很多人研究阿~新人路过~

　　病毒程序有以下几种机制：

１、感染机制。
２、驻留内存机制。
３、网络传播机制。
４、修改ＷＩＮＤＯＷＳ系统级的对文件和目录的管理机制。

５、修改ＷＩＮＤＯＷＳ系统程序机制。
６、类似于解决兼容性问题的机制。病毒程序当然是尽可能多地感染需要感染的程序。
７、区分ＷＩＮＤＯＷＳ系统下各种程序的机制。
８、获得ＷＩＮＤＯＷＳ可公开的信息，同时，保护、隐含病毒程序的机制。使得杀毒程序难以起到应有的效果。

９、对病毒生存情况的管理机制。简单的一种，是管理和保存已经感染的文件和目录信息。
１０、如何避开变化和发展中的病毒查杀功能。
１１、如何保护病毒程序去掩盖感染的过程性信息。
１２、保证兼容性感染不同版本的操作系统下的文件及目录系统。

１３、病毒发作机制。
１４、在查毒时，需要保存现场信息。ＣＯＮＴＥＸＴ－ＳＥＮＳＩＴＩＶＥ。
１５、病毒查杀的历史数据的保存。
１６、病毒起效的历史数据的保存。

１７、对来自ＷＩＮＤＯＷＳ系统的安全补丁的分析。
１８、病毒程序对正常可感染性程序的识别。
１９、病毒程序的进程调度，和正常程序的进程在ＷＩＮＤＯＷＳ下的识别。
２０、糊弄ＷＩＮＤＯＷＳ各种揭露病毒信息的机制。

２１、病毒在某种ＷＩＮＤＯＷＳ版本下开发，保留开发平台，等历史信息。
２２、动态性：病毒感染和传播的动态模型。例如，可使用ＵＭＬ模型。
２３、病毒运行的环境。　
２４、有些病毒是针对ＷＩＮＤＯＷＳ的缺陷，因此病毒程序要有应对ＷＩＮＤＯＷＳ通过下载打补丁情况的处理。
２５、分析哪些程序打开哪些文件获取数据。

２６、ＣＲＩＴＩＣＡＬ　ＲＥＳＯＵＲＣＥ，在病毒和反病毒的处理中，有哪些数据或程序，或者目标，或者系统程序，是关键的资源。
２７、为了保证病毒获取最新的系统信息，需要保存上下文。
２８、病毒程序在各种客户机上，能否保证对资源不对称性的网络特性的分析。
２９、如有病毒客户端程序，与病毒控制的服务端程序之间的通信模型。

３０、病毒进程控制的内存。是否和ＷＩＮＤＯＷＳ以前的版本一样，只要系统有病毒，就会被病毒控制住一些关键资源，如内存。
３１、病毒控制的内存的用途、特点。
３２、被病毒控制的系统和未感染的系统的比较，要采取哪些人工的处理，和哪些自动的处理。
３３、或者说，病毒所依赖、所承载的平台。

３４、ＷＩＮＤＯＷＳ系统的进程，都是要处理数据资源、程序资源的。
３５、如何获取、收集网络要通信（包括病毒）的资源。
３６、对一般进程，包括病毒程序，要控制的系统资源。
３７、

一种病毒感染后，防查毒的机制：
１、一个正常文件长度刚好是５００ＫＢ，名：Ｐ１。一个正常文件是５５０ＫＢ，Ｐ２／
２、正常情况下，去感染，需要增加１００ＫＢ。
３、有两个程序来隐藏病毒信息。ＶＡ，ＶＢ。
４、ＶＡ对Ｐ１加密，加密后，把病毒代码附加在Ｐ１的尾部，并且附加空指令，使得程序仍然是５００ＫＢ，或者５５０ＫＢ。
５、需要运行时，先用ＶＢ进行解密。回复原Ｐ１的长度。

