征块来提高命中率，这大大提高了特征码的通用性，降低了误判率，但是，如果病毒本身的代码不一定全部，这种方法仍然是有限的。
此时，该特征码过滤技术的发展又使得传统的特征码技术重生。病毒代码的改变，但最终的变化总是有限的，例如，可能有110个字符的字符串变量的字符代码，八，二没有变化，我们把这两个特征还可以检测变形病毒，但最大的缺点是容易误报，在理论上，这是不可靠的，但它确实有一些病毒效果好。
但随着病毒技术的发展，多态和变形技术（见附件）开始成熟，病毒代码开始大幅进化，该病毒可以随机生成的代码，代码生成是根据不同环境不同，例如在本机上和机病毒对传统签名的角度可以确定两病毒，但实际上它是由病毒构成的。这一特征使得传统的编码的病毒思想完全结束。
为了很好地解决这一问题，启发式扫描出现。启发式扫描技术，通常被称为虚拟机技术，不只是寻找一个程序的特征码，但结合静态扫描技术，如特征码和动态。动态虚拟仿真是一种CPU（如x86）和然后执行病毒与解释的方法，用病毒程序将显示的一些特点，可以使病毒体被释放通过虚拟执行等待多态病毒体解密解密代码签名检测后，加权或基于启发式扫描其他的数学和统计方法，以及病毒体不会造成任何危害我到用户机，解决了不固定的病毒代码的问题在很大程度上，也提供了一种新的方法用于检测未知病毒的思考。这种技术的优点是误报率低，并能检测出病毒株，然后在完美的虚拟机前完美的多态性没有用的，因为总的多态病毒恢复稳定的核心；缺点是检测未知病毒的能力很低，因为仍然需要依靠签名，或不使用在病毒和未知病毒的变形前。
虚拟机的出现，形成了一个新思路，即根据病毒分析的思想由安全厂商分析病毒，以病毒用户认知考虑。基于虚拟机技术的进一步发展，行为检测技术应运而生，它真实地模拟操作系统，允许病毒履行如实地在虚拟环境中。毕竟，病毒是一个很大的行为，常见的软件有很大的区别。如果可执行文件的读写文件，修改系统的终端，修改特定部门、复制，HOOKAPI，其SMC、反跟踪等，进行评价根据其严重程度和是否有各种的吉祥可疑的行为，如果按照现有的规则，严重程度超过一定的阈值，认为它是一种病毒，以确定一个未知的变形病毒只会对这种行为进行了分析。这种方法的好处是，未知的病毒可以区分和标准病毒准确率很高的。缺点是难以实现的，与民间的断言是不可能实现的，通过逆向工程研究。
在许多工具中值得一提的是病毒免疫的概念，就像一个生物产生抗体和对入侵自身的异物的相应免疫一样，它也可以对一些计算机病毒采取同样的观点。病毒（不是蠕虫）总是对用户保持警惕，以防止多种操作。它总是会留下一个标记的系统，防止重复感染。病毒免疫正是借助这一功能，预先标出记号。例如，梅丽莎病毒和修改Windows注册表项：hkey_current_user /软件/微软/办公室，桌子梅丽莎的增加，并给它一个价值：…
通过
Kwyjibo，这是一个标志，避免重复感染的病毒。如果我们设置注册表值预先在机器没有感染病毒，当病毒已经感染的机器，它会再次感染，因为它被感染。在这种方式中，我们已经实现了机器的免疫接种的目的。在90年代著名的CIH，在操作中高端特定地址的内存写下一个标记，和当地一般系统不读取，然后将CIH执行检查地址来决定是否继续运行CIH（当然这些数据的作者出版，相应的免疫力同时CIH的作者写的），如果这个标记写在提前启动时间，CIH将不会执行。这是CIH免疫的意思。当然，有时用于免疫技术等技术来实现其目的。
当然，还有一些技术正在开发，如赛门铁克的自动特征提取技术的基础上，对杀毒软件的用户的需要，以及入侵检测技术与防火墙。但这些技术尚未成熟，有的甚至只是一个概念。当然，随着病毒技术的发展，相应的技术将逐步改善。也许有一天，未来人工智能的科幻小说中，也可用于杀毒领域。
附录：多态性和变形技术
病毒多态性技术使病毒改变自己的存储格式，并使传统技术依赖于特征值检测失败。变形进一步对多态的基础。病毒的整个身体，在不同的代码实例的病毒完全不同，既没有固定的特征码，有不需要任何改变恢复病毒体，如果处理多态性也可以等待启发式病毒检测和特征值后减小，所以完全多态性使得这项技术完全失败。
多态性和可变形病毒起源于加密和解密思想，最简单的想法是对病毒进行加密，然后在病毒运行时对其进行解密。
一个成熟的多态引擎的想法是病毒由一个密钥，解密的头，和一个主程序体。每个生成的解密头和重点是不同的，要实现以下目标：1、每个解密命令是不固定的，每一次病毒的自我复制，这些代码将随机变化；2，关键是随机生成的每一次。所以每次感染，因为解密的代码难以发现的，和其他的代码都是加密的，整个病毒代码是不固定的。如果我们希望从这些代码中找到固定的病毒特征码，这将是无用的，这就是多态病毒的想法。
对多态引擎的基础上的变形引擎使用中间语言（从原代码，拆卸的病毒本体操作的），和编纂在实际执行中的转化，并有一个模拟器（不是必要的，但它可以优化代码效率）。这进一步变形病毒的代码，将病毒完全失去一点。
下载（28.52 KB）
2007-3-20 02:47
下载（30.69 KB）
2007-3-20 02:47
郑重声明：本帖的作者是要去看的。
为防止误解，以下陈述如下：
1。鉴于个人能力有限，大量的文章借用了病毒领域中两篇公认的文章：高级防病毒引擎的设计原理。
流行杀毒软件的引擎设计
。
2。为了便于理解，文中很多话不使用严格的工业研发方面。例如，该杀毒引擎的前端被称为初步预扫描（文件）到工程部的对象。许多行业术语听起来很笨拙的，灵活的，那些感兴趣的安全保护轮辋：系统可以读取L.
章节中的相关章节。
3、我认为现在流行的几种流行的杀毒软件在技术上是不存在的。这项技术遥遥领先。对杀毒软件没有必要予以赞扬和赞扬。在本文中，对一些软软件的介绍比较详细，主要是因为它有更多的信息，可以写一些东西，没有其他的意思。
4。到目前为止，我已经使用了几乎所有的杀毒软件（论坛提到）。
五
就我个人而言，我不太喜欢设计病毒。有些私人的只是为了玩而写的。大部分时间是MM生气的时候，一个玩笑的过程是用来逗她开心的。
6。很长一段时间没有在专业病毒论坛上行走了，我觉得看病毒代码是可以的，因为你喜欢程序设计，并把它带出来用于其他用途。
7。鉴于个人能力的原因，一部分是写在MM，采购经理很漂亮，也很脆弱，但基本上听我说，只有十几年在一起。一些原来的帖子是错误的，并已由她修改。
8的一部分。文章来自一个朋友的杀毒软件公司的开发文档，我已经改变了很多。
9。是学生，又忙着测试G，上网时间不多，所以很多问题可能不及时回答，希望原谅。
10。杀毒软件我已经使用（对中途休息）：sav9.0，KV2004（双系统）。在我看来，杀毒软件只是一个软件。每个人都不需要为什么而战。他们对此感觉良好。争论的时间不如花时间和女朋友在一起。
身体的一部分
文章较长，写作水平有限，需要对一些技术文件进行验证。它只能写在一段文字中，而且也应该被原谅。如果有错误，请指出，谢谢！（每个部分的值都有标记，每次都编辑文档。
1。什么是杀毒软件引擎和病毒库的关系
首先指出，杀毒软件的引擎与病毒库没有直接关系，防病毒引擎的任务和功能非常简单。它是决定这是否是一个合法的程序，对于一个给定的文件或程序的过程中，其对应的正常和非正常程序规范的杀毒软件厂商本身的定义。正常的程序规范是指定义或行业已经认识到在系统平台上曹程序在系统本身的清洁过程程序行为正常运行，如操作系统要求和核心流程和相关数据的交换和响应的应用程序。非异常活动是指非法程序运行结果的可能存在，但它可以具有更高的信心，确定其非非法程序的活动规范。一般的副本相关文件、移动、删除等都包含在定义的范围内。
我们知道，病毒的终极目的与法律活动相似。在这种情况下，软件厂商必须有自己的行为定义规则，并在一定的范围和置信度下判断相关操作是否合法，在这方面，各厂商的定义是不同的。一般来说，非美国制造商的定义非常严格。只有对程序行为有高度的信心，才能把它归类为非病毒性操作。我记得在论坛之前有四组简单代码。许多杀毒软件将其判断为病毒或基于病毒的文件行为。事实上，可以看出，这些代码不能被视为病毒。美国制造商普遍认为的更复杂，这主要是由于美国市场的杀毒软件引擎的来源比较复杂，如诺顿，有足够的技术信息，其杀毒引擎是独立的，和McAfee存在外部引进技术（对所罗门收购）。
简单地说，防病毒引擎是一组技术机制，用于确定特定程序行为是否是病毒程序（包括可疑程序）：
1。对非诉讼行为获得自我的程序行为。它包括从内存中运行的程序，虚拟的判断行为的一个给定的文件，从网络的动态信息，等等。一般来说，我们称之为发动机前端。有这么多的方法来捕捉，除了诺顿和杀毒软件的使用行为规范化方法。诺顿与微软比其他厂商更高的关系，这个过程是独特的叙述。
2。基于引擎机制的规则判断，该链接表示反病毒引擎的质量级别。一个好的杀毒引擎应该能够在这个环节中找到大量或相当大规模的病毒行为，从而避免进入下一个判断阶段，传统的杀毒软件采用基于特征码的静态扫描技术，即在文件中找到特定的十六个字符串。如果找到了，它可以决定一个文件感染了病毒，但这种方法并没有起到在当今病毒技术快速发展的一个很好的作用。为了找到病毒的更好，所谓的虚拟机，实时监控等相关技术相继出现。此链接所谓的杀毒软件引擎的核心层。
3者之间的相互作用。引擎和病毒库。这个过程通常被认为是最后阶段，与前两步相比，这一阶段的速度很慢，不会自己的杀毒引擎程序行为到行为过程标识符可以识别自己的杀毒软件（包括静态代码），相应的信息存储在数据库中，然后病毒的行为，并做出相应的处理。必须承认，当然，目前杀毒软件都在这个阶段完成大量病毒的鉴定。所以一个足够大的病毒库往往可以弥补杀毒软件引擎的不足之处，但我们必须意识到的杀毒软件的速度将大大如果病毒程序可以在核心级别结束和清除，那么改进。
诺顿是微软最先进的安全合作伙伴，所以它的杀毒软件是非常特殊的一些方法。例如，在杀毒软件的安装，使用和功能实现，采用中间件技术的大多数公司，在系统底层和应用非现有的中间件，实现其功能之间；一些制造商使用的应用程序或嵌入式技术，这种方法是相对较低的安全；和诺顿
McAfee是使用类似的基于核心系统的底层诺顿驱动系统的实现，这是实现最安全的方式来实现或最先进的方式，这需要微软的系统源代码级的支持（要花很多钱），业界公认，这是最稳定的方法，但从目前只有诺顿，McAfee的实现非常接近诺顿，这就是通常所说的软件驱动，它等价于存在一个虚拟的硬件系统中的杀毒软件的功能实现，这些实现的方式，杀毒引擎捕获程序行为有关。
我们使用的英特尔系统有两个处理器
环层对应于两层，微软操作系统将系统中的所有动作划分为以下层：
1、底层：系统的核心层。此层中的所有操作都是通过已经在操作系统中构建的指令实现的。所有外部因素，即使您是系统管理员，也不能影响该层的行为。诺顿的核心层在这一层上工作。
2。硬件虚拟层，俗称哈尔。为了实现硬件无关性，微软设计的层。所有的外部工作的硬件（相对于系统的核心）进入哈尔是由哈尔核心层处理。硬件的驱动我们使用的是工作层，当外硬件指令要求，司机经过相关处理的核心层。如果没有相应的驱动程序对应的，那么它将按照默认的硬件处理。看来，在安全模式的硬件工作放在默认的硬件模式。McAfee被认为与层工作。
三.用户层（分为两个子层，不详细，感兴趣查找窗口
XP入门到精通（中文版），第二部分和四部分。大部分的杀毒软件我们知道是工作层，一个完整的程序如下：在索赔3应用层进程对教学行为的要求是通过2hal加工，最后进入指令周期底部1进入CPU后，再反向处理软件可以1 - 2 - 3根据应用后确定的结果。对于诺顿来说，整个工作过程如下：3-2-1，完成，McAfee：3-2-1-1-2，完成：休息：3-2-1-1-2-3完成，这个环节是杀毒软件发动机前端的采集行为标准。从这一过程中，诺顿和McAfee更先进，特定系统与CPU的环（）之间的通信不明确。
