1. 殺毒軟體是如何確定病毒的
殺毒軟體是通過以下的途徑來判斷程序中帶有病毒的:首先是通過殺毒軟體體內內置的殺毒軟體病毒特徵庫特徵碼來發現病毒的。殺毒軟體首先會打開並自動檢查文件的內容，如果發現了和自己的病毒庫有類似的內容時，既可以判斷這個程序有病毒。採用病毒特徵代碼法的檢測工具，面對不斷出現的新病毒，必須不斷更新版本，否則檢測工具便會老化，逐漸失去實用價值。病毒特徵代碼法對從未見過的新病毒，自然無法知道其特徵代碼，因而無法去檢測這些新病毒。
特徵代碼法的優點是：檢測准確快速、可識別病毒的名稱、誤報警率低、依據檢測結果，可做解毒處理。其缺點是：不能檢測未知病毒、搜集已知病毒的特徵代碼，費用開銷大、在網路上效率低（在網路伺服器上，因長時間檢索會使整個網路性能變壞）。
其特點：
A.速度慢。隨著病毒種類的增多，檢索時間變長。如果檢索5000種病毒，必須對5000個病毒特徵代碼逐一檢查。如果病毒種數再增加，檢病毒的時間開銷就變得十分可觀。此類工具檢測的高速性，將變得日益困難。
B.誤報警率低。
非C.不能檢查多形性病毒。特徵代碼法是不可能檢測多態性病毒的。國外專家認為多態性病毒是病毒特徵代碼法的索命者。
D.不能對付隱蔽性病毒。隱蔽性病毒如果先進駐內存，後運行病毒檢測工具，隱蔽性病毒能先於檢測工具，將被查文件中的病毒代碼剝去，檢測工具的確是在檢查一個虛假的「好文件」，而不能報警，被隱蔽性病毒所蒙騙。
校驗和法
將正常文件的內容，計算其校驗和，將該校驗和寫入文件中或寫入別的文件中保存。在文件使用過程中，定期地或每次使用文件前，檢查文件現在內容算出的校驗和與原來保存的校驗和是否一致，因而可以發現文件是否感染，這種方法叫校驗和法，它既可發現已知病毒又可發現未知病毒。在SCAN和CPAV工具的後期版本中除了病毒特徵代碼法之外，還納入校驗和法，以提高其檢測能力。
這種方法既能發現已知病毒，也能發現未知病毒，但是，它不能識別病毒類，不能報出病毒名稱。由於病毒感染並非文件內容改變的唯一的非他性原因，文件內容的改變有可能是正常程序引起的，所以校驗和法常常誤報警。而且此種方法也會影響文件的運行速度。
病毒感染的確會引起文件內容變化，但是校驗和法對文件內容的變化太敏感，又不能區分正常程序引起的變動，而頻繁報警。用監視文件的校驗和來檢測病毒，不是最好的方法。
這種方法遇到下述情況：已有軟體版更新、變更口令、修改運行參數、校驗和法都會誤報警。
校驗和法對隱蔽性病毒無效。隱蔽性病毒進駐內存後，會自動剝去染毒程序中的病毒代碼，使校驗和法受騙，對一個有毒文件算出正常校驗和。
運用校驗和法查病毒採用三種方式：
①在檢測病毒工具中納入校驗和法，對被查的對象文件計算其正常狀態的校驗和，將校驗和值寫入被查文件中或檢測工具中，而後進行比較。
②在應用程序中，放入校驗和法自我檢查功能，將文件正常狀態的校驗和寫入文件本身中，每當應用程序啟動時，比較現行校驗和與原校驗和值。實現應用程序的自檢測。
③將校驗和檢查程序常駐內存，每當應用程序開始運行時，自動比較檢查應用程序內部或別的文件中預先保存的校驗和。
校驗和法的優點是：方法簡單能發現未知病毒、被查文件的細微變化也能發現。其缺點是：發布通行記錄正常態的校驗和、會誤報警、不能識別病毒名稱、不能對付隱蔽型病毒。
行為監測法
利用病毒的特有行為特徵性來監測病毒的方法，稱為行為監測法。通過對病毒多年的觀察、研究，有一些行為是病毒的共同行為，而且比較特殊。在正常程序中，這些行為比較罕見。當程序運行時，監視其行為，如果發現了病毒行為，立即報警。
這些做為監測病毒的行為特徵如下：
A.佔有INT 13H
所有的引導型病毒，都攻擊Boot扇區或主引導扇區。系統啟動時，當Boot扇區或主引導扇區獲得執行權時，系統剛剛開工。一般引導型病毒都會佔用INT
13H功能，因為其他系統功能未設置好，無法利用。引導型病毒占據INT 13H功能，在其中放置病毒所需的代碼。
B.改DOS系統為數據區的內存總量
病毒常駐內存後，為了防止DOS系統將其覆蓋，必須修改系統內存總量。
C.對COM、EXE文件做寫入動作
病毒要感染，必須寫COM、EXE文件。
D.病毒程序與宿主程序的切換
染毒程序運行中，先運行病毒，而後執行宿主程序。在兩者切換時，有許多特徵行為。
行為監測法的長處：可發現未知病毒、可相當准確地預報未知的多數病毒。行為監測法的短處：可能誤報警、不能識別病毒名稱、實現時有一定難度。
軟體模擬法
多態性病毒每次感染都變化其病毒密碼，對付這種病毒，特徵代碼法失效。因為多態性病毒代碼實施密碼化，而且每次所用密鑰不同，把染毒的病毒代碼相互比較，也無法找出相同的可能做為特徵的穩定代碼。雖然行為檢測法可以檢測多態性病毒，但是在檢測出病毒後，因為不知病毒的種類，難於做消毒處理。
最近的病毒,會發作一些時間之後..殺軟公司就會收集到這病毒程序..然後更新特徵庫..就是所謂的更新.. 這句話正確