理解杀毒软件的意义(zz)

yinznet

在计算机的世界里，病毒就是一种执着的力量，那么杀毒软件，就是死亡的力量；也或者病毒才是死亡的力量，不管怎样，杀毒软件是一种不可或缺的东西。我用过的一些杀毒软件，和我体验试用，或者给求助的朋友安装或者卸载的，都有我的一点感受，写出来，给大家一点思路，选择一个更适合自己用的杀毒软件。

在介绍之前，先简单结合自己的理解和引用一些文章，来说点技术性的知识：
一、杀毒软件引擎与病毒库的关系
      其实病毒库与杀毒引擎没有直接的关系，杀毒引擎的任务和功能非常简单，就是对指定的文件或者程序进行判断其是否合法。而病毒库，只不过是对杀毒引擎的一种补充，也就是说：“我们没有足够聪明的杀毒引擎来完成这个过程”，那个过程，就是杀毒引擎对文件或者程序判断。明白这一点，就应该知道，好的杀毒软件，重要在引擎的优秀，病毒库只不过是补充，而且病毒库越大，杀毒速度肯定会降低。因为那个过程，是引擎把判断能力交给病毒库，用病毒库与指定的文件进行对比判断。
二、加壳、脱壳（此段完全引用）
      1.什么是加壳:所谓加壳，是一种通过一系列数学运算，将可执行程序文件或动态链接库文件的编码进行改变（目前还有一些加壳软件可以压缩、加密驱动程序），以达到缩小文件体积或加密程序编码的目的。
      当被加壳的程序运行时，外壳程序先被执行，然后由这个外壳程序负责将用户原有的程序在内存中解压缩，并把控制权交还给脱壳后的真正程序。一切操作自动完成，用户不知道也无需知道壳程序是如何运行的。一般情况下，加壳程序和未加壳程序的运行结果是一样的。
      如何判断一个可执行文件是否被加了壳呢？有一个简单的方法（对中文软件效果较明显）。用记事本打开一个可执行文件，如果能看到软件的提示信息则一般是未加壳的，如果完全是乱码，则多半是被加壳的。我们还可以使用一款叫做Fileinfo的工具来查看文件具体加的是什么壳。目前，较常见到的壳有“UPX”、“ASPack”、“PePack”、“PECompact”、“UPack”、“NsPack”、“免疫007”、“木马彩衣”等等。
      为什么黑客能够利用加壳技术来对抗反病毒软件呢？众所周知，目前杀毒软件主要依靠特征码技术查杀病毒。由于加壳软件会对源文件进行压缩、变形，使加密前后的特征码完全不同。
      脱壳能力不强的杀毒软件，对付“加壳”后病毒就需要添加两条不同的特征记录。如果黑客换一种加壳工具加壳，则对于这些杀毒软件来说又是一种新的病毒，必须添加新的特征记录才能够查杀。如果杀毒软件的脱壳能力较强，则可以先将病毒文件脱壳，再进行查杀，这样只需要一条记录就可以对这些病毒通杀，不仅减小杀毒软件对系统资源的占用，同时大大提升了其查杀病毒的能力。
      2. 脱壳
      马甲”能穿也能脱。相应的，有加壳也一定会有解壳（也叫脱壳）。脱壳主要有两种方法：硬脱壳和动态脱壳。
      第一种，是硬脱壳，这是指找出加壳软件的加壳算法，写出逆向算法，就像压缩和解压缩一样。由于，目前很多“壳”均带有加密、变形的特点，每次加壳生成的代码都不一样。硬脱壳对此无能为力，但由于其技术门槛较低，仍然被一些杀毒软件所使用。
      第二种，是动态脱壳。由于加壳的程序运行时必须还原成原始形态，即加壳程序会在运行时自行脱掉“马甲”。目前，有一种脱壳方式是抓取（Dump）内存中的镜像，再重构成标准的执行文件。相比硬脱壳方法，这种脱壳方法对自行加密、变形的壳处理效果更好。
三、虚拟机脱壳引擎（VUE）技术（此段完全引用）
      对于病毒，如果让其运行，则用户计算机就会被病毒感染。因此，一种新的思路被提出，即给病毒构造一个仿真的环境，诱骗病毒自己脱掉“马甲”。并且“虚拟环境”和用户的计算机隔离，病毒在虚拟机的操作不会对用户计算机有任何的影响。
     “虚拟机脱壳”技术已经成为近年来全球安全业界公认的、解决这一问题的最有效利器。但由于编写虚拟机系统需要解决虚拟CPU、虚拟周边硬件设备、虚拟驱动程序等多个方面的困难，即使有雄厚的研发实力，也未必能在短时间内达到实用的程度。
