admin管理员组

文章数量:1130349

转贴，原创作者: Kendall  
一、杀毒软件引擎与病毒库的关系

首先必须指出杀毒软件的引擎与其病毒库并没有什么直接的关系。杀毒引擎的任务和功能非常简单，就是对于给定的文件或者程序进程判断其是否是合法程序（对应于杀毒软件厂商自己定义的正常和非异常程序规范而言。正常的程序规范是指在程序所在系统平台上操所系统本身洗净有定义的或者业界已经公认的程序行为过程，比如操作系统正常运行就必须要求应用程序与系统核心进行进程响应并与交换相关数据。非异常程序活动是指可能存在非法程序操作结果但能够以较高的置信度确定其非非法程序活动规范的。一般情况下，相关文件的复制，移动，删除等都奔包括在该界定范围内）。

我们知道病毒的最终目的有些是与合法活动很类似的，在这种情况下，要求软件厂商必须自己有一个行为规范界定规则，在一个给定的范围和置信度下，判断相关操作是否为合法。在这方面，各个厂商的界定是有区别的，一般而言非美国厂商界定是非常严格的，只有有很高的置信水平的程序行为，他们才判别为非病毒操作。记得前一阵论坛上有人给了四段简单的代码，很多杀毒软件将其判为病毒或有病毒性质的文件行为，实际上看那几段代码可以知道，其结果并不足以视之为病毒。美国厂商一般判断比较复杂，这主要由于美国市场上的杀毒软件引擎来源比较复杂，比如Norton，有足够的技术资料确信它的杀毒软件引擎是自成体系的，而 Mcafee则存在一定的外界技术引进（收购所罗门）。
二、病毒技术浅析

要讨论怎样反病毒，就必须从病毒技术本身的讨论开始。正是所谓“知己知彼，百战不殆”。很难想象一个毫无病毒写作经验的人会成为杀毒高手。目前国内一些著名反病毒软件公司的研发队伍中不乏病毒写作高手。只不过他们将同样的技术用到了正道上，以毒攻毒。当今的病毒与DOS和Win 3.x时代下的从技术角度上看有很多不同。最大的转变是：引导区病毒减少了，而脚本型病毒开始泛滥。原因是在当今的操作系统下直接改写磁盘的引导区会有一定的难度（DOS则没有保护，允许调用INT13直接写盘），而且引导区的改动很容易被发现，并且微软在设计操作系统时加强了对引导区的程序行为管理，写一个完美的引导区病毒难度很大，所以很少有人再写了；而脚本病毒以其传播效率高且容易编写而深得病毒作者的青睐。但是最最落后的杀毒引擎也就是只基于静态代码的杀毒引擎都能干掉该种病毒（病毒库搞好就行）。

要讨论的技术主要来自于二进制外壳型病毒（感染文件的病毒），并且这些技术大都和操作系统底层机制或386以上CPU的保护模式相关，值得研究。DOS下的外壳型病毒主要感染 16位的COM或EXE文件，由于DOS没有（文件和引导区）保护，它们能够轻松地进行驻留，减少可用内存（通过修改MCB链），修改系统代码，拦截系统服务或中断。而到了WIN9X和WINNT/2000时代，搞个运行其上的32位Windows病毒变得难了点。由于存在页面保护，你不可能修改系统的代码页（如果你强到连操作系统代码都能改，偶无话可说）。由于I/O许可位图中的规定，你也不能进行直接端口访问。在Windows中，你不可能像在 DOS里那样通过截获INT21H来拦截所有文件操作。总之，当你以一个用户态权限运行，你的行为就会受到操作系统严格的控制（在Win XP中，这种权限管理极为严格，分成了好几个等级）。Windows下采用的可执行文件格式和DOS下的EXE文件截然不同（普通程序采用PE，驱动程序采用LE格式），所以病毒的感染文件的难度增大了（PE和LE比较复杂，中间分了若干个节，如果感染错了，将导致文件不能继续执行）。当今病毒的新技术太多，随便介绍几个。

1、系统核心病毒

386及以上的X86 CPU实现了4个特权级模式（Windows只用到了其中两个），其中特权级0（Ring0）是留给操作系统代码，设备驱动程序代码使用的，它们工作于系统核心态；而特权极3（Ring3）则给普通的用户程序使用，它们工作在用户态。运行于处理器核心态的代码，不受任何的限制，可以自由地访问任何有效地址，进行直接端口访问。而运行于用户态的代码则要受到处理器的诸多限制，它们只能访问映射其地址空间的页表项中规定的在用户态下可访问页面的虚拟地址，且只能对任务状态段（TSS）中I/O许可位图（I/O Permission Bitmap）中规定的可访问端口进行直接访问（此时处理器状态和控制标志寄存器EFLAGS中的IOPL通常为0，指明当前可以进行直接I/O的最低特权级别是Ring0）。以上的讨论只限于保护模式操作系统，像在DOS这种实模式操作系统里，则没有这些概念，其中的所有代码都可被看作运行在核心态。既然运行在核心态有如此之多的优势，那么病毒当然没有理由不想得到Ring0。处理器模式从Ring3向Ring0的切换发生在控制权转移时，有以下两种情况：访问调用门的长转移指令CALL，访问中断门或陷阱门的INT指令。现代操作系统通常使用中断门来提供系统服务，通过执行一条陷入指令完成模式切换。在X86处理器上，这条指令是INT；在Win 9X下是INT30（保护模式回调）；在Linux下则是INT80；在Win NT/2000下是INT2E。用户模式的服务程序（如系统DLL）通过执行一个INTXX来请求系统服务，然后处理器模式将切换到核心态，工作于核心态的相应的系统代码将服务于此次请求，并将结果传给用户程序。

在最新发布的Win XP SP2中，采用了“数据执行保护”（DEP）技术。这是一种基于处理器支持的内存页面保护技术，它将更为严格地控制用户访问的权限，它禁止在标记为数据存储的内存区域中执行代码。当某些程序或病毒尝试运行标记的数据页中的代码时，就会立即发生异常并禁止执行代码。这可以防止攻击者使用代码致使数据缓冲区溢出，然后执行该代码。

2、驻留病毒
驻留病毒是指那些在内存中寻找合适的页面并将病毒自身拷贝到其中且在系统运行期间能够始终保持病毒代码的存在。驻留病毒比那些直接感染（Direct- Action）型病毒更具隐蔽性，它通常要截获某些系统操作来达到感染传播的目的。进入核心态的病毒，可以利用系统服务来达到此目的。如CIH病毒，就通过调用一个由VMM导出的服务VMMCALL _PageAllocate在大于0XC0000000的地址上分配一块页面空间。而处于用户态的程序要想在程序退出后仍驻留代码的部分于内存中似乎是不可能的，因为无论用户程序分配何种内存都将作为进程占用资源的一部分，一旦进程结束，所占资源将立即被释放。所以我们要做的是分配一块进程退出后仍可保持的内存。

另外，还可以通过修改系统动态连接模块（DLL）来进行驻留。Win 9X下系统DLL（如Kernel32.dll 映射至BFF70000）处于系统共享区域（2G-3G），如果在其代码段空隙中写入一小段病毒代码则可以影响其它所有进程。但Kernel32.dll 的代码段在用户态是只读的。所以，必须通过特殊手段修改其页保护属性。在Win NT/2000/XP系统里，DLL所在的页面被映射到进程的私有空间（如Kernel32.dll映射至77ED0000）中时，具有写时拷贝属性，即没有进程试图写入该页面时，所有进程将共享这个页面；而当一个进程试图写入该页面时，系统的页面错误处理代码将检查到该异常进程，并给它分配一个新页面，并拷贝原页面内容于其上，且更新进程的页表以指向新分配的页。这种共享内存的优化给病毒的写作带来了一定的麻烦，病毒不能象在Win 9X下那样仅仅修改Kernel32.dll一处代码便一劳永逸。它需要利用WriteProcessMemory，向每个进程映射 Kernel32.dll的地址写入病毒代码，这样每个进程都会得到病毒体的一个副本，这被称为多进程驻留或每进程驻留（Muti-Process Residence or Per-Process Residence）。

在如今的病毒设计中，那些传统的挂钩――捆绑方法并不很受欢迎，原因在于新的操作系统里，许多函数规则是不可预知的。所谓的”黑箱“设计，使得设计人员更偏爱系统级别的线程捆绑，或更直接的接管权限控制的方法。采用最复杂的线程捆绑技术，甚至可以使杀毒软件和防火墙得不到足够的信息来区分一个程序是否合法。更高级别的抢夺权方法，甚至可以结束所有杀毒软件的进程，包括卡巴斯基所采用的受保护的内存线程技术。

普通病毒是通过将自身附加到宿主尾部（如此一来，宿主的大小就会增加），并修改程序入口点来使病毒得到击活。但现在不少病毒通过使用特殊的感染技巧，能够使宿主大小及宿主文件头上的入口点保持不变。附加了病毒代码，却使被感染文件大小不变听起来让人不可思议。其实，它利用了PE文件格式的特点：PE文件的每个节之间留有按簇大小对齐后的空洞，病毒体如果足够小，则可以将自身分成几份并分别插入到每个节最后的空隙中，这样就不必额外增加一个节，因而文件大小可以保持不变。著名的CIH病毒，正是运用这一技术的典型范例（它的大小只有1K左右）。

