|
計算機病毒是客觀(guān)存在的，客觀(guān)存在的事物總有它的特性，計算機病毒也不例外。從實(shí)質(zhì)上說(shuō)，計算機病毒是一段程序代碼，雖然它可能隱藏得很好，但也會(huì )留下許多痕跡。通過(guò)對這些蛛絲馬跡的判別，我們就能發(fā)現計算機病毒的存在了。
根據計算機病毒感染和發(fā)作的階段，可以將計算機病毒的表現現象分為三大類(lèi)，即：計算機病毒發(fā)作前、發(fā)作時(shí)和發(fā)作后的表現現象。
計算機病毒發(fā)作前的表現現象
計算機病毒發(fā)作前，是指從計算機病毒感染計算機系統，潛伏在系統內開(kāi)始，一直到激發(fā)條件滿(mǎn)足，計算機病毒發(fā)作之前的一個(gè)階段。在這個(gè)階段，計算機病毒的行為主要是以潛伏、傳播為主。計算機病毒會(huì )以各式各樣的手法來(lái)隱藏自己，在不被發(fā)現同時(shí)，又自我復制，以各種手段進(jìn)行傳播。
以下是一些計算機：病毒發(fā)作前常見(jiàn)的表現現象
1、 平時(shí)運行正常的計算機突然經(jīng)常性無(wú)緣無(wú)故地死機。 病毒感染了計算機系統后，將自身駐留在系統內并修改了中斷處理程序等，引起系統工作不穩定，造成死機現象發(fā)生。
2、操作系統無(wú)法正常啟動(dòng)。 關(guān)機后再啟動(dòng)，操作系統報告缺少必要的啟動(dòng)文件，或啟動(dòng)文件被破壞，系統無(wú)法啟動(dòng)。這很可能是計算機病毒感染系統文件后使得文件結構發(fā)生變化，無(wú)法被操作系統加載、引導。
3、 運行速度明顯變慢。 在硬件設備沒(méi)有損壞或更換的情況下，本來(lái)運行速度很快的計算機，運行同樣應用程序，速度明顯變慢，而且重啟后依然很慢。這很可能是計算機病毒占用了大量的系統資源，并且自身的運行占用了大量的處理器時(shí)間，造成系統資源不足，運行變慢。
4、 以前能正常運行的軟件經(jīng)常發(fā)生內存不足的錯誤。 某個(gè)以前能夠正常運行的程序，程序啟動(dòng)的時(shí)候報系統內存不足，或者使用應用程序中的某個(gè)功能時(shí)報說(shuō)內存不足。這可能是計算機病毒駐留后占用了系統中大量的內存空間，使得可用內存空間減校需要注意的是在Windows 95/98下，記事本程序所能夠編輯的文本文件不超過(guò)64Kb字節，如果用"復制/粘貼"操作粘貼一段很大的文字到記事本程序時(shí)，也會(huì )報"內存不足，不能完成操作"的錯誤，但這不是計算機病毒在作怪。
5、 打印和通訊發(fā)生異常。 硬件沒(méi)有更改或損壞的情況下，以前工作正常的打印機，近期發(fā)現無(wú)法進(jìn)行打印操作，或打印出來(lái)的是亂碼。串口設備無(wú)法正常工作，比如調制解調器不撥號。這很可能是計算機病毒駐留內存后占用了打印端口、串行通訊端口的中斷服務(wù)程序，使之不能正常工作。
6、 無(wú)意中要求對軟盤(pán)進(jìn)行寫(xiě)操作。 沒(méi)有進(jìn)行任何讀、寫(xiě)軟盤(pán)的操作，操作系統提示軟驅中沒(méi)有插入軟盤(pán)，或者要求在讀娶復制寫(xiě)保護的軟盤(pán)上的文件時(shí)打開(kāi)軟盤(pán)的寫(xiě)保護。這很可能是計算機病毒自動(dòng)查找軟盤(pán)是否在軟驅中的時(shí)候引起的系統異常。需要注意的是有些編輯軟件需要在打開(kāi)文件的時(shí)候創(chuàng )建一個(gè)臨時(shí)文件，也有的安裝程序(如Office 97)對軟盤(pán)有寫(xiě)的操作。
7、 以前能正常運行的應用程序經(jīng)常發(fā)生死機或者非法錯誤。 在硬件和操作系統沒(méi)有進(jìn)行改動(dòng)的情況下，以前能夠正常運行的應用程序產(chǎn)生非法錯誤和死機的情況明顯增加。這可能是由于計算機病毒感染應用程序后破壞了應用程序本身的正常功能，或者計算機病毒程序本身存在著(zhù)兼容性方面的問(wèn)題造成的?
