计算机病毒知识与防治学习资料

一．什么是计算机病毒
“计算机病毒”为什么叫做病毒。首先，与医学上的“病毒”不同，它不是天然存在的，是某些人利用计算机软、硬件所固有的脆弱 性，编制具有特殊功能的程序。其能通过某种途径潜伏在计算机存储介质(或程序)里,当达到某种条件时即被激活,它用修改其他程序 的方法将自己的精确拷贝或者可能演化的形式放入其他程序中,从而感染它们，对计算机资源进行破坏的这样一组程序或指令集合。 1994年2月18日， 我国正式颁布实施了《中华人民共和国计算机信息系统安全保护条例》，在《条例》第二十八条中明确指出：“计 算机病毒，是指编制或者在计算机程序中插入的破 坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令 或者程序代码。”此定义具有法律性、权威性。 二．病毒起源最早由冯•诺伊曼提出一种可能性----现在称为病毒，但没引起注意. 1975 年，美国科普作家约翰•布鲁勒尔 (JOHN BRUNNER) 写了 一本名为《震荡波骑士》(SHOCK WAVE RIDER) 的书，该书第一次描写了在信息社会中，计算机作为正义和邪恶双方斗争的工具的故 事，成为当年最佳畅销书之一1977 年夏天，托马斯•捷•瑞安 (THOMAS.J.RYAN) 的科幻小说《P-1的春天》(THE ADOLESCENCE OF P-1) 成为美国的畅销书，作者在 这本书中描写了一种可以在计算机中互相传染的病毒，病毒最后控制了 7,000 台计算机，造成了一场灾难。1983 年 11 月 3 日，弗雷德•科恩 (FRED COHEN) 博士研制出一种在运行过程中可以复制自身的破坏性程序，伦•艾德勒曼 (LEN  ADLEMAN) 将它命名为计算机病毒(COMPUTER VIRUSES)，并在每周一次的计算机安全讨论会上正式提出，8 小时后专家们在  VAX11/750 计算机系统上运行，第一个病毒实验成功，一周后又获准进行 5 个实验的演示，从而在实验上验证了计算机病毒的存在 。1986 年初，在巴基斯坦的拉合尔 (LAHORE)，巴锡特 (BASIT) 和阿姆杰德(AMJAD) 两兄弟经营着一家 IBM-PC 机及其兼容机的小商 店。他们编写了PAKISTAN 病毒，即BRAIN。在一年内流传到了世界各地。 1988 年 3 月 2 日，一种苹果机的病毒发作，这天受感染 的苹果机停止工作，只显示“向所有苹果电脑的使用者宣布和平的信息”。以庆祝苹果机生日。 1988 年 11 月 2 日，美国六千多台计算机被病毒感染，造成 INTERNET不能正常运行。这是一次非常典型的计算机病毒入侵计算机 网络的事件，迫使美国政府立即作出反应，国防部成立了计算机应急行动小组。这次事件中遭受攻击的包括 5 个计算机中心和 12  个地区结点，连接着政府、大学、研究所和拥有政府合同的 250,000 台计算机。这次病毒事件，计算机系统直接经济损失达 9600  万美元。这个病毒程序设计者是罗伯特•莫里斯 (ROBERT T.MORRIS)，当年 23 岁，是在康乃尔 (CORNELL) 大学攻读学位的研究生。罗伯特•莫里斯设计的病毒程序利用了系统存在的弱点。由于罗伯特•莫里斯成了入侵 ARPANET 网的最大的电子入侵者，而获准参加 康乃尔大学的毕业设计，并获得哈佛大学 AIKEN 中心超级用户的特权。他也因此被判 3 年缓刑，罚款 1 万美元，他还被命令进行  400 小时的新区服务。1988 年底，在我国的国家统计部门发现小球病毒。三．病毒的产生计算机病毒的产生是计算机技术和以计算机为核心的社会信息化进程发展到一定阶段的必然产物。其产生的过程可分为：程序设计-- 传播--潜伏--触发、运行--实行攻击。