病毒在不修改文件头入口点的前提下，要想获得控制权并非易事：入口点不变，意味着程序是从原程序的入口代码处开始执行的，病毒必须要将原程序代码中的一处修改为导向病毒入口的跳转指令。一些查毒工具通过扫描可执行文件头部的入口点域，如果发现它指向的地方不正常，即不在代码节而在资源节或重定位节中，则有怀疑文件感染了某种病毒。而病毒界中的EPO（入口点模糊）技术，则可以很好的对付这样的扫描，同时它还是反虚拟执行的重要手段。

另外，值得一提的是现在不少病毒已经支持对压缩文件的感染。如Win32.crypto病毒就可以感染ZIP，ARJ，RAR，ACE，CAB等类型的压缩文件。这些病毒的代码中，含有对特定压缩文件类型解压并压缩的代码段，可以先把压缩文件中的内容解压出来，然后对合适的文件进行感染，最后再将感染后文件压缩回去并同时修改压缩文件头部的校验和。目前不少反病毒软件都支持扫描多种格式的压缩文件，但是对有些染毒的压缩文件无法杀除。

目前，杀毒软件在对待加壳病毒的时候，表现比较差的是瑞星。可能是瑞星的杀毒引擎对加壳的程序不灵敏，瑞星自己甚至加壳了很多病毒放到病毒库里。

用简单的话说，杀毒引擎就是一套判断特定程序行为是否为病毒程序（包括可疑的）的技术机制。一个完整的技术引擎遵守如下的行为过程：

⑴非自身程序行为的程序行为捕获。包括来自于内存的程序运行，来自于给定文件的行为虚拟判断，来自于网络的动态的信息等等。一般情况下，我们称之为引擎前端。捕捉的方法非常多，除Norton以外的杀毒软件采用的都是行为规范代码化的方法。Norton由于与微软有远远高于其它厂商合作关系，其实现过程比较独特，另有叙述。
⑵基于引擎机制的规则判断。这个环节代表了杀毒引擎的质量水平，一个好的杀毒引擎应该能在这个环节发现很多或者称之为相当规模的病毒行为，存而避免进入下一个判断环节。传统的反病毒软件引擎使用的是基于特征码的静态扫描技术，即在文件中寻找特定的十六进制字符串，如果找到，就可判定文件感染了某种病毒。但这种方法在当今病毒技术迅猛发展的形势下已经起不到很好的作用了。为了更好的发现病毒，相继开发了所谓的虚拟机，实时监控等相关技术。这个环节被叫做杀毒软件引擎工作的核心层。

⑶引擎与病毒库的交互作用。这个过程往往被认为是收尾阶段，相对于前两个环节，这个阶段速度是非常慢的，杀毒引擎与要将非自身程序行为过程转化为杀毒软件自身可识别的行为标识符（包括静态代码等），然后与病毒库中所存贮的行为信息进行对应，并作出相应处理。当然必须承认，当前的杀毒软件对大量病毒的识别都是在这个阶段完成的。因此一个足够庞大的病毒库往往能够弥补杀毒软件引擎的不足之处。但是必须意识到，如果在核心层阶段就可以结束并清除病毒程序，那么杀毒软件的工作速度将会大幅提升。“很可惜的是，当前我们没有足够聪明的杀毒引擎来完成这个过程”，这就是为什么有病毒库的原因。

Norton 是微软最高级的安全方面核心合作厂商，因此它的杀毒软件在某些方面工作比较特殊。比如在杀毒软件的安装，使用和功能实现方面，大部分厂商采用的是中间件技术，在系统底层与非自身应用程序之间作为中间件存在并实现其功能；另有一些厂商使用的是应用程序或者嵌入技术，相对而言这种方法安全性较低；Norton 和Mcafee实现方式比较相似，Norton采用了基于系统最底层的系统核心驱动，这种实现方式是最安全的或者说最高级的实现方式，当然这需要微软的系统源代码级的支持（要花许多money），业界公认，这是最稳定的实现方法，但从目前而言，只Norton一家。Mcafee实现方式与Norton很接近，一般称之为软件驱动。相当于在系统中存在一个虚拟“硬件”，来实现杀毒软件功能。这些实现方式关系着杀毒引擎对程序行为进行捕捉的方式。
我们使用的Intel系列处理器有两个 Ring层，对应两个层，微软的操作系统将系统中的所有行为分为如下几个层：

⑴最底层：系统核心层，这个层的所有行为都由操作系统已经内置的指令来实现，所有外界因素（即使你是系统管理员）均不能影响该层的行为。Norton的核心层既工作在这个层上。

⑵硬件虚拟层（HAL）。为了实现硬件无关性，微软设计了该层。所有的外部工作硬件（相对于系统核心而言）都进入HAL，并被HAL处理为核心层可以相应的指令。我们所使用的硬件的驱动程序既工作在该层上。当外界硬件存在指令请求时，驱动程序作出相关处理后传给核心层。如果无与之对应的驱动相应，那么将按照默认硬件进行处理。好像安全模式下硬件的工作就被置于默认硬件模式。Mcafee的杀毒软件，就被认为工作在HAL层上。

⑶用户层。我们所知的大部分杀毒软件既工作与该层上。一个完整的程序行为请求是如下流程：位于3户层上的应用程序产生指令行为请求，被传递至2HAL进行处理，最后进入1最底层后进入CPU的指令处理循环，然后反向将软件可识别的处理结果经1-2-3再响应给应用程序。对于Norton而言，其整个工作过程如下：3-2-1，完成；Mcafee：3-2-1-1-2，完成：其余：3-2-1-1-2-3，完成；这个环节代表了杀毒软件引擎的前端行为规范的获得。只从这个过程而言，Norton和Mcafee是比较先进的。具体到系统与CPU的Ring（）的对应，Win NT时代，微软的NT系统被设计成与四个Ring（）层相对应，RISC系列的处理器有四个Ring。因此现在的大部分杀毒软件是不能工作在NT上的。具体来说，CISC有四个Ring（），RISC有两个Ring（）。

尽管比较先进的工作方式给Norton和 Mcafee带来了较高的系统稳定性（HAL层很少出现问题，最底层出问题的几率接近于零），较快的响应速度（减少了环节），但同时也带来了一些问题： 1.资源占用比较厉害。在Mcafee上体现的不是很明显，在Norton上表现非常明显。因为对于越底层的行为，硬件资源分配越多。最好资源的是什么？当然是操作系统。应为它最最底层。2.卸载问题。卸载底层的组件出问题的概率是相对比较高的，因此Norton的卸载比较慢，偶尔还容易出问题。

因此，有人质疑微软Windows操作系统的不稳定性，是否会拖累Norton？实际上，Windows的内核层设计是非常优秀的，很多时候，操作系统的不稳定性来源于以下几个方面：

⑴应用程序设计不合理，许多程序设计者根本就未读过微软的32位程序设计指南，所设计的程序并不严格符合微软规范。我们看到，大量多年前设计的软件还能运行于最新的Win XP平台，原因很简单：这个软件在设计时完全遵循了微软的程序设计规范。

⑵驱动程序的编写有问题，与HAL层有冲突。

因此，片面地认为微软的操作系统将会影响Norton的稳定性是不合理的。
业界有人认为，先进杀毒软件的引擎设计已经日趋复杂，类如Norton这一类的厂商其产品的引擎应该已经覆盖了操作系统的各个层级，以提高防护能力。在一篇文档中有程序员提出有足够的信息认为Norton，Mcafee，趋势的产品自己修改了标准的系统相关协议，比如TCP/IP等，以达到所谓的完整防护的目的。NOD32的一篇官方文档，就指出，反病毒厂商有必要全面更新系统的诸多协议，以达到最快的速度和杀毒效果。
三、杀毒引擎的实现

杀毒引擎目前主流有以下一些实现方式：虚拟机技术，实时监控技术，智能码标识技术，行为拦截技术。其中，后面两个为近年来出现的技术。采用智能码标识技术的目的是提高杀毒速度并且预防未知病毒，但就现实而言，除了东方卫士不成功的试验外，其余厂商并未开发完全基于该技术的引擎，Norton的开发人员认为：“没有足够的技术手段来实现这种杀毒理念。而行为拦截技术（或者别的什么智能杀毒技术）也是一种预防未知病毒的方法，与虚拟机技术相似，通过对程序行为的分析来判断其是否为病毒。

对于未知病毒的判断，实际上代表着杀毒软件厂商在引擎研究方面的最高能力。业界公认，防止未知病毒是“代表研究水平的”。业界上，对于杀毒软件防止未知病毒能力是按照如下方法衡量的：以评测当日的杀毒软件最新版本为该厂商的供测试版本，未知病毒通常由以下途径得来：

