【我爱测评】五年等待 ，只为与你相遇。

Flameocean

    前言：五年的等待，五年的时间里，我们都经历了太多，回首五年的时光里，你有没有发现变化的太多，五年我们可以学到很多东西,遇见很多人,明白很多事,那之后我们肯定都会变的成熟,到那时相信我们都能做出自己的选择,也许那些年你追过的女神成为了记忆，也许你的女神终于和你跑到了爱情的终点，也许你已经洗尽年少的狂妄，积淀了岁月的痕迹，五年的等待，也许你会等待那个你爱的人，走向了婚姻的殿堂，五年的时光里面，卡饭的人们你们都过的好吗？
我用生命中的五年时间去等待你的答案。虽然我不知道最后的结果怎样，但我想我都能微笑面对费尔的不断进步。  
   

---

  软件介绍 ：备受瞩目的全新一代“费尔智能杀毒软件 V8”于2012年8月8日上午8时正式启动公测，此次公测将面向全球用户开放，预计历时一个月。 V8自5月份在中国大陆地区首次内测以来，引发了普通用户及业者的广泛关注和热烈讨论，许多参与测试者表示等待是值得的，新版中的众多亮点和进步让他们感觉无比振奋。

费尔智能杀毒V8是费尔托斯特安全V7的升级换代产品，研发周期长达5年，期间攻克多项世界性难题，获得大量突破性成果，拥有超过30项革新技术。 代表当前最先进的MCBAS智能主动防御系统、黑盒技术、虚拟机技术、高级启发、云安全、智能基因、人工智能、语音控制与人声模拟、多媒体交互动画UI等大量新技术的使用和研发成功， 不仅能让用户的电脑远离各种恶意程序的威胁，更能感受到与众不同的使用体验。

---

                                                                     本文索引
   
01 楼: 前言及测试说明

02 楼: 软件安装、界面、设置详解

03 楼: 运行可靠性以及兼容性测试

04 楼: 功能运用

05 楼: 防御测试

06 楼: 费尔技术解密

07 楼: 问题反馈以及未来展望

更新事项：2012-811-22:56更新防御测试里面的静态扫描（05楼）
               2012-813-21：50更新部分特殊查杀中的广告查杀（05楼）
               2012-817-22：46更新动态防御被拦截为病毒或者木马，点击信任之后能自动上传误报（05楼）
               2012-819-11：43更新费尔V8对PC系统性能影响情况（03楼）
               2012-820-15:47更新 特殊测试费尔系统加固（04楼）


      

---

  评测环境：      电脑型号          技嘉 GA-770T-USB3 台式电脑

  操作系统        Windows 7 旗舰版 32位 SP1 ( DirectX 11 )

  处理器           AMD Athlon(速龙) II X4 635 四核

  主板              技嘉 GA-770T-USB3 (ATI RX780/RX790(AMD 770/870) 芯片组)

  内存              2 GB ( 金邦 DDR3 1333MHz )

  主硬盘           希捷 ST500DM002-1BC142 ( 500 GB / 10000 转/分 )

  显卡              Nvidia GeForce GTS 250 ( 512 MB / Nvidia )

  显示器           冠捷 AOC2292 2292Vw ( 21.7 英寸 )

  光驱              惠普 DVD ROM 435r DVD光驱

  声卡              瑞昱 ALC888 @ ATI IXP SB600/SB700/SB800 高保真音频

  网卡              瑞昱 RTL8168D(P)/8111D(P) PCI-E Gigabit Ethernet NIC / 技嘉

  网络              10MB光钎

   

---

相关说明：1：为了测试费尔的兼容性和其他软件的的冲突情况下，在同时安装了多款杀毒软件的情况下进行最大程度的测试（建议一般用户采取一款软毒防毒软件）
               2：测评的目的在于让读者更好的了解, 认识费尔V8五年来首次发布新版本的全新性能. 本人也会尽自己最大努力找出费尔V8智能杀毒的不足的地方, 不断完善优化产品.
               3. 测评中最大限度做得公正客观, 写出自己真实感受.                  
               4.本文首发卡饭论坛, 未经本人同意请勿转载.








