从实现计算机病毒免疫的角度看病毒的传染，可以将病毒的传染分成两种。一种是像香港病毒，1575病毒这样，在传
染前先检查待传染的扇区或程序里是否含有病毒代码，如果没有找到则进行传染，如果找到了则不再进行传染。这种用作
判断是否为病毒自身的病毒代码被称作传染标志，或免疫标志。第二种是在传染时不判断是否存在免疫标志，病毒只要找
到一个可传染对象就进行一次传染。就像黑色星期五那样，一个文件可能被黑色星期五反复传染多次，滚雪球一样越滚越
大(要补充一点的是，黑色星期五病毒的程序中具有判别传染标志的代码，由于程序设计错误，使判断失败， 形成现在的
情况，对文件会反复感染，传染标志形同虚设)。下面来看看防病毒软件使用的免疫方法是如何工作的。 目前常用的免疫
方法一共有两种。一种是针对某一种病毒进行的免疫。例如对小球病毒，在DOS引导扇区的1FCH处填上1357H，小球病毒一
检查到这个标志就不再对它进行传染了。对于1575文件型病毒，免疫标志是文件尾的内容为0CH和0AH的两个字节，1575病
毒若发现文件尾含有这两个字节，则不进行传染。这种方法的优点是可以有效地防止某一种特定病毒的传染。但缺点很严
重，主要有三点:
(1)当出现这种病毒的变种不再使用这个免疫标志时，或出现别的新病毒时，免疫标志发挥不了作用;
(2)某些病毒的免疫标志不容易仿制，非要加上这种标志不可，则对原来的文件要做大的改动才行， 例如对大麻病毒
就不容易做免疫标志;
(3)这种方法能阻止传染，却不能阻止病毒的破坏行为，仍然放任病毒驻留在内存中。 目前使用这种免疫方法的商品
化反病毒软件已不多见了。
第二种对付计算机病毒的免疫方法是一种基于自我完整性检查的方法。目前这种方法只能用于文件而不能用于引导扇
区。这种方法的原理是，为可执行程序增加一个免疫外壳，同时在免疫外壳中记录有关用于恢复自身的信息。免疫外壳占
1KB～3KB。执行具有这种免疫功能的程序时，免疫外壳首先得到运行，检查自身的程序大小、校验和，生成日期和时间等
情况，没有发现异常后，再转去执行受保护的程序。不论什么原因使这些程序本身的特性受到改变或破坏，免疫外壳都可
以检查出来，并发出告警，可供用户选择的回答有自毁、重新引导启动计算机、自我恢复到未受改变前的情况和继续操作，
而不理睬所发生的变化。这种免疫方法可以看作是一种通用的自我完整性检验方法。这种方法不只是针对病毒的，由于其
它原因造成的文件变化，在大多数情况下免疫外壳程序都能使文件自身得到复原。但仍存在一些缺点和不足。
(1)每个受到保护的文件都要增加1KB～3KB，需要额外的存储空间;
(2)现在使用中的一些校验码算法不能满足防病毒的需要，被某些种类的病毒感染的文件不能被检查出来;
(3)无法对付覆盖写方式的文件型病毒;
(4)有些类型的文件不能使用外加免疫外壳的防护方法，这样将使那些文件不能正常执行;
(5)当某些尚不能被病毒检测软件检查出来的病毒感染了一个文件，而该文件又被免疫外壳包在里面时， 这个病毒就
象穿了“保护盔甲”，使查毒软件查不到它，而它却能在得到运行机会时跑出来继续传染扩散。从以上的讨论中，我们可
以看到，在采取了技术上和管理上的综合治理措施之后，尽管目前尚不存在完美通用的计算机病毒免疫方法，但计算机用
户仍然完全可以控制住局势，可以将时间和精力用于更具有建设性的工作上。
留言区（共0条）