四、启发式杀毒（启发式代码扫描技术，完全引用）
      病毒和正常程序的区别可以体现在许多方面，比较常见的如通常一个速应用程序在最初的指令是检查命令行输入有无参数项，清屏和保存原来屏幕显示等，而病毒程序则从来有会这样做，它通常最初的指令是直接写盘操作、解码指令，或搜索某路径下的可执行程序等相关操作指令序列。这些显著的不同之处，一个熟练的程序员在调试状态下只需一瞥便可一目了然。启发式代码扫描技术实际上就是把这种经验和知识移植到一个查病毒软件中的具体程序体现。
　　启发式指的“自我发现的能力”或“运用某种方式或方法去判定事物的知识和技能。”一个运用启发式扫描技术的病毒检测软件，实际上就是以特定方式实现的动态高度器或反编译器，通过对有关指令序列的反编译逐步理解和确定其蕴藏的真正动机。例如，如果一段程序以如下序列开始：MOV AH ,5/INT,13h，即调用格式化盘操作的BIOS指令功能，那么这段程序就高度可疑值得引起警觉，尤其是假如这段指令之前不存在取得命令行关于执行的参数选项，又没有要求用户交互性输入继续进行的操作指令时，可以有把握地认为这是一个病毒或恶意破坏的程序。
      启发式杀毒代表着未来反病毒技术发展的必然趋势具备某种人工智能特点的反毒技术，向我们展示了一种通用的、不需升级（较省需要升级或不依赖于升级）的病毒检测技术和产品的可能性，由于诸多传统技术无法企及的强大优势，必将得到普遍的应用和迅速的发展。资料显示，目前国际上最著名的排名在前五名的反病毒软件产品均声称应用了这项技术，从来自不同机构和出处的评测结果来看，纯粹的启发式代码分析技术的应用（不借助任何事先的对于被测目标病毒样本的研究和了解），已能达到80%以上的病毒检出率， 而其误报率极易控制在0.1%之下，这对于仅仅使用传统的基于对已知病毒的研究而抽取“特征字串”的特征扫描技术的查毒软件来说，是不可想象的，一次质的飞跃。在新病毒，新变种层出不穷，病毒数量不断激增的今天，这种新技术的产生和应用更具有特殊的重要意义。
五、杀毒引擎介绍（网上关于著名的五大杀毒引擎介绍很多，简单写几句，其他引用）
1.诺顿：诺顿的引擎采用了系统最底层的核心驱动方式，应该说是最安全、最高级、最稳定的方式，但是需要微软的系统核心代码，如果说系统工作的步骤是3-2-1，那么诺顿便是这种方式工作。
      首创实时监控技术，还知道微软的代码。大家都说诺顿不好，其实诺顿的引擎很强大。从最底层保护计算机，所以运行起来不太快，只是杀毒理念不同，才让诺顿不适合个人用户。它主要以隔离为主，防止企业文件被删除。因为有些被病毒感染了的文件根本不能完全杀毒。直接删除又会破坏文件，所以诺顿最适合企业用户选择。
2.McAfee：咖啡的工作方式相对与诺顿，叫做硬件虚拟层，3-2-1-1-2，其他的绝大多数是3-2-1-1-2-3。咖啡采用启发式杀毒+虚拟脱壳，启发和虚拟技术是非常高的。
      主要能力放在防毒上，也用了虚拟脱壳技术，基本所有壳都可以干掉，现在知道为什么它这么火了吧，北斗的壳，我不知道能不能干掉，但它的虚拟技术没有DR.WEB的好，用加密XTA算法（基本与DES一样很难破解）写的病毒，它和卡巴就都废掉了。
3.熊猫：西班牙的东东，全球第一个自动升级的，人家的引擎也相当不错，速度绝对一流，查杀彻底，但病毒库有点欧洲化，所以在中国用着不太好用，占内存很大，金山好像现在就在仿熊猫，监控好像不是，杀毒和升级都是仿造熊猫的，金山的监控很LJ，你用用就知道了。
4.卡巴斯基：..........废话免了。
5.Dr.Web:俄罗斯国家科学院合作开发的，军方和克里姆林宫专用。启发式加虚拟脱壳，北斗的壳，外面再加壳，加跳针也可以干掉，占用内存很少。可以说是最强的引擎。对付变种病毒和木马最好了。可以干掉加密XTA算法。清除极其复杂的病毒。
************************************************