                                                                                                                             更新于2012.8.19

Flameocean

                              

软件安装、界面、设置详解

一、费尔V8公测版安装及界面交互测试：
1.安装大小：
  

---

2.安装包说明：

---

   点评： 笔者有点疑问的是数字签名邮箱不可用，笔者曾经在第一个内测版本的时候反馈过这个问题，官方回复的邮件是：谢谢反馈，后面会解决的。但是这次公测版毕竟按照官方是向全球发布的，按理说这个应该提前解决，这个问题希望官方引起重视。

---

2.安装及注册激活：点击安装包，选择语言

解压完成后，安装向导会提示您下一步的操作和费尔智能杀毒的初步介绍

软件安装一如既往简单，选择安装目录，下一步即可开始安装（安装目录可根据使用需要，建议安装系统盘）


  点评：在安装过程中，给人比较简洁的的操作过程，安装速度很快，非常利于用户安装。

---

3.界面交互性：官方提供了三个皮肤，分别为经典，智能安全（动画），智能安全（简约）

        经典型的皮肤

---

点评：排版布局合理，笔者认为LOGO和界面不配色，界面中那个黑色显示器笔者建议安全的情况下出现一个勾，不然整体上缺乏立体感。

---

               智能安全（动画）

---

点评：智能安全（动画）是基于FLASH动画的，让人眼前一亮的感觉，打破了传统UI设计，很有金属感，给用户以安全的感觉，并且本次公测版也解决了内测版此FlashUI的占用大的问题。但是这次公测版出现了一下不太合理的设计，当笔者选择这个皮肤的时候，电脑屏幕默认是直接全屏幕的，笔者认为这个设计欠妥，应该默认是中等大小的界面而不是全屏幕。按钮的黄色让本来有质感的动画显得非常不协调，也和费尔的LOGO不协调，希望官方也进一步修改，达到质感和稳重感协调。

---

                             智能安全（简约）

点评：采用的是HTML的UI设计，整体上笔者认为比较出色。

---

Flameocean

（二）运行可靠性以及兼容性测试：

在360卫士和金山毒霸2012同时运行监控，安装费尔V8没有出现任何卡CPU或者卡内存的情况，但是其他的隐形冲突暂且未知，并且运行状况相当良好，没有出现卡机或者蓝屏的状况。（请一般用户单独安装一款防毒或者杀毒软件避免出现蓝屏等计算机故障）点评：同时这次公测版彻底解决了SYSTEM占用CPU情况，这确实费尔的脚踏实地改进了技术和相应测试人员反馈的问题。

  

---

注释：Process Explorer记录的是一组动态数据，数据时刻在变化，截图只能捕捉到某个时刻的数值。所以测试数据截图只作为一个参考。有兴趣测试的粉丝可自行测试。

---

费尔V8对PC系统性能影响情况

对PC系统性能的影响

    测试说明：本部分测试具体是来验证，当杀毒软件在运行扫描的过程中，计算机硬盘的读取速度表现。以便从另一个方面反映，杀软在运作过程中对硬盘影响程度的强弱。

    其实这种读写速度的快慢会直接地影响到用户在杀软运作同时，所进行的其他反面的操作，如同用户所称，杀软在查杀病毒时，电脑速度就会变得非常的慢。

测试软件介绍

    HD Tune是一款小巧易用的硬盘工具软件，其主要功能有硬盘传输速率检测，健康状态检测，温度检测及。磁盘表面扫描存取时间、CPU占用率。另外，还能检测出硬盘的固件版本、序列号、容量、缓存大小以及当前的Ultra DMA模式等。

HD Tune专业版

　　小贴士：如上测试表格中，所记录出来的评价速度所得值越大说明杀软对系统的影响越小，这样Windows的运作速度就越快。

HDTune读取测试结果

HDTune读取测试结果
测试项目	测试结果
最高读取速度	124.8MB/秒
最低读取速度	11.6MB/秒
存取时间	16.9毫秒
突发传输速率	200.8MB/秒
平均读取速度MB/S	92.7MB/秒
CPU占用率	7.4%

