静态分析 不实际执行恶意代码,直接对二进制代码进行分析 文件特性,如文件形态、版本、存储位置、长度等 文件格式,如PE信息、API调用等 动态分析 运行恶意代码并使用监控及测试软件分析 本地行为:文件读写、注册表读写等 网络行为:远程访问、调用等