本发明公开了一种检测程序操作行为的方法，包括：获得已知病毒程序的破坏性操作行为；根据所述破坏性操作行为设置对应的控制处理程序；使控制处理程序获得对所述破坏性操作行为的控制权；待检测程序的破坏性操作行为调用相应的控制处理程序，由所述控制处理程序记录所述待检测程序的操作行为。本发明还可以通过所述控制处理程序返回成功应答的信息，从而诱导所述待检测程序进行下一行为，而实际上，所述待检测程序并没有实际运行。即本发明可以为所述待检测程序提供一个虚拟运行的环境，用于记录所述待检测程序的一系列行为。本发明的还提供一种病毒程序的清除方法，根据所述病毒程序的行为，建立并执行所述病毒程序的逆行为操作，可以实现对被病毒破坏的数据的恢复。