病毒的特点

    下面列出的病毒/蠕虫的特点不是针对某一病毒分类方法，但是由于“隐蔽性”“多态性”本身的歧义而显得很有用。

    隐蔽性。几乎报有病毒都具有隐蔽性。也就是说这些病毒为了更广泛的传播而隐藏自己。如果病毒在感染目标主机前暴露的话就无法传播。这些病毒会避免明显的有效载荷或不定期的传播，总之要采用各种方法来掩盖目标主机已经被感染。例如，当操作系统调用某一程序时，病毒会用感染前的相应的备份系统。

这个特点还表明许多杀毒软件是根据检测系统的变化来判断是否感染上病毒的。要得到准确的判断，这些软件就要采用反隐蔽的技术。当然不要期望这种技术可以发现一种全新的病毒，但是杀毒软件对检查已经存在的病毒还是很有用的，而且软件供应商还会不停的更新病毒库。BSI使用的备份原始根扇区的方法就是一个典型的例子。文件病毒通常会增加被感染文件的长度，但当系统或杀毒软件检测文件属性时病毒程序提供文件被感染前的属性，如长度、时间、日期和CRC检验和。

·多态性。编写病毒的人最喜欢编写具有多态性的病毒，由于过分夸大了多态性的作用，所以几乎所有的人都害怕这类病毒。不具有多态性的病毒感染新目标时变化不大，而具有多态性的病毒会在感染新目标时不断变化。早期的多态性是通过改变调用指令的顺序实现的。复杂一些的多态性是使用加密、减少静态编码等手段来防止杀毒软件。很多人因此认为具有多态性的病毒是很难清除的。正是我态性病毒我处挂变异机制（这样编写病毒的人就可以方便地进行加密功能）淘汰了早期的杀毒软件。尽管编写多态性病毒可以展示作者的聪明才智，但也并不完全如此。杀毒技术也在进步，目前识别病毒已经不在是简单地区配固定特征。

上面谈到的分类不能概括所有的恶意代码。有些软件商强调他们的产品是针对病毒而不是恶意代码。然而，今天更多的商业软件除了检查病毒外还检测特洛伊木马（参见第18章）和其他恶意代码，如无攻击性病毒、恶作剧代码、DDoS攻击，甚至垃圾文件。

本章主要围绕台式机论述。的确针对台式机操作系统的病毒比其他系统更多。针对早期苹果机型的病毒越来越少。针对Arari和Amiga系统的早期病毒很多，但当苹果操作系统具有和Windows类似的漏洞时，宏病毒开始流行起来。

这不是说其他操作系统就不会感染病毒。UNIX(包Linux)、NT、NetWare等操作系统对越权访问的帐户进行控制，但也不能组织用户共享文件，更不能阻止一个合法用户传播病毒。即使一个操作系统没有感染针对本系统的原生病毒，也同样会受到已感染主机的影响，例如通过异构病毒传播。不论采用何种操作系统，检测网络文件服务器、内部网和其他服务器是很重要的。实际上，很多杀毒软件都可以检测针对其他操作系统的病毒。例如针对苹果机的杀毒软件也能检查针对微机的宏病毒，反之亦然。

显然病毒给因特网带来危险，尤其是那些使用DOS、Windows和一些支持宏语言的应用软件如Microsoft Office。许多病毒的攻击目标是台式机和Windows操作系统，这是因为这些是作者所使用的工作环境。然而还有一些其他因素：例如，台式机的硬件结构、微软对于单用户系统在安全方面的忽略、将宏代码同文件集成在一起等。在本章后面将会介绍解决办法。惟一能保证安全的是遵守Richard的数据定全定律-不要买计算机，如果买了就关掉它。杀毒软件是被动的：它只能处理已经出现的病毒。抵御病毒的最好办法是在一个相对安全的环境中工作。但是这是无法选择的，尤其是在许多需要协同工作的环境里。