⑴病毒作者提供。有些病毒作者在将自己的病毒发布前，也许为了炫耀技术，总爱送给一些业界的安全杂志供其评测（最佩服这种人）。

⑵专业研究实验室。大部分业界安全杂志都有自己的研究实验室，他们的研究人员会根据最新的趋势和技术手段及工具，编写一些病毒。一般情况下，这些病毒不会泄漏到网上。

⑶假病毒。一些类似于病毒行为的文件，程序等。测试的时候病毒库被置空（就是杀毒软件试图调用病毒库时采用程序方法向其返回一个空结果），在这种情况下进行测试。如果有人有兴趣，可以到病毒论坛上搞点新手写的小病毒（一般也就100-200行），弄上几十个拿自己的杀毒软件试一试，就会发现在平均状态下，从Norton病毒库被置空时起，对未知病毒判断能力还是挺强的。对于其他许多杀毒软件，就没有那么好远了，尤其在对付比较复杂的蠕虫病毒时，某些厂商的产品近乎全军覆没。
下面对杀毒引擎最主要的两种技术――虚拟机和实时监控进行介绍。

1、虚拟机
虚拟机，在反病毒界也被称为通用解密器，已经成为反病毒软件中最重要的组成部分之一。杀毒引擎中的虚拟机，和那些诸如VMWare的“虚拟机”是有区别的。

其实，对于虚拟机，其设计思想是有渊源可寻的。VMWare作为原操作系统下的一个应用程序，可以为运行于其上的目标操作系统创建出一部虚拟的机器，目标操作系统就象运行在单独一台真正机器上，丝毫察觉不到自己处于VMWare的控制之下。当在VMWare中按下电源键（Power On）时，窗口里出现了机器自检画面，接着是操作系统的载入，一切都和一台真正的计算机一样。至于Win XP，则是采用区域内存访问，来实现对16位程序的支持。 VM是一个完全由软件虚构出来的东西，以和真实电脑完全相同的方式来对应用程序所提出的需求进行响应。从某种角度来看，你可以将一部标准的PC的结构视为一套 API。这套API的元素包括硬件I/O系统，和以中断为基础的BIOS和MS-DOS。Win 9X常常以它自己的软件，来代理这些传统的API元素，以便能够对珍贵的硬件多重发讯。在VM上运行的应用程序认为自己独占整个机器，它们相信自己是从真正的键盘和鼠标获得输入，并从真正的屏幕上输出。稍被加一点限制，它们甚至可以认为自己完全拥有CPU和全部内存。

查毒引擎中的虚拟机，并不是像VMWare的工作原理那样，为待查的可执行程序创建一个虚拟的执行环境，提供它可能用到的一切元素，包括硬盘，端口等，让它在其上自由发挥，最后根据其行为来判定是否为病毒。（当然这是个不错的构想，但考虑到其设计难度过大，需模拟元素过多且行为分析要借助人工智能理论，因而只能作为以后发展的方向。）就目前而言，卡巴斯基在这方面做得还可以。而Mcafee的新产品中，则加入了一种缓冲区溢出保护技术，本质上其实也是一种虚拟技术。查毒引擎的虚拟机是一个软件模拟的CPU，它可以象真正CPU一样取值，译码，执行，可以模拟一段代码在真正CPU上运行得到的结果。给定一组机器码序列，虚拟机就会自动从中取出第一条指令操作码部分，判断操作码类型和寻址方式以确定该指令长度，然后在相应的函数中执行该指令，并根据执行后的结果确定下条指令的位置，如此循环反复直到某个特定情况发生以结束工作，这就是虚拟机的基本工作原理和简单流程。

设计虚拟机查毒的目的，就是为了对付加密变形病毒，虚拟机首先从文件中确定并读取病毒入口处代码，然后以上述工作步骤解释执行病毒头部的解密段（Decryptor），最后在执行完的结果（解密后的病毒体明文）中查找病毒的特征码。这里所谓的“虚拟”，并非是指创建了什么虚拟环境，而是指染毒文件并没有实际执行，只不过是虚拟机模拟了其真实执行时的效果。这就是虚拟机查毒基本原理。

早期病毒没有使用任何复杂的反检测技术，如果拿反汇编工具打开病毒体代码，看到的将是真正的机器码。因而可以由病毒体内某处一段机器代码和此处距离病毒入口（注意不是文件头）偏移值，来唯一确定一种病毒。查毒时，只需简单的确定病毒入口并在指定偏移处扫描特定代码串。这种静态扫描技术对付普通病毒是万无一失的。

随着病毒技术的发展，出现了一类加密病毒。这类病毒的特点是：其入口处具有解密子（Decryptor），而病毒主体代码被加了密。运行时首先得到控制权的解密代码将对病毒主体进行循环解密，完成后将控制交给病毒主体运行，病毒主体感染文件时会将解密子，用随机密钥加密过的病毒主体，和保存在病毒体内或嵌入解密子中的密钥一同写入被感染文件。由于同一种病毒的不同传染实例的病毒主体是用不同的密钥进行加密，因而不可能在其中找到唯一的一段代码串和偏移来代表此病毒的特征，似乎静态扫描技术对此即将失效。但是，因为不同传染实例的解密子仍保持不变机器码明文，所以如果应用特征码查毒技术，虽然有一定的误报风险（解密子中代码缺少病毒特性，同样的特征码也会出现在正常程序中），但仍不失为一种有效的方法。

由于加密病毒还没有能够完全逃脱静态特征码扫描，所以病毒写作者在加密病毒的基础之上进行改进，使解密子的代码对不同传染实例呈现出多样性，这就出现了加密变形病毒。它和加密病毒非常类似，唯一的改进在于病毒主体在感染不同文件会构造出一个功能相同但代码不同的解密子，也就是不同传染实例的解密子具有相同的解密功能但代码却截然不同。比如，原本一条指令完全可以拆成几条来完成，中间可能会被插入无用的垃圾代码。这样，由于无法找到不变的特征码，静态扫描技术就彻底失效了。在这种情况下，虚拟机技术将会派上用场。

2、实时监控
实时监控，其实并非什么新技术，早在DOS时代就出现了。在Windows下要实现实时监控决非易事，因为普通用户态程序是不可能监控系统的活动的，这也是出于系统安全的考虑。病毒实时监控普遍使用了驱动编程技术，让工作于系统核心态的驱动程序去拦截所有的文件访问。当然由于工作系统的不同，驱动程序无论从结构还是工作原理都不尽相同的，当然程序写法和编译环境更是千差万别了。上面提到的病毒实时监控，实质就是对文件的监控。除了文件监控外，还有各种各样的实时监控工具，都具有各自不同的特点和功用。现在流行的网络监控，邮件监控基本上是对文件监控的改进，革命性的改动没有。

病毒实时监控，其实就是一个文件监视器。它会在文件打开，关闭，清除，写入等操作时检查文件是否是病毒携带者，如果是则根据用户的决定选择不同的处理方案，如清除病毒，禁止访问该文件，删除该文件或简单地忽略。这样就可以有效地避免病毒在本地机器上的感染传播，因为可执行文件装入器在装入一个文件执行时首先会要求打开该文件，而这个请求又一定会被实时监控在第一时间截获到，它确保了每次执行的都是干净的不带毒的文件从而不给病毒以任何执行和发作的机会。以上仅仅是病毒实时监控的主要工作过程，设计上还存在以下几个难点：

⑴驱动程序的编写不同于普通用户态程序的写作，难度很大。
编写用户态程序时，你需要的仅仅就是调用一些熟知的API函数来完成特定目的，比如打开文件你只需调用CreateFile就可以了；但在驱动程序中，你将无法使用熟悉的CreateFile。在Win NT/2000下，你可以使用ZwCreateFile 或NtCreateFile（Native API），但这些函数通常会要求运行在某个IRQL（中断请求级）上，如果你对中断请求级或延迟/异步过程调用中非分页/分页内存的概念不清楚，那么你的驱动将很容易导致蓝屏死机。Ring0下的异常，将往往导致系统崩溃，因为它对于系统总是被信任的，所以没有相应处理代码去捕获这个异常。在Win NT下对KeBugCheckEx的调用将导致蓝屏的出现，接着系统将进行转储并随后重启。另外驱动程序的调试不如用户态程序那样方便，用象VC ++那样的调试器是不行的，你必须使用系统级调试器，如SoftIce，KD，TRW等。

⑵驱动程序与Ring3下客户程序的通信问题。
这个问题的提出是很自然的，试想当驱动程序截获到某个文件打开请求时，它必须通知位于Ring3下的查毒模块检查被打开的文件，随后查毒模块还需将查毒的结果通过某种方式传给Ring0下的监控程序，最后驱动程序根据返回的结果决定请求是否被允许。这里就存在一个双向的通信过程。
写过驱动程序的人，都知道一个可以用来向驱动程序发送设备I/O控制信息的API调用DeviceIoControl，它的接口在MSDN中可以找到，但它是单向的。既然无法找到一个现成的函数，实现从Ring0下的监控程序到Ring3下客户程序的通信，那么我们必须采用迂回的办法来间接做到这一点。为此，我们必须引入异步过程调用（APC）和事件对象的概念，它们就是实现特权级间唤醒的关键所在。

