電腦病毒為什么殺不掉
電腦病毒為什么殺不掉
有時(shí)候會(huì)出現(xiàn)這樣的現(xiàn)象，病毒軟件報(bào)告殺掉了某某病毒，可是重新啟動(dòng)后該病毒仍舊存在，無(wú)法殺死。下面就讓學(xué)習(xí)啦小編給大家說(shuō)說(shuō)電腦病毒為什么殺不掉吧。
電腦病毒殺不掉的原因
病毒正在運(yùn)行。由于Windows保護(hù)正在運(yùn)行的程序，所以殺毒軟件是無(wú)法殺掉正在運(yùn)行的病毒。即使是真的殺掉了病毒，電腦正常關(guān)機(jī)時(shí)內(nèi)存中活動(dòng)的病毒還會(huì)再?gòu)?fù)制一個(gè)病毒到硬盤(pán)上。
病毒隱藏在系統(tǒng)還原的文件夾“_restore”中。
那么，我們?cè)撛趺礃觼?lái)處理這種問(wèn)題呢?下面是筆者為大家列出的幾條建議：
1.在Windows中殺毒前首先得中止病毒進(jìn)程。對(duì)于WindowsXp/2000，可以使用任務(wù)管理器(Ctrl+Alt+Del三鍵齊按)來(lái)查看當(dāng)前所有的進(jìn)程，而對(duì)于Windows98/Me，則可以使用“黑客入門(mén)工具箱”或ATM來(lái)查看進(jìn)程。確定哪個(gè)是來(lái)歷不明的就停止掉或者看哪個(gè)不順眼就停止哪個(gè)，該過(guò)程俗稱“殺進(jìn)程”。
不要怕出錯(cuò)，因?yàn)椴粫?huì)對(duì)電腦造成任何損壞，最多就是死機(jī)。注意，殺進(jìn)程的操作有時(shí)得進(jìn)行兩次才成功。有的病毒有兩個(gè)進(jìn)程，互相保護(hù)，殺掉一個(gè)則會(huì)被另一個(gè)發(fā)現(xiàn)并恢復(fù)。此時(shí)應(yīng)先把該病毒在注冊(cè)表中的啟動(dòng)項(xiàng)去掉，然后用突然斷電的方式重啟電腦，再殺毒。
2.在Windows中使用專殺工具殺毒。得使用最新的殺毒版本。
禁用系統(tǒng)還原。在WindowsMe中禁用方法是∶鼠標(biāo)右鍵點(diǎn)擊“我的電腦”-屬性-性能-文件系統(tǒng)-疑難解答-禁止系統(tǒng)還原。在WindowsXP中禁用方法是∶控制面板-系統(tǒng)-系統(tǒng)屬性-系統(tǒng)還原-在所有驅(qū)動(dòng)器上關(guān)閉系統(tǒng)還原。然后用軟盤(pán)或U盤(pán)啟動(dòng)電腦，在dos下刪除_RESTORE文件夾。
在Dos下殺毒不存在殺不掉的問(wèn)題。一般的殺毒軟件都可以制作軟盤(pán)版(含至少3張軟盤(pán))，用第一張盤(pán)啟動(dòng)(CMOS中必須設(shè)定軟盤(pán)啟動(dòng)在前)后按提示陸續(xù)放入其它盤(pán)就可以直接殺毒了。瑞星的軟盤(pán)版需要用鼠標(biāo)確定殺毒的驅(qū)動(dòng)器，而金山毒霸的軟盤(pán)版則默認(rèn)全機(jī)查殺。
實(shí)際上用金山毒霸在DOS下殺毒還可以更簡(jiǎn)單，用普通軟盤(pán)啟動(dòng)盤(pán)或U盤(pán)啟動(dòng)盤(pán)啟動(dòng)電腦后，先換到C盤(pán)，然后進(jìn)入金山毒霸的目錄(命令:cd kav或cd kav5，與版本有關(guān))，然后輸入KAVDX，回車就開(kāi)始?xì)⒍玖恕?/p>
補(bǔ)充操作。病毒殺掉后還應(yīng)該修復(fù)注冊(cè)表，只有將注冊(cè)表修復(fù)以后，才算是徹底刪除了病毒。
電腦病毒查殺方法
一般對(duì)硬盤(pán)進(jìn)行病毒檢測(cè)時(shí)，要求內(nèi)存中不帶病毒,因?yàn)槟承╇娔X病毒會(huì)向檢測(cè)者報(bào)告假情況。例如“4096”病毒在內(nèi)存中時(shí)，查看被它感染的文件，不會(huì)發(fā)現(xiàn)該文件的長(zhǎng)度已發(fā)生變化，而當(dāng)在內(nèi)存中沒(méi)有病毒時(shí),才會(huì)發(fā)現(xiàn)文件長(zhǎng)度已經(jīng)增lk了4096字節(jié);又例如，“DIR2”病毒在內(nèi)存中，用Debug程序查看被感染文件時(shí)，根本看不到“DIR2”病毒的代碼，很多檢測(cè)程序因此而漏過(guò)了被感染的文件;還有引導(dǎo)區(qū)型的“巴基斯坦智囊”病毒，當(dāng)它活躍在內(nèi)存中時(shí)，檢查引導(dǎo)區(qū)就看不到病毒程序而只看到正常的引導(dǎo)扇區(qū)。因此，只有在要求確認(rèn)某種病毒的類型和對(duì)其進(jìn)行分析、研究時(shí)，才能在內(nèi)存中帶毒的情況下作檢測(cè)工作。