在WinNT的时代，微软的NT系统的设计是为了对应四环（）层，和RISC系列处理器有四个环，所以大部分的杀毒软件现在不能与NT。比CISC与RISC的环数（）我记得可能是错的，这是一个2ring（），一个4ring（）。）。
虽然诺顿和McAfee的高级工作模式带来了更高的系统稳定性（HAL的问题很少，潜在问题的概率接近于零），响应速度快（减少链接），但也带来了一些问题：1。更强大的资源，在McAfee上是不明显的，在诺顿上是很明显的，因为底层的行为，更多的硬件资源被分配，什么是最好的资源当然，这是操作系统，应该是最低的。2。卸载问题。卸载底层组件的概率比较高，所以诺顿的卸载是缓慢的和偶尔的问题。
微软操作系统的不稳定性是否会拖累诺顿，令人怀疑。当被开发者问及时，我们知道微软操作系统的内核层设计是优秀的。很多时候，操作系统的不稳定来自以下几个方面。
1。应用程序设计不合理，许多程序员根本没有读过微软的32位编程指南。
该程序并不严格符合微软规范，我们看到许多软件设计能够在多年前的最新XP平台上运行。原因很简单：软件完全遵循微软的编程规范。
二
驱动程序的编程是有问题的，与HAL层冲突。
因此，认为微软的操作系统会影响诺顿的稳定性是不合理的。
注：只问我的MM，她告诉我，我应该有四个环（CISC），RISC有两环（）。对于系统的最低水平，工作在ring0（），应用程序可以在ring3（）
我的记忆力很差。这篇文章可能有些技术错误。请原谅我。
业内人士认为，先进杀毒软件引擎的设计越来越复杂。诺顿，一个生产这样的产品，应该涵盖所有层次的操作系统以提高其防护能力。在一个文件中，程序员提出足够的信息，诺顿，McAfee，趋势，产品本身的改进标准体系相关的协议，如TCP / IP，从而实现所谓的完全保护的目的，NOD32官方文件（老实说，我还没有看到它）指出，有必要更新系统中所有的协议，为了达到最快的速度效应和杀毒。
讨论如何对付病毒，有必要开始随着病毒技术本身的探讨，了解自己所谓的，认识你自己，想象一个没有病毒的写作经验是一个杀手是很难的。目前，在中国的一些著名反病毒软件公司的研发团队一个很大的数目。只有他们使用相同的技术路径上，毒药攻击毒药。今天的病毒是在DOS和win3.x.the最大变化的时代技术的角度不同，在引导区病毒而脚本病毒开始蔓延，原因是直接覆盖在磁盘中的操作系统的引导下，今天的区域n将有一定的难度（DOS不允许调用int13保护，直接写盘），并启动变化很容易被发现，在微软的操作系统的设计加强了程序行为管理区，写一个完美的引导型病毒是非常困难的，所以很少有人去写；和脚本病毒具有效率高、易写易获得病毒作者的青睐。但最落后的杀毒引擎，杀毒引擎是基于静态代码可以杀死病毒（病毒库是好的）。
所要讨论的技术主要来自二层shell病毒（感染病毒），这些技术大多与操作系统的底层机制或超过386的CPU有关。
保护模型是相关的，值得研究。
16位的COM或EXE文件，因为DOS不通过文件和引导区的保护，他们可以很容易地停留，减少可用内存（修改MCB链），修改系统代码，拦截系统服务或中断。在WIN9X和WINNT / 2000岁时，就得到32的Windows病毒运行它们了难。因为页面保护的存在，你不能修改系统代码页（如果你可以更改操作系统的代码，我不能说什么），因为在我的I/O许可位图的规则，你不能直接存取端口访问（在29a美丽的女人）
Chan }可以通过装配方法直接访问端口，但没有看到示例代码。
在DOS下，所有的文件操作都是通过拦截int21h截获。总之，如果你运行一个用户的身份权，你的行为将被严格控制操作系统。你不能做任何你想做的事情，比如DOS。（在XP中，这种权限管理非常严格，大致分为4-8级）。
Windows和DOS下使用的可执行文件格式
exe是非常不同的（常见的程序是PE格式和驱动程序使用LE），因此病毒感染的难度增加。（PE和LE比较复杂，中间有几个节点。）。如果感染是错误的，该文件将不会继续执行。今天，有太多的新病毒来介绍一些。
1。系统核心理病毒
386及以上的CPU 4特权级（窗口模式只是其中的两种），特权级0（ring0）是留给操作系统代码，设备驱动程序代码，他们在系统内核和特权的工作；3（Ring3）是使用普通的用户程序（我想知道一个问题，什么是ring1,2）它们在用户状态下工作，运行在处理器核心思想上的代码不受任何限制，可以直接访问任何有效地址以获得直接端口访问。运行在用户状态的代码由处理器进行多次检查。它们只能访问用户状态下的可访问页面的虚拟地址，该地址在地址空间的地址空间中指定，在任务状态段（TSS）中只有I/O许可位图（I/O）。
许可
位图中指定的访问端口是直接访问的。在这个时候，处理器状态和控制标志登记的状态通常是0，而且，这表明最低特权级，可以直接我 / O现在是ring0。上述讨论仅限于操作系统保护模式。没有这样的概念实模式操作系统如DOS，所有这些都可以被视为在核心态运行。由于在核心态运行等优点，病毒当然没有理由要ring0。从ring3到ring0切换模式时，控制转移的发生。有两种情况：访问调用门的长转移指令调用，并访问INT指令中断门或活板门。转移的具体细节，因为它们涉及复杂的保护支票和堆叠交换机，不再重复，请参阅相关信息。现代操作系统通常使用中断门通过执行暴跌指令完成模式切换为系统服务，在英特尔
On X86, this instruction is INT, such as INT30 (protection mode callback) under WIN9X, INT80 under LINUX, and INT2E under WINNT/2000.User mode service program, such as system DLL, requests a system service by executing a INTXX. 然后处理器模式将切换到核心思想，核心心理学中相应的系统代码将服务于请求并将结果传输给用户程序。
所谓的增强的内存页面保护将用户权限更加严格的控制采用的是即将发布的xp-sp2，据说是在访问内存地址将通过相应的内存范围映射处理系统内存的真实地址和用户层之间，搞了一个类似于事物的协议转换，一个很多软件无法运行，因为他们总是试图按照原来的HAL层访问规则。
2。生化病毒
驻留病毒是指在内存中搜索合适的页面并复制病毒本身，并在系统运行期间始终保持病毒代码的存在—
行动）病毒更具隐蔽性，它通常具有拦截一些系统操作实现感染传播的目的。病毒进入核心态可以使用系统服务来实现这一点，如CIH病毒通过调用一个服务vmmcall出口由VMM
_pageallocate指定网页空间大于0xc0000000地址。在用户模式的程序在代码的部分仍驻留在内存中退出程序似乎是不可能的，因为无论什么用户程序的内存分配的过程中占用资源的一部分，一旦这个过程结束，资源将立即释放。所以我们要做的是分配一块内存，进程退出后仍然可以保持。
GriYo病毒的编写组成员29a
应用的技术之一，是非常有创意的：他通过CreateFileMappingA
MapViewOfFile创建区域对象，映射在自己的地址空间的视口，而病毒体搬到那里，因为虚拟地址的映射文件可以共享区域（看到所有的过程用于映射共享区域内的页表入口点的虚拟地址都相同物理页面的所有过程，），那么下一步他给一段代码explorer.exe（使用WriteProcessMemory到其他进程的地址空间，写数据）这个代码从explorer.exe进程地址空间将再次打开文件映射。因此，即使病毒退出，但由于explorer.exe在绘图页中引用，所以病毒代码一直维持在过程可以影响所有的内存页到explorer.exe退出（我试过的方法在XP中写一个空环，避免被踢出处理队列）。
它也可能存在通过修改系统动态连接模块（DLL），在Win9x系统DLL（如Kernel32.dll
图bff70000）是共享区系统（3G）。如果一个小小的病毒代码写的代码段的空隙，所有其他进程也会受到影响。但Kernel32.dll
代码段只能读不能写在用户状态。所以页面保护性能必须通过特殊手段修改；和网页的WINNT / 2000 / XP系统DLL映射到进程的私有空间（如
Kernel32.dll
图77ed0000），具有复制的属性写的，过程中没有试图写入页面，所有进程共享该页；当一个进程试图写网页，网页系统的错误处理代码将获得处理器异常，检查异常不违规，同时分配到事业的一个新页面异常的过程，以及一份在网页上更新进程页表指向新分配的页的原始内容，共享内存的优化带来了一定的麻烦，病毒写作。病毒不能修改kernel32.dll代码像Win9x。这需要使用
WriteProcessMemory写病毒代码，每个进程映射的Kernel32.dll的地址，所以每个过程都会得到一份病毒体，这是所谓的多进程的居民或居民在病毒世界的每一个过程（穆蒂过程
住宅或每个流程住宅）。
本文在改变xpsp1枚举法可以使用，在添加代码的时期大部分的空气流通
在SP2下，多次报告到以下类型的错误-非可访问内存地址段…
在原来的职位我引述的例子，另一个文件，而是由毫米结合的方法告知那些链接在今天的设计是不是很受欢迎，是因为很多不可预知的新的操作系统功能的规则，所谓的黑盒子的设计让设计师系统级线程捆绑或更直接访问控制方法，利用复杂的线程绑定技术甚至可以使杀毒软件和防火墙没有足够的信息来区分一个程序是否是合法的。高水平的抢夺控制甚至可以结束所有杀毒软件的进程，包括受保护的内存线程技术使用的卡巴斯基。
尽管微软已经隐藏系统的各种功能，许多隐藏的系统功能已经通过专家鉴定，很多的努力，和微软也有意识地降低了隐函数的个数。前一段时间在2000部分代码在线泄漏，磁盘文件的读写部分（文件大小为700m压缩袋标签115bh第三的代码，有很多节）过程是没有得到微软的开发文档，我不知道会不会有人用这些东西来写病毒的人知道一点点病毒常识知道普通病毒附着于宿主的尾部添加自己，因此，主机的大小将增加，并修改入口点进行T他活病毒。但许多病毒感染现在使用特殊技术来保持主机的大小和对主机文件不变的头的入口点。连接到病毒代码使受感染的文件大小不变，听起来不可思议，事实上它是对PE文件格式的使用特点：PE文件的每个部分之间是留下空白的簇大小对齐后，如果病毒体是足够小，可以分为几个部分，分别插入每一段最终无效，所以你不要有一个额外的一天，所以文件的大小是不变的。著名的CIH病毒的使用这种技术的一个典型例（它的大小只有1K）。
在前提病毒不修改文件头的入口点是不容易获得的入口点的控制：这个程序是从原程序代码的入口开始同样的手段，病毒必须在一个地方修改跳转指令型病毒入口的原代码，这是原则，但也有许多地方讨论，如跳转指令插入到原程序代码。一些搜索工具扫描可执行文件的文件头的入口区。如果发现位置是不正常的，即它不是一段代码，但在资源部分或拆迁款，有理由怀疑文件感染了病毒，所以我们只讨论病毒的技术称为EPO（入口点模糊）技术，这是应对这样的扫描的一个很好的方式，也是反虚拟执行的重要手段。
还值得一提的是，许多病毒现在支持压缩文件的感染。例如，在win32.crypto病毒可以感染ZIP、RAR、ACE、ARJ、CAB
一些压缩文件类型，包含特定的文件类型和病毒代码压缩解压压缩的代码段，可以放在文件压缩解压的内容，然后适当的文件感染，最后被感染的文件压缩和修改文件，回到学校检查头和许多杀毒软件。目前支持多种压缩文件格式，但一些压缩文件不能被杀死的。我认为可能的原因，因为某些原因，如解压或压缩错误，校验和的计算是不平等的，使得清除文件格式破坏后，病毒不负责对用户的文件损坏，所以没有这种担心。