　　测试点评：本测试是从系统内存、CPU占用率测试中独立出来的HDTune测试。杀软经过HDTune测试所得到的读取速度越快，说明杀软在进行扫描查杀时对计算机系统的影响就越小，那么计算机系统的运作速度就越快，用户在同时需要进行其他操作时所受到的影响程度越小。因此费尔V8对电脑系统本身的影响程度非常小，用户使用起来不会明显存在的速度减缓问题。

---

I/0读取和写入测试

小贴士：I/0读取和写入一定程度反映了杀毒软件对电脑硬盘的影响，在使用的过程中，在CPU和内存使用都不高的情况下，I/0读取和写入次数过大，一定程度导致硬盘的传输数率减慢，系统变缓慢，比如测试了几款国内外杀毒软件的I/0读取和写入，由于系统环境的差异，和动态数据的变化，仅供参考。

---

费尔V8:

QQ电脑管家

ESET 5


F-Secure

Pander云安全专业版

点评：通过对比，费尔V8的I/O读取和写入控制的比较好，更希望费尔进一步优化，提供更好的监控的同时更加减少对硬盘的影响。

Flameocean

（三）界面UI和工具运用

费尔智能V8

  A. 主界面方面
费尔智能V8在首次安装完成了出现了比较人性化的选择项，这是费尔进一步贴近用户，实现用户体验。

---

B.升级和注册
首次打开界面出现激活界面


  

---

说明：对于已经在其他电脑上面已经注册的用户在使用同一个激活码会出现这个界面

---

---

点评：激活软件过于复杂，不利于一般用户操作，而且采用已经启动软件界面再次激活软件显得不太妥当，建议官方可以参照其他软件安装形式在安装的过程填写相应的注册码或者通行证

---

C.在首次安装设置激活以上步骤以后，笔者进入工具栏.

然后笔者依次进入工具栏的相应功能。

---

笔者下面重点介绍一下进程管理器，木马强力清除以及云鉴定这三大功能。
（1）进程管理

进入进程管理器以后，功能略显简单，在这里我们只能看到进程，看不到CPU占用，内存占用，I/O读写等更多相应的功能。笔者试着用结束进程来结束费尔智能V8的twister和twssrv进程。（此时笔者已经把自保强度调制成最高）

---

点击结束进程，没有任何反映，无法结束。

---

点击结束twssrv进程


进程被成功结束

---

点评：笔者了解到twssrv.exe是服务进程，它不会随主界面退而退出，以提供持久保护，电脑未登录前它也会提前启动。twister进程是主界面进程，但是本次用费尔自带的进程管理器的结果却让笔者百思不得其解，希望官方能科普解释一下。建议：进程管理器功能比较简单，希望官方能进一步完善功能方便用户使用。

---

下面是木马强力清除，进入之后，笔者开始用木马强力清除来清除费尔的程序。（此时费尔自保依然是最高强度）


安装上面的提示，笔者手动重启电脑以后，出现了费尔主程序被成功清除掉。此时已经没有了主程序进程，双击启动费尔程序，已经无法启动，但是服务器进程依然存在。

---

点评：木马强力清除功能很强大，但是似乎没有白名单，也能成功清除费尔本身的功能。并且但是笔者想通过修复费尔程序，但是找到费尔没有自我修复的功能，这一点希望费尔能在卸载或者程序里面提供修复程序的功能。

---

特殊测试：笔者刚才在卡饭国内下载由zhq445078388 卡饭饭友的进程截杀器，下载地址http://www.crsky.com/soft/34693.html  本程序上传火眼系统没有加驱动和恶意行为动作，为了是测试程序的防护能力。火眼系统http://fireeye.ijinshan.com/analyse.html?md5=e1a151468b644530b32fb44af9fa47b0
大家在测试时候，费尔可能会报毒，请放心使用，为了测试费尔的系统加固的水平和强度，为了进一步晚上费尔V8
测试如下，笔者把自保强度设置为最强，然后把系统加固里面的全部勾选上了

