根据文件病毒特有的算法可以划分为几种

根据文件病毒特有的算法可以划分为以下五种：

• 伴随型病毒：这一类病毒并不改变被感染的文件本身，它们根据算法产生.EXE文件的伴随体，该伴随体具有与文件同样的名字和不同的扩展名（.COM）。例如，XCOPY.EXE的伴随体是XCOPY.COM。病毒把自身写入.COM文件且不改变.EXE文件，当DOS加载文件时，伴随体优先被执行，然后再由伴随体加载执行原来的.EXE文件。

• 蠕虫型病毒：这种病毒通过计算机网络传播（主要是电子邮件），不改变文件和资料信息，利用网络从一台机器传播到其他的机器，将自身通过网络发送。它们有时存在于系统中，除了内存和硬盘之外一般不占用其他资源。

• 练习型病毒：病毒自身包含错误，不能进行有效的传播或破坏。有很多恶性病毒都是先炮制出练习型病毒之后再不断改进的。例如，一些处在调试阶段的病毒。

• 诡秘型病毒：这种类型的病毒一般不直接修改DOS中断和扇区数据，而是通过设备技术和文件缓冲区等对DOS内部调用进行修改，使一般使用者不易看到资源的占用情况。这种病毒采用比较高级的技术，利用DOS的空闲数据区进行工作。

• 变型病毒（又称幽灵病毒）：随着汇编语言的发展，这类病毒使用一个复杂的算法，使自己每感染一次都具有不同的内容和长度。其一般做法是采用一段混有无关指令的解码算法和被变化过的病毒体。

目前典型的病毒检测方法有以下这些：

• 直接检查法：感染了病毒的计算机系统的内部会发生某些变化，并会在一定的条件下表现出来，因而可以通过直接观察法来判断系统是否感染病毒。

• 特征代码法：特征代码法是检测已知病毒的最简单、最经济的方法。为了实现特征代码法，需要采集已知病毒样本，依据如下原则抽取特征代码抽取的代码比较特殊，不大可能与普通的正常程序代码吻合；抽取的代码要有适当的长度，一方面要维持特征代码的唯一性，另一方面要尽量使特征代码长度短些，以减少空间与时间开销。

• 校验和法：校验和法是指计算正常文件内容的校验和，并将该校验和写入文件中或写入别的文件中进行保存。在文件使用过程中，定期地或每次使用文件前，检查文件当前内容算出的校验和与原来保存的校验和是否一致，从而发现文件是否被感染。

• 行为监测法：利用病毒的特有行为来监测病毒的方法，称为行为监测法。通过对病毒多年的观察和研究发现，有一些行为是病毒的共同行为，而且比较特殊。在正常程序中，这些行为比较罕见。当程序运行时，监视其行为，如果发现了病毒行为，立即报警。

• 软件模拟法：多态性病毒在每次感染时都会变化其病毒密码，对付这种病毒，特征代码法将失效。因为多态性病毒代码实施密码化，而且每次所用密钥不同，所以即使将感染了病毒的代码相互比较，也无法找出相同的可能作为特征的稳定代码。虽然行为检测法可以检测多态性病毒，但是在检测出病毒后，因为不清楚病毒的种类，所以难以做消毒处理。为了检测多态性病毒，可应用新的检测方法——软件模拟法，即用软件方法来模拟和分析程序的运行。