從原始的、未受病毒感染的DOS系統(tǒng)軟盤(pán)啟動(dòng)，可以保證內(nèi)存中不帶病毒。啟動(dòng)必須是上電啟動(dòng)而不是按鍵盤(pán)上的“Alt+Ctrl+Del”三鍵的那種熱啟動(dòng)，因?yàn)槟承┎《究梢酝ㄟ^(guò)截取鍵盤(pán)中斷，將自己駐留在內(nèi)存中。檢測(cè)硬盤(pán)中的病毒，啟動(dòng)系統(tǒng)軟盤(pán)的DOS版本號(hào)應(yīng)該等于或高于硬盤(pán)內(nèi)DOS系統(tǒng)的版本號(hào)。如果硬盤(pán)上使用了硬盤(pán)管理軟件DM、ADM，硬盤(pán)壓縮存儲(chǔ)管理軟件Stacker、DoubleSpace等，啟動(dòng)系統(tǒng)軟盤(pán)時(shí)應(yīng)把這些軟件的驅(qū)動(dòng)程序包括在軟盤(pán)上,并把它們寫(xiě)入config.sys文件中，否則用系統(tǒng)軟盤(pán)引導(dǎo)啟動(dòng)后，將不能訪問(wèn)硬盤(pán)上的所有分區(qū)，使躲藏在其中的病毒逃過(guò)檢查。
檢測(cè)硬盤(pán)中的病毒可分成檢測(cè)引導(dǎo)區(qū)型病毒和檢測(cè)文件型病毒。這兩種檢測(cè)的原理上相同，但由于病毒的存儲(chǔ)方式不同，檢測(cè)方法還是有差別的。主要是基于下列四種方法:比較被檢測(cè)對(duì)象與原始備份的比較法;利用病毒特征代碼串進(jìn)行查找的搜索法;搜索病毒體內(nèi)特定位置的特征字識(shí)別法;運(yùn)用反匯編技術(shù)分析被檢測(cè)對(duì)象，確證是否為病毒的分析法。
比較法
這是用原始備份與被檢測(cè)的引導(dǎo)扇區(qū)或被檢測(cè)的文件進(jìn)行比較的方法，可以用打印的代碼清單(比如Debug的D命令輸出格式)進(jìn)行比較，也可用程序來(lái)進(jìn)行比較(如DOS的DISKCOMP、COMP或PCTOOLS等其它軟件)。比較法不需要專用的查病毒程序，只要用常規(guī)DOS軟件和PCTOOLS等工具軟件就可以進(jìn)行，而且還可以發(fā)現(xiàn)那些尚不能被現(xiàn)有的殺毒軟件發(fā)現(xiàn)的計(jì)算機(jī)病毒。因?yàn)椴《緜鞑サ煤芸?，新病毒層出不窮，而目前還沒(méi)有能查出一切病毒的通用程序，或通過(guò)代碼分析，可以判定某個(gè)程序中是否含有病毒的查毒程序，所以只有靠比較法和分析法，或這兩種方法相結(jié)合來(lái)發(fā)現(xiàn)新病毒。
對(duì)硬盤(pán)的主引導(dǎo)區(qū)或?qū)OS的引導(dǎo)扇區(qū)作檢查，用比較法能發(fā)現(xiàn)其中的程序源代碼是否發(fā)生了變化。由于要進(jìn)行比較，因此保留好原始備份是非常重要的。制作備份時(shí)必須在無(wú)電腦病毒的環(huán)境里進(jìn)行，制作好的備份必須妥善保管，寫(xiě)好標(biāo)簽，貼好寫(xiě)保護(hù)。比較法的好處是簡(jiǎn)單、方便，不用專用軟件;缺點(diǎn)是無(wú)法確認(rèn)病毒的種類名稱。另外，造成被檢測(cè)程序與原始備份之間差別的原因尚需進(jìn)一步驗(yàn)證，以查明是電腦病毒造成的，還是DOS數(shù)據(jù)被偶然原因，如突然停電、程序失控、惡意程序等破壞的。這些要用到以后講的分析法，查看變化部分代碼的性質(zhì)，以此來(lái)確認(rèn)是否存在病毒。
搜索法