37、对待感染的资源文件、进程等内容的分类。例如，一般情况下的EXE文件。

    38、发作机制。
    39、对病毒生存期中，WINDOWS环境的保护。
    40、对病毒要感染，所涉及的WINDOWS系统结构的分析。

    41、单机和网络环境下，病毒的感染机制的区别。
    42、病毒程序和AGENT机制相似的部分。都是有计算智能的，在某些情况下，不需要人为的干涉，病毒程序就可自动复制和感染、传播。
    43、不对同一程序文件重复感染的机制。识别机制。
    44、基于网络的程序，涉及到客户端和服务器端的资源不对称。

　　自我复制，自动传播，破坏性，寄生性。

　　自我复制是有条件限制的。

　　发作同样是有条件限制的。

　　没有自动传播，其感染能力就减弱。传播是利用网络。不是人工邮件的传播方式。

　　寄生性：一般寄生在宿主程序上。以前一定要是可运行的程序。或者是ＤＬＬ，也相当于代码段，相当于将标准的函数代码已经编译成可运行代码。

　　这种可运行代码，是ＷＩＮＤＯＷＳ可运行的、可识别的，是按照ＷＩＮＤＯＷＳ对程序管理系统的要求，进行了编译的。

　　ＩＥ现在的版本，可以，而且经常下载小程序，附着在ＩＥ上。应该是完成一些特定的计算功能。

　　对ＩＥ和网络的病毒攻击，利用了这一点。

　　利用ＩＥ的漏洞，则似乎可以不经用户的许可，可以自动完成病毒的感染和传播。

　　由于ＩＥ是面向ＩＮＴＥＲＮＥＴ的窗口，对它的分析和攻击，是最主要的攻击方式之一。想象在ＩＮＴＥＲＮＥＴ上设置一个网站，作为“密罐”的现象。

　　那么，试着对ＩＥ进行简单的、概括的分析和界定……

１、它通过网页处理的协议，和服务器通信，获取资源，修改服务器数据。

２、有丰富的协议处理机机制。

３、协议处理具有过程性、迁延性、散播性。容易被分析和攻击。

４、有类似“容器”的效果，面向扩展，允许下载和安装新型的智能小程序，处理一些ＩＥ未能、未方便实现，而将来需要的应用，从而强化利用网络的功能。

５、一般ＩＥ看作Ｂ／Ｓ系统的组成部分，是面向ＩＮＴＥＲＮＥＴ甚至其它网络的界面，它具有计算智能，是很自然、很容易想到的事，绝不仅仅是一个简单的浏览器，点击网页那么简单。

６、由于用户系统发展程度的差异性、层次性、时延性，不光是ＩＥ有不同的版本，甚至ＷＩＮＤＯＷＳ等操作系统也是有不同的版本的。

　　这样既有好处，也有坏处。同一性和特殊性的关系问题。

　　试分析之。大部分是同样的运行系统，存在一点击破，全面崩溃的问题。网络攻击显然的特性是瞬时性、猝发性、巨量性、不定时性。不知道何时敌人会全力一击，并观察运行系统的反应和反应流程。