异步过程调用是一种当条件合适时，系统用来在某个特定线程的上下文中执行一个过程的机制。当向一个线程的APC队列排队一个APC时，系统将发出一个软件中断，当下一次线程被调度时，APC函数将得以运行。APC分成两种：系统创建的APC称为内核模式APC，由应用程序创建的APC称为用户模式APC。另外只有当线程处于可报警（Alertable）状态时才能运行一个APC。比如调用一个异步模式的ReadFileEx时可以指定一个用户自定义的回调函数FileIOCompletionRoutine，当异步的I/O操作完成或被取消并且线程处于可报警状态时函数被调用，这就是APC的典型用法。 Kernel32.dll中导出的QueueUserAPC函数，可以向指定线程的队列中增加一个APC对象，但这并不是我们要的那个函数。幸运的是，在 Vwin32.vxd中导出了一个同名函数QueueUserAPC，监控程序拦截到一个文件打开请求后，它马上调用这个服务，把Ring3下客户程序中需要被唤醒的函数的APC加入队列。这种APC唤醒法适用于Win 9X，在Win NT/2000下，我们使用全局共享的事件和信号量对象来解决互相唤醒问题。在Win NT/2000版监控程序中，我们利用KeReleaseSemaphore来唤醒一个在Ring3下客户程序中等待的线程。目前，不少反病毒软件已将驱动使用的查毒模块移到Ring0，即如其所宣传的“主动与操作系统无缝连接”，这样做省却了通信的消耗，但把查毒模块写成驱动的形式也会带来一些麻烦，如不能调用大量已知API，不能与用户实时交互，等等。

⑶驱动程序占用资源的问题。
如果由于监控程序频繁地拦截文件操作，而使系统性能下降过多，则这样的程序是没有存在价值的。一个成功的反病毒软件的监控程序，包含有提高性能的许多设置，如设置历史记录，内置文件类型过滤，设置等待超时等。



目前，病毒加密方式已经变得很强。对于基于Win NT内核的操作系统，应用程序文件-应用程序－操作系统之间的响应关系与Win 9X时代还是有一定区别的，特别是加入了很多线程级的权限控制，杀毒软件现在可以采用实时内存监控的方法来影射应用程序的活动。欧美的软件厂商之所以没有搞出那么多花样的监控方式，像什么“网页监控，聊天软件监控”，原因很简单，因为病毒能够起作用，就必须在内存中运行，因此良好的文件监控和内存监控技术足以解决病毒，国内搞出那么多名堂更多的是出于市场商业考虑。

毋庸置疑，现代杀毒软件引擎都是虚拟机技术和实时监控技术的复合体。由于各家研发人员所研究的方向不同，各产品的杀毒品质也非常迥异。比如Norton的杀毒理念就是在确保系统正常运行的前提下，控制最终消除可能影响系统稳定的因素；而有些厂商则认为杀毒软件应该最快的消除有害程序。业界一种获得公认的设计底线，是杀毒软件绝对不能因为杀毒导致系统崩溃，可惜的是现在很多厂商屡屡因此碰壁。
四、常见厂商杀毒引擎简介
1、Norton
Norton是我们最熟悉的杀毒软件之一。实际上，Norton杀毒软件在防止侦测方面做得并不是很好，很多病毒程序在子程序段中经常借鉴搞崩Norton的代码。希望在新版本中，Norton可以采用更强的自身防护技术。Norton的引擎似乎是完全自成封闭体系的，没有资料证实Norton曾经购买或者借鉴过别的杀毒引擎。有人甚至认为，不考虑病毒库因素，Norton的杀毒引擎相当先进，综合防护性能很好。据说，在微软内部，杀毒软件除了用Mcafee的，就是使用Norton的。从Norton的技术文档描述来看，Norton的杀毒引擎是传统的静态代码对应与实时监控的完美结合，有一些改进的虚拟机技术在里面（Norton的人并不怎么推崇虚拟机技术）。Norton的杀毒速度慢，源于Norton采用了较多的静态代码这种传统的检查方式有关。Norton的隔离机制还是不错的，对于一个文件，在没有确定完全正确的处理方式之前，删除是不应该被采用的。一个高手写的病毒，都尽可能的与系统进程相关，在这种情况下，隔离的优势立刻显现。Norton资源占用比较大，但实现了如下设计目标：能识别的病毒和被识别为病毒的进程完全可以正确处理，对于已经不可能产生破坏作用的“病毒尸体”不会产生误判，更不会出现出现一次又一次的在处理完某病毒后又检测其为病毒的状况。
很多人认为Norton企业版和个人板采用的引擎完全一致。这种理解不很正确。实际上，企业版在个人版的技术的基础上，还是有所改进的。企业版和个人版引擎的核心规则完全一样，但在前端文件汇入部分企业版是优于个人版的，企业版使用了更多的API接口。在大规模文件扫描时，企业版明显优于个人版。并且由于使用了负载技术，企业版资源占用还好一点。另外，据说企业版支持基于网络的多重负载技术。
2、Mcafee
记得看过一篇报道，说Mcafee收购过别的杀毒软件引擎设计公司，据说是所罗门。在网上，很少能看到对Mcafee杀毒引擎分析的技术文档，但从它自己宣传的资料看，Mcafee对虚拟机技术和实时监控研究得很彻底。比如，最近的那个“防止应用程序缓冲区溢出”的技术，是在不考虑硬件平台的情况下，虚拟机技术和实时监控技术结合的上乘之作，尽管实际上经常出现错误的溢出侦测（软件层面的放溢出技术确实不很稳定）。在处理大量文件时，Mcafee有一定的速度优势。

Mcafee自发布VSE8.0i以来，就着重于“前慑防范”这一新型的安全领域，并且Norton也在超这一方向迈进。“前慑防范”一共分为两个部分，其一为运用部分防火墙技术外加其入侵检测技术有效的阻断病毒的传播源，以至于病毒在传染的初期无法得到大面积的传播降低了危害性；其二为依靠其强大的特征码检测技术（Extra.dat）对病毒的行为方式、特征代码等进行检测，依靠它强大的研发团队以及策略联盟伙伴，使其在这一领域独树一帜。Norton 在其最新的NAV 2005中，也加入了一些原本属于防火墙的功能。至于Norton为什么没有采用特征码杀毒技术，据说是因为他们认为一个完美的特征码扫描技术能够达到根据用户的指定加入特定文件为病毒的目的，也就是当用户指定某个活动程序为病毒时，杀毒软件的引擎能够根据自身的规则为该活动程序定义一个特征码，并且在控制该活动程序时，能够有效地断绝其与系统正常进程的关联。在没有达到这个水平之前，Norton不会大规模采用特征码技术。从Mcafee的技术文档来看，Mcafee也只是有限度的试验性的研究该技术，并在比较有把握的地方应用。实际上，两家公司在这方面还有很长的路要走。

3、卡巴斯基
GZ论坛上被过度神话的杀毒软件。我个人非常尊重卡巴斯基的高水准，但说句实话，在不考虑资源占用的情况下，卡巴斯基并没有什么足够的理由能够让我放弃 Norton，二者的水平并没有什么差异。在稳定性上，卡巴斯基比Norton要差一些。由于早些年卡巴斯基的引擎曾经被泄漏（实际上泄漏的并不是初始源代码，只是泄漏的引擎可以比较容易的反编），因此网上可以找到很多关于卡巴斯基引擎的非常详细的技术分析，尤其是德国的病毒高手写的关于如何优化卡巴斯基杀毒引擎的文章，被认为是所有采用卡巴斯基引擎的杀毒软件厂商必看的文章之一。从网上大量的技术分析文档看，卡巴斯基的虚拟机技术是很优秀的，但是也有人认为卡巴斯基的良好的性能，来源于它非常庞大的病毒库和良好的升级速度，其杀毒引擎设计水平并不高于其余的公司。

卡巴斯基的引擎采用了所谓的单一形式的规则判断，众所周知，Norton是基于分类的规则处理。卡巴斯基的引擎在文件标识比对病毒库的时候被认为有着很好的性能，充分利用了处理器的处理能力，“但令人担忧的是，该公司对最新出现的技术并不充分重视”。卡巴斯基的引擎曾经存在所谓的“过于简短的文件码”问题，说白了就是有时候会鞭尸。卡巴斯基走的是与美国厂商有很大区别的研发道路，卡巴斯基很少引用别的公司开发的技术，而是在不断的深化，改进自身的杀毒引擎。从某种程度上说，卡巴斯基的引擎代表着业界最高水准，但并不是全部。卡巴斯基是一款很好的杀毒软件，但并不是神。应该说它与Norton， Mcafee一样，都站在杀毒软件的顶峰水平上。
转贴，原创作者: Kendall  
一、杀毒软件引擎与病毒库的关系