究其产生的原因不外乎以下几种： 1、一些计算机爱好者出于好奇或兴趣，也有的是为了满足自己的表现欲，故意编制出一些特殊的计算机程序，让别人的电脑出现一 些动画，或播放声音，或提出问题让使用者回答，以显示自己的才干。而此种程序流传出去就演变成计算机病毒，此类病毒破坏性一 般不大。 2、产生于个别人的报复心理。如祖国台湾的学生陈盈豪，就是出于此种情况；他以前购买了一些杀病毒软件，可拿回家一用，并不 如厂家所说的那么厉害，杀不了什么病毒，于是他就想亲自编写一个能避过各种杀病毒软件的病毒，这样，CIH就诞生了。此种病毒 对电脑用户曾造成一度的灾难。 3、来源于软件加密，一些商业软件公司为了不让自己的软件被非法复制和使用，运用加密技术，编写一些特殊程序附在正版软件上 ，如遇到非法使用，则此类程序自动激活，于是又会产生一些新病毒；如巴基斯坦病毒。 4、产生于游戏，编程人员在无聊时互相编制一些程序输入计算机，让程序去销毁对方的程序，如最早的“磁芯大战”，这样，另一 些病毒也产生了。 5、用于研究或实验而设计的“有用”程序，由于某种原因失去控制而扩散出来。 6、由于政治、经济和军事等特殊目的，一些组织或个人也会编制一些程序用于进攻对方电脑，给对方造成灾难或直接性的经济损失 。  四．病毒的传播途径计算机病毒的传播主要是通过拷贝文件、传送文件、运行程序等方式进行。而主要的传播途径有以下几种： 1、硬盘 因为硬盘存储数据多，在其互相借用或维修时，将病毒传播到其他的硬盘或软盘上。 2、软盘 软盘主要是携带方便，早期时候在网络还不普及时，为了计算机之间互相传递文件，经常使用软盘，这样，通过软盘，也会将一台机 子的病毒传播到另一台机子。 3、光盘 光盘的存储容量大，所以大多数软件都刻录在光盘上，以便互相传递；由于各普通用户的经济收入不高，购买正版软件的人就少，一 些非法商人就将软件放在光盘上，因其只读，所以上面即使有病毒也不能清除，商人在制作过程中难免会将带毒文件刻录在上面。 4、网络 在电脑日益普及的今天，人们通过计算机网络，互相传递文件、信件，这样给病毒的传播速度又加快了；因为资源共享，人们经常在 网上下载免费、共享软件，病毒也难免会夹在其中。五．病毒的特征１．传染性计 算机病毒的传染性是指病毒具有把自身复制到其他程序中的特性。计算机病毒是一段人为编制的计算机程序代码，这段程序代码 一旦进入计算机并得以执行，它会搜 寻其他符合其传染条件的程序或存储介质，确定目标后再将自身代码插入其中，达到自我繁殖 的目的。只要一台计算机染毒，如不及时处理，那么病毒会在这台机子 上迅速扩散，其中的大量文件（一般是可执行文件）会被感 染。而被感染的文件又成了新的传染源，再与其他机器进行数据交换或通过网络接触，病毒会继续进行传 染。 正 常的计算机程序一般是不会将自身的代码强行连接到其它程序之上的。而病毒却能使自身的代码强行传染到一切符合其传染条件 的未受到传染的程序之上。计算机病 毒可通过各种可能的渠道，如软盘、计算机网络去传染其它的计算机。当你在一台机器上发现 了病毒时，往往曾在这台计算机上用过的软盘已感染上了病毒，而与这 台机器相联网的其它计算机也许也被该病毒侵染上了。是否 具有传染性是判别一个程序是否为计算机病毒的最重要条件。２．非授权性一般正常的程序是由用户调用，再由系统分配资源，完成用户交给的任务。其目的对用户是可见的、透明的。而病毒具有正常程序的 一切特性，它隐藏再正常程序中，当用户调用正常程序时窃取到系统的控制权，先于正常程序执行，病毒的动作、目的对用户时未知 的，是未经用户允许的。３．隐蔽性病 毒一般是具有很高编程技巧、短小精悍的程序。通常附在正常程序中或磁盘较隐蔽的地方，也有个别的以隐含文件形式出现。