AntiVirus

概述

防毒軟體（Antivirus 或Antivirus software）使用於偵測、移除電腦病毒、電腦蠕蟲、和特洛伊木馬的軟體。防毒軟體通常集成監控識別、病毒掃描和清除和自動升級等功能，有的防毒軟體還帶有數據恢復等功能，是計算機防禦系統（包含防毒軟體，防火牆，特洛伊木馬和其他惡意軟體的查殺程式，入侵預防系統等）的重要組成部分。

防毒原理

防毒軟體的任務是實時監控和掃描磁碟。部分防毒軟體通過在系統添加驅動程式的方式，進駐系統，並且隨作業系統啟動。防毒軟體的實時監控方式因軟體而異。有的防毒軟體，是通過在記憶體里劃分一部分空間，將電腦里流過記憶體的數據與防毒軟體自身所帶的病毒庫（包含病毒定義）的特徵碼相比較，以判斷是否為病毒。另一些防毒軟體則在所劃分到的記憶體空間裡面，虛擬執行系統或用戶提交的程式，根據其行為或結果作出判斷。防毒軟體將會將磁碟上所有的（或者用戶自定義的掃描範圍內的檔案）做一次檢查。另外，防毒軟體的設計還涉及很多其他方面的技術。脫殼技術，即是對壓縮檔案和封裝好的檔案作分析檢查的技術。自身保護技術，避免病毒程式殺死自身進程。修復技術，對被病毒損壞的檔案進行修復的技術。

病毒防禦

由於大量的防毒軟體的出現，以及防毒軟體病毒庫的不斷壯大，病毒被查殺的幾率也越來越大。所以有些病毒就開始通過加殼的方法來偽裝自己，企圖騙過防毒軟體，矇混過關。為了做好病毒防禦，我們就該了解什麼是加殼？加殼的對立面是不是脫殼？如何脫殼等？

什麼是殼

計算機軟體里有一段專門負責保護軟體不被非法修改或反編譯的程式。它們一般都是先於程式運行，拿到控制權，然後完成它們保護軟體的任務，大家就把這樣的程式稱為“殼”了。從功能上抽象的講，軟體的殼和自然界中的殼相差無幾。無非是保護、隱蔽殼內的東西。而從技術的角度出發，殼是一段執行於原始程式前的代碼。原始程式的代碼在加殼的過程中可能被壓縮、加密……。當加殼後的檔案執行時，殼－這段代碼先於原始程式運行，他把壓縮、加密後的代碼還原成原始程式代碼，然後再把執行權交還給原始代碼。軟體的殼分為加密殼、壓縮殼、偽裝殼、多層殼等類，目的都是為了隱藏程式真正的OEP（入口點，防止被破解）。

作者編好軟體後，編譯成exe執行檔。有一些版權資訊需要保護起來，不想讓別人隨便改動，如作者的姓名，即為了保護軟體不被破解，通常都是採用加殼來進行保護。加殼就需要把程式搞的小一點，從而方便使用。於是，需要用到一些軟體，它們能將exe執行檔壓縮。而在黑客界中“殼”則被用在保護病毒，給木馬等軟體加殼脫殼以躲避防毒軟體，給網民帶來很多的麻煩。

病毒加殼

在好萊塢間諜電影裡，那些特工們往往以神奇莫測的化妝來欺騙別人，甚至變換成另一個身份，國內對於這種偽裝行為有個通俗的說法——“穿馬甲”。而這種正與邪的爭鬥已經延伸到了病毒領域，很多病毒作者通過給病毒“穿馬甲”、甚至穿多個“馬甲”的方式，躲避防毒軟體的查殺，這種技術就是“加殼”。病毒作者可以通過給老病毒加殼，大批量製造出防毒軟體無法識別的新病毒。所謂加殼，是一種通過一系列數學運算，將可執行程式檔案或動態程式庫檔案的編碼進行改變（還有一些加殼軟體可以壓縮、加密驅動程式），以達到縮小檔案體積或加密程式編碼的目的。當被加殼的程式運行時，外殼程式先被執行，然後由這個外殼程式負責將用戶原有的程式在記憶體中解壓縮，並把控制權交還給脫殼後的真正程式。一切操作自動完成，用戶不知道也無需知道殼程式是如何運行的。一般情況下，加殼程式和未加殼程式的運行結果是一樣的。