　　如果是不同的运行系统，由于存在着差异性，至少收集运行系统的信息就需要时间。

　　如果是我，如果要对ＩＮＴＥＲＮＥＴ上的资源管理和控制手段进行分析，对ＩＥ进行分析是必然的。

　　ＩＥ对本地网页读取，是基本步骤吧。

　　其中，最主要的是对协议处理机进行分析，它是一个变换过程。对它的分析，是一个黑盒子。它是应用层的（也可能结合多层），对ＴＣＰ／ＩＰ协议处理机的联系应该很紧密。

　　ＴＣＰ／ＩＰ协议处理机在ＷＩＮＤＯＷＳ上，是一个可安装拆卸的组件。

　　对端ＩＥ就直接显示数据到屏幕了，直接对计算机用户。

　　ＩＥ界面系统和本身系统中，最主要的是超链接机制。它能读取网页，到ＩＮＴＥＲＮＥＴ上读取。同时通过编写脚本类的小程序，利用ＶＭ虚拟机，具有一定的讦算能力。

　　回到病毒问题，这些角度由于有计算能力，就会有病毒需要的基本寄生环境条件吧。

　　要设计病毒，对计算机本地文件目录结构，网络文件目录结构，文件结构必须完全掌握。对ＷＩＮＤＯＷＳ访问这些资源的方式是同样的要求。

　　对程序从调入到运行，到中间结果处理，到存储，这些机制，必须掌握。

　　对文件和目录，以及网络资源的读写机制，要非常了解。

　　病毒发作时，直接修改文件，也有技巧。象变种病毒。象没有特征代码。

　　病毒程序分作哪几部分呢？

１、搜索代码段。搜索和识别那些可供感染的程序文件，进程，还有一些网络应用。

２、定位宿主程序的机制。

３、复制机制。　　

４、ＴＳＲ驻留内存，ＴＥＭＰＥＲＡＲＹ　ＳＴＡＴＥ　ＲＥＳＩＤＥＮＴ。

５、保护机制。不被轻易发觉。

６、网络传播机制。

７、破坏机制和发作机制。破坏资源，控制资源，非法获取资源。

　　可以分析具备上述条件的最基础的病毒需要多少代码量。或者上述７部分每部分的代码量。

　　病毒程序有以下几种机制：

１、感染机制。

１、１、从整个ＷＩＮＤＯＷＳ系统，转换成一个被病毒破坏和驻留的不安全系统。
１、２、华为公司(http://www.huawei.com)招聘信息安全人员，曾有以下几个要求：
即“三防二Ｉ”：网络攻防、防病毒、防火墙；ＰＫＩ，ＩＤＳ（入侵检测系统）。
Public Key Infrastrue.
Intrude Detection System.
１、３、修改原系统文件，生成新系统文件，调整某些文件所在目录。完全新生成新文件。
１、４、确定ＷＩＮＤＯＷＳ系统版本。
１、５、确定要尽力感染的目录和文件。
１、６、对ＷＩＮＤＯＷＳ系统各个目录的控制。

２、驻留内存机制。

２、１、病毒代码分成几部分寄存在内存。
２、２、病毒代码附加和混合在静态文件上。在如“运行”这个文件时，开始启动感染机制。
２、３、对内存的控制。
２、４、对内存的划分。

３、网络传播机制。
３、１、在ＴＣＰ／ＩＰ体系结构上，传播出去。
３、２、自动寻找可感染的系统。
３、３、新病毒到达时的伪装，使得尽可能多的感染这一目录成为现实。
３、４、对路由的控制。
３、５、透过防火墙。

４、修改ＷＩＮＤＯＷＳ系统级的对文件和目录的管理机制。
４、１、与ＷＩＮＤＯＷＳ系统文件和系统进程，进行交互，明确其对病毒的感染和传播的作用。
４、２、确定ＷＩＮＤＯＷＳ各种版本下：运行中的系统的分析。
４、３、对ＷＩＮＤＯＷＳ下进程管理系统的分析。
４、４、对ＷＩＮＤＯＷＳ下目录、文件、进程的生存期的研究。

５、修改ＷＩＮＤＯＷＳ系统程序机制。
６、类似于解决兼容性问题的机制。病毒程序当然是尽可能多地感染需要感染的程序。
７、区分ＷＩＮＤＯＷＳ系统下各种程序的机制。
８、获得ＷＩＮＤＯＷＳ可公开的信息，同时，保护、隐含病毒程序的机制。使得杀毒程序难以起到应有的效果。
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
５、修改ＷＩＮＤＯＷＳ系统程序机制。