个人认为，在处理多态病毒相对贫穷的上升，目前的杀毒软件，瑞星杀毒引擎怀疑的东西是不敏感的壳，所以上升很多病毒在它们的壳的病毒库，我不得不使用一些很少使用的方法对一些常见的病毒外壳，上升没有检查出来的需要改进。
以上关于病毒的所有词语都来自
一篇关于病毒论坛的文章，我做了少量修改。
有两种方法来实现当前主流的防病毒引擎：1。虚拟机技术2。实时监测技术
三.智能代码识别技术
4。行为拦截技术
3.4。已开发的技术在过去的两年中，3是提高杀毒速度和预防未知病毒，但在现实中，除了东方卫士尝试（和失败），其他厂商没有开发完全基于诺顿开发的发动机技术，认为：没有足够的技术手段来实现翻译的概念（杀毒软件可能会有不准确的地方。在文本是指智能打码技术：理论基础的IBM
结束的另一条路
（另一种实现目标的方法），提出了基于预定义规则的智能防病毒技术，行为拦截技术（或其他智能反病毒技术）也是防止未知病毒的一种方法。它类似于虚拟机技术，通过分析程序行为决定它是否是一种病毒。
对未知病毒的判断实际上代表的是发动机研究的杀毒软件厂商最高的能力。它是公认的行业，防范未知病毒是代表的水平的研究。说实话，在这方面能力的非美国企业，行业防范未知病毒能力是按以下方法测量：对天的杀毒软件最新版本是制造商的测试版，和未知的病毒来自如下：
1。病毒作者提供。一些安全杂志病毒作者在他以前的总爱病毒发布了一些行业的评价（2）。最受赞赏的人）大多数真正的工业安全杂志都有自己的研究实验室，研究人员会根据自己的意愿和技术手段和工具的最新动向编写一些病毒。一般来说，这些病毒不会在互联网上出现。3。假病毒。一些文件，程序，等等，类似病毒的行为。在测试的时候，病毒库是空的（即，当杀毒软件尝试调用病毒库，它使用的程序的方法，一个空白的结果返回到它），和测试，在这种情况下，如果有人有兴趣的话，可以去论坛得到病毒新手写的一个小病毒（一般也就100-200），获得与杀毒软件自己尝试几十次，你就会发现诺顿病毒库的平均状态为空时，未知病毒的判断能力还是很强的，什么是X %（X两位数），很多杀毒软件结果很惨的，特别是在处理复杂的蠕虫病毒，一个制造商的产品几乎整个军队都被消灭了，下面是虚拟机和实时监控的引入，因为人们认为在文本中添加代码是非常累的，所以没有技术实现代码，事实上，你可以写在原则的基础上。
反病毒虚拟机也被称为通用解密器已成为虚拟机的反病毒软件的概念的一个重要组成部分，它是如VMware和Win9x VDM（DOS虚拟机，它用来在32位保护模式环境中运行16实模式代码）有之间的差异。事实上，这些虚拟机的设计思想是归巢，从IBM的一组研究人员。
作为一个在原有操作系统下的应用程序，VMware可以为运行在其上的目标操作系统创建虚拟机。目标操作系统就像在一台真正的机器上运行一样，在VMware的控制下无法感知自己。
在）在窗口中，有一个机器自检画面，那么操作系统是装的，一切都是true.win9x为了让多个程序共享CPU和其他硬件资源决定使用虚拟机（运行系统；虚拟机所有的Win32应用程序和16位DOS程序一个DOS虚拟机），WinXP是内存访问实现16位程序支持地区。
VM是一种完全虚拟的软件，它以一种与真实计算机完全相同的方式响应应用程序的需求，从某种角度来说，您可以看到标准PC机作为一个集合的结构。
API，这套API的元素包括硬件我 / O系统，基于interrupts.win9x BIOS和DOS是经常用来表示这些传统的API元素与自己的软件，以便能使宝贵的硬件上运行的应用程序的信息。相信他们垄断整个机。他们相信他们能从真正的键盘和鼠标输入，并从真实屏幕输出。有点限制，他们甚至可以认为他们有充分的CPU和完整的内存。
检查虚拟机病毒是不是像有些人认为的：如为每个可执行程序创建一个虚拟执行环境的虚拟机，它可以提供所有的元素，包括硬盘、端口等，让它在自由发挥的，根据其行为判断是否是病毒。当然，这是一个好主意，但考虑到它的设计难度（太多的模拟元素和行为分析与人工智能理论），它只能作为未来发展的方向。至于信息可以知道，卡巴斯基也能这样做。此外，在McAfee的新产品中增加了溢出保护技术。实质上，它也是一种所谓的虚拟技术，病毒检测的虚拟机是一个软件模拟的CPU。它可以读取、解码和执行像真正的CPU，它可以模拟一段代码在真正的CPU运行结果。给定一组虚拟机代码序列，将自动从第一指令操作部分删除，确定操作码型和寻址方式确定指令的长度，然后执行指示在相应的功能，并根据执行的结果确定下一条指令的位置，如此循环反复直到最后一个确定的，简单的方法，这就是虚拟机的基本原理，设计虚拟机查毒为了对付病毒的变形加密的，从第一层的虚拟机而识别和入口处阅读病毒代码，然后解密执行步骤说明病毒的头部（解密），最后执行的结果（解密后的明文病毒）病毒签名。所谓的虚拟不是什么虚拟环境，而是指事实上，有毒的文件是不实际执行，但虚拟机模拟其实际执行效果，这就是虚拟机检测的基本原理。我曾经工作过的反病毒技术人员，我想讨论一下我们是否可以使用模拟实际执行创造一套杀毒软件的方法。答案是微软，因为微软可以在系统底层建立一套硬件虚拟层来实现硬件虚拟化，我突然想到，如果微软真的搞杀毒软件，不管其他杀毒软件公司有多强大，我们都要玩得淋漓尽致。
The early virus did not use any complex anti detection technology, and if the disassembler tool opened the virus body code, it would be the real machine code.Therefore, a virus can be uniquely identified by a machine code somewhere in the virus and the value of the virus entry from here (attention is not the head of the file).The virus entry is simply determined and the specific code string is scanned at the specified offset.This static scanning technique is absolutely useless against the common virus.
随着病毒技术的发展，出现了一类加密的病毒，这类病毒的特点是解密（解密）的入口处，和病毒体代码是加密的。第一个控制回路来解密解密代码运行的主要病毒的主要病毒控制操作完成后，主要的病毒感染的文件将被解密，用随机密钥加密并存储的主要病毒，在关键的病毒或嵌入式解密感染文件写的。因为一个病毒主要是人体感染不同的密钥，它是不可能找到的唯一编码字符串和迁移为代表的病毒特点。看来，静态扫描技术是要失败的。但仔细想想，传染解密不同的实例是相同的机器码（任何明文的加密程序从理论上是不加密的机器码，否则程序无法执行），所以会选择这里虽然字符代码将一些假警报（在病毒特征代码解密同样缺乏。字符代码也会出现在正常程序中），但它仍然是一种有效的方法。
由于加密病毒还没有完全摆脱静态字符扫描，病毒作者在加密病毒的基础上进行了改进，使得被解密的孩子的代码对不同的感染实例显示出多样性，从而导致加密的变形病毒，与加密病毒非常相似。唯一的改进是病毒会创建一个解密功能相同的功能，但不同的代码在感染不同的文件，即不同传染实例具有相同的解密解密功能，但代码是完全不同的。例如，原来的指令可以被完全拆除完成，与中可插入无用的LJ代码。这样，静态扫描技术完全无效，因为无法找到不变特征码。在这种情况下，虚拟机技术将用于。
实时监测技术实际上并不是一种新技术，早在DOS编程时代。只是那人没有给这个技术这样一个专业的名字，这是不容易的在Windows下实现实时监控，普通用户态程序是不可能监控系统的活动，这也是病毒监测系统security.real-time考虑（对
win9xwinnt / 2000）用于驱动编程技术，使系统的核心态驱动拦截所有的文件访问。当然，由于不同的系统，无论从工作原理结构的驱动是不一样的，当然，编写和编译环境是不同的程序，病毒实时监测上述实际上是对文件进行监控，文件监控应该更加合理。除了文件监控，有各种各样的实时监控工具，他们都有自己的特点和功能。现在流行的网络监控，邮件监控基本上是文件监控的改进，革命性的变化没有。
病毒监控实际上是一个文件监控，它会在文件的打开、关闭、清晰，写操作检查文件是否是病毒，如果它是基于用户的选择不同的治疗方案，如病毒清除和禁止访问的文件，删除文件或简单地忽略这可以有效地避免病毒感染本地机器上的传播，因为可执行文件的加载程序将首先要求在执行请求的文件，打开文件，还必须进行监测，在第一时间拦截，确保每一个执行清洁无毒的文件，不病毒在任何表演机会，攻击。以上只是一个粗略的过程实时监控对病毒的设计和病毒的实时监测主要有以下困难：
一个是司机的写作不同于普通的用户程序，这是非常困难的。编写用户态程序的时候，你只需要调用一些熟悉的API函数来完成特定的用途，如打开文件，你只需要调用CreateFile，但司机，你将不能够使用熟悉的CreateFile，你可以用它在NT / 2000
NtCreateFile（本土ZwCreateFile或
API），但这些功能通常需要运行在一个IRQL（中断请求级别），如果你想中断请求级别，延迟/异步过程调用，非分页内存分页/概念不是特别清楚，所以你写的驱动将很容易导致蓝屏死机（蓝屏），ring0。异常往往会导致系统崩溃，因为它一直对系统的信任，所以没有相应的处理代码来捕获异常，打电话到KeBugCheckEx下NT会导致蓝屏的出现，然后系统会被抛弃，然后重新启动。此外，调试司机不为用户态程序一样方便，与VC的图像
这不是C++调试器，你必须使用系统调试器，如SoftICE，KD、天合等。
二是司机在ring3客户程序之间的通信。这个问题是很自然的，试想当司机截获，打开一个文件的请求，它必须通知在ring3查毒模块检查打开文件，然后检查病毒模块需要杀毒结果以某种方式ring0监视器，司机终于决定根据请求返回的结果是允许的。在一个双向沟通的过程显然是有写司机知道可以用来发送设备驱动程序我 / O控制信息的API调用DeviceIoControl接口，它可以在MSDN，但它是单向的，即ring3客户端程序可以将一些信息监控程序在ring0反之亦然叫DeviceIoControl。因为我们不能找到一个现成的函数来实现程序的监控程序ring3的客户端程序的通信，必须使用间接的方式来做这件事的间接影响。为此我们引入异步过程调用的概念（APC）和事件对象，这是实现之间的特权唤醒的关键。现在对这两个概念的简要介绍。请看技术的实现细节在以下各章，异步过程调用是使用一个系统在一个特定的线程的上下文中执行一个过程，在条件适宜的机制。当一个APC队列的线程的APC队列，系统会发出一个软件中断，和APC函数将运行时的下一个线程dispatched.apc分为两种：由系统创建的APC被称为内核模式APC，和应用程序创建的APC被称为用户模式的APC。此外，只有当线程处于警戒的状态可以一个APC运行。例如，异步方式调用ReadFileEx时，您可以指定一个用户定义的回调函数fileIOCompletionRoutine. 当异步我/ O操作完成或取消，和线程处于报警状态，调用函数，这是APC的典型用法，QueueUserAPC函数导出的Kernel32.dll可以添加一个APC对象到指定线程的队列，因为我们写的驱动程序，这是不是我们想要的功能。幸运的是在vwin32.vxd导出的函数同名的QueueUserAPC，监控程序拦截打开一个文件的请求，它立即调用服务队列功能需要一个觉醒的APC ring3客户端，这个功能将被安排在附近的客户打电话。这个APC唤醒方法适用于Win9x，在