目 的是不让用户发现它的存在。如果不 经过代码分析，病毒程序与正常程序是不容易区别开来的。一般在没有防护措施的情况下，计 算机病毒程序取得系统控制权后，可以在很短的时间里传染大量程序。 而且受到传染后，计算机系统通常仍能正常运行，使用户不 会感到任何异常。试想，如果病毒在传染到计算机上之后，机器马上无法正常运行，那么它本身便无法继 续进行传染了。正是由于 隐蔽性，计算机病毒得以在用户没有察觉的情况下扩散到上百万台计算机中。 大部分的病毒的代码之所以设计得非常短小，也是为了隐藏。病毒一般只有几百或1k字节，而PC机对DOS文件的存取速度可达每秒几 百KB以上，所以病毒转瞬之间便可将这短短的几百字节附着到正常程序之中，使人非常不易被察觉。 ４．潜伏性大部分的病毒感染系统之后一般不会马上发作，它可长期隐藏在系统中，只有在满足其特定条件时才启动其表现（破坏）模块。只有 这样它才可进行广泛地传播。如“PETER-2”在每年2月27日会提三个问题，答错后会将硬盘加密。著名的“黑色星期五”在逢13号的 星期五发作。国内的“上海一号”会在每年三、六、九月的13日发作。当然，最令人难忘的便是26日发作的CIH。这些病毒在平时会 隐藏得很好，只有在发作日才会露出本来面目。５．破坏性任 何病毒只要侵入系统，都会对系统及应用程序产生程度不同的影响。轻者会降低计算机工作效率，占用系统资源，重者可导致系 统崩溃。由此特性可将病毒分为良性 病毒与恶性病毒。良性病度可能只显示些画面或出点音乐、无聊的语句，或者根本没有任何破 坏动作，但会占用系统资源。这类病毒较多，如：GENP、小球、W-BOOT等。恶性病毒则有明确得目的，或破坏数据、删除文件或加密 磁盘、格式化磁盘，有的对数据造成不可挽回的破坏。这也反映出病毒编制者的险恶用心。６．不可预见性从 对病毒的检测方面来看，病毒还有不可预见性。不同种类的病毒，它们的代码千差万别，但有些操作是共有的（如驻内存，改中 断）。有些人利用病毒的这种共性， 制作了声称可查所有病毒的程序。这种程序的确可查出一些新病毒，但由于目前的软件种类极 其丰富，且某些正常程序也使用了类似病毒的操作甚至借鉴了某些病毒 的技术。使用这种方法对病毒进行检测势必会造成较多的误 报情况。而且病毒的制作技术也在不断的提高，病毒对反病毒软件永远是超前的。六．病毒的分类病毒主要有以下几种类型：2.1开机型病毒 (Boot Strap Sector Virus):开机型病毒是藏匿在磁盘片或硬盘的第一个扇区。因为DOS的架构设计, 使得病毒可以在每次开机时, 在操作系统还没被加载之前就 被加载到内存中, 这个特性使得病毒可以针对DOS的各类中断 (Interrupt) 得到完全的控制, 并且拥有更大的能力进行传染与破坏。 2.2文件型病毒 (File Infector Virus):文件型病毒通常寄生在可执行文件(如 *.COM, *.EXE等)中。当这些文件被执行时, 病毒的程序就跟着被执行。文件型的病毒依传染 方式的不同, 又分成非常驻型以及常驻型两种 :(1) 非常驻型病毒(Non-memory Resident Virus) : 非常驻型病毒将自己寄生在 *.COM, *.EXE或是 *.SYS的文件中。当这些中毒的程序被执行时，就会尝试去传染给另一个或多个文件 。 (2) 常驻型病毒(Memory Resident Virus) :常驻型病毒躲在内存中，其行为就好象是寄生在各类的低阶功能一般(如 Interrupts)，由于这个原因, 常驻型病毒往往对磁盘造成 更大的伤害。一旦常驻型病毒进入了内存中, 只要执行文件被执行, 它就对其进行感染的动作, 其效果非常显着。将它赶出内存的唯 一方式就是冷开机(完全关掉电源之后再开机)。