５、１、对ＷＩＮＤＯＷＳ系统程序分类。
５、２、对系统程序而言，有些需要精确到二进制的程度。
５、３、修改ＷＩＮＤＯＷＳ程序，ＷＰ２的目的有：
＊感染病毒，并且仍然能够完成ＷＰ２原先预定的功能。
＊感染前后ＷＰ２的各种性能和功能的对比。
＊隐藏病毒特征。使得病毒程序的整个发现流程断代。
＊新ＷＰ２是否完全满足感染和发作、传播之病毒程序的机制。
＊感染前后，ＷＰ２涉及的各种时间因素。
＊ＷＰ２在文件管理下的快照。

６、类似于解决兼容性问题的机制。病毒程序当然是尽可能多地感染需要感染的程序。
６、１、针对各种ＷＩＮＤＯＷＳ版本。保留其系统平台。
６、２、病毒程序包之间的合作。
６、３、在病毒程序设计之前，自动编程寻找不同的ＷＩＮＤＯＷＳ系统版本。

７、区分ＷＩＮＤＯＷＳ系统下各种程序的机制。

７、１、跟踪正常ＷＩＮＤＯＷＳ系统中的程序的数据区和程序代码区的数据。
７、２、哪些正常程序容易感染。
７、３、反病毒程序经常探测的文件。

８、获得ＷＩＮＤＯＷＳ可公开的信息，同时，保护、隐含病毒程序的机制。使得杀毒程序难以起到应有的效果。

８、１、尤其是ＷＩＮＤＯＷＳ版本变化时，有许多信息。
８、２、ＷＩＮＤＯＷＳ是个大系统，在版本变化时，那些以前工作正常的系统模块（程序包），容易被再次引用进行新的ＷＩＮＤＯＷＳ中。
８、３、ＷＩＮＤＯＷＳ的进程控制系统。
一个问题是，哪些会感染。
二个问题是，有哪些被病毒控制的进程。
三个问题是，进程方面的ＰＣＢ（Process Control Block)，需要仔细研究，而不是停留在本科版本的《操作系统》教科书上。
四个问题是，有哪些程序会生成进程。又有哪些进程会是在ＷＩＮＤＯＷＳ下可视。
五个问题是，进程的可视性、可控制性、可检测性。

９、对病毒生存情况的管理机制。简单的一种，是管理和保存已经感染的文件和目录信息。
１０、如何避开变化和发展中的病毒查杀功能。
１１、如何保护病毒程序去掩盖感染的过程性信息。
１２、保证兼容性感染不同版本的操作系统下的文件及目录系统。

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
９、对病毒生存情况的管理机制。简单的一种，是管理和保存已经感染的文件和目录信息。

９、１、可能需要将病毒程序包中的各模块的功能进行分类。
９、２、对病毒在现存系统中的总体信息保存下来。并随时更新。
９、３、上面的问题，也是在ＷＩＮＤＯＷＳ含毒情况下的。
９、４、也有可能进行“重入（？）”问题。
９、５、病毒在其监控模块下，进行升级的问题，进行隐藏的问题。
从这里看，病毒的自我隐藏，是关于病毒的一个非常重大、涉及到病毒的生存的问题。

１０、如何避开变化和发展中的病毒查杀功能。

１０、１、病毒中的分模块，应对查杀。病毒是在不停地感染中的，查杀病毒也经常是自动和手工同时进行的。
１０、２、收集查杀病毒程序，通过网络，使得远程更新病毒模块成为可能。
１０、３、只要查杀后还有病毒模块的存在，就要保存查杀程序的一些上下文。
１０、４、病毒程序可分为代码区和数据区。可以自动修改病毒程序。

１１、如何保护病毒程序去掩盖感染的过程性信息。
１１、１、感染过程中，ＷＩＮＤＯＷＳ会怎样保存历史记录。

１２、保证兼容性感染不同版本的操作系统下的文件及目录系统。

１３、病毒发作机制。
１４、在查毒时，需要保存现场信息。ＣＯＮＴＥＸＴ－ＳＥＮＳＩＴＩＶＥ。
======================================================================