首先必须指出杀毒软件的引擎与其病毒库并没有什么直接的关系。杀毒引擎的任务和功能非常简单，就是对于给定的文件或者程序进程判断其是否是合法程序（对应于杀毒软件厂商自己定义的正常和非异常程序规范而言。正常的程序规范是指在程序所在系统平台上操所系统本身洗净有定义的或者业界已经公认的程序行为过程，比如操作系统正常运行就必须要求应用程序与系统核心进行进程响应并与交换相关数据。非异常程序活动是指可能存在非法程序操作结果但能够以较高的置信度确定其非非法程序活动规范的。一般情况下，相关文件的复制，移动，删除等都奔包括在该界定范围内）。

我们知道病毒的最终目的有些是与合法活动很类似的，在这种情况下，要求软件厂商必须自己有一个行为规范界定规则，在一个给定的范围和置信度下，判断相关操作是否为合法。在这方面，各个厂商的界定是有区别的，一般而言非美国厂商界定是非常严格的，只有有很高的置信水平的程序行为，他们才判别为非病毒操作。记得前一阵论坛上有人给了四段简单的代码，很多杀毒软件将其判为病毒或有病毒性质的文件行为，实际上看那几段代码可以知道，其结果并不足以视之为病毒。美国厂商一般判断比较复杂，这主要由于美国市场上的杀毒软件引擎来源比较复杂，比如Norton，有足够的技术资料确信它的杀毒软件引擎是自成体系的，而 Mcafee则存在一定的外界技术引进（收购所罗门）。
二、病毒技术浅析

要讨论怎样反病毒，就必须从病毒技术本身的讨论开始。正是所谓“知己知彼，百战不殆”。很难想象一个毫无病毒写作经验的人会成为杀毒高手。目前国内一些著名反病毒软件公司的研发队伍中不乏病毒写作高手。只不过他们将同样的技术用到了正道上，以毒攻毒。当今的病毒与DOS和Win 3.x时代下的从技术角度上看有很多不同。最大的转变是：引导区病毒减少了，而脚本型病毒开始泛滥。原因是在当今的操作系统下直接改写磁盘的引导区会有一定的难度（DOS则没有保护，允许调用INT13直接写盘），而且引导区的改动很容易被发现，并且微软在设计操作系统时加强了对引导区的程序行为管理，写一个完美的引导区病毒难度很大，所以很少有人再写了；而脚本病毒以其传播效率高且容易编写而深得病毒作者的青睐。但是最最落后的杀毒引擎也就是只基于静态代码的杀毒引擎都能干掉该种病毒（病毒库搞好就行）。

要讨论的技术主要来自于二进制外壳型病毒（感染文件的病毒），并且这些技术大都和操作系统底层机制或386以上CPU的保护模式相关，值得研究。DOS下的外壳型病毒主要感染 16位的COM或EXE文件，由于DOS没有（文件和引导区）保护，它们能够轻松地进行驻留，减少可用内存（通过修改MCB链），修改系统代码，拦截系统服务或中断。而到了WIN9X和WINNT/2000时代，搞个运行其上的32位Windows病毒变得难了点。由于存在页面保护，你不可能修改系统的代码页（如果你强到连操作系统代码都能改，偶无话可说）。由于I/O许可位图中的规定，你也不能进行直接端口访问。在Windows中，你不可能像在 DOS里那样通过截获INT21H来拦截所有文件操作。总之，当你以一个用户态权限运行，你的行为就会受到操作系统严格的控制（在Win XP中，这种权限管理极为严格，分成了好几个等级）。Windows下采用的可执行文件格式和DOS下的EXE文件截然不同（普通程序采用PE，驱动程序采用LE格式），所以病毒的感染文件的难度增大了（PE和LE比较复杂，中间分了若干个节，如果感染错了，将导致文件不能继续执行）。当今病毒的新技术太多，随便介绍几个。

1、系统核心病毒

386及以上的X86 CPU实现了4个特权级模式（Windows只用到了其中两个），其中特权级0（Ring0）是留给操作系统代码，设备驱动程序代码使用的，它们工作于系统核心态；而特权极3（Ring3）则给普通的用户程序使用，它们工作在用户态。运行于处理器核心态的代码，不受任何的限制，可以自由地访问任何有效地址，进行直接端口访问。而运行于用户态的代码则要受到处理器的诸多限制，它们只能访问映射其地址空间的页表项中规定的在用户态下可访问页面的虚拟地址，且只能对任务状态段（TSS）中I/O许可位图（I/O Permission Bitmap）中规定的可访问端口进行直接访问（此时处理器状态和控制标志寄存器EFLAGS中的IOPL通常为0，指明当前可以进行直接I/O的最低特权级别是Ring0）。以上的讨论只限于保护模式操作系统，像在DOS这种实模式操作系统里，则没有这些概念，其中的所有代码都可被看作运行在核心态。既然运行在核心态有如此之多的优势，那么病毒当然没有理由不想得到Ring0。处理器模式从Ring3向Ring0的切换发生在控制权转移时，有以下两种情况：访问调用门的长转移指令CALL，访问中断门或陷阱门的INT指令。现代操作系统通常使用中断门来提供系统服务，通过执行一条陷入指令完成模式切换。在X86处理器上，这条指令是INT；在Win 9X下是INT30（保护模式回调）；在Linux下则是INT80；在Win NT/2000下是INT2E。用户模式的服务程序（如系统DLL）通过执行一个INTXX来请求系统服务，然后处理器模式将切换到核心态，工作于核心态的相应的系统代码将服务于此次请求，并将结果传给用户程序。

在最新发布的Win XP SP2中，采用了“数据执行保护”（DEP）技术。这是一种基于处理器支持的内存页面保护技术，它将更为严格地控制用户访问的权限，它禁止在标记为数据存储的内存区域中执行代码。当某些程序或病毒尝试运行标记的数据页中的代码时，就会立即发生异常并禁止执行代码。这可以防止攻击者使用代码致使数据缓冲区溢出，然后执行该代码。

2、驻留病毒
驻留病毒是指那些在内存中寻找合适的页面并将病毒自身拷贝到其中且在系统运行期间能够始终保持病毒代码的存在。驻留病毒比那些直接感染（Direct- Action）型病毒更具隐蔽性，它通常要截获某些系统操作来达到感染传播的目的。进入核心态的病毒，可以利用系统服务来达到此目的。如CIH病毒，就通过调用一个由VMM导出的服务VMMCALL _PageAllocate在大于0XC0000000的地址上分配一块页面空间。而处于用户态的程序要想在程序退出后仍驻留代码的部分于内存中似乎是不可能的，因为无论用户程序分配何种内存都将作为进程占用资源的一部分，一旦进程结束，所占资源将立即被释放。所以我们要做的是分配一块进程退出后仍可保持的内存。

另外，还可以通过修改系统动态连接模块（DLL）来进行驻留。Win 9X下系统DLL（如Kernel32.dll 映射至BFF70000）处于系统共享区域（2G-3G），如果在其代码段空隙中写入一小段病毒代码则可以影响其它所有进程。但Kernel32.dll 的代码段在用户态是只读的。所以，必须通过特殊手段修改其页保护属性。在Win NT/2000/XP系统里，DLL所在的页面被映射到进程的私有空间（如Kernel32.dll映射至77ED0000）中时，具有写时拷贝属性，即没有进程试图写入该页面时，所有进程将共享这个页面；而当一个进程试图写入该页面时，系统的页面错误处理代码将检查到该异常进程，并给它分配一个新页面，并拷贝原页面内容于其上，且更新进程的页表以指向新分配的页。这种共享内存的优化给病毒的写作带来了一定的麻烦，病毒不能象在Win 9X下那样仅仅修改Kernel32.dll一处代码便一劳永逸。它需要利用WriteProcessMemory，向每个进程映射 Kernel32.dll的地址写入病毒代码，这样每个进程都会得到病毒体的一个副本，这被称为多进程驻留或每进程驻留（Muti-Process Residence or Per-Process Residence）。

在如今的病毒设计中，那些传统的挂钩――捆绑方法并不很受欢迎，原因在于新的操作系统里，许多函数规则是不可预知的。所谓的”黑箱“设计，使得设计人员更偏爱系统级别的线程捆绑，或更直接的接管权限控制的方法。采用最复杂的线程捆绑技术，甚至可以使杀毒软件和防火墙得不到足够的信息来区分一个程序是否合法。更高级别的抢夺权方法，甚至可以结束所有杀毒软件的进程，包括卡巴斯基所采用的受保护的内存线程技术。

普通病毒是通过将自身附加到宿主尾部（如此一来，宿主的大小就会增加），并修改程序入口点来使病毒得到击活。但现在不少病毒通过使用特殊的感染技巧，能够使宿主大小及宿主文件头上的入口点保持不变。附加了病毒代码，却使被感染文件大小不变听起来让人不可思议。其实，它利用了PE文件格式的特点：PE文件的每个节之间留有按簇大小对齐后的空洞，病毒体如果足够小，则可以将自身分成几份并分别插入到每个节最后的空隙中，这样就不必额外增加一个节，因而文件大小可以保持不变。著名的CIH病毒，正是运用这一技术的典型范例（它的大小只有1K左右）。

