[发明专利]感染计算机病毒文件的追踪检测方法

摘要

感染计算机病毒文件的追踪检测方法,在计算机系统的存储器中指定存储区,设定中央处理器中各相关寄存器、判断中央处理器有否除错状况、除错状态寄存器中的对应中断点条件是否设定。设定时,由堆栈中取触发除错状况指令地址,将该指令段及偏移地址正规化、建立存储器控制区块串行,对前述存储器控制区块串行扫描,找出涵盖前述正规化指令段及偏移地址程序。将该改变INT13h中断向量的程序名称及地址记录。对存储区中文件内容扫描,与已知病毒码对比,对比相同即警示使用者。

主权项

1．一种感染计算机病毒文件的追踪检测方法，检测企图改变计算机系统的基本输入系统的INT13h中断向量地址的计算机病毒程序，该计算机系统的中央处理器内部配置有控制寄存器、断点寄存器、除错控制寄存器、除错状态寄存器，该检测方法包括下列步骤：a．在该计算机系统的存储器中指定一存储区；b．设定该中央处理器中各相关寄存器；c．判断该中央处理器是否有除错状况产生，若无，则继续重复测试，若有，则进一步判断中央处理器的除错状态寄存器中的对应中断点条件是否被设定；d．若该中央处理器的除错状态寄存器中的对应中断点条件已被设定，则由存储器堆栈段中取得触发该除错状况的指令的区及偏移位置；e．将该指令的段及偏移地址予以正规化；f.建立一存储器控制区块串行；g．对该存储器控制区块的串行进行扫描，以找出涵盖到前述正规化的指令段及偏移地址的程序；h．将该改变INT13h中断向量的程序名称及地址予以记录在步骤a中所指定的存储区中；i．对该存储区中的文件内容进行扫描，并与已知病毒码对比，若对比出与已知病毒码相同的文件内容，即警示使用者。