我常听到一些”比较专业”的IT人员说，”使用者装了防毒软件也就算了，但是一点防毒的概念都没有，以为这样就不会中毒吗？”

　　但是，一般人听到这种话，大概会有如下的想法：

　　“是啊？不然哩？”

　　这期我想要更进一步说明病毒的运作原理，以及防毒软件的保全之道，希望对于一般企业的计算机使用者，能提供一些够用的”防毒概念”。也许不能”保证”什么，但至少你对于计算机发生的事情能够有个梗概性的认识吧！

　　精巧脆弱的开机程序

　　用计算机都得先开机，从打开电源一直到操作系统加载完成，这就是俗称的”开机程序”。由于病毒大多会设法让自己成为”开机程序”的一部分（以便寄生并感染），所以你得先知道这整个程序有哪些步骤：

1. 电源开启，如果硬件一切正常则进行下一个步骤

2. BIOS（基本输入/输出系统）执行例行开机检查，然后以预设的储存装置接管开机程序

3. 依照业界公认的规格，预设的开机装置（通常是硬盘机）开始进行软件开机程序，依序加载操作系统的核心、驱动程序……

4. 操作系统核心加载后，还可以依据设定，加载使用者指定的各种常驻程序（防毒软件、IM软件……）

　　上述的每一个开机程序中，从这一个步骤转到下一个步骤，都会留下一个”挂钩点”。比方说，主机板上的BIOS系统要把执行储存媒体的开机程序，它会从固定的位置去执行开机命令，这固定的位置是哪里？我们一般人不用知道，但这位置铁定是公开的规格。

　　所以，写操作系统的人知道储存媒体开机的位置，写磁盘维护程序的人也知道，写工具程序的人知道，而写病毒的人……当然也知道，所以就有所谓的”开机型病毒”。

　　不过，现代这种”开机型病毒”很罕见了，主要是因为开机后，加载的操作系统都相当庞大且复杂，这类病毒难以在这么复杂的开机状况下还能正常运作。目前大部分的病毒，大多选择在操作系统这一块进行破坏。

　　不能开机的可能性有……

　　不管是Windows、Mac OS、Linux还是BSD，操作系统的起始加载都是由精巧的循序步骤所构成，一环接着一环。操作系统通常必须设定处理器的运作模式，加载系统核心、驱动程序和绘图接口，然后加载常驻程序，最后再把使用权交给使用者。如果这一连串”精巧”却也”脆弱”的过程出了一点小差错，系统加载不能，使用者就会说”啊我这台电脑挂了/当机了/葛屁了/不能开了/死掉了……种种说法，不一而足：

驱动程序出了问题

核心程序出了问题

储存OS核心程序的磁盘出了问题

使用者的常驻程序出了问题

　　只要有一个小环节出错，就可能让操作系统无法正常加载──幸好这种状况不会常常发生。

　　到此为止，上述的概念听起来都似乎很简单？

　　请引进”内存”的概念

　　无论是哪个操作系统，等开机程序完成后，使用者就可以执行各种应用软件。比方说，你可以执行浏览器、文书处理程序、影片播放程序……，具体的行为就是用鼠标在应用程序的图标上，连续按两下鼠标左键，是的，就是这么的”easy”。

　　只是一般人时常忘记的是：计算机里有个很重要的”组件”，称为”内存”。当使用者按下电源，执行开机程序时，这程序很重要的一个步骤就是：把操作系统的核心”从储存媒体加载到内存里面”。

　　操作系统的核心加载到内存里面之后，依照开发厂商的设计，会不断地维护着自身核心和使用者应用程序的正常运作，这个过程一样是精巧而脆弱的。此外，由于程序是”人”写的，若是写程序的人”乱写”（无论是有意还是无意的），应用程序有可能会造成操作系统核心程序被破坏而导致当机。

　　至于病毒呢？

　　病毒会希望自己能够有下列能力：

常驻在内存中，把自己伪装成操作系统的一部分

伪装的过程中，最好让任何人、任何软件都发现不到

尽可能不要干扰原先程序的运作，以免自己被察觉

尽可能用各种方法，把自己（病毒）附身到别人（别台电脑）身上

如果有必要，可以作一些对作者有用（或是好玩）的事情，包括窃取个资、造成破坏……

　　可执行档学问多好，如果病毒要把自身藏到内存中，首先它得让你去”执行”它。

　　问题是，哪个人会傻傻执行病毒──如果病毒的额头上写着”我是病毒，来喔来喔，来执行我”，那你会去碰它吗？铁定不会吧！（也许会有例外……但我不想讨论这种例外。）

　　所以，病毒的写作者会想方设法、处心积虑的让使用者在不知不觉中执行之，以达成”感染”的目的。

　　所以，”可执行档”，就成了大部分病毒”寄生”的主要目标了。

　　所谓的可执行档，就是我们所说的”程序”、”软件”，通常这类软件也是一个（或数个）档案所构成。前面已经说过，软件要加载到内存中，才能被使用者所执行、运用之，因此软件的作者会使用开发工具将”原始程序”编译成”可执行档”，然后运送给使用者，让使用者可以执行之。

　　以前，可执行档只有固定几种格式：扩展名是.COM、.EXE、.BAT的，这些都是可执行档。到了Windows 7时代，这还是没变。不过，Windows后来引进了很多”比较罕见”的可执行档案格式。比方说，.DLL是”动态链接库”，它也是一种”必须依附在主程序”底下的一种可执行档案；.SCR是屏幕保护程序，它也是一种特殊功能的可执行文件；.MSI（Windows Installer Package）通常见于”安装程序”，但是……它也是一种可执行档；有些叙述档，像是.VBS、.JS……，它们也是可执行档案。