2.3复合型病毒 (Multi-Partite Virus):复合型病毒兼具开机型病毒以及文件型病毒的特性。它们可以传染 *.COM, *.EXE 文件，也可以传染磁盘的开机系统区(Boot  Sector)。由于这个特性, 使得这种病毒具有相当程度的传染力。一旦发病，其破坏的程度将会非常可观！ 2.4隐型飞机式病毒 (Stealth Virus):隐型飞机式病毒又称作中断截取者(Interrupt Interceptors)。顾名思义, 它通过控制DOS的中断向量，把所有受其感染的文件"假还 原"，再把"看似跟原来一模一样"的文件丢回给 DOS。2.5千面人病毒 (Polymorphic/Mutation Virus):千面人病毒可怕的地方, 在于每当它们繁殖一次, 就会以不同的病毒码传染到别的地方去。每一个中毒的文件中, 所含的病毒码都不 一样, 对于扫描固定病毒码的防毒软件来说，无疑是一个严重的考验！有些高竿的千面人病毒，几乎无法找到相同的病毒码。感染  PE_ Marburg 病毒后的 3 个月，即会在桌面上出现一堆任意排序的 "X" 符号2.6宏病毒 (Macro Virus):宏病毒主要是利用软件本身所提供的宏能力来设计病毒, 所以凡是具有写宏能力的软件都有宏病毒存在的可能, 如Word、 Excel 、 AmiPro 等等。2.7特洛伊木马病毒 VS.计算机蠕虫特洛依木马（ Trojan ）和计算机蠕虫（ Worm ）之间，有某种程度上的依附关系，有愈来愈多的病毒同时结合这两种病毒型态的破 坏力，达到双倍的破坏能力。 计算机蠕虫在网络中匍匐前进　　计算机蠕虫大家过去可能比较陌生，不过近年来应该常常听到，顾名思义计算机蠕虫指的是某些恶性程序代码会像蠕虫般在计算 机网络中爬行，从一台计算机爬到另外一台计算机，方法有很多种例如透过局域网络或是 E-mail.最著名的计算机蠕虫案例就是"  ILOVEYOU-爱情虫 "。例如：" MELISSA-梅莉莎" 便是结合"计算机病毒"及"计算机蠕虫"的两项特性。该恶性程序不但会感染 Word  的 Normal.dot（此为计算机病毒特性），而且会通过 Outlook E-mail 大量散播（此为计算机蠕虫特性）。　　事实上，在真实世界中单一型态的恶性程序其实愈来愈少了，许多恶性程序不但具有传统病毒的特性，更结合了"特洛伊木马程 序"、"计算机蠕虫"型态来造成更大的影响力。一个耳熟能详的案例是"探险虫"（ExploreZip）。探险虫会覆盖掉在局域网络上远程 计算机中的重要文件（此为特洛伊木马程序特性），并且会透过局域网络将自己安装到远程计算机上（此为计算机蠕虫特性）。2.8 黑客型病毒-走后门、发黑色信件、瘫痪网络　　自从 2001七月 CodeRed红色警戒利用 IIS 漏洞，揭开黑客与病毒并肩作战的攻击模式以来，CodeRed 在病毒史上的地位，就如 同第一只病毒 Brain 一样，具有难以抹灭的历史意义。　　如同网络安全专家预料的，CodeRed 将会成为计算机病毒、计算机蠕虫和黑客"三管齐下"的开山鼻祖，日后的病毒将以其为样本 ，变本加厉地在网络上展开新型态的攻击行为。果不其然，在造成全球 26.2 亿美金的损失后， 不到 2 个月同样攻击 IIS 漏洞的 Nimda 病毒，其破坏指数却远高于 CodeRed。 Nimda 反传统的攻击模式，不仅考验着 MIS 人员的应变能力，更使得传统的防毒软件 面临更高的挑战。　　继红色代码之后，出现一只全新攻击模式的新病毒，透过相当罕见的多重感染管道在网络上大量散播，包含： 电子邮件、网络 资源共享、微软IIS服务器的安全漏洞等等。由于 Nimda 的感染管道相当多，病毒入口多，相对的清除工作也相当费事。