下边开始我个人对正在使用和有点感受的各种杀软介绍，有很多我对某些杀软的个人看法

一、McAfee(迈克菲，俗称咖啡或卖咖啡)
      我最喜欢的杀软，说它防护能力第一并不算过分。在我使用的感受中，我进行了优化，只保留了主监控，但是也足够强大。对于病毒，它允许在硬盘上存在。但是，当你鼠标只想病毒文件，单击一下，咖啡的监控马上会让你想要执行双击行为变得极为困难，不停的提醒你杀毒。而网页上的脚本，木马，咖啡都会让你有放心的警觉。而压缩的病毒样本，当你解压的时候，可能就无法实现了，因为解压的病毒文件已经被咖啡干掉了。
      我还曾经试过，用一个绿色版的某杀软扫描，扫描到我强硬放置的病毒文件时，咖啡报毒并删除了，而用来扫描的杀软却什么也没有用发现。对于咖啡的防护能力，我想不用说更多了！
      杀毒能力：很多人认为咖啡的杀毒能力弱，其实我并不觉得，咖啡的启发式杀毒做的非常优秀，根据文件或者程序的行为特性来判断是否是病毒，再加它的很成熟的虚拟脱壳技术，脱壳杀马能力也是非常强大。某些专业的杀毒的测试中，杀壳能力有的甚至超过卡巴斯基。而我个人认为：杀毒能力弱也只是相对于蜘蛛，或者稍弱于卡巴！
      系统资源占用：很多人说咖啡的进程数太多，内存占用太大。我想，如果所有默认的都开启，确实是那样。但是，又有几个人会把杀毒软的所有默认功能都开启呢？我写过McAfee2006和2007个人版的优化设置方法。设置之后，咖啡的系统资源占用是很少的，至少我的赛扬1.0+256内存老爷车，安装了咖啡个人版的杀毒+防火墙套装并优化后，虽然保留了6个进程，但XP系统跑起来很流畅。2006个人版杀毒+防火墙占用硬盘空间不到35MB. 2007我还没有正式用，但感觉有点不如2006版厚道了！
      防火墙：智能性非常好，不需要那么烦琐的设置，非常简单设置规则就够了，这是我的感觉，我用的墙不多。至少一点：咖啡的规则设置为严格（更严格一级便是锁定断开网络），连接PPLive网络电视，一点不卡。其他的我试用过的防火墙，正常的网络连接很多都麻烦。
      企业版对比：咖啡的企业版拥有更多的拥趸，但是我认为，企业版的那些设置规则，是需要网管设置好，然后给菜鸟用的。我不喜欢，因为杀软和防火墙，我认为智能性是第一的，所以我只推荐个人版，而且个人版的杀毒和监控能力，跟企业版同样的强大。
      缺点：
      1.没有自带的卸载程序，即使用非常优秀的卸载工具，也很难卸载干净，网上所谓的专用卸载工具也更不可能,卸载后，注册表一定要手动清理才行。
      2.有些流氓软件，他不报毒，而且和平相处，比如：yahoo!
      3.咖啡的扫描速度虽然还可以，但是扫描器的启动速度很慢，需要忍受！
二、Dr.Web(蜘蛛)
      蜘蛛是世界第一的杀毒引擎，我觉得这毫无疑问！他的启发式扫描技术和虚拟脱壳技术都是第一的，似乎还没有什么壳可以绕过蜘蛛。另外，2006年末和07年初这阵子特猖狂的熊猫烧香病毒，灭掉了卡巴、咖啡、冰刃等等著名的杀毒软软件和辅助工具，而Dr.Web及采用Dr.Web引擎的驱逐舰杀毒软件，由于其引擎的优越性，是很少几个没有被病毒关闭的著名杀软。
      在我的电脑中，一直有蜘蛛的绿色版，而且便于朋友使用，我特意弄了一个汉化界面和英文原版界面，并总结了一点升级和汉化界面使用说明。在杀毒处理设置中，我全部采用了移动指定文件夹的方式，目的就是用它来抓取病毒样本。
      在一次帮人弄毒入膏肓电脑时，我先用了别的杀软在安全模式中扫描，可虽然也杀出上百个病毒，但是却总是被病毒中途关闭或者扫描到某病毒程序是，无法杀毒而引擎停止。或许是病毒太强了，有写入系统服务的DDos、backdoor,还有威金，mplay.com、流氓软件、常见木马等等。没办法请出Dr.Web，安全模式下不到20分钟的扫描后，抓取病毒样本71个，另外直接灭掉病毒110多个，再修复了一下注册表，系统恢复了！蜘蛛杀毒能力到底多么强大，我看也不必多说了！
      资源占用：蜘蛛的监控能力如何我不知道，有人说有点烂，我不知道，我不用，但肯定的是：资源占用很少，文件体积也很小，我的绿色版还不到10MB。