病毒在不修改文件头入口点的前提下，要想获得控制权并非易事：入口点不变，意味着程序是从原程序的入口代码处开始执行的，病毒必须要将原程序代码中的一处修改为导向病毒入口的跳转指令。一些查毒工具通过扫描可执行文件头部的入口点域，如果发现它指向的地方不正常，即不在代码节而在资源节或重定位节中，则有怀疑文件感染了某种病毒。而病毒界中的EPO（入口点模糊）技术，则可以很好的对付这样的扫描，同时它还是反虚拟执行的重要手段。

另外，值得一提的是现在不少病毒已经支持对压缩文件的感染。如Win32.crypto病毒就可以感染ZIP，ARJ，RAR，ACE，CAB等类型的压缩文件。这些病毒的代码中，含有对特定压缩文件类型解压并压缩的代码段，可以先把压缩文件中的内容解压出来，然后对合适的文件进行感染，最后再将感染后文件压缩回去并同时修改压缩文件头部的校验和。目前不少反病毒软件都支持扫描多种格式的压缩文件，但是对有些染毒的压缩文件无法杀除。

目前，杀毒软件在对待加壳病毒的时候，表现比较差的是瑞星。可能是瑞星的杀毒引擎对加壳的程序不灵敏，瑞星自己甚至加壳了很多病毒放到病毒库里。

用简单的话说，杀毒引擎就是一套判断特定程序行为是否为病毒程序（包括可疑的）的技术机制。一个完整的技术引擎遵守如下的行为过程：

⑴非自身程序行为的程序行为捕获。包括来自于内存的程序运行，来自于给定文件的行为虚拟判断，来自于网络的动态的信息等等。一般情况下，我们称之为引擎前端。捕捉的方法非常多，除Norton以外的杀毒软件采用的都是行为规范代码化的方法。Norton由于与微软有远远高于其它厂商合作关系，其实现过程比较独特，另有叙述。
⑵基于引擎机制的规则判断。这个环节代表了杀毒引擎的质量水平，一个好的杀毒引擎应该能在这个环节发现很多或者称之为相当规模的病毒行为，存而避免进入下一个判断环节。传统的反病毒软件引擎使用的是基于特征码的静态扫描技术，即在文件中寻找特定的十六进制字符串，如果找到，就可判定文件感染了某种病毒。但这种方法在当今病毒技术迅猛发展的形势下已经起不到很好的作用了。为了更好的发现病毒，相继开发了所谓的虚拟机，实时监控等相关技术。这个环节被叫做杀毒软件引擎工作的核心层。

⑶引擎与病毒库的交互作用。这个过程往往被认为是收尾阶段，相对于前两个环节，这个阶段速度是非常慢的，杀毒引擎与要将非自身程序行为过程转化为杀毒软件自身可识别的行为标识符（包括静态代码等），然后与病毒库中所存贮的行为信息进行对应，并作出相应处理。当然必须承认，当前的杀毒软件对大量病毒的识别都是在这个阶段完成的。因此一个足够庞大的病毒库往往能够弥补杀毒软件引擎的不足之处。但是必须意识到，如果在核心层阶段就可以结束并清除病毒程序，那么杀毒软件的工作速度将会大幅提升。“很可惜的是，当前我们没有足够聪明的杀毒引擎来完成这个过程”，这就是为什么有病毒库的原因。

Norton 是微软最高级的安全方面核心合作厂商，因此它的杀毒软件在某些方面工作比较特殊。比如在杀毒软件的安装，使用和功能实现方面，大部分厂商采用的是中间件技术，在系统底层与非自身应用程序之间作为中间件存在并实现其功能；另有一些厂商使用的是应用程序或者嵌入技术，相对而言这种方法安全性较低；Norton 和Mcafee实现方式比较相似，Norton采用了基于系统最底层的系统核心驱动，这种实现方式是最安全的或者说最高级的实现方式，当然这需要微软的系统源代码级的支持（要花许多money），业界公认，这是最稳定的实现方法，但从目前而言，只Norton一家。Mcafee实现方式与Norton很接近，一般称之为软件驱动。相当于在系统中存在一个虚拟“硬件”，来实现杀毒软件功能。这些实现方式关系着杀毒引擎对程序行为进行捕捉的方式。
我们使用的Intel系列处理器有两个 Ring层，对应两个层，微软的操作系统将系统中的所有行为分为如下几个层：

⑴最底层：系统核心层，这个层的所有行为都由操作系统已经内置的指令来实现，所有外界因素（即使你是系统管理员）均不能影响该层的行为。Norton的核心层既工作在这个层上。

⑵硬件虚拟层（HAL）。为了实现硬件无关性，微软设计了该层。所有的外部工作硬件（相对于系统核心而言）都进入HAL，并被HAL处理为核心层可以相应的指令。我们所使用的硬件的驱动程序既工作在该层上。当外界硬件存在指令请求时，驱动程序作出相关处理后传给核心层。如果无与之对应的驱动相应，那么将按照默认硬件进行处理。好像安全模式下硬件的工作就被置于默认硬件模式。Mcafee的杀毒软件，就被认为工作在HAL层上。

⑶用户层。我们所知的大部分杀毒软件既工作与该层上。一个完整的程序行为请求是如下流程：位于3户层上的应用程序产生指令行为请求，被传递至2HAL进行处理，最后进入1最底层后进入CPU的指令处理循环，然后反向将软件可识别的处理结果经1-2-3再响应给应用程序。对于Norton而言，其整个工作过程如下：3-2-1，完成；Mcafee：3-2-1-1-2，完成：其余：3-2-1-1-2-3，完成；这个环节代表了杀毒软件引擎的前端行为规范的获得。只从这个过程而言，Norton和Mcafee是比较先进的。具体到系统与CPU的Ring（）的对应，Win NT时代，微软的NT系统被设计成与四个Ring（）层相对应，RISC系列的处理器有四个Ring。因此现在的大部分杀毒软件是不能工作在NT上的。具体来说，CISC有四个Ring（），RISC有两个Ring（）。

尽管比较先进的工作方式给Norton和 Mcafee带来了较高的系统稳定性（HAL层很少出现问题，最底层出问题的几率接近于零），较快的响应速度（减少了环节），但同时也带来了一些问题： 1.资源占用比较厉害。在Mcafee上体现的不是很明显，在Norton上表现非常明显。因为对于越底层的行为，硬件资源分配越多。最好资源的是什么？当然是操作系统。应为它最最底层。2.卸载问题。卸载底层的组件出问题的概率是相对比较高的，因此Norton的卸载比较慢，偶尔还容易出问题。

因此，有人质疑微软Windows操作系统的不稳定性，是否会拖累Norton？实际上，Windows的内核层设计是非常优秀的，很多时候，操作系统的不稳定性来源于以下几个方面：

⑴应用程序设计不合理，许多程序设计者根本就未读过微软的32位程序设计指南，所设计的程序并不严格符合微软规范。我们看到，大量多年前设计的软件还能运行于最新的Win XP平台，原因很简单：这个软件在设计时完全遵循了微软的程序设计规范。

⑵驱动程序的编写有问题，与HAL层有冲突。

因此，片面地认为微软的操作系统将会影响Norton的稳定性是不合理的。
业界有人认为，先进杀毒软件的引擎设计已经日趋复杂，类如Norton这一类的厂商其产品的引擎应该已经覆盖了操作系统的各个层级，以提高防护能力。在一篇文档中有程序员提出有足够的信息认为Norton，Mcafee，趋势的产品自己修改了标准的系统相关协议，比如TCP/IP等，以达到所谓的完整防护的目的。NOD32的一篇官方文档，就指出，反病毒厂商有必要全面更新系统的诸多协议，以达到最快的速度和杀毒效果。
三、杀毒引擎的实现

杀毒引擎目前主流有以下一些实现方式：虚拟机技术，实时监控技术，智能码标识技术，行为拦截技术。其中，后面两个为近年来出现的技术。采用智能码标识技术的目的是提高杀毒速度并且预防未知病毒，但就现实而言，除了东方卫士不成功的试验外，其余厂商并未开发完全基于该技术的引擎，Norton的开发人员认为：“没有足够的技术手段来实现这种杀毒理念。而行为拦截技术（或者别的什么智能杀毒技术）也是一种预防未知病毒的方法，与虚拟机技术相似，通过对程序行为的分析来判断其是否为病毒。

对于未知病毒的判断，实际上代表着杀毒软件厂商在引擎研究方面的最高能力。业界公认，防止未知病毒是“代表研究水平的”。业界上，对于杀毒软件防止未知病毒能力是按照如下方法衡量的：以评测当日的杀毒软件最新版本为该厂商的供测试版本，未知病毒通常由以下途径得来：