尤其是下载 微软的 Patch，无法自动执行，必须每一台计算机逐一执行，容易失去抢救的时效。　　每一台中了Nimda 的计算机，都会自动扫描网络上符合身份的受害目标，因此常造成网络带宽被占据，形成无限循环的 DoS阻断 式攻击。另外，若该台计算机先前曾遭受 CodeRed 植入后门程序，那么两相挂勾的结果，将导致黑客为所欲为地进入受害者计算机 ，进而以此为中继站对其它计算机发动攻势。类似Nimda威胁网络安全的新型态病毒，将会是 MIS 人员最大的挑战。" 认识计算机病毒与黑客　　防止计算机黑客的入侵方式，最熟悉的就是装置「防火墙 」(Firewall)，这是一套专门放在 Internet 大门口 (Gateway) 的身 份认证系统，其目的是用来隔离 Internet 外面的计算机与企业内部的局域网络，任何不受欢迎的使用者都无法通过防火墙而进入内 部网络。有如机场入境关口的海关人员，必须核对身份一样，身份不合者，则谢绝进入。否则，一旦让恐怖份子进入国境破坏治安， 要再发布通缉令逮捕，可就大费周章了。　　一般而言，计算机黑客想要轻易的破解防火墙并入侵企业内部主机并不是件容易的事，所以黑客们通常就会用采用另一种迂回战 术，直接窃取使用者的帐号及密码，如此一来便可以名正言顺的进入企业内部。而 CodeRed、Nimda即是利用微软公司的 IIS网页服 务器操作系统漏洞，大肆为所欲为。--宽带大开方便之门　　CodeRed 能在短时间内造成亚洲、美国等地 36 万计算机主机受害的事件，其中之一的关键因素是宽带网络（Broadband） 的"always-on" (固接，即二十四小时联机)特性特性所打开的方便之门。　　宽带上网，主要是指 Cable modem 与 xDSL这两种技术，它们的共同特性，不单在于所提供的带宽远较传统的电话拨接为大，同 时也让二十四小时固接上网变得更加便宜。事实上，这两种技术的在本质上就是持续联机的，在线路两端的计算机随时可以互相沟通 。　　当 CodeRed 在 Internet 寻找下一部服务器作为攻击发起中心时，前提必须在该计算机联机状态方可产生作用，而无任何保护 措施的宽还用户，"雀屏中选"的机率便大幅提升了。　　当我们期望Broadband（宽 带网络）能让我们外出时仍可随时连上家用计算机，甚至利用一根小手指头遥控家中的电饭锅煮饭、 咖啡炉煮咖啡时，同样的，黑客和计算机病毒也有可能随时入侵 到我们家中。计算机病毒可能让我们的马桶不停地冲水，黑客可能 下达指令炸掉家里的微波炉、让冰箱变成烤箱、甚至可能利用家用监视摄影机来监视我们的一举一 动。唯有以安全为后盾，有效地 阻止黑客与病毒的觊觎，才能开启宽带网络的美丽新世界。　　计算机及网络家电镇日处于always-on的 状态，也使得计算机黑客有更多入侵的机会。在以往拨接上网的时代，家庭用户对黑客 而言就像是一个移动的目标，非常难以锁定，如果黑客想攻击的目标没有拨接 上网络，那幺再厉害的黑客也是一筹莫展，只能苦苦 等候。相对的，宽带上网所提供的二十四小时固接服务却让黑客有随时上下其手的机会，而较大的带宽不但提供 家庭用户更宽广的 进出渠道，也同时让黑客进出更加的快速便捷。 过去我们认为计算机防毒与防止黑客是两回事（见表一），然而 CodeRed却改写了 这个的定律，过去黑客植入后门程序必须一台计算机、一台计算机地大费周章的慢慢入侵，但CodeRed却以病毒大规模感染的手法， 瞬间即可植入后门程序，更加暴露了网络安全的严重问题。 表一：黑客与计算机病毒比较         黑客（Hacker）        计算机病毒( Virus )入侵对象        锁定特定目标        没有特定目标隐喻        被限制出入境者（非企业网管相关人员），以几可乱真的 Passport欺蒙海关守门员（如同企业网络的Gateway），进入国境 （企业网络）后，锁定迫害对象（计算机主机），进行各种破坏动作。        