１３、病毒发作机制。
（１）一般指会导致系统ＣＲＡＳＨ崩溃的机制。
（２）根据什么情况（或者是复杂的组合情况）发作，发作时出现的系统异常，发作过程完毕后，系统出现哪些不正常。
（３）如何编程实现系统的自查（是否发作）。
（４）发作需要的辅助平台信息。
（５）发作的危害性，是有差异的、有等级的，例如，有时仅是简单的报错，或者系统程序和应用程序异常退出。
（６）发作的危害性的定量识别。
（７）是否发作环境为复杂、不同的网络环境。
（８）发作的各进程之间的协同。是否划分出不同优先级的感染环境。
（９）发作时，会控制哪些资源。逻辑上的划分，和物理上的划分。

１４、在查毒时，需要保存现场信息。ＣＯＮＴＥＸＴ－ＳＥＮＳＩＴＩＶＥ。
（１）目的是还原病毒发作时的操作系统环境，以便后续的对病毒的分析。
（２）确定病毒的发作条件。
（３）对不同的系统环境，有不同的发作效果。
（４）病毒发作是否有如在图形图像方面的显示效果。例如，ＤＯＳ系统下的１５７５病毒发作时，会有一条“虫子”将屏幕的文字“吃掉”。
（５）现场信息的定性。
（６）现场信息的定量。
（７）现场信息的辅助处理。
（８）自动根据现场信息，复原出原先安全的系统。
（９）从人类处理证据的方法，可以简单地推出上述的内容。

１７、对来自ＷＩＮＤＯＷＳ系统的安全补丁的分析。
１８、病毒程序对正常可感染性程序的识别。
１９、病毒程序的进程调度，和正常程序的进程在ＷＩＮＤＯＷＳ下的识别。
２０、糊弄ＷＩＮＤＯＷＳ各种揭露病毒信息的机制。

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
１７、对来自ＷＩＮＤＯＷＳ系统的安全补丁的分析。

（１）有多种病毒是针对有缺陷ＤＥＦＥＣＴ的ＷＩＮＤＯＷＳ系统环境的。
（２）ＷＩＮＤＯＷＳ会对这些缺陷打补丁。
（３）为了保持病毒的可持久性，需要对ＷＩＮＤＯＷＳ的打补丁理论体系，和对现实系统的适应性，进行分析。这样，既利用了ＷＩＮＤＯＷＳ的缺陷，又有当缺陷被在某种理论下修补后的系统，有持久保留在ＷＩＮＤＯＷＳ系统环境下的可能。

１８、病毒程序对正常可感染性程序的识别。

（１）一般来说，病毒机制中，不会对已经感染的程序、模块重复感染。
（２）病毒机制是如何确定某正常程序已经感染的。
（３）病毒机制是否跟进整个系统的感染信息，是以什么文件格式设计的。

１９、病毒程序的进程调度，和正常程序的进程在ＷＩＮＤＯＷＳ下的识别。

（１）病毒程序和正常程序，其主要相同点，就是对数据的输入、处理、输出。也就是具有计算智能。
（２）它们通常是监控、读写、修改、删除包括内存在内的系统环境。
（３）人工和编程自动地识别病毒程序。
（４）病毒程序的进程的ＰＣＢ，线程体系结构。
（５）一般的正常程序，是不会去修改其它的正常程序的。
（６）对ＷＩＮＤＯＷＳ系统的感染，是一种异常的处理程序的机制。

２０、糊弄ＷＩＮＤＯＷＳ各种揭露病毒信息的机制。
（１）ＷＩＮＤＯＷＳ是否有辅助病毒查杀的机制。
（２）ＷＩＮＤＯＷＳ系统级的程序和模块处理，其信息保存的机制，保存的逻辑位置和物理位置。逻辑位置和物理位置的相互对应关系。
（３）例如有专门子系统处理从逻辑位置到物理位置的转换。
２１、病毒在某种ＷＩＮＤＯＷＳ版本下开发，保留开发平台，等历史信息。
２２、动态性：病毒感染和传播的动态模型。例如，可使用ＵＭＬ模型。
２３、病毒运行的环境。　
２４、有些病毒是针对ＷＩＮＤＯＷＳ的缺陷，因此病毒程序要有应对ＷＩＮＤＯＷＳ通过下载打补丁情况的处理。
２５、分析哪些程序打开哪些文件获取数据。
=============================================================================================