⑴病毒作者提供。有些病毒作者在将自己的病毒发布前，也许为了炫耀技术，总爱送给一些业界的安全杂志供其评测（最佩服这种人）。

⑵专业研究实验室。大部分业界安全杂志都有自己的研究实验室，他们的研究人员会根据最新的趋势和技术手段及工具，编写一些病毒。一般情况下，这些病毒不会泄漏到网上。

⑶假病毒。一些类似于病毒行为的文件，程序等。测试的时候病毒库被置空（就是杀毒软件试图调用病毒库时采用程序方法向其返回一个空结果），在这种情况下进行测试。如果有人有兴趣，可以到病毒论坛上搞点新手写的小病毒（一般也就100-200行），弄上几十个拿自己的杀毒软件试一试，就会发现在平均状态下，从Norton病毒库被置空时起，对未知病毒判断能力还是挺强的。对于其他许多杀毒软件，就没有那么好远了，尤其在对付比较复杂的蠕虫病毒时，某些厂商的产品近乎全军覆没。
下面对杀毒引擎最主要的两种技术――虚拟机和实时监控进行介绍。

1、虚拟机
虚拟机，在反病毒界也被称为通用解密器，已经成为反病毒软件中最重要的组成部分之一。杀毒引擎中的虚拟机，和那些诸如VMWare的“虚拟机”是有区别的。

其实，对于虚拟机，其设计思想是有渊源可寻的。VMWare作为原操作系统下的一个应用程序，可以为运行于其上的目标操作系统创建出一部虚拟的机器，目标操作系统就象运行在单独一台真正机器上，丝毫察觉不到自己处于VMWare的控制之下。当在VMWare中按下电源键（Power On）时，窗口里出现了机器自检画面，接着是操作系统的载入，一切都和一台真正的计算机一样。至于Win XP，则是采用区域内存访问，来实现对16位程序的支持。 VM是一个完全由软件虚构出来的东西，以和真实电脑完全相同的方式来对应用程序所提出的需求进行响应。从某种角度来看，你可以将一部标准的PC的结构视为一套 API。这套API的元素包括硬件I/O系统，和以中断为基础的BIOS和MS-DOS。Win 9X常常以它自己的软件，来代理这些传统的API元素，以便能够对珍贵的硬件多重发讯。在VM上运行的应用程序认为自己独占整个机器，它们相信自己是从真正的键盘和鼠标获得输入，并从真正的屏幕上输出。稍被加一点限制，它们甚至可以认为自己完全拥有CPU和全部内存。

查毒引擎中的虚拟机，并不是像VMWare的工作原理那样，为待查的可执行程序创建一个虚拟的执行环境，提供它可能用到的一切元素，包括硬盘，端口等，让它在其上自由发挥，最后根据其行为来判定是否为病毒。（当然这是个不错的构想，但考虑到其设计难度过大，需模拟元素过多且行为分析要借助人工智能理论，因而只能作为以后发展的方向。）就目前而言，卡巴斯基在这方面做得还可以。而Mcafee的新产品中，则加入了一种缓冲区溢出保护技术，本质上其实也是一种虚拟技术。查毒引擎的虚拟机是一个软件模拟的CPU，它可以象真正CPU一样取值，译码，执行，可以模拟一段代码在真正CPU上运行得到的结果。给定一组机器码序列，虚拟机就会自动从中取出第一条指令操作码部分，判断操作码类型和寻址方式以确定该指令长度，然后在相应的函数中执行该指令，并根据执行后的结果确定下条指令的位置，如此循环反复直到某个特定情况发生以结束工作，这就是虚拟机的基本工作原理和简单流程。

设计虚拟机查毒的目的，就是为了对付加密变形病毒，虚拟机首先从文件中确定并读取病毒入口处代码，然后以上述工作步骤解释执行病毒头部的解密段（Decryptor），最后在执行完的结果（解密后的病毒体明文）中查找病毒的特征码。这里所谓的“虚拟”，并非是指创建了什么虚拟环境，而是指染毒文件并没有实际执行，只不过是虚拟机模拟了其真实执行时的效果。这就是虚拟机查毒基本原理。

早期病毒没有使用任何复杂的反检测技术，如果拿反汇编工具打开病毒体代码，看到的将是真正的机器码。因而可以由病毒体内某处一段机器代码和此处距离病毒入口（注意不是文件头）偏移值，来唯一确定一种病毒。查毒时，只需简单的确定病毒入口并在指定偏移处扫描特定代码串。这种静态扫描技术对付普通病毒是万无一失的。

随着病毒技术的发展，出现了一类加密病毒。这类病毒的特点是：其入口处具有解密子（Decryptor），而病毒主体代码被加了密。运行时首先得到控制权的解密代码将对病毒主体进行循环解密，完成后将控制交给病毒主体运行，病毒主体感染文件时会将解密子，用随机密钥加密过的病毒主体，和保存在病毒体内或嵌入解密子中的密钥一同写入被感染文件。由于同一种病毒的不同传染实例的病毒主体是用不同的密钥进行加密，因而不可能在其中找到唯一的一段代码串和偏移来代表此病毒的特征，似乎静态扫描技术对此即将失效。但是，因为不同传染实例的解密子仍保持不变机器码明文，所以如果应用特征码查毒技术，虽然有一定的误报风险（解密子中代码缺少病毒特性，同样的特征码也会出现在正常程序中），但仍不失为一种有效的方法。

由于加密病毒还没有能够完全逃脱静态特征码扫描，所以病毒写作者在加密病毒的基础之上进行改进，使解密子的代码对不同传染实例呈现出多样性，这就出现了加密变形病毒。它和加密病毒非常类似，唯一的改进在于病毒主体在感染不同文件会构造出一个功能相同但代码不同的解密子，也就是不同传染实例的解密子具有相同的解密功能但代码却截然不同。比如，原本一条指令完全可以拆成几条来完成，中间可能会被插入无用的垃圾代码。这样，由于无法找到不变的特征码，静态扫描技术就彻底失效了。在这种情况下，虚拟机技术将会派上用场。

2、实时监控
实时监控，其实并非什么新技术，早在DOS时代就出现了。在Windows下要实现实时监控决非易事，因为普通用户态程序是不可能监控系统的活动的，这也是出于系统安全的考虑。病毒实时监控普遍使用了驱动编程技术，让工作于系统核心态的驱动程序去拦截所有的文件访问。当然由于工作系统的不同，驱动程序无论从结构还是工作原理都不尽相同的，当然程序写法和编译环境更是千差万别了。上面提到的病毒实时监控，实质就是对文件的监控。除了文件监控外，还有各种各样的实时监控工具，都具有各自不同的特点和功用。现在流行的网络监控，邮件监控基本上是对文件监控的改进，革命性的改动没有。

病毒实时监控，其实就是一个文件监视器。它会在文件打开，关闭，清除，写入等操作时检查文件是否是病毒携带者，如果是则根据用户的决定选择不同的处理方案，如清除病毒，禁止访问该文件，删除该文件或简单地忽略。这样就可以有效地避免病毒在本地机器上的感染传播，因为可执行文件装入器在装入一个文件执行时首先会要求打开该文件，而这个请求又一定会被实时监控在第一时间截获到，它确保了每次执行的都是干净的不带毒的文件从而不给病毒以任何执行和发作的机会。以上仅仅是病毒实时监控的主要工作过程，设计上还存在以下几个难点：

⑴驱动程序的编写不同于普通用户态程序的写作，难度很大。
编写用户态程序时，你需要的仅仅就是调用一些熟知的API函数来完成特定目的，比如打开文件你只需调用CreateFile就可以了；但在驱动程序中，你将无法使用熟悉的CreateFile。在Win NT/2000下，你可以使用ZwCreateFile 或NtCreateFile（Native API），但这些函数通常会要求运行在某个IRQL（中断请求级）上，如果你对中断请求级或延迟/异步过程调用中非分页/分页内存的概念不清楚，那么你的驱动将很容易导致蓝屏死机。Ring0下的异常，将往往导致系统崩溃，因为它对于系统总是被信任的，所以没有相应处理代码去捕获这个异常。在Win NT下对KeBugCheckEx的调用将导致蓝屏的出现，接着系统将进行转储并随后重启。另外驱动程序的调试不如用户态程序那样方便，用象VC ++那样的调试器是不行的，你必须使用系统级调试器，如SoftIce，KD，TRW等。

⑵驱动程序与Ring3下客户程序的通信问题。
这个问题的提出是很自然的，试想当驱动程序截获到某个文件打开请求时，它必须通知位于Ring3下的查毒模块检查被打开的文件，随后查毒模块还需将查毒的结果通过某种方式传给Ring0下的监控程序，最后驱动程序根据返回的结果决定请求是否被允许。这里就存在一个双向的通信过程。
写过驱动程序的人，都知道一个可以用来向驱动程序发送设备I/O控制信息的API调用DeviceIoControl，它的接口在MSDN中可以找到，但它是单向的。既然无法找到一个现成的函数，实现从Ring0下的监控程序到Ring3下客户程序的通信，那么我们必须采用迂回的办法来间接做到这一点。为此，我们必须引入异步过程调用（APC）和事件对象的概念，它们就是实现特权级间唤醒的关键所在。

