现在拥有电脑的朋友们，很多没有经历过DOS时代（绝非以老卖老），仅仅是在图形桌面和鼠标点击下成长的，所以对于引导区、病毒的传染、复制方面不是很了解，有的甚至跟本就不了解。甚至是谈“毒”色变，把机器一切不正常现象都归于-“是有病毒了吧？”非也，告诉大家病毒很简单，人做的程序而已，别怕。其实病毒机理无非就是“感染－》优先运行－》自我复制－》隐藏、破坏－》传播”几个步骤。熟悉了这些，我们就可以知道，杀毒到底要从什么方面入手。
先就简单的说说病毒的感染和传播方法。
1、 引导区型病毒 感染启动扇区（包括软盘），在每次开机时读区引导区也就激活了病毒 加入内存。传播方式是通过软盘的读写。
2、 文件型病毒 感染 .exe \.com为扩展名的可执行文件，常驻内存，感染此后加载到内存的应用程序。修改程序文件，导致文件不能使用。
3、 破坏型病毒 恶意删除文件或者格式化硬盘，第一时间加入内存，实行破坏活动
4、 木马型病毒 自我复制、自我隐藏、开机加载、窃取破坏于一身的病毒
5、 恶意网站 通过恶意代码和IE漏洞侵害用户，偷偷下载和运行带有木马的程序
剩下的宏病毒和脚本病毒先不讨论。
不难发现，所有病毒的感染方式都是以第一时间占领机器，取得领导权，并且常驻内存，感染所有今后进入内存的程序为目的。所以对他们下手，也就有了初步的思路。这就是你和病毒之间，到底谁能先拥有机器的“领导权”问题。如果先让病毒占领机器，无疑你就是“攻击战”，攻击战看似简单，但是可惜和病毒使用的武器是同一个东东――“你的爱机”。如果你的爱机先听了病毒的指挥，恐怕攻击战不好打啊，既要夺“武器”，又要“擒贼首”，太被动了。有的时候，爱机跟本不会帮你解决问题，就是因为病毒先占领了机器。
举个例子，比如很多时候，我们杀毒时遇见“文件正在使用“或者”清除失败”这样的报告，原因就是如此，病毒先占领了机器，启动了windows。Windows是决不会允许你对正在运行的程序进行杀毒和删除的。（加一个特殊情况：当检查到压缩文件的时候，瑞星可能提示，需要解压缩之后才可以删除病毒。因为瑞星不能改变你的压缩文件内部结构，所以你最好乖乖的听话，把这个压缩文件解压到一个临时目录下 杀毒后 再次压缩打包就可以了。如果这个压缩文件不是很重要，就直接删除好了，再次去下载新的无毒的压缩文件，不要解压的时候处理不善 造成病毒泄露）
而很多病毒在当时被报告“已清除”但是再次开机或者过几天再次出现的原因是因为病毒有复制功能，并且先占领机器并执行了自己，只要让它先拥有了机器的“领导权”，他会再次将自己复制，并再次感染。这样的恶梦循环不断。所以这就是为什么常常我们在windows下杀毒杀不掉或者杀掉之后再次感染的原因。
既然问题分析清楚了，那么解决的办法也应运而生，那就是脱离windows环境杀毒，争取第一时间取得机器领导权是首要问题。也就是我们常说的使用DOS启动盘杀毒(瑞星A盘)。为什么使用DOS启动盘杀毒就可以真正的杀掉病毒呢？不是启动盘里的瑞星更厉害，而是用软盘启动的时候，不通过硬盘引导，不启动windows。Windows启动的时候根据注册表加载了大量的程序，其中就包括病毒程序，因为经过病毒的修改，启动项目和其他驱动一样被写进了注册表启动项目。但是一但通过软盘引导系统，就不会执行windows注册表配置，病毒自然也就无法第一时间占领机器了。机器已经归我们所有了，病毒只能是束手就擒。同志们！杀啊！杀 杀！！解气去！！
有很多朋友是浏览网页的时候，不知不觉的中了“招”。解决办法只能是防范第一，杀毒第二。主要是打开瑞星监控并及时的把IE的补丁打上，升级最高版本。打上系统补丁。但是对于病毒，我们始终只能是防范，而不是先知。所以给各位常在网上走的朋友提个醒“防患于未然，多多提高警惕吧”！
注意，大家杀毒的时候最好去DOS，要是不能去DOS可以去安全模式下查杀病毒！