WINNT / 2000下，我们将使用全局共享的事件和信号量对象解决相互唤醒的问题。我将阐述的对象组织结构在3.4.2节WINNT / 2000下。在NT / 2000监控程序，我们将使用KeReleaseSemaphore醒来线程在ring3客户程序等待。目前很多杀毒软件已被用于检查病毒将驱动模块程序，即为积极宣传和操作系统的无缝连接，它省却了通信消费，但病毒扫描模块的驱动形式也会带来一些麻烦，如不能与一大批知名API调整，不与用户实时交互，所以我们选择分析传统杀毒软件监控程序。
第三是资源问题，司机了。如果监控程序经常拦截文件操作和降低系统性能的太多，这样的计划已经失去了其存在的价值。本文将成为一个成功的杀毒软件的监控程序的深入分析，包括一些部分来分析其技能的提高它的性能，如设置历史，内置的文件类型过滤，设置等待超时，等。
本文还从病毒工作原理的文章，因为它是一个老的文章，所以它的许多观点可能不再适用于现在，很多加密方法已经变得非常强大。我不完全同意这篇文章的实时监控technology.mm解释说现在的NT操作系统应用程序文件的应用-内核操作系统和基于有原9x时代仍有一些差异之间的响应关系，特别是与大量的线程级的访问控制方法，杀毒软件现在可以使用实时监控内存映射应用程序的活动。为什么欧洲软件厂商没有拿出这么多像监测监控模式，监控ing和其他聊天软件
毫无疑问，目前的杀毒软件引擎的虚拟机技术和实时监控技术的复杂。因为研发人员的不同研究方向，每个产品的杀毒软件的质量是非常不同的。例如，诺顿的杀毒理念是控制，最终可能会影响系统的稳定性保证系统正常运行的因素，而另外一些人认为杀毒软件应该消除有害程序快。底线业界公认的设计是，杀毒软件不会导致系统的崩溃是因为杀毒，但遗憾的是，许多制造商已经撞线反复。
以下是各厂商纷纷推出的防病毒引擎，一部分从技术信息公开，这部分从病毒论坛被看作是经典的汇编，部分来自技术人员的介绍（官方和私营公司都有）。
1。诺顿：这是最熟悉的。诺顿的防病毒软件实际上阻止了检测做得很好。许多病毒经常学习诺顿代码中的子程序，希望诺顿可以在新版本中更强的自我保护技术。诺顿的发动机应该是完全自我封闭，没有数据证明，诺顿买下或用其他杀毒引擎。很多公司都有了卡巴斯基的泄漏发动机设计时他们设计的，所以他们问这个问题时，他们在微软社区网上聊天。我同意Kabasiji Norton杀毒引擎不必要的，它的发动机很好。有一个叫fenssa甚至说不考虑病毒因素，诺顿杀毒引擎相当先进，性能好于微软，全面的保护。在一个另外使用诺顿的McAfee（这一点我相信，看到其他软微软用它的罕见）。他从诺顿的技术文档的描述和在29a病毒论坛搞一个过程称为诺顿虚拟机环境下的步进跟踪和抗系列的传播，诺顿杀毒引擎应该相应的完美结合传统的静态代码和实时监控，应该有一些改进的虚拟机技术在里面（诺顿谁不称赞的虚拟机），诺顿的速度慢病毒是由于诺顿的传统检查方式与静态代码。我个人很喜欢诺顿的隔离机制，我认为不应该使用删除D在确定它是完全正确的之前，由高手编写的病毒应该尽可能地与系统进程相关。在这种情况下，隔离的优势是显而易见的。诺顿的资源占用比较大，但要实现以下目标：识别病毒和病毒的设计被确定为过程能正确处理，已经不能产生身体的破坏性病毒不会产生误报，但不会再出现又一次在一个病毒的检测和处理病毒的状态。
很多人认为诺顿的企业版和个人板引擎的理解不是很正确。事实上，企业版还是个人板技术的提高。在ZDNet发表的一篇文章指出，企业版和个人版引擎的核心规则是完全相同的，但在前端文件导入部分，企业版比个人版和企业版，使用了更多的API接口。在文章中，企业版明显优于单独的版本时，它是一个大型的扫描，由于负载技术的使用，资源的企业版占据更好一点。这也是说企业版支持基于网络的多重加载技术。
记住2：McAfee：阅读一篇报道说，McAfee购买了另一个反病毒引擎设计公司，根据所罗门的答复。在互联网上很少看到，McAfee的防病毒引擎的技术文档进行了分析。但从他自己的宣传材料，McAfee是虚拟机技术和实时监控研究的很透彻。例如，他最近推动预防应用溢流（大致名称）技术应结合硬件平台没有考虑其优越的虚拟机技术和实时监控技术的情况下，虽然经常溢出错误检测（溢出技术把软件水平不是很稳定）。当处理大量文件，McAfee具有一定的速度优势（讨论是在微软社区的问题）。有来自McAfee论坛，McAfee的消息
智能码扫描更先进的技术正在研究，这肯定是比东部后卫。根据岗位的头，因为vse8.0i McAfee发布将重点放在预防这一新的安全领域，诺顿在这个方向。积极预防分为两个部分，一是对防火墙技术的一部分，其源阻断病毒入侵检测技术的推广使用，以便在早期感染的病毒不能传播大面积减少危害；第二，依靠其强大的特征码检测技术（额外的.dat）病毒代码的行为和特征检测，依托其强大的研发团队和战略战略联盟合作伙伴，成为一个独立的学校。诺顿也在其新产品防火墙添加一些功能。电子邮件问为什么不使用诺顿防病毒签名技术的研究人员，在响应一个完美的特征码扫描技术说应该能够达到根据用户特定的文件加入病毒指定的目的，即当用户指定了一个病毒程序，杀毒软件引擎可以根据规定的程序定义了一个签名，并在程序的控制，可以有效地切断其与系统的正常过程连接。在那之前，诺顿不会使用签名技术大规模的技术。McAfee的McAfee文档只是对这项技术的有限实验研究，在相对安全的地方使用。事实上，这两家公司在这方面还有很长的路要走。
三.卡巴斯基：这个论坛是神话般的反病毒软件，我个人高度尊重卡巴斯基的高标准。但老实说，卡巴斯基没有足够的理由放弃诺顿，因为他不考虑资源的占用。这两个层次之间没有区别。在稳定性方面，卡巴斯基比诺顿差一点。因为卡巴斯基引擎早年曾泄漏（事实上泄漏是不是最初的源代码，只有引擎可以轻易泄露，所以抗系列）可以在网上找到很多很详细的技术分析卡巴斯基发动机，特别是德国大师写的关于如何优化病毒卡巴斯基杀毒引擎的文章被认为是所有卡巴斯基发动机的一个杀毒软件厂商看到这篇文章，文章为美国人所写的VB100测试的杀毒软件（在近几年的综合测试结果，VB100可用于病毒，类型测试的比例关系在作者ED）是杀毒软件厂商在软件测试前看到同样的文章发，虚拟机技术，看到卡巴斯基从大量文献分析对互联网是非常好的，但一些人认为岗位绩效的良好来源，卡巴斯基在其非常大的病毒库和良好的升级速度上年，杀毒引擎的设计水平不高于其余的公司。卡巴斯基的发动机采用的是被称为一个单一的规则判断形式。诺顿是基于规则的分类。当卡巴斯基的引擎在比较文档识别病毒被认为有很好的性能，充分利用了处理器的处理能力，但令人担忧的是，该公司没有充分重视出现新技术（英国计算机杂志去年年底），彻底的改善或新技术对原估计发动机的广泛使用是什么，谁也不知道。卡巴斯基引擎称为短代码文件的问题，有时它是一具尸体，研究人员说，这是改善。前段时间，有人发出了一个后，病毒作者只认出了卡巴斯基，老实说看了很多论坛的文件。似乎没有人如此说，卡巴斯基去那里是美国制造商的研发之路有很大的不同，卡巴斯基很少引用其他公司开发的技术，但在不断的深化，提高其杀毒引擎，从卡巴斯基的评论的一些方面，发动机代表了行业的最高水平，但不是全部。卡巴斯基是一个很好的杀毒软件，但它不是一个神。应该说是站在了杀毒软件，顶层像诺顿，McAfee。
在中国，有蒋敏的杀毒软件采用卡巴斯基发动机行业的谣言，说实话很多杀毒软件参考其引擎设计，即使在家里没有足够的信息来确认是蒋敏参考了其引擎设计。很多人用各种各样的卡巴斯基和Jiangmin的测试病毒包，测试结果是完全相同的。老实说，这个试验没有诚信，几乎相同的是，各种各样的化石孢子的杀毒软件的检测结果。只有两种方式说引擎如何将1。两软件授权给VB100或者类似的测试，如果他们两个未知病毒的测试结果（结果未公布，制造商必须购买）完全一样，那就不说了。两个不同的引擎机制几乎不可能表现出同样的结果在治疗同样大的未知病毒库。不幸的是，蒋敏没有参加VB100测试，它似乎不可能有足够大的个人的未知病毒检测库。2。，类似的破解方式来分析分析整个软件的工作机制，并完成了多少工作。我们相信我们可以猜到它，我们也没有看到任何做这样的研究。因此我只能想到（很大程度上）Jiangmin可能指的是卡巴斯基的杀毒引擎设计，但程度两个杀毒软件杀毒和敏感性，让许多人看到了速度的平方，即使蒋敏采用了卡巴斯基的引擎，蒋敏也应该是一个很大程度的源代码修改或优化，也有消息说他们的江民的发展引擎添加了一些技术，在实现方法上以数字编码技术相似。优良的指出，如果主人宣布两软件的源代码，可能没有看到什么，事实上，当软件发现不能使用蒋敏卡巴四季的病毒库，我们应该知道，即使借了，两人被认为是不同的杀毒引擎。在WIN3。X平台，两个非常相似；但今天我们使用WinXP。即使卡巴斯基确实是一个Jiangmin的发动机，可以说，在某些方面，蒋敏开发了这台发动机，虽然这可能不是与原来的发展方向一致。但无论从什么样的角度，我认为蒋敏的杀毒软件还是有可取之处。毕竟，你看看国内杀毒软件厂商，在现实领域的技术研究和发展只有这样的旗帜，偶尔飘。一步一步下，还有江民科技进步。只有在纯技术因素方面，如果蒋敏采用了卡巴斯基的引擎，所以今天两家公司在不同的方向上对发动机原有的发展，这未必是坏的的事情，只要我们不固步自封，什么似乎没有必要争论两家公司的原始祖先，当恐惧是运行在其他你停止，这就是它的差异。虽然市场的杀毒软件厂商的第一要素，这是不能忘记的，技术是一个杀毒软件的常绿的决定性力量。
—
让我们说，在未来的警察逮捕你有权保持沉默，有权阅读邮报，所以啊！
让拉登躲在山洞里也命令他的危险被发现我们上网下载来读取
萨达姆被发现携带手枪时被捕，此外，这是一份副本。
让比尔盖茨在董事会发送一份指挥部工作人员的副本，在讨论其他事项后仔细阅读。
让诺贝尔奖的具有划时代意义的帖子会和会议讨论一直决定今后设立最佳帖子奖的好贴
让联合国安理会决定将由中国翻译成通用的语言发射神舟六连续播放看有没有外星人后
特征码技术、覆盖技术、常驻软件技术、特征过滤技术、自加密开放防病毒数据库技术、智能广谱技术、虚拟机技术、行为分析技术、病毒疫苗、Linux安装。
目前，也被广泛称为商业AV码滤波技术特征编码技术和特点，虚拟机技术、启发式扫描技术和行为分析技术；Zhuanshagongju和免疫工具覆盖法技术、软件技术、生化病毒疫苗和其他一些处理技术（根据特定病毒的争论，如杀死罗丝是一个相对简单的技术，专杀CIH更复杂）电脑维修论坛。
一般来说，关于杀戮工具的讨论不多。本文着重介绍商用AV存储器安装的几种技术。
首先，简要介绍了反病毒技术的历史：
70年代初
爬山虎的病毒出现的时候，一个称为清道夫的开发，这是专门对付爬行。这可能是第一个防病毒的防病毒程序。
1989、俄罗斯卡巴斯基带领他的实验室开发的著名的反病毒软件AVP（后来命名为KAV）。
然后杀了，赛门铁克的诺顿、McAfee、红星、KV等杀毒软件也纷纷出现。
在早期，反病毒技术的同义词是特征提取和搜索，但对传统病毒尚未成熟也有足够的威慑力。
1997，出现了一种病毒防火墙技术（也称为文件系统实时监控技术，这就是我们通常称之为监视）。
反病毒厂商已经发展了虚拟机、启发式检测等技术。也取得了良好的效果。
随着蠕虫病毒的猖獗，反病毒技术和入侵检测技术有了融合的趋势，这是目前正在进行的非常活跃的防御技术。
现在我们开始介绍签名和签名过滤技术：
数字签名技术是基于已知病毒检测分析防病毒技术。大多数的病毒软件使用这一技术。这种技术一般由软件测试+人工病毒签名分析并行，将反病毒厂商根据用户上报的样本提取特征码，然后添加到病毒库，自动根据的杀软库的描述在相应的代码相关的文件。一般来说，这种技术辅以解毒的方法，那就是使用手动解毒代码在抗病毒感染的文件修复案例。