某人持有合法护照，但在出入境时，携带的行李被放置枪炮 弹药等违禁品（病毒程序），海关（如同企业网络的Gateway）并没有察觉，于是在突破第一道关卡后，这些违禁品进入国境（个人 计算机或企业网络），随时产生破坏动作。举例说明        没有合法身份认证的计算机黑客通常都会先想办法取得一个合法的通行密码，或者利用系统安全疏失，在网络上通 行无阻。        一个合法的使用者在有意无意间所「引进」病毒，其管道可能是直接从网际网络下载文件、或是开启 e-mail 中含 有病毒的附加文件 (Attachment)所感染。 七．病毒的命名对病毒命名，各个反毒软件亦不尽相同，有时对一种病毒不同的软件会报出不同的名称。如“SPY”病毒，KILL起名为SPY，KV300则 叫“TPVO-3783”。给病毒起名的方法不外乎以下几种：按病毒出现的地点，如“ZHENJIANG_JES”其样本最先来自镇江某用户。按病毒中出现的人名或特征字符，如“ZHANGFANG—1535”， “DISK KILLER”，“上海一号”。按病毒发作时的症状命名，如“火炬”，“蠕虫”。按病毒发作的时间，如“NOVEMBER 9TH”在 11月9日发作。有些名称包含病毒代码的长度，如“PIXEL.xxx”系列,“KO.xxx”等体。八．病毒的危害计算机病毒会感染、传播，但这并不可怕，可怕的是病毒的破坏性。其主要危害有：1、攻击硬盘主引导扇区、Boot扇区、FAT表、文件目录，使磁盘上的信息丢失。 2、删除软盘、硬盘或网络上的可执行文件或数据文件，使文件丢失。 3、占用磁盘空间。 4、修改或破坏文件中的数据，使内容发生变化。 5、抢占系统资源，使内存减少。 6、占用CPU运行时间，使运行效率降低。 7、对整个磁盘或扇区进行格式化。 8、破坏计算机主板上BIOS内容，使计算机无法工作。 9、破坏屏幕正常显示，干扰用户的操作。10、破坏键盘输入程序，使用户的正常输入出现错误。11、攻击喇叭，会使计算机的喇叭发出响声。有的病毒作者让病毒演奏旋律优美的世界名曲，在高雅的曲调中去杀戮人们的信息财富 。有的病毒作者通过喇叭发出种种声音。 12.干扰打印机，假报警、间断性打印、更换字符。十．病毒的发展当前计算机病毒的最新发展：1、病毒的演化，任何程序和病毒都一样，不可能十全十美，所以一些人还在修改以前的病毒，使其功能更完善，使杀毒软件更难检 测。2、在时下操作系统抢占市场的时候，各种操作系统应运而生，其它操作系统上的病毒也千奇百怪。3、一些新病毒变得越来越隐蔽。4、 多变型病毒也称变形发动机，是新型计算机病毒。这类病毒采用复杂的密码技术，在感染宿主程序时，病毒用随机的算法对病毒 程序加密，然后放入宿主程序中，由 于随机数算法的结果多达天文数字，所以，放入宿主程序中的病毒程序每次都不相同。这样， 同一种病毒，具有多种形态，每一次感染，病毒的面貌都不相同，犹如 一个人能够“变脸”一样，检测和杀除这种病毒非常困难。5、即然杀病毒软件是杀病毒的，而就有人却在搞专门破坏杀病毒软件的病毒，一是可以避过杀病毒软件，二是可以修改杀病毒软件 ，使其杀毒功能改变。十一.怎样发现病毒计算机病毒发作时，通常会出现以下几种情况，这样我们就能尽早地发现和清除它们。1、电脑运行比平常迟钝 2、程序载入时间比平常久 有些病毒能控制程序或系统的启动程序，当系统刚开始启动或是一个应用程序被载入时，这些病毒将执行他们的动作，因此会花更多 时间来载入程序。 3、对一个简单的工作，磁盘似乎花了比预期长的时间 例如：储存一页的文字若需一秒，但病毒可能会花更长时间来寻找未感染文件。 