２１、病毒在某种ＷＩＮＤＯＷＳ版本下开发，保留开发平台，等历史信息。

（１）编写病毒程序需要清楚ＷＩＮＤＯＷＳ操作系统的组成、体系结构。
（２）病毒程序和ＷＩＮＤＯＷＳ的版本有相关性。
（３）有些病毒程序分类，就有感染操作系统病毒一类。
（４）相对于ＷＩＮＤＯＷＳ操作系统的病毒的新旧一说。
（５）虽然，在某种ＷＩＮＤＯＷＳ版本下病毒能完全起效，但并不是有一种病毒能够寄存在所有的ＷＩＮＤＯＷＳ操作系统版本之下。
（６）病毒程序和ＷＩＮＤＯＷＳ操作系统的归并机制很强，或者换种说法吧：“它们的一致和一体化机制很强”，甚至，病毒程序可以很轻易掌控系统内核的机制。

２２、动态性：病毒感染和传播的动态模型。例如，可使用ＵＭＬ模型。

（１）病毒程序（或者包）和ＷＩＮＤＯＷＳ操作系统都有程序来“读写”数据。它们都具有计算智能。
（２）上述程序都是可以在某种场合下，启动运行的。
（３）ＷＩＮＤＯＷＳ操作系统一启动，就会有许多程序被ＦＯＲＫ，生成相应的进程和线程。
（４）相比于嵌入式系统，或者单片机系统，系统是这样“开工”的：

·一般都从地址００００Ｈ处开始运行。这里一般是一条长跳转指令。

··有的在１０２４字节之前，会有中断向量。它们是对于中断、陷阱、故障服务程序的地址。
也就是，如果ＰＣ（ＰＲＯＧＲＡＭ　ＣＯＵＮＴＥＲ，指令计数器，地址）的值为这中间的一个值，就会转而执行相应的中断程序。
···一般指令有取指、分析、译码、执行等几个过程。
····程序数据存储在专用的ＥＰＲＯＭ存储器中。它们根据ＰＣ指向何处而执行具体的代码。
·····然后，主程序一般是一个主循环。遇到中断或者陷阱，ＲＴＯＳ（ＲＥＡＬ　ＴＩＭＥ　ＯＳ）才会跳去中断服务程序执行。
······执行完中断程序之后，再把执行权归还给主程序。

（５）一般来说，操作系统要管理许多资源（例如，文件，存储器，ＣＰＵ，时间片，作业，进程……），对这些资源是要动态利用的。
ＲＴＯＳ需要由程序员、高级程序员确定具体的内存地址范围。
每个子程序控制具体的一段具体的内存区域。
（６）而在ＷＩＮＤＯＷＳ　５左右的时候，就对存储器管理机制进行了异于早期版本的优化。这样，许多程序的设计，就把内存的管理交给操作系统去处理。

２３、病毒程序运行的环境。　

（１）通用的操作系统的支持。哪些病毒程序在此大环境运行和启动时，会导致整个病毒感染作业开始发动，哪怕只是部分完成。
（２）操作系统对例外的处理。
（３）病毒程序耗费的资源，以及资源管理的静态和动态模型。或者另有一种说法，是正常程序运行中注入ＢＥＡＭ了病毒代码，和病毒代码结为一体。