检查病毒签名是人工禁毒经验的简单表达式，它模拟人工病毒的识别方法，使用相同的病毒或类似病毒必须在那是相同的想法，程序代码的某些部分存在，如果病毒及其变种都是一样的，你可以用一个描述它，并通过程序和描述的结果（即特征码）进行了比较，发现病毒，但不是所有的病毒都能描述其特征码。许多病毒很难描述甚至使用签名来描述。一般来说，在使用签名技术（如压缩包、压缩的可执行文件（或某种程度的炮击））时也会实现一些补充功能。
然而，特征码检测方法也有很大的局限性。首先，对厂商的特征码描述的主观因素，多从病毒体病毒的十字节编码特征提取几千字节，需要进行调试，病毒的拆卸和其它分析，如果病毒本身反跟踪技术（如常见的加花）和变形、解码技术，然后跟踪调试并获得签字的情况下拆卸将变得非常复杂。其次，提取病毒的特征码，有必要得到病毒样品先。最后，作为特征码描述供应商之间是不一样的在世界范围内，特征码法很难得到广泛的支持。
在签名开发早期使用的特征码是一个连续的字符，比如你的计算机是来自一个石头病毒。
石头！字符串，和非常著名的EICAR测试字符，这一切。但随着病毒技术的发展，病毒代码开始改变。由于在算法的一些独特的创意，病毒可以任意组合自己的代码，使代码不稳定，但最终的执行结果可以保证稳定。这样，传统的连续字符不能满足需求。在这一点上，出现了基于偏移计算新的特征码技术（的技术是由Dr.Solomon），使特征码摆脱连续字符的限制。虽然病毒本身可以结合自己的代码，代码必须在同一堆栈操作。只要我们在第一个特征码附近搜索第二个第三个点，就可以通过打破分散的特征块来提高命中率，这大大提高了特征码的通用性，降低了误判率，但是，如果病毒本身的代码不一定全部，这种方法仍然是有限的。
此时，该特征码过滤技术的发展又使得传统的特征码技术重生。病毒代码的改变，但最终的变化总是有限的，例如，可能有110个字符的字符串变量的字符代码，八，二没有变化，我们把这两个特征还可以检测变形病毒，但最大的缺点是容易误报，在理论上，这是不可靠的，但它确实有一些病毒效果好。
但随着病毒技术的发展，多态和变形技术（见附件）开始成熟，病毒代码开始大幅进化，该病毒可以随机生成的代码，代码生成是根据不同环境不同，例如在本机上和机病毒对传统签名的角度可以确定两病毒，但实际上它是由病毒构成的。这一特征使得传统的编码的病毒思想完全结束。
为了很好地解决这一问题，启发式扫描出现。启发式扫描技术，通常被称为虚拟机技术，不只是寻找一个程序的特征码，但结合静态扫描技术，如特征码和动态。动态虚拟仿真是一种CPU（如x86）和然后执行病毒与解释的方法，用病毒程序将显示的一些特点，可以使病毒体被释放通过虚拟执行等待多态病毒体解密解密代码签名检测后，加权或基于启发式扫描其他的数学和统计方法，以及病毒体不会造成任何危害我到用户机，解决了不固定的病毒代码的问题在很大程度上，也提供了一种新的方法用于检测未知病毒的思考。这种技术的优点是误报率低，并能检测出病毒株，然后在完美的虚拟机前完美的多态性没有用的，因为总的多态病毒恢复稳定的核心；缺点是检测未知病毒的能力很低，因为仍然需要依靠签名，或不使用在病毒和未知病毒的变形前。
虚拟机的出现，形成了一个新思路，即根据病毒分析的思想由安全厂商分析病毒，以病毒用户认知考虑。基于虚拟机技术的进一步发展，行为检测技术应运而生，它真实地模拟操作系统，允许病毒履行如实地在虚拟环境中。毕竟，病毒是一个很大的行为，常见的软件有很大的区别。如果可执行文件的读写文件，修改系统的终端，修改特定部门、复制，HOOKAPI，其SMC、反跟踪等，进行评价根据其严重程度和是否有各种的吉祥可疑的行为，如果按照现有的规则，严重程度超过一定的阈值，认为它是一种病毒，以确定一个未知的变形病毒只会对这种行为进行了分析。这种方法的好处是，未知的病毒可以区分和标准病毒准确率很高的。缺点是难以实现的，与民间的断言是不可能实现的，通过逆向工程研究。
在许多工具中值得一提的是病毒免疫的概念，就像一个生物产生抗体和对入侵自身的异物的相应免疫一样，它也可以对一些计算机病毒采取同样的观点。病毒（不是蠕虫）总是对用户保持警惕，以防止多种操作。它总是会留下一个标记的系统，防止重复感染。病毒免疫正是借助这一功能，预先标出记号。例如，梅丽莎病毒和修改Windows注册表项：hkey_current_user /软件/微软/办公室，桌子梅丽莎的增加，并给它一个价值：…
通过
Kwyjibo，这是一个标志，避免重复感染的病毒。如果我们设置注册表值预先在机器没有感染病毒，当病毒已经感染的机器，它会再次感染，因为它被感染。在这种方式中，我们已经实现了机器的免疫接种的目的。在90年代著名的CIH，在操作中高端特定地址的内存写下一个标记，和当地一般系统不读取，然后将CIH执行检查地址来决定是否继续运行CIH（当然这些数据的作者出版，相应的免疫力同时CIH的作者写的），如果这个标记写在提前启动时间，CIH将不会执行。这是CIH免疫的意思。当然，有时用于免疫技术等技术来实现其目的。
当然，还有一些技术正在开发，如赛门铁克的自动特征提取技术的基础上，对杀毒软件的用户的需要，以及入侵检测技术与防火墙。但这些技术尚未成熟，有的甚至只是一个概念。当然，随着病毒技术的发展，相应的技术将逐步改善。也许有一天，未来人工智能的科幻小说中，也可用于杀毒领域。
附录：多态性和变形技术
病毒多态性技术使病毒改变自己的存储格式，并使传统技术依赖于特征值检测失败。变形进一步对多态的基础。病毒的整个身体，在不同的代码实例的病毒完全不同，既没有固定的特征码，有不需要任何改变恢复病毒体，如果处理多态性也可以等待启发式病毒检测和特征值后减小，所以完全多态性使得这项技术完全失败。
多态性和可变形病毒起源于加密和解密思想，最简单的想法是对病毒进行加密，然后在病毒运行时对其进行解密。
一个成熟的多态引擎的想法是病毒由一个密钥，解密的头，和一个主程序体。每个生成的解密头和重点是不同的，要实现以下目标：1、每个解密命令是不固定的，每一次病毒的自我复制，这些代码将随机变化；2，关键是随机生成的每一次。所以每次感染，因为解密的代码难以发现的，和其他的代码都是加密的，整个病毒代码是不固定的。如果我们希望从这些代码中找到固定的病毒特征码，这将是无用的，这就是多态病毒的想法。
对多态引擎的基础上的变形引擎使用中间语言（从原代码，拆卸的病毒本体操作的），和编纂在实际执行中的转化，并有一个模拟器（不是必要的，但它可以优化代码效率）。这进一步变形病毒的代码，将病毒完全失去一点。
下载（28.52 KB）
2007-3-20 02:47
下载（30.69 KB）
2007-3-20 02:47
郑重声明：本帖的作者是要去看的。
为防止误解，以下陈述如下：
1。鉴于个人能力有限，大量的文章借用了病毒领域中两篇公认的文章：高级防病毒引擎的设计原理。
流行杀毒软件的引擎设计
。
2。为了便于理解，文中很多话不使用严格的工业研发方面。例如，该杀毒引擎的前端被称为初步预扫描（文件）到工程部的对象。许多行业术语听起来很笨拙的，灵活的，那些感兴趣的安全保护轮辋：系统可以读取L.
章节中的相关章节。
3、我认为现在流行的几种流行的杀毒软件在技术上是不存在的。这项技术遥遥领先。对杀毒软件没有必要予以赞扬和赞扬。在本文中，对一些软软件的介绍比较详细，主要是因为它有更多的信息，可以写一些东西，没有其他的意思。
4。到目前为止，我已经使用了几乎所有的杀毒软件（论坛提到）。
五
就我个人而言，我不太喜欢设计病毒。有些私人的只是为了玩而写的。大部分时间是MM生气的时候，一个玩笑的过程是用来逗她开心的。
6。很长一段时间没有在专业病毒论坛上行走了，我觉得看病毒代码是可以的，因为你喜欢程序设计，并把它带出来用于其他用途。
7。鉴于个人能力的原因，一部分是写在MM，采购经理很漂亮，也很脆弱，但基本上听我说，只有十几年在一起。一些原来的帖子是错误的，并已由她修改。
8的一部分。文章来自一个朋友的杀毒软件公司的开发文档，我已经改变了很多。
9。是学生，又忙着测试G，上网时间不多，所以很多问题可能不及时回答，希望原谅。
10。杀毒软件我已经使用（对中途休息）：sav9.0，KV2004（双系统）。在我看来，杀毒软件只是一个软件。每个人都不需要为什么而战。他们对此感觉良好。争论的时间不如花时间和女朋友在一起。
身体的一部分
文章较长，写作水平有限，需要对一些技术文件进行验证。它只能写在一段文字中，而且也应该被原谅。如果有错误，请指出，谢谢！（每个部分的值都有标记，每次都编辑文档。
1。什么是杀毒软件引擎和病毒库的关系
首先指出，杀毒软件的引擎与病毒库没有直接关系，防病毒引擎的任务和功能非常简单。它是决定这是否是一个合法的程序，对于一个给定的文件或程序的过程中，其对应的正常和非正常程序规范的杀毒软件厂商本身的定义。正常的程序规范是指定义或行业已经认识到在系统平台上曹程序在系统本身的清洁过程程序行为正常运行，如操作系统要求和核心流程和相关数据的交换和响应的应用程序。非异常活动是指非法程序运行结果的可能存在，但它可以具有更高的信心，确定其非非法程序的活动规范。一般的副本相关文件、移动、删除等都包含在定义的范围内。
我们知道，病毒的终极目的与法律活动相似。在这种情况下，软件厂商必须有自己的行为定义规则，并在一定的范围和置信度下判断相关操作是否合法，在这方面，各厂商的定义是不同的。一般来说，非美国制造商的定义非常严格。只有对程序行为有高度的信心，才能把它归类为非病毒性操作。我记得在论坛之前有四组简单代码。许多杀毒软件将其判断为病毒或基于病毒的文件行为。事实上，可以看出，这些代码不能被视为病毒。美国制造商普遍认为的更复杂，这主要是由于美国市场的杀毒软件引擎的来源比较复杂，如诺顿，有足够的技术信息，其杀毒引擎是独立的，和McAfee存在外部引进技术（对所罗门收购）。
简单地说，防病毒引擎是一组技术机制，用于确定特定程序行为是否是病毒程序（包括可疑程序）：
1。对非诉讼行为获得自我的程序行为。它包括从内存中运行的程序，虚拟的判断行为的一个给定的文件，从网络的动态信息，等等。一般来说，我们称之为发动机前端。有这么多的方法来捕捉，除了诺顿和杀毒软件的使用行为规范化方法。诺顿与微软比其他厂商更高的关系，这个过程是独特的叙述。
2。基于引擎机制的规则判断，该链接表示反病毒引擎的质量级别。一个好的杀毒引擎应该能够在这个环节中找到大量或相当大规模的病毒行为，从而避免进入下一个判断阶段，传统的杀毒软件采用基于特征码的静态扫描技术，即在文件中找到特定的十六个字符串。如果找到了，它可以决定一个文件感染了病毒，但这种方法并没有起到在当今病毒技术快速发展的一个很好的作用。为了找到病毒的更好，所谓的虚拟机，实时监控等相关技术相继出现。此链接所谓的杀毒软件引擎的核心层。
3者之间的相互作用。引擎和病毒库。这个过程通常被认为是最后阶段，与前两步相比，这一阶段的速度很慢，不会自己的杀毒引擎程序行为到行为过程标识符可以识别自己的杀毒软件（包括静态代码），相应的信息存储在数据库中，然后病毒的行为，并做出相应的处理。必须承认，当然，目前杀毒软件都在这个阶段完成大量病毒的鉴定。所以一个足够大的病毒库往往可以弥补杀毒软件引擎的不足之处，但我们必须意识到的杀毒软件的速度将大大如果病毒程序可以在核心级别结束和清除，那么改进。
诺顿是微软最先进的安全合作伙伴，所以它的杀毒软件是非常特殊的一些方法。例如，在杀毒软件的安装，使用和功能实现，采用中间件技术的大多数公司，在系统底层和应用非现有的中间件，实现其功能之间；一些制造商使用的应用程序或嵌入式技术，这种方法是相对较低的安全；和诺顿