近年来,新的计算机病毒发展十分猖獗,而且这些新病毒更加隐蔽 、复杂，某些新病毒所具有的破坏性更大，所带来的损失无法估量 。这表明计算机病毒的防治尤为重要,同时所面临的形势也更加严 峻 。本文就在带毒环境下检测清除病毒的方法问题提出一点体会与看法 。
一、带毒环境下检测清除病毒的意义
目前在我国流行的病毒一般可分为引导型病毒 、文件型病毒和混合型病毒 。引导型病毒的特点是它寄生在软盘的DOS引导扇区和硬盘的主引导记录或DOS引导区中 ，开机时由计算机自动读入内存中执行文件型病毒则将自身附加在可执行文件上 ，在执行被感染程序时，病毒首先获得控制权,进行驻留或破坏等活动。混合型病毒既能感染引导区也能感染可执行文件，具有更强的传染性。常用的杀毒软件有瑞星2004、金山毒霸、KV300 、公安部的KILL 、美国McAfee公司的SCAN和CLEAN等 ，这些软件各有自身的优点。但是在一个带毒的环境下，也即在病毒已经驻留在内存中的情况下，这些杀毒软件都存在不足并可能带来一些不良的后果。
当系统感染一种已知病毒时，KILL和SCAN 发现内存中有病毒后，一般是拒绝继续执行，并要求用干净的盘重新启动。KV300发现类似的警告信息，但提供给用户一个选择的机会，以确定是否继续执行， 很显然 ，若用户选择继续 ，所带来的后果是不可预期的。
当系统感染一种未知病毒时，三种软件在未发现内存中有已知病毒后，都假设系统中无病毒，忠实地执行检测或清除功能。事实上，这个未知病毒可能会在检测时传染盘中所有的可执行文件。
由上面的讨论可知，清查病毒时只有从绝对干净的盘启动，而且要求杀毒软件自身无毒，才能够保证万无一失。然而，由于人们相互拷贝各种软件，很大程度上帮助了病毒的传播，在许多情况下， 要获得一张干净的启动盘很不容易，并且对于一些对计算机系统了解不是很多的使用者来说，他们根本 无法断定一张启动盘是不是干净的。因此，探讨在带毒环境下进行病毒检测和清除的方法是很有意义的 。
二 、带毒环境下检测清除病毒的原理
对于一个驻留内存伺机进行传染和破坏的病毒来说，一般都要截取某些中断向量，当其他程序调用这些中断时，病毒重新取得控制权，判断是否满足特定的条件，满足则激活传染或破坏部分，在条件不满足的情况下一般是调用原中断服务程序，实现正常的系统功能。
引导型病毒常接管INT13H、08H、10H等中断；文件型病毒则常接管INT21H、24H、25H、26H、1CH 、13H、10H等中断。
举一个例子: 该例子转自黑白网络"一个主引导区病毒的分析 作者:sinister
病毒体：
JMP 01AF ;JMP到01AF
DB 00 ;病毒标计
DW 00F5 ;此为搬到高位址后,远程跳转指令
DW 9F80 ;目的地,也就是跳下一个指令XOR AX,AX
DB 02
DW 0003 ;此为软盘识别标记,硬盘为0007
DW EC59 ;
DW F000 ;INT 13H的原入口
.
.
.
.
.
XOR AX,AX ;清除AX
MOV DS,AX; ;让DS=0000
CLI ;清I标志积存器
MOV SS,AX ;把堆栈设为0000:7C00也就是开机
MOV AX,7C00 ;后载入引导分区表的地址,目前地址
MOV SP,AX ;开机时为0000:7CB6
STI ;设I标志积存器
PUSH DS ;把DS=0000,AX=7C00压栈,留给0B33:024A
PUSH AX ;用RETF,把程序转到引导或分区表位置
MOV AX,[004C] ;取中断向量表中,INT 13H的偏移位置
MOV [7C0A],AX ;保存INT 13H的偏移位置,也就是存在
MOV AX,[004E] ;取INT 13H的段地址
MOV [7C0C],AX ;存到010C
;以上是HOOK系统读写盘调用INT 13用病毒体替代原INT 13
;读写以便传播发作
减小字体
增大字体