      驱逐舰杀毒软件：驱逐舰完全是买的蜘蛛的杀毒引擎，虽然Dr.Web不可能把核心技术卖出去，但是驱逐舰肯定足够强大了，脱壳能力在某些专业网站评测肯过卡巴斯基，用来当作蜘蛛的汉化版本使用也可以推荐！
三、Kaspersky卡巴斯基
      网上一句话很中肯：卡巴斯基被神化了！卡巴杀毒能力确实是很强的，但是其引擎的优秀性，比蜘蛛还差一大截，我也使用过卡巴斯基，由于机器配置太差，没法使用，所以我用的时间很短。但我对这个杀软还算比较了解。正因为很多人对他过分推崇，所以，我很多时候都在挑卡巴的缺点，目的其实是让人正确认识卡巴斯基这个优秀的杀毒软件。
      杀毒方式：卡巴杀毒的方式，第一依据不是文件或者程序行为的判断，而是病毒库。卡巴病毒库非常的优秀，病毒库与引擎结合的也非常好，但是感觉卡巴太过依赖他的病毒库了，强势的地方反而是缺陷。所以，他的脱壳能力，有的时候却不如咖啡！卡巴的拥护者可能不愿承认，但事实不可否认！综合来说，卡巴的杀毒能力仅弱于蜘蛛，其他的包括模仿者都还要差点火候！
      监控能力：卡巴的后台监控能力弱，这是不可否认的。比如开启迅雷等下载工具的监控，一个含有病毒的压缩包下载后就会被卡巴删除。但是如果关闭卡巴的下载后扫描，压缩病毒包下载到硬盘后，卡巴的监控就差了很多，可能你会很容易把病毒解压出来，或者双击运行病毒文件，卡巴都没法组织病毒发作，只能是这时候发现病毒，怎么办？这时候才是真正的卡巴斯基，杀毒！所以，卡巴更适合玩家，对于有重要资料的人，并不太适合！
      资源占用：卡巴占用系统资源实在太多了，网上有些拥趸似乎不承认，认为自己优化一下就没问题。但是任何事情都是相对的。在一台纯净的系统上，安装卡巴斯基后，不管你怎么优化，只要主监控打开，你去对比纯净系统看PF值增加，我想不承认卡巴浪费资源的人会闭嘴的！
四、Norton诺顿
      这个本应该是世界第一的杀毒软件，给我的感觉却很孱弱，有朋友用诺顿，虽然还没有被病毒干掉，但是病毒搞得电脑没法用，都说诺顿的监控能力如何如何，甚至应该是第一，但是我认为它比咖啡的监控差得远！
      网上评的缺点：1.误杀、误报率高；2.防火墙发现病毒后，提示信息无法关闭；3.升级慢。
      资源占用也很让人吃惊，杀毒能力也似乎不行，没有更深入研究过，无权多说......略过！但强烈反对！
五、Avast! Professional V4.7
      这个杀软我比较喜欢。只是我用的时候，没有太留心它的监控能力，只是杀毒能力不错，结合Ewido做系统保护是比较安全的组合。软件系统资源占用也让人满意。而它最值得推荐的莫过于DOS杀毒功能了。DOS是最好的杀毒环境，杀毒可以更彻底。但是DOS杀毒使用起来却很麻烦，比如需要软驱，软盘，或者现在先进一点的用U盘。而Avast,却只需要你界面设置下次系统启动前杀毒，就可以体验DOS杀毒了！这种方式也叫BootScan方式。国产的江民杀毒，从KV2006开始，便增加了这种方式，应该是学习，至少说是参考了Avast的吧！
      推荐给手动杀毒能力弱的用户！
六、KV江民杀毒
      让人惋惜的国产杀毒软件，科技发展的今天，不前进就等于后退。江民KV2005还是值得怀念，至少那时候我用它，系统虽然也时常有点病毒，但是都是小问题，启动江民引擎扫毒就可以了。启动速度、杀毒速度都比较快，资源占用都不大，在国内，杀毒能力也足够强大了。但是2006、2007除了功能增加，比如BootScan（不过是DOS杀毒而已，这个名词纯粹炒概念），但是杀毒能力上，却似乎没有增强了。
      江民的一些特殊病毒专杀工具等还是不错的，可以推荐，比如威金的专杀！
七、瑞星
      这个无耻的家伙我不得不多说。用卑劣的手段做宣传，获得政府的支持，银子赚了，却没有去搞技术研发，引擎仍然那么烂！瑞星的监控实在是觉得很差很弱智：记得我用的时候，遇到很明显的病毒时，瑞星监控：怀疑是病毒，是否杀毒？（搓鸟，这事还需要怀疑！）,ok,下次同样处理，杀毒！！过会儿，又是那毒，怀疑，杀否？（KAO，我很忙，这么笨还杀毒干嘛？还总出来对话框耽误我用电脑）