McAfee是使用类似的基于核心系统的底层诺顿驱动系统的实现，这是实现最安全的方式来实现或最先进的方式，这需要微软的系统源代码级的支持（要花很多钱），业界公认，这是最稳定的方法，但从目前只有诺顿，McAfee的实现非常接近诺顿，这就是通常所说的软件驱动，它等价于存在一个虚拟的硬件系统中的杀毒软件的功能实现，这些实现的方式，杀毒引擎捕获程序行为有关。
我们使用的英特尔系统有两个处理器
环层对应于两层，微软操作系统将系统中的所有动作划分为以下层：
1、底层：系统的核心层。此层中的所有操作都是通过已经在操作系统中构建的指令实现的。所有外部因素，即使您是系统管理员，也不能影响该层的行为。诺顿的核心层在这一层上工作。
2。硬件虚拟层，俗称哈尔。为了实现硬件无关性，微软设计的层。所有的外部工作的硬件（相对于系统的核心）进入哈尔是由哈尔核心层处理。硬件的驱动我们使用的是工作层，当外硬件指令要求，司机经过相关处理的核心层。如果没有相应的驱动程序对应的，那么它将按照默认的硬件处理。看来，在安全模式的硬件工作放在默认的硬件模式。McAfee被认为与层工作。
三.用户层（分为两个子层，不详细，感兴趣查找窗口
XP入门到精通（中文版），第二部分和四部分。大部分的杀毒软件我们知道是工作层，一个完整的程序如下：在索赔3应用层进程对教学行为的要求是通过2hal加工，最后进入指令周期底部1进入CPU后，再反向处理软件可以1 - 2 - 3根据应用后确定的结果。对于诺顿来说，整个工作过程如下：3-2-1，完成，McAfee：3-2-1-1-2，完成：休息：3-2-1-1-2-3完成，这个环节是杀毒软件发动机前端的采集行为标准。从这一过程中，诺顿和McAfee更先进，特定系统与CPU的环（）之间的通信不明确。
在WinNT的时代，微软的NT系统的设计是为了对应四环（）层，和RISC系列处理器有四个环，所以大部分的杀毒软件现在不能与NT。比CISC与RISC的环数（）我记得可能是错的，这是一个2ring（），一个4ring（）。）。
虽然诺顿和McAfee的高级工作模式带来了更高的系统稳定性（HAL的问题很少，潜在问题的概率接近于零），响应速度快（减少链接），但也带来了一些问题：1。更强大的资源，在McAfee上是不明显的，在诺顿上是很明显的，因为底层的行为，更多的硬件资源被分配，什么是最好的资源当然，这是操作系统，应该是最低的。2。卸载问题。卸载底层组件的概率比较高，所以诺顿的卸载是缓慢的和偶尔的问题。
微软操作系统的不稳定性是否会拖累诺顿，令人怀疑。当被开发者问及时，我们知道微软操作系统的内核层设计是优秀的。很多时候，操作系统的不稳定来自以下几个方面。
1。应用程序设计不合理，许多程序员根本没有读过微软的32位编程指南。
该程序并不严格符合微软规范，我们看到许多软件设计能够在多年前的最新XP平台上运行。原因很简单：软件完全遵循微软的编程规范。
二
驱动程序的编程是有问题的，与HAL层冲突。
因此，认为微软的操作系统会影响诺顿的稳定性是不合理的。
注：只问我的MM，她告诉我，我应该有四个环（CISC），RISC有两环（）。对于系统的最低水平，工作在ring0（），应用程序可以在ring3（）
我的记忆力很差。这篇文章可能有些技术错误。请原谅我。
业内人士认为，先进杀毒软件引擎的设计越来越复杂。诺顿，一个生产这样的产品，应该涵盖所有层次的操作系统以提高其防护能力。在一个文件中，程序员提出足够的信息，诺顿，McAfee，趋势，产品本身的改进标准体系相关的协议，如TCP / IP，从而实现所谓的完全保护的目的，NOD32官方文件（老实说，我还没有看到它）指出，有必要更新系统中所有的协议，为了达到最快的速度效应和杀毒。
讨论如何对付病毒，有必要开始随着病毒技术本身的探讨，了解自己所谓的，认识你自己，想象一个没有病毒的写作经验是一个杀手是很难的。目前，在中国的一些著名反病毒软件公司的研发团队一个很大的数目。只有他们使用相同的技术路径上，毒药攻击毒药。今天的病毒是在DOS和win3.x.the最大变化的时代技术的角度不同，在引导区病毒而脚本病毒开始蔓延，原因是直接覆盖在磁盘中的操作系统的引导下，今天的区域n将有一定的难度（DOS不允许调用int13保护，直接写盘），并启动变化很容易被发现，在微软的操作系统的设计加强了程序行为管理区，写一个完美的引导型病毒是非常困难的，所以很少有人去写；和脚本病毒具有效率高、易写易获得病毒作者的青睐。但最落后的杀毒引擎，杀毒引擎是基于静态代码可以杀死病毒（病毒库是好的）。
所要讨论的技术主要来自二层shell病毒（感染病毒），这些技术大多与操作系统的底层机制或超过386的CPU有关。
保护模型是相关的，值得研究。
16位的COM或EXE文件，因为DOS不通过文件和引导区的保护，他们可以很容易地停留，减少可用内存（修改MCB链），修改系统代码，拦截系统服务或中断。在WIN9X和WINNT / 2000岁时，就得到32的Windows病毒运行它们了难。因为页面保护的存在，你不能修改系统代码页（如果你可以更改操作系统的代码，我不能说什么），因为在我的I/O许可位图的规则，你不能直接存取端口访问（在29a美丽的女人）
Chan }可以通过装配方法直接访问端口，但没有看到示例代码。
在DOS下，所有的文件操作都是通过拦截int21h截获。总之，如果你运行一个用户的身份权，你的行为将被严格控制操作系统。你不能做任何你想做的事情，比如DOS。（在XP中，这种权限管理非常严格，大致分为4-8级）。
Windows和DOS下使用的可执行文件格式
exe是非常不同的（常见的程序是PE格式和驱动程序使用LE），因此病毒感染的难度增加。（PE和LE比较复杂，中间有几个节点。）。如果感染是错误的，该文件将不会继续执行。今天，有太多的新病毒来介绍一些。
1。系统核心理病毒
386及以上的CPU 4特权级（窗口模式只是其中的两种），特权级0（ring0）是留给操作系统代码，设备驱动程序代码，他们在系统内核和特权的工作；3（Ring3）是使用普通的用户程序（我想知道一个问题，什么是ring1,2）它们在用户状态下工作，运行在处理器核心思想上的代码不受任何限制，可以直接访问任何有效地址以获得直接端口访问。运行在用户状态的代码由处理器进行多次检查。它们只能访问用户状态下的可访问页面的虚拟地址，该地址在地址空间的地址空间中指定，在任务状态段（TSS）中只有I/O许可位图（I/O）。
许可
位图中指定的访问端口是直接访问的。在这个时候，处理器状态和控制标志登记的状态通常是0，而且，这表明最低特权级，可以直接我 / O现在是ring0。上述讨论仅限于操作系统保护模式。没有这样的概念实模式操作系统如DOS，所有这些都可以被视为在核心态运行。由于在核心态运行等优点，病毒当然没有理由要ring0。从ring3到ring0切换模式时，控制转移的发生。有两种情况：访问调用门的长转移指令调用，并访问INT指令中断门或活板门。转移的具体细节，因为它们涉及复杂的保护支票和堆叠交换机，不再重复，请参阅相关信息。现代操作系统通常使用中断门通过执行暴跌指令完成模式切换为系统服务，在英特尔
On X86, this instruction is INT, such as INT30 (protection mode callback) under WIN9X, INT80 under LINUX, and INT2E under WINNT/2000.User mode service program, such as system DLL, requests a system service by executing a INTXX. 然后处理器模式将切换到核心思想，核心心理学中相应的系统代码将服务于请求并将结果传输给用户程序。
所谓的增强的内存页面保护将用户权限更加严格的控制采用的是即将发布的xp-sp2，据说是在访问内存地址将通过相应的内存范围映射处理系统内存的真实地址和用户层之间，搞了一个类似于事物的协议转换，一个很多软件无法运行，因为他们总是试图按照原来的HAL层访问规则。
2。生化病毒
驻留病毒是指在内存中搜索合适的页面并复制病毒本身，并在系统运行期间始终保持病毒代码的存在—
行动）病毒更具隐蔽性，它通常具有拦截一些系统操作实现感染传播的目的。病毒进入核心态可以使用系统服务来实现这一点，如CIH病毒通过调用一个服务vmmcall出口由VMM
_pageallocate指定网页空间大于0xc0000000地址。在用户模式的程序在代码的部分仍驻留在内存中退出程序似乎是不可能的，因为无论什么用户程序的内存分配的过程中占用资源的一部分，一旦这个过程结束，资源将立即释放。所以我们要做的是分配一块内存，进程退出后仍然可以保持。
GriYo病毒的编写组成员29a
应用的技术之一，是非常有创意的：他通过CreateFileMappingA
MapViewOfFile创建区域对象，映射在自己的地址空间的视口，而病毒体搬到那里，因为虚拟地址的映射文件可以共享区域（看到所有的过程用于映射共享区域内的页表入口点的虚拟地址都相同物理页面的所有过程，），那么下一步他给一段代码explorer.exe（使用WriteProcessMemory到其他进程的地址空间，写数据）这个代码从explorer.exe进程地址空间将再次打开文件映射。因此，即使病毒退出，但由于explorer.exe在绘图页中引用，所以病毒代码一直维持在过程可以影响所有的内存页到explorer.exe退出（我试过的方法在XP中写一个空环，避免被踢出处理队列）。
它也可能存在通过修改系统动态连接模块（DLL），在Win9x系统DLL（如Kernel32.dll
图bff70000）是共享区系统（3G）。如果一个小小的病毒代码写的代码段的空隙，所有其他进程也会受到影响。但Kernel32.dll
代码段只能读不能写在用户状态。所以页面保护性能必须通过特殊手段修改；和网页的WINNT / 2000 / XP系统DLL映射到进程的私有空间（如
Kernel32.dll
图77ed0000），具有复制的属性写的，过程中没有试图写入页面，所有进程共享该页；当一个进程试图写网页，网页系统的错误处理代码将获得处理器异常，检查异常不违规，同时分配到事业的一个新页面异常的过程，以及一份在网页上更新进程页表指向新分配的页的原始内容，共享内存的优化带来了一定的麻烦，病毒写作。病毒不能修改kernel32.dll代码像Win9x。这需要使用
WriteProcessMemory写病毒代码，每个进程映射的Kernel32.dll的地址，所以每个过程都会得到一份病毒体，这是所谓的多进程的居民或居民在病毒世界的每一个过程（穆蒂过程
住宅或每个流程住宅）。
本文在改变xpsp1枚举法可以使用，在添加代码的时期大部分的空气流通
在SP2下，多次报告到以下类型的错误-非可访问内存地址段…
在原来的职位我引述的例子，另一个文件，而是由毫米结合的方法告知那些链接在今天的设计是不是很受欢迎，是因为很多不可预知的新的操作系统功能的规则，所谓的黑盒子的设计让设计师系统级线程捆绑或更直接访问控制方法，利用复杂的线程绑定技术甚至可以使杀毒软件和防火墙没有足够的信息来区分一个程序是否是合法的。高水平的抢夺控制甚至可以结束所有杀毒软件的进程，包括受保护的内存线程技术使用的卡巴斯基。
尽管微软已经隐藏系统的各种功能，许多隐藏的系统功能已经通过专家鉴定，很多的努力，和微软也有意识地降低了隐函数的个数。前一段时间在2000部分代码在线泄漏，磁盘文件的读写部分（文件大小为700m压缩袋标签115bh第三的代码，有很多节）过程是没有得到微软的开发文档，我不知道会不会有人用这些东西来写病毒的人知道一点点病毒常识知道普通病毒附着于宿主的尾部添加自己，因此，主机的大小将增加，并修改入口点进行T他活病毒。但许多病毒感染现在使用特殊技术来保持主机的大小和对主机文件不变的头的入口点。连接到病毒代码使受感染的文件大小不变，听起来不可思议，事实上它是对PE文件格式的使用特点：PE文件的每个部分之间是留下空白的簇大小对齐后，如果病毒体是足够小，可以分为几个部分，分别插入每一段最终无效，所以你不要有一个额外的一天，所以文件的大小是不变的。著名的CIH病毒的使用这种技术的一个典型例（它的大小只有1K）。