２４、有些病毒是针对ＷＩＮＤＯＷＳ的缺陷，因此病毒程序要有应对ＷＩＮＤＯＷＳ通过下载打补丁情况的处理。

（１）试想象一下，病毒程序打的是有利于病毒方面的补丁。
（２）比较一下，打补丁和感染病毒的不同：
前者是正常的升级维护、在线维护（不离开ＷＩＮＤＯＷＳ操作系统的运行状态）、改造维护。
后者是改变原正常系统的各种可能的程序执行效果。
前者基本上是在正常的程序框架下运行。是一个框架下的内容。有非常友好的对操作系统修改的画面帮助。而不是无区分的对程序文件的篡改。
（３）ＷＩＮＤＯＷＳ是由许多内部机制组成，病毒的分析人员、设计人员必须对此操作系统有尽可能多的理解。也就是说，至少会有反向测试其体系结构、组织的问题。

２５、分析哪些程序打开哪些文件获取数据。

（１）执行程序是否、怎样打开哪些文件运行。其结果储存在哪些文件和目录中，这里，包括逻辑的和物理的存储区域。
其中，存储管理机制一般是完全由ＷＩＮＤＯＷＳ操作系统来完成的。
（２）有一个特点要提醒：和ＷＩＮＤＯＷＳ结合越紧密，对ＷＩＮＤＯＷＳ内部机制越掌控，就会越和这一版本的ＷＩＮＤＯＷＳ系统纠缠不清，从而导致对后续版本的不兼容。
（３）即使是这样，对因为ＷＩＮＤＯＷＳ操作系统而导致病毒程序、失控，都是需要花费时间研究的。
（４）可以说，对ＷＩＮＤＯＷＳ操作系统了解得越多，就会有越多的内核、控制信息被误用和滥用。
（５）同根源于启动和文件方面的病毒程序一样，有相当大的一类病毒程序，是通过仔细试探ＷＩＮＤＯＷＳ，挖掘其缺陷，而实现的。也就是说，
对操作系统了解越深，可供归并到病毒程序机制中的可能性就大。

２６、ＣＲＩＴＩＣＡＬ　ＲＥＳＯＵＲＣＥ，在病毒和反病毒的处理中，有哪些数据或程序，或者目标，或者系统程序，是关键的资源。
２７、为了保证病毒获取最新的系统信息，需要保存上下文。
２８、病毒程序在各种客户机上，能否保证对资源不对称性的网络特性的分析。
２９、如有病毒客户端程序，与病毒控制的服务端程序之间的通信模型。
========================================================
２６、ＣＲＩＴＩＣＡＬ　ＲＥＳＯＵＲＣＥ，在病毒和反病毒的处理中，有哪些数据或程序，或者目标，或者系统程序，是关键的资源。

（１）内存区域的不同划分。内存的管理，内存数据的研究，是明显的关键资源。
（２）ＷＩＮＤＯＷＳ是如何把程序模块调入内存，又是如何管理的。
（３）如何管理文件系统的。
（４）如何管理进程的。如何启动进程机制、线程机制的。

２７、为了保证病毒获取最新的系统信息，需要保存上下文。

（１）上下文的相关性。
（２）控制面板中对ＷＩＮＤＯＷＳ系统资源的管理是如何实现的。
（３）没有孤立的上下文。
（４）病毒程序是存在于各种不同的上下文的。

２８、病毒程序在各种客户机上，能否保证对资源不对称性的网络特性的分析。

（１） 网络设计的一个原因，就在各种客户机、服务器拥有资源的不对称性。
（２）病毒需要尽可能多地收集足够多的系统资源信息。
（３）如何读写修改传输这些资源。
（４）因为服务器Ｓ１拥有资源Ｒ１，所以病毒程序需要对它们进行分析。
从而对系统环境有更深入的掌控。

２９、如有病毒客户端程序，与病毒控制的服务端程序之间的通信模型。

（１）模型相关理论，见下面。
模型总体上来说，是个比较虚拟的概念。

有一些要素：1、问题领域，问题空间，2、目标领域，目标空间，3、领域转换的多因素算法，4、模型模拟过程，5、模型分析、建立和测试、评价过程，6、模型所处的系统平台、软硬件平台，7、抽象的理论和指导思想，8、模型的调整和自适应，9、原问题的逐步逼近，10、图形图像的建模方法，11，模型的表示、图形表示。12、基于计算机进行数值、数据、信号处理。