      刘旭时代，起码瑞星还能杀杀自己放出去的病毒，而现在呢？可能瑞星公司里连可以写出像样病毒的人都没有了吧？网上流传瑞星公司的程序员自爆内幕，造成磁盘自检错误的问题并非完全捏造。再看下边这段瑞星2007的技术分析，您，还用瑞星吗？（以下关于瑞星的引用）
---------------------------------------------------------------
《电脑安防论坛》->『国内杀软』->瑞星2007虚拟脱壳引擎测试评价（论坛版主：mervynlove）
      http://www.dn66.net/read.php?tid-11852.html   
      单纯从虚拟机技术上说，瑞星的VM是很不错的，但从杀毒产品上来说，比较失败。瑞星当初为了对付以后可能存在的加壳病毒而研究虚拟机，应该说是比较有眼光和远见的，但经过多年直到今日，这个庞大的脱壳虚拟机只是为了应付商业宣传，从具体杀毒效果上来说，对上，比不过卡巴的脱壳引擎，比如卡巴基本是静态脱壳，速度极快、脱壳类型极多、且这个引擎与他们自身病毒库高度结合；也不比木马克星之类的末流木马查杀工具，因为当前木马病毒技术含量急速下降，外加某些特定原因，造成事实上大量传播的危害性木马采用同种文件体，也就是说查杀时候甚至不需要脱壳(即使他们本身有壳)。反观瑞星这个虚拟机模块，不仅臃肿，而且速度不够快，且仅能对付一般的压缩壳，数年时间闭关研制这个所谓的高级技术，也导致该模块与病毒库之间的脱节、耦合性非常差。
---------------------------------------------------------------   
八、金山毒霸
      我的电脑也可以说裸奔过，是开了一个金山网镖2006，那种情况可以做一个不好听的比喻：那等于是戴着安全套裸奔！使用分析？？浪费口水！！！
九、AST(超级巡警)
      这个号称国内黑客开发的，弥补传统杀毒软件不足的杀软西，虽然能力还差很多，但我还是想支持一下！
      我对它的使用，更多是用作杀毒辅助工具，他的很多启动查看功能，系统服务查看等功能，在杀毒的时候很方便，直接定位到病毒去手动杀。
      内存占用还可以，启动时占用比较高，运行稳定后会降下来，官方绿色版的体积很小，6.2mb左右，监控灵敏性也很好。杀毒能力差点，某次给人杀毒时，安全模式下，遇到某毒无法删除时，引擎也停止了，结果我用手动方式强制删除对应的那个病毒程序后，引擎再次开始运行。看来能力还是弱了一点！
      最新的V3正式版，启动速度改善很明显，不知道是否还会有引擎被病毒卡死的问题，但是有一点，引擎增加了应用程序规则的功能，而这些，还是6.25mb的体积内的，我很推荐这个软件！
      当然，2006年末到07年初这些时间里，熊猫烧香这个著名的毒王，却是超级巡警最先截获，最先开发了专杀工具，最终提出了彻底解决办法！无论怎样，国产的东西如果厚道的，确实去搞技术研发的软件，我是支持的！
十、其他
这些我没有用过，只是个别有人求我远程杀毒，或者朋友用的说不错的，我相信朋友的话，简单提一下：
1.费尔托斯特----国产的杀软，之前不支持杀壳，最新的2007还不了解！朋友是说这款国产杀软是很不错的！
2.东方微点------瑞星原开发人刘旭，最新研发的综合安全防御软件，但是看他的介绍中：首创动态仿真反病毒专家系统等，又是炒概念，启发式杀毒而已，但是国产的新技术，当一回东方微点的小白鼠又有何妨呢？
3.eTrust-------CA公司的杀毒软件+防火墙功能，2006年杀软排行第九名的，自称：系统资源占用的小巧强悍的杀毒软件，也用了启发式杀毒，而且据说防护功能做的很好！我个人推荐使用！
4.NOD32--------国外权威机构的评测很高，微软御用了四年的杀毒软件。网上的有点评价：1.占用资源较小；2.防毒能力强；3.它可以在文件下载过程中就检测出是否感染了病毒，包括rar、zip中的文件（典型的启发式杀毒）；4.扫描速度超快。

