我不知道为什么现在的这些杀软厂商一直在做着频繁的病毒库更新，当然我一个外行也没法明白。但是我认为这样的做法是错误的。杀软确实是因为病毒的存在所以才需要的。那么现在病毒存在了，已经影响了整个一代人了。难道不应该做个非常出色的东西，像操作系统，输入法一样必须要用到，装到的软件吗？难道真的这么难？反病毒，先是特征，后来是主动，行为什么的。我认为应该差不多了吧？我说说我的思路，因为不懂，所以有可能不对。
首先，现在的一些杀软不管是哪种都是判断某一个文件是否是病毒。其实中毒是因为个人的误操作所引起的，不如访问了一些网站，运行了一些软件。那么，可以在初装系统时安装杀软，其后所有对文件的复制，创建都需要通过用户的同意后安装不就完了吗？比如安装QQ。你可以提示，这个软件，是否是正版，是否是通过安全认可的软件，是否确定要安装。如果是，就让他做创建，复制，修改文件的操作，如果不是，那就隔离。这不比判断特定区域的代码行为好多了吗？对访问网站的限制，我就更搞不明白了。一个网站的代码最多也就几百k。判断在这里插入的网马真的那么困难吗？他把代码加密了？晕。虚拟机出来N年了，难道还能判断不了网页执行后会不会执行可执行文件？再有就是电影。这个就那么几种编码格式。估计现在都能判断了。剩下的那些软件自身的漏洞就让软件厂商自己解决吧。新出的漏洞上弄得病毒不会有人挂垃圾病毒。再加个防火墙功能。
这样还中毒，就是自己的操作问题了。都提示你了，你非要看x片，非要用外挂，非要用破解版，谁也救不了你了。其实除了操作系统和一些大型软件，其他都可以用免费软件的。而这些大型软件，盗版光盘满地都是，还没见过有毒的。
再说一下病毒的行为。其实最主要的就是访问网络。
那么，可以在用户选择关机或重启前杀掉所有非系统进程。然后查看是否还有网络连接。
其实要判断一个文件是否是正常的，你永远的没法知道。用一段段正常的行为组成的病毒，怎么去判断他是不是病毒？api函数的监控也一样。最多我不用api函数，自己写一个不行吗？

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课