這種方法主要是對(duì)每一種病毒含有的特定字符串進(jìn)行掃描，如果在被檢測(cè)對(duì)象內(nèi)部發(fā)現(xiàn)了某一種特定字節(jié)串，就表明發(fā)現(xiàn)了該字節(jié)串所代表的病毒。國(guó)外稱這種按搜索法工作的病毒掃描軟件為“Scanner”。這種病毒掃描軟件由兩部分組成:一部分是病毒代碼庫(kù),含有經(jīng)過(guò)特別選定的各種電腦病毒的代碼串;另一部分是利用該代碼庫(kù)進(jìn)行掃描的掃描程序，病毒掃描程序能識(shí)別的電腦病毒的數(shù)目完全取決于病毒代碼庫(kù)內(nèi)所含病毒種類的多少。病毒代碼串的選擇是非常重要的，短小的病毒代碼只有一百多個(gè)字節(jié)，長(zhǎng)的也只有10KB字節(jié)。一定要在仔細(xì)分析程序之后選出最具代表特性的，足以將該病毒區(qū)別于其它病毒和該病毒的其它變種的代碼串。一般情況下,代碼串是由連續(xù)若干個(gè)字節(jié)組成的，但是有些掃描軟件采用的是可變長(zhǎng)串，即在串中包含有一個(gè)到幾個(gè)“模糊”字節(jié)。掃描軟件遇到這種串時(shí)，只要除“模糊”字節(jié)之外的字串都能完好匹配，就也能夠判別出病毒。另外，特征串還必須能將病毒與正常的非病毒程序區(qū)，不然就會(huì)出現(xiàn)“假報(bào)、誤報(bào)”。
分析法
這種方法一方面可以確認(rèn)被觀察的磁盤(pán)引導(dǎo)區(qū)和程序中是否含有病毒，另一方面可以辨認(rèn)病毒的類型和種類，判定是否為一種新病毒，另外還可以搞清楚病毒體的大致結(jié)構(gòu)，提取用于特征識(shí)別的字節(jié)串或特征字，增添到病毒代碼庫(kù)中供病毒掃描和識(shí)別程序使用。同時(shí)，詳細(xì)地分析病毒代碼，還有助于制定相應(yīng)的反病毒方案。與前三種檢測(cè)病毒的方法不同，使用分析法檢測(cè)病毒，除了要具有相關(guān)的知識(shí)外，還需要使用Debug、Proview等分析工具程序和專用的試驗(yàn)用計(jì)算機(jī)。因?yàn)榧词故呛芫ú《镜募夹g(shù)人員，使用性能完善的分析軟件，也不能完全保證在短時(shí)間內(nèi)將病毒代碼分析清楚;而病毒則有可能在被分析階段繼續(xù)傳染甚至發(fā)作，把軟盤(pán)、硬盤(pán)內(nèi)的數(shù)據(jù)完全毀壞掉，所以分析工作必須在專門(mén)的試驗(yàn)用PC機(jī)上進(jìn)行，不怕其中的數(shù)據(jù)被破壞。不具備必要的條件，不要輕易開(kāi)始分析工作。很多電腦病毒采用了自加密、抗跟蹤等技術(shù)，使得分析病毒的工作經(jīng)常是冗長(zhǎng)枯燥的。特別是某些文件型病毒的源代碼可達(dá)10KB以上，與系統(tǒng)的牽扯層次很深，使詳細(xì)的剖析工作十分復(fù)雜。病毒檢測(cè)的分析法是反病毒工作中不可或缺的重要技術(shù)，任何一個(gè)性能優(yōu)良的反病毒系統(tǒng)的研制和開(kāi)發(fā)都離不開(kāi)專門(mén)人員對(duì)各種病毒詳盡、認(rèn)真的分析。
分析法分為靜態(tài)和動(dòng)態(tài)兩種。靜態(tài)分析是指利用Debug等反匯編程序?qū)⒉《敬a打印成反匯編后的程序清單進(jìn)行分析，看病毒分成哪些模塊，使用了哪些系統(tǒng)調(diào)用，采用了哪些技巧，如何將病毒感染文件的過(guò)程翻轉(zhuǎn)為清除病毒、修復(fù)文件的過(guò)程，哪些代碼可被用做特征碼以及如何防御這種病毒等等。分析人員的素質(zhì)越高，分析過(guò)程就越快，理解也就越深;動(dòng)態(tài)分析則是指利用Debug等程序調(diào)試工具在內(nèi)存帶毒的情況下，對(duì)病毒作動(dòng)態(tài)跟蹤，觀察病毒的具體工作過(guò)程，以進(jìn)一步在靜態(tài)分析的基礎(chǔ)上理解病毒工作的原理。在病毒編碼比較簡(jiǎn)單的情況下，動(dòng)態(tài)分析不是必須的。但是，當(dāng)病毒采用了較多的技術(shù)手段時(shí)，就必須使用動(dòng)、靜相結(jié)合的分析方法才能完成整個(gè)分析過(guò)程。
綜上所述，利用原始備份和被檢測(cè)程序相比較的方法適合于不用專用軟件，可以發(fā)現(xiàn)異常情況的場(chǎng)合，是一種簡(jiǎn)單、基本的病毒檢測(cè)方法;掃描特征串和識(shí)別特性字的方法更適用于廣大PC機(jī)用戶使用，方便而又迅速;但對(duì)新出現(xiàn)的病毒會(huì)出現(xiàn)漏檢的情況，須要與分析和比較法結(jié)合使用。
電腦病毒為什么殺不掉相關(guān)文章：