随着因特网的普及,恶意软件飞速增加,与此同时,由于互联网的开放性和操作系统固有的脆弱性,计算机安全问题变得日益突出,特别是计算机病毒的发展和蔓延给社会造成了巨大的威胁和破坏。面对恶意代码的复杂性和多样性,传统的基于特征码检测的静态检测方法难以检测未知的恶意代码,为了检测这类恶意代码,避免检测过程中对操作系统的危害,本文采用了虚拟执行环境的恶意代码的行为检测技术。本文介绍了当前主流的恶意代码原理,发展方向及检测方法,其中主要分析当前检测方法的不足,并提出了基于虚拟执行环境的恶意代码检测技术,实现了系统的原型,该系统主要有以下的优点:1.实现检测环境与主机的隔离。该虚拟机检测系统能让运行在虚拟机里面的应用程序在不改变主机资源的条件下尽可能地访问主机的资源,就是说运行在操作系统级别的虚拟能和主机共享运行环境但是对资源的改变被限定在虚拟机的运行环境中。由于在虚拟隔离环境中,所以即使是没有觉察的行为对系统做了修改或者可疑软件检测到是虚拟环境而主动禁止其可疑行为的时候,也不会影响到主机,这样就避免了恶意程序对系统的影响。2.采用以行为分析为基础的加权分析技术。对可疑程序的行为进行采集后,采用加权分析的方法,当超过一定的阈值,就判断为恶意代码,且用日志记录了该可疑程序运行的行为。3.实现了主机环境的重现。该系统采用系统调用重定向技术来实现的,虚拟机尽可能和主机共享资源,虚拟机里只保留修改的部分。总体来说,该系统能够满足隔离性和主机环境的重现的功能,并且能很好地检测出恶意代码,实验证明该系统是有效的。