在前提病毒不修改文件头的入口点是不容易获得的入口点的控制：这个程序是从原程序代码的入口开始同样的手段，病毒必须在一个地方修改跳转指令型病毒入口的原代码，这是原则，但也有许多地方讨论，如跳转指令插入到原程序代码。一些搜索工具扫描可执行文件的文件头的入口区。如果发现位置是不正常的，即它不是一段代码，但在资源部分或拆迁款，有理由怀疑文件感染了病毒，所以我们只讨论病毒的技术称为EPO（入口点模糊）技术，这是应对这样的扫描的一个很好的方式，也是反虚拟执行的重要手段。
还值得一提的是，许多病毒现在支持压缩文件的感染。例如，在win32.crypto病毒可以感染ZIP、RAR、ACE、ARJ、CAB
一些压缩文件类型，包含特定的文件类型和病毒代码压缩解压压缩的代码段，可以放在文件压缩解压的内容，然后适当的文件感染，最后被感染的文件压缩和修改文件，回到学校检查头和许多杀毒软件。目前支持多种压缩文件格式，但一些压缩文件不能被杀死的。我认为可能的原因，因为某些原因，如解压或压缩错误，校验和的计算是不平等的，使得清除文件格式破坏后，病毒不负责对用户的文件损坏，所以没有这种担心。
个人认为，在处理多态病毒相对贫穷的上升，目前的杀毒软件，瑞星杀毒引擎怀疑的东西是不敏感的壳，所以上升很多病毒在它们的壳的病毒库，我不得不使用一些很少使用的方法对一些常见的病毒外壳，上升没有检查出来的需要改进。
以上关于病毒的所有词语都来自
一篇关于病毒论坛的文章，我做了少量修改。
有两种方法来实现当前主流的防病毒引擎：1。虚拟机技术2。实时监测技术
三.智能代码识别技术
4。行为拦截技术
3.4。已开发的技术在过去的两年中，3是提高杀毒速度和预防未知病毒，但在现实中，除了东方卫士尝试（和失败），其他厂商没有开发完全基于诺顿开发的发动机技术，认为：没有足够的技术手段来实现翻译的概念（杀毒软件可能会有不准确的地方。在文本是指智能打码技术：理论基础的IBM
结束的另一条路
（另一种实现目标的方法），提出了基于预定义规则的智能防病毒技术，行为拦截技术（或其他智能反病毒技术）也是防止未知病毒的一种方法。它类似于虚拟机技术，通过分析程序行为决定它是否是一种病毒。
对未知病毒的判断实际上代表的是发动机研究的杀毒软件厂商最高的能力。它是公认的行业，防范未知病毒是代表的水平的研究。说实话，在这方面能力的非美国企业，行业防范未知病毒能力是按以下方法测量：对天的杀毒软件最新版本是制造商的测试版，和未知的病毒来自如下：
1。病毒作者提供。一些安全杂志病毒作者在他以前的总爱病毒发布了一些行业的评价（2）。最受赞赏的人）大多数真正的工业安全杂志都有自己的研究实验室，研究人员会根据自己的意愿和技术手段和工具的最新动向编写一些病毒。一般来说，这些病毒不会在互联网上出现。3。假病毒。一些文件，程序，等等，类似病毒的行为。在测试的时候，病毒库是空的（即，当杀毒软件尝试调用病毒库，它使用的程序的方法，一个空白的结果返回到它），和测试，在这种情况下，如果有人有兴趣的话，可以去论坛得到病毒新手写的一个小病毒（一般也就100-200），获得与杀毒软件自己尝试几十次，你就会发现诺顿病毒库的平均状态为空时，未知病毒的判断能力还是很强的，什么是X %（X两位数），很多杀毒软件结果很惨的，特别是在处理复杂的蠕虫病毒，一个制造商的产品几乎整个军队都被消灭了，下面是虚拟机和实时监控的引入，因为人们认为在文本中添加代码是非常累的，所以没有技术实现代码，事实上，你可以写在原则的基础上。
反病毒虚拟机也被称为通用解密器已成为虚拟机的反病毒软件的概念的一个重要组成部分，它是如VMware和Win9x VDM（DOS虚拟机，它用来在32位保护模式环境中运行16实模式代码）有之间的差异。事实上，这些虚拟机的设计思想是归巢，从IBM的一组研究人员。
作为一个在原有操作系统下的应用程序，VMware可以为运行在其上的目标操作系统创建虚拟机。目标操作系统就像在一台真正的机器上运行一样，在VMware的控制下无法感知自己。
在）在窗口中，有一个机器自检画面，那么操作系统是装的，一切都是true.win9x为了让多个程序共享CPU和其他硬件资源决定使用虚拟机（运行系统；虚拟机所有的Win32应用程序和16位DOS程序一个DOS虚拟机），WinXP是内存访问实现16位程序支持地区。
VM是一种完全虚拟的软件，它以一种与真实计算机完全相同的方式响应应用程序的需求，从某种角度来说，您可以看到标准PC机作为一个集合的结构。
API，这套API的元素包括硬件我 / O系统，基于interrupts.win9x BIOS和DOS是经常用来表示这些传统的API元素与自己的软件，以便能使宝贵的硬件上运行的应用程序的信息。相信他们垄断整个机。他们相信他们能从真正的键盘和鼠标输入，并从真实屏幕输出。有点限制，他们甚至可以认为他们有充分的CPU和完整的内存。
检查虚拟机病毒是不是像有些人认为的：如为每个可执行程序创建一个虚拟执行环境的虚拟机，它可以提供所有的元素，包括硬盘、端口等，让它在自由发挥的，根据其行为判断是否是病毒。当然，这是一个好主意，但考虑到它的设计难度（太多的模拟元素和行为分析与人工智能理论），它只能作为未来发展的方向。至于信息可以知道，卡巴斯基也能这样做。此外，在McAfee的新产品中增加了溢出保护技术。实质上，它也是一种所谓的虚拟技术，病毒检测的虚拟机是一个软件模拟的CPU。它可以读取、解码和执行像真正的CPU，它可以模拟一段代码在真正的CPU运行结果。给定一组虚拟机代码序列，将自动从第一指令操作部分删除，确定操作码型和寻址方式确定指令的长度，然后执行指示在相应的功能，并根据执行的结果确定下一条指令的位置，如此循环反复直到最后一个确定的，简单的方法，这就是虚拟机的基本原理，设计虚拟机查毒为了对付病毒的变形加密的，从第一层的虚拟机而识别和入口处阅读病毒代码，然后解密执行步骤说明病毒的头部（解密），最后执行的结果（解密后的明文病毒）病毒签名。所谓的虚拟不是什么虚拟环境，而是指事实上，有毒的文件是不实际执行，但虚拟机模拟其实际执行效果，这就是虚拟机检测的基本原理。我曾经工作过的反病毒技术人员，我想讨论一下我们是否可以使用模拟实际执行创造一套杀毒软件的方法。答案是微软，因为微软可以在系统底层建立一套硬件虚拟层来实现硬件虚拟化，我突然想到，如果微软真的搞杀毒软件，不管其他杀毒软件公司有多强大，我们都要玩得淋漓尽致。
The early virus did not use any complex anti detection technology, and if the disassembler tool opened the virus body code, it would be the real machine code.Therefore, a virus can be uniquely identified by a machine code somewhere in the virus and the value of the virus entry from here (attention is not the head of the file).The virus entry is simply determined and the specific code string is scanned at the specified offset.This static scanning technique is absolutely useless against the common virus.
随着病毒技术的发展，出现了一类加密的病毒，这类病毒的特点是解密（解密）的入口处，和病毒体代码是加密的。第一个控制回路来解密解密代码运行的主要病毒的主要病毒控制操作完成后，主要的病毒感染的文件将被解密，用随机密钥加密并存储的主要病毒，在关键的病毒或嵌入式解密感染文件写的。因为一个病毒主要是人体感染不同的密钥，它是不可能找到的唯一编码字符串和迁移为代表的病毒特点。看来，静态扫描技术是要失败的。但仔细想想，传染解密不同的实例是相同的机器码（任何明文的加密程序从理论上是不加密的机器码，否则程序无法执行），所以会选择这里虽然字符代码将一些假警报（在病毒特征代码解密同样缺乏。字符代码也会出现在正常程序中），但它仍然是一种有效的方法。
由于加密病毒还没有完全摆脱静态字符扫描，病毒作者在加密病毒的基础上进行了改进，使得被解密的孩子的代码对不同的感染实例显示出多样性，从而导致加密的变形病毒，与加密病毒非常相似。唯一的改进是病毒会创建一个解密功能相同的功能，但不同的代码在感染不同的文件，即不同传染实例具有相同的解密解密功能，但代码是完全不同的。例如，原来的指令可以被完全拆除完成，与中可插入无用的LJ代码。这样，静态扫描技术完全无效，因为无法找到不变特征码。在这种情况下，虚拟机技术将用于。
实时监测技术实际上并不是一种新技术，早在DOS编程时代。只是那人没有给这个技术这样一个专业的名字，这是不容易的在Windows下实现实时监控，普通用户态程序是不可能监控系统的活动，这也是病毒监测系统security.real-time考虑（对
win9xwinnt / 2000）用于驱动编程技术，使系统的核心态驱动拦截所有的文件访问。当然，由于不同的系统，无论从工作原理结构的驱动是不一样的，当然，编写和编译环境是不同的程序，病毒实时监测上述实际上是对文件进行监控，文件监控应该更加合理。除了文件监控，有各种各样的实时监控工具，他们都有自己的特点和功能。现在流行的网络监控，邮件监控基本上是文件监控的改进，革命性的变化没有。
病毒监控实际上是一个文件监控，它会在文件的打开、关闭、清晰，写操作检查文件是否是病毒，如果它是基于用户的选择不同的治疗方案，如病毒清除和禁止访问的文件，删除文件或简单地忽略这可以有效地避免病毒感染本地机器上的传播，因为可执行文件的加载程序将首先要求在执行请求的文件，打开文件，还必须进行监测，在第一时间拦截，确保每一个执行清洁无毒的文件，不病毒在任何表演机会，攻击。以上只是一个粗略的过程实时监控对病毒的设计和病毒的实时监测主要有以下困难：
一个是司机的写作不同于普通的用户程序，这是非常困难的。编写用户态程序的时候，你只需要调用一些熟悉的API函数来完成特定的用途，如打开文件，你只需要调用CreateFile，但司机，你将不能够使用熟悉的CreateFile，你可以用它在NT / 2000
NtCreateFile（本土ZwCreateFile或
API），但这些功能通常需要运行在一个IRQL（中断请求级别），如果你想中断请求级别，延迟/异步过程调用，非分页内存分页/概念不是特别清楚，所以你写的驱动将很容易导致蓝屏死机（蓝屏），ring0。异常往往会导致系统崩溃，因为它一直对系统的信任，所以没有相应的处理代码来捕获异常，打电话到KeBugCheckEx下NT会导致蓝屏的出现，然后系统会被抛弃，然后重新启动。此外，调试司机不为用户态程序一样方便，与VC的图像
这不是C++调试器，你必须使用系统调试器，如SoftICE，KD、天合等。