笔者测试强制重启之后，费尔弹出了蓝屏故障保护，笔者选择了阻止，电脑出现了一分钟重启，根据作者提供强制重启原理的方法：｛

似乎是利用蓝屏来强制关机，希望费尔官方研究一下费尔的对策 ｝

---

在用户态重启机器 真是太方便不过了 直接调用ExitWindowsEx就可以了

但是在内核态 我们不能直接用ExitWindowsEx，
当然 根据WINDOWS的尿性 我们能找到NtShutdownSystem
但是这货没导出。。

所以下心找了下，结果在MJ0011那里 找到了这个神奇的方法
KeBugCheck(POWER_FAILURE_SIMULATE);
当时猛一看很奇怪 这个直接调用bugcheck 不就蓝屏了么。。

MJ大大很负责的在下面写了：
“也许你会认为这是BugCheck,那么你错了，这并不会引发bugcheck

这样实际上会调用了HalReturnToFirmware(HalRebootMachine)

当执行了BugCheck回调后，无BSOD，无Crash dump,只会进行非常干净、简单和直接的重启动；）”地址：http://zmpi-safe.3322.org/mybolklog/Ring0_shutdown.html

---

然后笔者重启电脑之后选择了其余几个选项包括关闭计算机和重启，费尔都没有提醒，电脑就自动重启和关机了 ，但是笔者了解到COMODO成功拦截了强制重启，图片如下：

点评：希望费尔有针对性研究一下这个程序的原理，增加系统加固。

在用户态重启机器 真是太方便不过了 直接调用ExitWindowsEx就可以了
但是在内核态 我们不能直接用ExitWindowsEx，
当然 根据WINDOWS的尿性 我们能找到NtShutdownSystem
但是这货没导出。。

所以下心找了下，结果在MJ0011那里 找到了这个神奇的方法
KeBugCheck(POWER_FAILURE_SIMULATE);
当时猛一看很奇怪 这个直接调用bugcheck 不就蓝屏了么。。

MJ大大很负责的在下面写了：
“也许你会认为这是BugCheck,那么你错了，这并不会引发bugcheck

这样实际上会调用了HalReturnToFirmware(HalRebootMachine)

当执行了BugCheck回调后，无BSOD，无Crash dump,只会进行非常干净、简单和直接的重启动；）”

Flameocean

（三）防护测试

---

说明：  资源占用、安全性、兼容性、查杀率、防护强度作为一款杀软的评判标准。

---

首次扫描：本次扫描并没有采用官方默认形式，而是采用尽可能高设置测试费尔智能V8杀毒性能



笔者选择快速扫描并采用以上设置

---

正在快速扫描中......

---

扫描剩余时间：

---

扫描过程中出现的动态cpu以及内存占用情况：

扫描过程非常流畅，资源占用很小，笔者在同时运行其他杀毒软件的情况下，费尔V8扫描过程依然稳定和流畅。

---

首次快速扫描结束:

此时出现的木马情况，但是笔者觉得有可能是误报，想通过费尔的云上传这个木马程序鉴定，但是笔者在这个扫描结束的界面没有找到云上传坚定或者云上传提交误报的按钮。

---

点评：首次高设置的情况下进行快速扫描，资源占用控制的非常好，界面简洁，但是略显单调。建议：在扫描的过程中在次界面增加病毒或者木马动态的树状或者圆饼图这样给人以直观的感觉，其次在扫描结束的界面增加一个云上传或者提交误报的按钮。

---

（四）静态查杀测试

---

一个杀软的好坏不是只看扫描的，还包括误报（误报的频繁程度和危害程度），监控，资源占用，主动防御，上报反应速度，兼容性，可操控性，对感染性病毒的解毒能力，对嵌入其他进程的病毒不通过辅助工具删除能力等方面，请大家权衡好！

---

笔者在卡饭论坛：http://pan.baidu.com/netdisk/singlepublic?fid=1028298_1652804403 采取了次样本集合作为测试的结果，测试过程已经把设置调制成最高。
提示：本次测试是初步测试，以后几天会测试更多数据，以便反映费尔综合实力。

---

---

在解压样本的过程中, 费尔V8监控还陆续监控到病毒, 说明费尔V8 监控非常灵敏.