4、不寻常的错误信息出现 例如你可能得到以下的信息： write protect error on driver A 表示病毒已经试图去存取软盘并感染之，特别是当这种信息出现频繁时，表示你的系统已经中毒了！ 5、硬盘的指示灯无缘无故的亮了 当你没有存取磁盘，但磁盘指示灯却亮了，电脑这时已经受到病毒感染了。 6、系统内存容量忽然大量减少 有些病毒会消耗可观的内存容量，曾经执行过的程序，再次执行时，突然告诉你没有足够的内存可以利用，表示病毒已经存在你的电 脑中了！ 7、磁盘可利用的空间突然减少 这个信息警告你病毒已经开始复制了！ 8、可执行程序的大小改变了！ 正常情况下，这些程序应该维持固定的大小，但有些较不聪明的病毒，会增加程序的大小 9、坏轨增加 有些病毒会将某些磁区标注为坏轨，而将自己隐藏其中，於是往往扫毒软件也无法检查病毒的存在，例如Disk Killer会寻找3或5个 连续未用的磁区，并将其标示为坏轨 10、程序同时存取多部磁盘 11、内存内增加来路不明的常驻程序 12、文件奇怪的消失 13、文件的内容被加上一些奇怪的资料 14、文件名称，扩展名，日期，属性被更改过  十二.病毒的预防1、平常准备可正常开机之软盘，并贴上写保护。※检查电脑的任何问题，或者是解毒，最好在没有病毒干扰的环境下进行，才能完整测出真正的原因，或是彻底解决病毒的侵入。 2、重要资料，必须备份。 ※资料是最重要的，程序损坏了可重新COPY，甚至再买一份，但是自己键入的资料，可能是三年的会计资料，可能是画了三个月的图 片，结果某一天，硬盘坏了或者病毒的因素，会让人欲哭无泪，所以一般性的备份是绝对必要的。 3、记住COMMAND.COM之长度，若有异常，即有中毒的可能。 ※中毒的程序，绝大部份会改变长度，所以记住一个常见程序的长度，有助於判定是否有中病毒，尤其是COMMAND.COM文件，这部份 如果被病毒感染，则你的电脑将体无完肤。 4、经常利用DOS指令MEM或CHKDSK，检验内存之使用情形，若BASE RAM异常，少於640KB，则有中毒的可能。 ※利用CHKDSK检查MEMORY之大小一般为655360 total bytes memory，若中病毒，此数字将减少。 5、尽量避免在无防毒软件的机器上，使用电脑可移动磁盘。 ※一般人都以为不要使用别人的磁盘，即可防毒，但是不要随便用别人的电脑也是非常重要的，否则有可能带一大堆病毒回家。 6、使用新进软件时，先用扫毒程序检查，可减少中毒机会。 ※主动检查，可以过滤大部份的病毒。 7、准备一份具有查毒、防毒、解毒及重要功能之软件，将有助於杜绝病毒。 8、遇到电脑有不明音乐传出或当机时，而硬盘的灯持续亮著，应即刻关机。 ※发现电脑HDISK的灯持续闪烁，可能是病毒正在FORMAT硬盘。 9、若硬盘资料已遭到破坏，不必急著FORMAT，因病毒不可能在短时间内，将全部硬盘资料破坏，故可利用灾后重建的解毒程序，加 以分析，重建受损状态。 十三.怎样杀除病毒唉，即然中了病毒，也就不要怪谁，常言道“兵来将挡”，以下给各位提供一些杀除病毒的建议供大家参考：1、如果发现病毒，首先是停止使用机子，用干净启动软盘启动机子，将所有资料备份；2、用正版杀毒软件进行杀毒，最好能将杀毒软件升级到最新版；3、如果一个杀毒软件不能杀除，可到网上找一些专业性的杀病毒网站下载最新版的其它杀病毒软件，进行查杀；4、如果多个杀毒软件均不能杀除，可将此病毒发作情况发布到网上，或到专门的BBS论坛留下贴子；5、可用此染毒文件上报杀病毒网站，让专业性的网站或杀毒软件公司帮你解决。来源：国家计算机病毒应急处理中心http://www.antivirus-china.org.cn