（２）病毒程序可以同时划分为客户端和服务器端。
（３）没有网络机制（包括感染和传播机制）的病毒程序系统，应该是很少见的。
（４）它们之间有一定的通信协议设计。
（５）服务器性质的病毒程序模块，会控制客户端性质的病毒程序模块。
服务器性质的病毒程序模块会收集来自各种网络的数据。

３０、病毒进程控制的内存。是否和ＷＩＮＤＯＷＳ以前的版本一样，只要系统有病毒，就会被病毒控制住一些关键资源，如内存。
３１、病毒控制的内存的用途、特点。
３２、被病毒控制的系统和未感染的系统的比较，要采取哪些人工的处理，和哪些自动的处理。
３３、或者说，病毒所依赖、所承载的平台。
=========================================================================================
３０、
（１）比较RTOS，尤其是汇编语言，每条程序分为操作符OPERATOR,操作数OPERAND。
当PC(PROGRAM COUNTER)程序指针　指向某条EPROM中的语句的地址时，对操作进行取指、分析、预处理、译码执行。

所谓译码执行，就是把EPROM中存放的二进制代码译码，启动相应的机制的硬件，执行的结果，存放在如MCS-51所示的一些SFR(SPECIAL FUNCTION REGISTER，特殊功能寄存器中。这些SFR中的一些单元块，亦被称之为内存。

（２）核心态和用户态。
就是有些指令是需要特权的。
有些内存的访问，只能被特殊的指令实现。要访问这些核心态控制的内存，需要按权限的有无，通过特定的API来实现，或者调用某些DLL文件(DINAMIC LINK LIBRARY,动态链接库）和EXE文件二进制化的代码段来实现。

（３）上面的RTOS的主要部分，是不包含MMB（存储管理机制）的。

（４）原PC机的DOS的程序，可以通过DEBUG，PCTOOLS等一些工具软件和工具程序，直接修改内存中的相关DOS内部命令和外部命令的二进制代码段。
例如，可以用DEBUG去修改COMMAND命令所在内存块。

　　（５）RTOS中，内存地址和设备之间，具有一一对应的关系。读和写相关的存储地址，就是驱动相应的智能外部设备。

　　（６）WINDOWS中的存储管理，包括虚拟存储器技术，SWAP(交换到外存，此处运行速度平均要比内存慢一个数量级），最快的CACHE，它似乎可以按照特定的算法，加在硬件形式的CACHE上。

　　存储管理在处理内存和CACHE，虚存（一般指磁盘驱动器中的内容），具有不同的机制。

　　比如，某个可执行程序名为P1.EXE，可能是一次性将可执行二进制代码读进某个MMB所管理和控制的内存中。
也可能是一部分在硬盘上，一些在内存中，一部分频繁地SWAP进出CACHE中。

　　（７）WINDOWS的MMB，一个主要目标，是要将CPU需要实时运行的二进制代码，在较高的命中率（HIT RATE)下，读进CACHE，然后进行类似于RTOS的指令处理过程：取指、分析、预处理、译码、执行。

　　当然，它不再是如RTOS那样简单。一个重要的情况，由于MMB的功能强大，具有扩充和设备兼容的能力。

　　（８）操作系统中的虚拟机问题。

　　１－应用程序虚拟机。所谓虚拟机，就是当程序员编程看到的、可以运用编程的计算能力，只包括该虚拟机提供的计算机制，编程实现。
　　２－操作系统虚拟机。
　　３－汇编语言虚拟机。
　　４－机器语言虚拟机。
　　５－微程序和毫微程序虚拟机。
　　６－寄存器传输级虚拟机。
　　７－硬件级虚拟机。

看雪里面研究的人肯定不少的

学习咯，上面的真不少。