扫描的最终结果：



剩余样本数：9个

---

费尔智能V8 查杀率: 80%

---

360卫士4引擎同时打开自定义扫描：

剩余样本数：10个

---

360卫士查杀率：77.8%

---

金山毒霸2012查杀情况：

剩余样本数：5个

---

金山毒霸2012查杀率：88.9%

---

点评：金山毒霸的云查杀确实比较强，收集样本，处理速度以及云端响应都很快，费尔V8需要进一步优化和改善云安全，提高检测率。

---

动态防御新发现：

笔者今天更新了最新费尔V8动态防御出现拦截的时候，我们选择信任，然后费尔就会将这个信任自动上传确认是否为误报。

---

主防测试

在当今这个计算机病毒泛滥的时代, 传统的反病毒技术已经不能满足其需要, 于是主动防御诞生了. 主动防御从病毒上的原始行为出发, 解决了传统安全软件无法防御未知恶意软件的弊端, 从技术上实现了对木马和病毒的主动防御. 下面我们来测试费尔V8之动态防御2.0.

---

官方：V8技术亮点之“动态防御2.0”技术介绍：
"费尔第二代动态防御开发历时 4 年，代码量超过40万行，是费尔最复杂的系统之一，它基本实现一个小型的子系统来模拟和追踪 Windows 的运作过程。

主要技术亮点
首先用一个比喻来描述新版动态防御的特色：一个小偷伪装成客人到家里偷东西，等巡查员认定它不是客人而是贼时随即将其拿下，可是家里却已经被翻乱了，要恢复原样就比较困难。第二代动态防御系统不仅可以抓住贼，同时能让家里恢复如初，并且有能力更早更准确的识别伪装更好的贼，包括当前流行的白加黑木马。主要特点如下：

1. 精确的对象级深度追踪。
2. 对威胁所产生的破坏进行全面热回滚。这主要包括威胁对文件、注册表、HOOK、内存的改写、对象的修改进行全面还原等等。

智能黑盒
费尔智能黑盒类似于飞机的黑匣子，它会对电脑中的每个程序单位行为进行精准而细致的记录，它不仅可以追踪程序的文件、注册表访问，还包括线程、内存，对象的操作等等。而且它的最小追踪单位可以精确到 CPU 的执行片断，以及事件的每一个参与者。比如：一个系统服务线程在这个时间段为正常程序 A 服务，而下一个时间段被病毒 B 嫁接并为其服务，此时发生的破坏行为仍然会被准确定位到  B 而不波及整个服务线程。再如：当发生一个删除文件的事件，此时被追踪的不仅仅是删除此文件的进程，还包括参与此次行动的所有模块以及内存，甚至包括父进程、父线程都会被一并追踪。正是这一全新的追踪架构可以准确定位目前让主防头痛的白加黑木马。

另外，虚拟黑盒具备持久记忆功能，不会随电脑的重启而归零，即使重启电脑目标程序曾经发生的行为仍然会被持续的记录在案，这样当遇到一种把自己的行为故意打散、分时段来组合完成的潜伏威胁时仍可以准确侦测，从而有能力处理多步式或延时发作的后门、木马，并对其进行彻底的清除和回滚。

行为分析系统
采用复杂的逻辑规则及综合分析系统，对智能黑盒记录的行为进行分析并自动判定是否有害，即“记忆式多步智能主防”。

精准回滚
对有害程序产生的行为实施精准全面的回滚还原。它会对有害程序直接产生的行为以及嫁接到别的程序上间接产生的行为进行还原，而同时不会波及到正常程序。比如：病毒对 Explorer 进行了 HOOK，回滚可以将 HOOK 还原并在不结束 Explorer 的情况下让其保持干净的继续正常工作。

另外，被病毒修改或删除的文件也能够被完美还原，这包括被感染型病毒感染的文件。智能黑盒在追踪程序行为时会对文件、注册表、内存、对象所有发生的修改性动作进行实时备份，并且采用大量先进算法确保对系统影响不可感知，这样即使遇到感染性病毒时仍然可以对曾经的破坏进行回滚复原。"