二是司机在ring3客户程序之间的通信。这个问题是很自然的，试想当司机截获，打开一个文件的请求，它必须通知在ring3查毒模块检查打开文件，然后检查病毒模块需要杀毒结果以某种方式ring0监视器，司机终于决定根据请求返回的结果是允许的。在一个双向沟通的过程显然是有写司机知道可以用来发送设备驱动程序我 / O控制信息的API调用DeviceIoControl接口，它可以在MSDN，但它是单向的，即ring3客户端程序可以将一些信息监控程序在ring0反之亦然叫DeviceIoControl。因为我们不能找到一个现成的函数来实现程序的监控程序ring3的客户端程序的通信，必须使用间接的方式来做这件事的间接影响。为此我们引入异步过程调用的概念（APC）和事件对象，这是实现之间的特权唤醒的关键。现在对这两个概念的简要介绍。请看技术的实现细节在以下各章，异步过程调用是使用一个系统在一个特定的线程的上下文中执行一个过程，在条件适宜的机制。当一个APC队列的线程的APC队列，系统会发出一个软件中断，和APC函数将运行时的下一个线程dispatched.apc分为两种：由系统创建的APC被称为内核模式APC，和应用程序创建的APC被称为用户模式的APC。此外，只有当线程处于警戒的状态可以一个APC运行。例如，异步方式调用ReadFileEx时，您可以指定一个用户定义的回调函数fileIOCompletionRoutine. 当异步我/ O操作完成或取消，和线程处于报警状态，调用函数，这是APC的典型用法，QueueUserAPC函数导出的Kernel32.dll可以添加一个APC对象到指定线程的队列，因为我们写的驱动程序，这是不是我们想要的功能。幸运的是在vwin32.vxd导出的函数同名的QueueUserAPC，监控程序拦截打开一个文件的请求，它立即调用服务队列功能需要一个觉醒的APC ring3客户端，这个功能将被安排在附近的客户打电话。这个APC唤醒方法适用于Win9x，在
WINNT / 2000下，我们将使用全局共享的事件和信号量对象解决相互唤醒的问题。我将阐述的对象组织结构在3.4.2节WINNT / 2000下。在NT / 2000监控程序，我们将使用KeReleaseSemaphore醒来线程在ring3客户程序等待。目前很多杀毒软件已被用于检查病毒将驱动模块程序，即为积极宣传和操作系统的无缝连接，它省却了通信消费，但病毒扫描模块的驱动形式也会带来一些麻烦，如不能与一大批知名API调整，不与用户实时交互，所以我们选择分析传统杀毒软件监控程序。
第三是资源问题，司机了。如果监控程序经常拦截文件操作和降低系统性能的太多，这样的计划已经失去了其存在的价值。本文将成为一个成功的杀毒软件的监控程序的深入分析，包括一些部分来分析其技能的提高它的性能，如设置历史，内置的文件类型过滤，设置等待超时，等。
本文还从病毒工作原理的文章，因为它是一个老的文章，所以它的许多观点可能不再适用于现在，很多加密方法已经变得非常强大。我不完全同意这篇文章的实时监控technology.mm解释说现在的NT操作系统应用程序文件的应用-内核操作系统和基于有原9x时代仍有一些差异之间的响应关系，特别是与大量的线程级的访问控制方法，杀毒软件现在可以使用实时监控内存映射应用程序的活动。为什么欧洲软件厂商没有拿出这么多像监测监控模式，监控ing和其他聊天软件
毫无疑问，目前的杀毒软件引擎的虚拟机技术和实时监控技术的复杂。因为研发人员的不同研究方向，每个产品的杀毒软件的质量是非常不同的。例如，诺顿的杀毒理念是控制，最终可能会影响系统的稳定性保证系统正常运行的因素，而另外一些人认为杀毒软件应该消除有害程序快。底线业界公认的设计是，杀毒软件不会导致系统的崩溃是因为杀毒，但遗憾的是，许多制造商已经撞线反复。
以下是各厂商纷纷推出的防病毒引擎，一部分从技术信息公开，这部分从病毒论坛被看作是经典的汇编，部分来自技术人员的介绍（官方和私营公司都有）。
1。诺顿：这是最熟悉的。诺顿的防病毒软件实际上阻止了检测做得很好。许多病毒经常学习诺顿代码中的子程序，希望诺顿可以在新版本中更强的自我保护技术。诺顿的发动机应该是完全自我封闭，没有数据证明，诺顿买下或用其他杀毒引擎。很多公司都有了卡巴斯基的泄漏发动机设计时他们设计的，所以他们问这个问题时，他们在微软社区网上聊天。我同意Kabasiji Norton杀毒引擎不必要的，它的发动机很好。有一个叫fenssa甚至说不考虑病毒因素，诺顿杀毒引擎相当先进，性能好于微软，全面的保护。在一个另外使用诺顿的McAfee（这一点我相信，看到其他软微软用它的罕见）。他从诺顿的技术文档的描述和在29a病毒论坛搞一个过程称为诺顿虚拟机环境下的步进跟踪和抗系列的传播，诺顿杀毒引擎应该相应的完美结合传统的静态代码和实时监控，应该有一些改进的虚拟机技术在里面（诺顿谁不称赞的虚拟机），诺顿的速度慢病毒是由于诺顿的传统检查方式与静态代码。我个人很喜欢诺顿的隔离机制，我认为不应该使用删除D在确定它是完全正确的之前，由高手编写的病毒应该尽可能地与系统进程相关。在这种情况下，隔离的优势是显而易见的。诺顿的资源占用比较大，但要实现以下目标：识别病毒和病毒的设计被确定为过程能正确处理，已经不能产生身体的破坏性病毒不会产生误报，但不会再出现又一次在一个病毒的检测和处理病毒的状态。
很多人认为诺顿的企业版和个人板引擎的理解不是很正确。事实上，企业版还是个人板技术的提高。在ZDNet发表的一篇文章指出，企业版和个人版引擎的核心规则是完全相同的，但在前端文件导入部分，企业版比个人版和企业版，使用了更多的API接口。在文章中，企业版明显优于单独的版本时，它是一个大型的扫描，由于负载技术的使用，资源的企业版占据更好一点。这也是说企业版支持基于网络的多重加载技术。
记住2：McAfee：阅读一篇报道说，McAfee购买了另一个反病毒引擎设计公司，根据所罗门的答复。在互联网上很少看到，McAfee的防病毒引擎的技术文档进行了分析。但从他自己的宣传材料，McAfee是虚拟机技术和实时监控研究的很透彻。例如，他最近推动预防应用溢流（大致名称）技术应结合硬件平台没有考虑其优越的虚拟机技术和实时监控技术的情况下，虽然经常溢出错误检测（溢出技术把软件水平不是很稳定）。当处理大量文件，McAfee具有一定的速度优势（讨论是在微软社区的问题）。有来自McAfee论坛，McAfee的消息
智能码扫描更先进的技术正在研究，这肯定是比东部后卫。根据岗位的头，因为vse8.0i McAfee发布将重点放在预防这一新的安全领域，诺顿在这个方向。积极预防分为两个部分，一是对防火墙技术的一部分，其源阻断病毒入侵检测技术的推广使用，以便在早期感染的病毒不能传播大面积减少危害；第二，依靠其强大的特征码检测技术（额外的.dat）病毒代码的行为和特征检测，依托其强大的研发团队和战略战略联盟合作伙伴，成为一个独立的学校。诺顿也在其新产品防火墙添加一些功能。电子邮件问为什么不使用诺顿防病毒签名技术的研究人员，在响应一个完美的特征码扫描技术说应该能够达到根据用户特定的文件加入病毒指定的目的，即当用户指定了一个病毒程序，杀毒软件引擎可以根据规定的程序定义了一个签名，并在程序的控制，可以有效地切断其与系统的正常过程连接。在那之前，诺顿不会使用签名技术大规模的技术。McAfee的McAfee文档只是对这项技术的有限实验研究，在相对安全的地方使用。事实上，这两家公司在这方面还有很长的路要走。
三.卡巴斯基：这个论坛是神话般的反病毒软件，我个人高度尊重卡巴斯基的高标准。但老实说，卡巴斯基没有足够的理由放弃诺顿，因为他不考虑资源的占用。这两个层次之间没有区别。在稳定性方面，卡巴斯基比诺顿差一点。因为卡巴斯基引擎早年曾泄漏（事实上泄漏是不是最初的源代码，只有引擎可以轻易泄露，所以抗系列）可以在网上找到很多很详细的技术分析卡巴斯基发动机，特别是德国大师写的关于如何优化病毒卡巴斯基杀毒引擎的文章被认为是所有卡巴斯基发动机的一个杀毒软件厂商看到这篇文章，文章为美国人所写的VB100测试的杀毒软件（在近几年的综合测试结果，VB100可用于病毒，类型测试的比例关系在作者ED）是杀毒软件厂商在软件测试前看到同样的文章发，虚拟机技术，看到卡巴斯基从大量文献分析对互联网是非常好的，但一些人认为岗位绩效的良好来源，卡巴斯基在其非常大的病毒库和良好的升级速度上年，杀毒引擎的设计水平不高于其余的公司。卡巴斯基的发动机采用的是被称为一个单一的规则判断形式。诺顿是基于规则的分类。当卡巴斯基的引擎在比较文档识别病毒被认为有很好的性能，充分利用了处理器的处理能力，但令人担忧的是，该公司没有充分重视出现新技术（英国计算机杂志去年年底），彻底的改善或新技术对原估计发动机的广泛使用是什么，谁也不知道。卡巴斯基引擎称为短代码文件的问题，有时它是一具尸体，研究人员说，这是改善。前段时间，有人发出了一个后，病毒作者只认出了卡巴斯基，老实说看了很多论坛的文件。似乎没有人如此说，卡巴斯基去那里是美国制造商的研发之路有很大的不同，卡巴斯基很少引用其他公司开发的技术，但在不断的深化，提高其杀毒引擎，从卡巴斯基的评论的一些方面，发动机代表了行业的最高水平，但不是全部。卡巴斯基是一个很好的杀毒软件，但它不是一个神。应该说是站在了杀毒软件，顶层像诺顿，McAfee。
在中国，有蒋敏的杀毒软件采用卡巴斯基发动机行业的谣言，说实话很多杀毒软件参考其引擎设计，即使在家里没有足够的信息来确认是蒋敏参考了其引擎设计。很多人用各种各样的卡巴斯基和Jiangmin的测试病毒包，测试结果是完全相同的。老实说，这个试验没有诚信，几乎相同的是，各种各样的化石孢子的杀毒软件的检测结果。只有两种方式说引擎如何将1。两软件授权给VB100或者类似的测试，如果他们两个未知病毒的测试结果（结果未公布，制造商必须购买）完全一样，那就不说了。两个不同的引擎机制几乎不可能表现出同样的结果在治疗同样大的未知病毒库。不幸的是，蒋敏没有参加VB100测试，它似乎不可能有足够大的个人的未知病毒检测库。2。，类似的破解方式来分析分析整个软件的工作机制，并完成了多少工作。我们相信我们可以猜到它，我们也没有看到任何做这样的研究。因此我只能想到（很大程度上）Jiangmin可能指的是卡巴斯基的杀毒引擎设计，但程度两个杀毒软件杀毒和敏感性，让许多人看到了速度的平方，即使蒋敏采用了卡巴斯基的引擎，蒋敏也应该是一个很大程度的源代码修改或优化，也有消息说他们的江民的发展引擎添加了一些技术，在实现方法上以数字编码技术相似。优良的指出，如果主人宣布两软件的源代码，可能没有看到什么，事实上，当软件发现不能使用蒋敏卡巴四季的病毒库，我们应该知道，即使借了，两人被认为是不同的杀毒引擎。在WIN3。X平台，两个非常相似；但今天我们使用WinXP。即使卡巴斯基确实是一个Jiangmin的发动机，可以说，在某些方面，蒋敏开发了这台发动机，虽然这可能不是与原来的发展方向一致。但无论从什么样的角度，我认为蒋敏的杀毒软件还是有可取之处。毕竟，你看看国内杀毒软件厂商，在现实领域的技术研究和发展只有这样的旗帜，偶尔飘。一步一步下，还有江民科技进步。只有在纯技术因素方面，如果蒋敏采用了卡巴斯基的引擎，所以今天两家公司在不同的方向上对发动机原有的发展，这未必是坏的的事情，只要我们不固步自封，什么似乎没有必要争论两家公司的原始祖先，当恐惧是运行在其他你停止，这就是它的差异。虽然市场的杀毒软件厂商的第一要素，这是不能忘记的，技术是一个杀毒软件的常绿的决定性力量。
—
让我们说，在未来的警察逮捕你有权保持沉默，有权阅读邮报，所以啊！
让拉登躲在山洞里也命令他的危险被发现我们上网下载来读取
萨达姆被发现携带手枪时被捕，此外，这是一份副本。
让比尔盖茨在董事会发送一份指挥部工作人员的副本，在讨论其他事项后仔细阅读。
让诺贝尔奖的具有划时代意义的帖子会和会议讨论一直决定今后设立最佳帖子奖的好贴
让联合国安理会决定将由中国翻译成通用的语言发射神舟六连续播放看有没有外星人后
声明：本文内容用于数码产品信息整理与选购参考，具体价格、库存、售后政策以官方渠道和电商页面实时信息为准。