yinznet

转的,诸位可以讨论下

绅博周幸

3.eTrust-------CA公司的杀毒软件+防火墙功能，2006年杀软排行第九名的，自称：系统资源占用的小巧强悍的杀毒软件，也用了启发式杀毒，而且据说防护功能做的很好！我个人推荐使用！
[:09:] [:09:] [:09:]

靠，这个也能推荐使用？？？？？CA的杀软在中国几乎没用，上次用CA去绅博样本区测了100多病毒样本，居然只报2个，2005年的木马还没有查到哪，可见其病毒库的差劲。

jpzy

3.eTrust-------CA公司的杀毒软件+防火墙功能，2006年杀软排行第九名的，自称：系统资源占用的小巧强悍的杀毒软件，也用了启发式杀毒，而且据说防护功能做的很好！我个人推荐使用！

这个就算了吧！貌似它的东西都是oem别人的，自己加个界面包装包装！！

说的还不错！不过个人感觉对大蜘蛛有点神话了！！

剑指七星

对于大蜘蛛的描述  很透彻

great3063

我用过麦咖啡的个人版，觉得和别的杀毒软件业没啥两样，而企业版的规则制定 则将选择权放在了用户手里，感觉在性能上有很大的延展性，而且网上各种规则包都有，完全可以下一个在稍微DIY一下，就不用太管它了，或许过段时间你就把杀软这回事忘了。

qzw1213

麦咖啡的个人版实在太智能了，包括防火墙

大蒜陀

赛门铁克没那么弱,4亿用户就是证明,我装得就是,感觉比卡巴好得多,就是占用资源大,512M内存没问题.卖咖啡和江民是我给别人装得软件,杀毒表现暂时比KV江民要差,还是有好多人稀罕卖咖啡的.什么时候深入研究一下.