---

测试样本（1）：456远控木马 地址：http://l5.yunpan.cn/lk/03ljg1o4vc
附上火眼：http://fireeye.ijinshan.com/analyse.html?md5=d890d4b1b60c0c563ac2f581bd8c338a

笔者为了测试费尔动态主防，关闭了实时防御，以使得测试主防更加公正客观。



双击样本之后费尔没有任何反映。进一步安装，费尔主防依然没有检测到远控植入explor.exe进程

但此时这个样本远控木马远控IP地址


此时电脑已经被黑客锁定了，费尔依然没有任何反映。

笔者于是打开实时防御监控，出现了下面的情况。

点击清除以后，远控程序依然存在，远控木马继续运行。DELL劫持注入到EXPLORER里面。

---

下面是其他公司的杀毒软件的主防反应情况：
comodo主防成功拦截


过了金山K+主防，但是被防黑墙拦截.



过了微点主防，但是被微点防火墙拦截。



360主防无法拦截


风云防火墙主防成功拦截

---

笔者发现费尔可以查杀如下程序:

广告程序测试:
样本地址：https://att.kafan.cn/forum.php?mod=attachment&aid=MTc1ODU0MnxmOGMzNTdhY3wxMzQ0ODY1MzUzfDUyNTg2M3wxMzUxODE4
火眼反馈：http://fireeye.ijinshan.com/analyse.html?md5=fb2498c8a5333db8d55948cd89271158
费尔扫描无法查杀，双击之后依然无法查杀，云上传依然显示正常程序。
但是本程序 会添加开机自启动项;创建互斥体，并且联网访问
【发送请求】POST logger.windowsassist.co.kr/app_run_logger.php
【访问网址】http://update.windowsassist.co.kr/version.php?pid=windowsassist&did=aa

Flameocean

（五）实时监控机制探究

---

本阶段由于笔者水平有限，测试过程中可能出现偏差，希望大家指正。（本阶段操作有可能导致计算机出现故障，望一般用户不要采取本次操作）

---

一：费尔智能V8自保测试情况：

说明：为了最大程度的测试费尔V8的自保强度，笔者在设置里面把自保调至成了最高强度。

---

1.任务管理器无法结束进程：

---

2.使用PT工具

成功结束了费尔的两个进程，过程中没有采取强力结束进程，只用了结束进程。

点评：由于是APK工具RING0级的工具测试，费尔自保并没有想象中的强大，但是对付病毒和木马应该是没有问题的。

---

二：监控机制

    似乎没有使用SSDT钩子和SSDT HOOK钩子技术，而是采用了最通用的FSFilter（文件系统筛选）技术。

具体情况笔者技术有限，希望技术人员和官方科普一下这里

---

这是费尔V8内核线程中的其它驱动文件：

费尔V8的一般驱动

---

点评：笔者技术有限，但是通过这次巧妙的设计让费尔智能V8的监控非常灵敏，而且运行流畅。

Flameocean

误报及问题反馈

误报一：安装了金山毒霸2012SP5.0，费尔动态误报金山的微博程序分享

文件上传：http://pan.baidu.com/netdisk/singlepublic?fid=1021264_3648353163

---

有時候，等待是一件值得的美好事情。　
  “谢谢你，让我在最美好的年华里，遇见你。谢谢你，给我的所有温暖 和回忆。”
　　
　　
　　
　　 ——For "The Twister Antivirus 8"  






    The End——A New Era Is Arriving!

hwl573452046

话说，楼主见过哪款软件的数字签名的邮箱是可用的吗？  反正我见过的很多软件都是这样……话说，这重要吗？

测试费尔的任务管理器，测就测呗，关键是你让费尔自己杀自己  真是蛋疼……  

jjtony2

写的够累的……

Flameocean

hwl573452046 发表于 2012-8-8 16:28
话说，楼主见过哪款软件的数字签名的邮箱是可用的吗？  反正我是没见过

人家有点疑问吗，嘻嘻，不过曾经官方给我解释过的，但是还是这样的