8、 系統文件的時(shí)間、日期、大小發(fā)生變化。 這是最明顯的計算機病毒感染跡象。計算機病毒感染應用程序文件后，會(huì )將自身隱藏在原始文件的后面，文件大小大多會(huì )有所增加，文件的訪(fǎng)問(wèn)和修改日期和時(shí)間也會(huì )被改成感染時(shí)的時(shí)間。尤其是對那些系統文件，絕大多數情況下是不會(huì )修改它們的，除非是進(jìn)行系統升級或打補叮對應用程序使用到的數據文件，文件大小和修改日期、時(shí)間是可能會(huì )改變的，并不一定是計算機病毒在作怪。
9、 運行Word，打開(kāi)Word文檔后，該文件另存時(shí)只能以模板方式保存。 無(wú)法另存為一個(gè)DOC文檔，只能保存成模板文檔(DOT)。這往往是打開(kāi)的Word文檔中感染了Word宏病毒的緣故。
10、 磁盤(pán)空間迅速減少。 沒(méi)有安裝新的應用程序，而系統可用的可用的磁盤(pán)空間減少地很快。這可能是計算機病毒感染造成的。需要注意的是經(jīng)常瀏覽網(wǎng)頁(yè)、回收站中的文件過(guò)多、臨時(shí)文件夾下的文件數量過(guò)多過(guò)大、計算機系統有過(guò)意外斷電等情況也可能會(huì )造成可用的磁盤(pán)空間迅速減少。另一種情況是Windows 95/98下的內存交換文件的增長(cháng)，在Windows 95/98下內存交換文件會(huì )隨著(zhù)應用程序運行的時(shí)間和進(jìn)程的數量增加而增長(cháng)，一般不會(huì )減少，而且同時(shí)運行的應用程序數量越多，內存交換文件就越大。
11、 網(wǎng)絡(luò )驅動(dòng)器卷或共享目錄無(wú)法調用。 對于有讀權限的網(wǎng)絡(luò )驅動(dòng)器卷、共享目錄等無(wú)法打開(kāi)、瀏覽，或者對有寫(xiě)權限的網(wǎng)絡(luò )驅動(dòng)器卷、共享目錄等無(wú)法創(chuàng )建、修改文件。雖然目前還很少有純粹地針對網(wǎng)絡(luò )驅動(dòng)器卷和共享目錄的計算機病毒，但計算機病毒的某些行為可能會(huì )影響對網(wǎng)絡(luò )驅動(dòng)器卷和共享目錄的正常訪(fǎng)問(wèn)。
12、 基本內存發(fā)生變化。 在DOS下用mem /c/p命令查看系統中內存使用狀況的時(shí)候可以發(fā)現基本內存總字節數比正常的640Kb要小，一般少1Kb～2Kb。這通常是計算機系統感染了引導型計算機病毒所造成的。
13、 陌生人發(fā)來(lái)的電子函件。 收到陌生人發(fā)來(lái)的電子函件，尤其是那些標題很具誘惑力，比如一則笑話(huà)，或者一封情書(shū)等，又帶有附件的電子函件。當然，這要與廣告電子函件、垃圾電子函件和電子函件炸彈區分開(kāi)。一般來(lái)說(shuō)廣告電子函件有很明確的推銷(xiāo)目的，會(huì )有它推銷(xiāo)的產(chǎn)品介紹;垃圾電子函件的內容要么自成章回，要么根本沒(méi)有價(jià)值。這兩種電子函件大多是不會(huì )攜帶附件的。電子函件炸彈雖然也帶有附件，但附件一般都很大，少則上兆字節，多的有幾十兆甚至上百兆字節，而電子函件計算機病毒的附件大多是腳本程序，通常不會(huì )超過(guò)100Kb字節。當然，電子函件炸彈在一定意義上也可以看成是一種黑客程序，是一種計算機病毒。 14、 自動(dòng)鏈接到一些陌生的網(wǎng)站。 沒(méi)有在上網(wǎng)，計算機會(huì )自動(dòng)撥號并連接到因特網(wǎng)上一個(gè)陌生的站點(diǎn)，或者在上網(wǎng)的時(shí)候發(fā)現網(wǎng)絡(luò )特別慢，存在陌生的網(wǎng)絡(luò )鏈接。這種聯(lián)接大多是黑客程序將收集到的計算機系統的信息"悄悄地"發(fā)回某個(gè)特定的網(wǎng)址，可以通過(guò)netstat命令查看當前建立的網(wǎng)絡(luò )鏈接，再比照訪(fǎng)問(wèn)的網(wǎng)站來(lái)發(fā)現。需要注意的是有些網(wǎng)頁(yè)中有一些腳本程序會(huì )自動(dòng)鏈接到一些網(wǎng)頁(yè)評比站點(diǎn)，或者是廣告站點(diǎn)，這時(shí)候也會(huì )有陌生的網(wǎng)絡(luò )鏈接出現。當然，這種情況也可以認為是非法的。 一般的系統故障是有別與計算機病毒感染的。系統故障大多只符合上面的一點(diǎn)或二點(diǎn)現象，而計算機病毒感染所出現的現象會(huì )多的多。根據上述幾點(diǎn)，就可以初步判斷計算機和網(wǎng)絡(luò )是否感染上了計算機病毒。
|
