与病毒奋战20年的杀毒引擎和特征库
导语：现在互联网上最强的黑势力是难以尽数的盗号工作室，比较出名的有赤兔马、老A、乐意马、铁血等等，这些都是木马可执行文件上带有品牌的，还有更多神秘低调的木马团伙，它们变种之快让人们难以想像，杀毒软件终于日益力不从心。
第一章 与病毒奋战20年的杀毒引擎和特征库
很多人都把杀毒技术看得很神秘，其实无论杀毒软件的版本怎么升级、概念如何变化，基本的原理就是“杀毒引擎+特征码匹配”，杀毒引擎是枪，特征码是子弹，子弹越多，能杀的病毒就越多。很多人用盗版的杀软，不能升级特征库也就对付不了新的病毒。
特征库是由杀毒厂商收集到的病毒样本的特征码组成，而特征码则是病毒分析工程师从病毒程序中找到和正当软件的不同之处，截取一段类似于“搜索关键词”的程序代码。
当用杀毒引擎扫描硬盘、或者监控一个文件的动作时(比如下载、修改注册表等等)，它会读取文件并且与特征库中的所有特征码“关键词”进行匹配，如果发现文件程序代码被“关键词”命中，就把那个文件判定为病毒——就像搜索引擎用关键词去精确匹配网页，定义足够多的关键词才能找到需要的结果。
总体来说，杀毒软件的工作流程是：采集样本(用户举报、杀毒厂商共享)—>病毒分析工程师截取特征码—>特征码加入特征库—>用户升级特征库。
特征库匹配是查杀已知病毒很有效的一项技术，也是杀毒引擎赖以工作的基础(扫描、监控都需要调用特征库)，一直被杀毒软件沿用下来，国内外无数反病毒工作者为截取病毒特征码付出了巨大努力，所有特征码都需要严格的测试和比对，否则极易造成误伤。
在杀毒软件走过20年历史、互联网高速普及的今天，杀毒引擎和特征库匹配技术也受到越来越多质疑：木马数量急剧增加，人工截取特征码的效率有限。即使假设所有样本都能及时处理，特征库变大也会带来资源占用过大的问题，特别是杀毒引擎随系统启动时都要把特征库写入内存，这是杀毒软件遭到诟病的一大原因。
网友评论