异步过程调用是一种当条件合适时，系统用来在某个特定线程的上下文中执行一个过程的机制。当向一个线程的APC队列排队一个APC时，系统将发出一个软件中断，当下一次线程被调度时，APC函数将得以运行。APC分成两种：系统创建的APC称为内核模式APC，由应用程序创建的APC称为用户模式APC。另外只有当线程处于可报警（Alertable）状态时才能运行一个APC。比如调用一个异步模式的ReadFileEx时可以指定一个用户自定义的回调函数FileIOCompletionRoutine，当异步的I/O操作完成或被取消并且线程处于可报警状态时函数被调用，这就是APC的典型用法。 Kernel32.dll中导出的QueueUserAPC函数，可以向指定线程的队列中增加一个APC对象，但这并不是我们要的那个函数。幸运的是，在 Vwin32.vxd中导出了一个同名函数QueueUserAPC，监控程序拦截到一个文件打开请求后，它马上调用这个服务，把Ring3下客户程序中需要被唤醒的函数的APC加入队列。这种APC唤醒法适用于Win 9X，在Win NT/2000下，我们使用全局共享的事件和信号量对象来解决互相唤醒问题。在Win NT/2000版监控程序中，我们利用KeReleaseSemaphore来唤醒一个在Ring3下客户程序中等待的线程。目前，不少反病毒软件已将驱动使用的查毒模块移到Ring0，即如其所宣传的“主动与操作系统无缝连接”，这样做省却了通信的消耗，但把查毒模块写成驱动的形式也会带来一些麻烦，如不能调用大量已知API，不能与用户实时交互，等等。

⑶驱动程序占用资源的问题。
如果由于监控程序频繁地拦截文件操作，而使系统性能下降过多，则这样的程序是没有存在价值的。一个成功的反病毒软件的监控程序，包含有提高性能的许多设置，如设置历史记录，内置文件类型过滤，设置等待超时等。



目前，病毒加密方式已经变得很强。对于基于Win NT内核的操作系统，应用程序文件-应用程序－操作系统之间的响应关系与Win 9X时代还是有一定区别的，特别是加入了很多线程级的权限控制，杀毒软件现在可以采用实时内存监控的方法来影射应用程序的活动。欧美的软件厂商之所以没有搞出那么多花样的监控方式，像什么“网页监控，聊天软件监控”，原因很简单，因为病毒能够起作用，就必须在内存中运行，因此良好的文件监控和内存监控技术足以解决病毒，国内搞出那么多名堂更多的是出于市场商业考虑。

毋庸置疑，现代杀毒软件引擎都是虚拟机技术和实时监控技术的复合体。由于各家研发人员所研究的方向不同，各产品的杀毒品质也非常迥异。比如Norton的杀毒理念就是在确保系统正常运行的前提下，控制最终消除可能影响系统稳定的因素；而有些厂商则认为杀毒软件应该最快的消除有害程序。业界一种获得公认的设计底线，是杀毒软件绝对不能因为杀毒导致系统崩溃，可惜的是现在很多厂商屡屡因此碰壁。
四、常见厂商杀毒引擎简介
1、Norton
Norton是我们最熟悉的杀毒软件之一。实际上，Norton杀毒软件在防止侦测方面做得并不是很好，很多病毒程序在子程序段中经常借鉴搞崩Norton的代码。希望在新版本中，Norton可以采用更强的自身防护技术。Norton的引擎似乎是完全自成封闭体系的，没有资料证实Norton曾经购买或者借鉴过别的杀毒引擎。有人甚至认为，不考虑病毒库因素，Norton的杀毒引擎相当先进，综合防护性能很好。据说，在微软内部，杀毒软件除了用Mcafee的，就是使用Norton的。从Norton的技术文档描述来看，Norton的杀毒引擎是传统的静态代码对应与实时监控的完美结合，有一些改进的虚拟机技术在里面（Norton的人并不怎么推崇虚拟机技术）。Norton的杀毒速度慢，源于Norton采用了较多的静态代码这种传统的检查方式有关。Norton的隔离机制还是不错的，对于一个文件，在没有确定完全正确的处理方式之前，删除是不应该被采用的。一个高手写的病毒，都尽可能的与系统进程相关，在这种情况下，隔离的优势立刻显现。Norton资源占用比较大，但实现了如下设计目标：能识别的病毒和被识别为病毒的进程完全可以正确处理，对于已经不可能产生破坏作用的“病毒尸体”不会产生误判，更不会出现出现一次又一次的在处理完某病毒后又检测其为病毒的状况。
很多人认为Norton企业版和个人板采用的引擎完全一致。这种理解不很正确。实际上，企业版在个人版的技术的基础上，还是有所改进的。企业版和个人版引擎的核心规则完全一样，但在前端文件汇入部分企业版是优于个人版的，企业版使用了更多的API接口。在大规模文件扫描时，企业版明显优于个人版。并且由于使用了负载技术，企业版资源占用还好一点。另外，据说企业版支持基于网络的多重负载技术。
2、Mcafee
记得看过一篇报道，说Mcafee收购过别的杀毒软件引擎设计公司，据说是所罗门。在网上，很少能看到对Mcafee杀毒引擎分析的技术文档，但从它自己宣传的资料看，Mcafee对虚拟机技术和实时监控研究得很彻底。比如，最近的那个“防止应用程序缓冲区溢出”的技术，是在不考虑硬件平台的情况下，虚拟机技术和实时监控技术结合的上乘之作，尽管实际上经常出现错误的溢出侦测（软件层面的放溢出技术确实不很稳定）。在处理大量文件时，Mcafee有一定的速度优势。

Mcafee自发布VSE8.0i以来，就着重于“前慑防范”这一新型的安全领域，并且Norton也在超这一方向迈进。“前慑防范”一共分为两个部分，其一为运用部分防火墙技术外加其入侵检测技术有效的阻断病毒的传播源，以至于病毒在传染的初期无法得到大面积的传播降低了危害性；其二为依靠其强大的特征码检测技术（Extra.dat）对病毒的行为方式、特征代码等进行检测，依靠它强大的研发团队以及策略联盟伙伴，使其在这一领域独树一帜。Norton 在其最新的NAV 2005中，也加入了一些原本属于防火墙的功能。至于Norton为什么没有采用特征码杀毒技术，据说是因为他们认为一个完美的特征码扫描技术能够达到根据用户的指定加入特定文件为病毒的目的，也就是当用户指定某个活动程序为病毒时，杀毒软件的引擎能够根据自身的规则为该活动程序定义一个特征码，并且在控制该活动程序时，能够有效地断绝其与系统正常进程的关联。在没有达到这个水平之前，Norton不会大规模采用特征码技术。从Mcafee的技术文档来看，Mcafee也只是有限度的试验性的研究该技术，并在比较有把握的地方应用。实际上，两家公司在这方面还有很长的路要走。

3、卡巴斯基
GZ论坛上被过度神话的杀毒软件。我个人非常尊重卡巴斯基的高水准，但说句实话，在不考虑资源占用的情况下，卡巴斯基并没有什么足够的理由能够让我放弃 Norton，二者的水平并没有什么差异。在稳定性上，卡巴斯基比Norton要差一些。由于早些年卡巴斯基的引擎曾经被泄漏（实际上泄漏的并不是初始源代码，只是泄漏的引擎可以比较容易的反编），因此网上可以找到很多关于卡巴斯基引擎的非常详细的技术分析，尤其是德国的病毒高手写的关于如何优化卡巴斯基杀毒引擎的文章，被认为是所有采用卡巴斯基引擎的杀毒软件厂商必看的文章之一。从网上大量的技术分析文档看，卡巴斯基的虚拟机技术是很优秀的，但是也有人认为卡巴斯基的良好的性能，来源于它非常庞大的病毒库和良好的升级速度，其杀毒引擎设计水平并不高于其余的公司。

卡巴斯基的引擎采用了所谓的单一形式的规则判断，众所周知，Norton是基于分类的规则处理。卡巴斯基的引擎在文件标识比对病毒库的时候被认为有着很好的性能，充分利用了处理器的处理能力，“但令人担忧的是，该公司对最新出现的技术并不充分重视”。卡巴斯基的引擎曾经存在所谓的“过于简短的文件码”问题，说白了就是有时候会鞭尸。卡巴斯基走的是与美国厂商有很大区别的研发道路，卡巴斯基很少引用别的公司开发的技术，而是在不断的深化，改进自身的杀毒引擎。从某种程度上说，卡巴斯基的引擎代表着业界最高水准，但并不是全部。卡巴斯基是一款很好的杀毒软件，但并不是神。应该说它与Norton， Mcafee一样，都站在杀毒软件的顶峰水平上。

本文标签： 杀毒软件引擎技术

版权声明：本文标题：杀毒软件引擎技术深入探讨 内容由热心网友自发贡献，该文观点仅代表作者本人， 转载请联系作者并注明出处：https://it.en369.cn/jiaocheng/1754694396a2718547.html， 本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容，一经查实，本站将立刻删除。