【2011年12月20日】动态编译 加快速度 ZMPI自学习反病毒 高级启发式 钓鱼启发式

evilrabbit

zhq445078388 发表于 2011-10-26 20:26
改了后缀是不能直接运行吧。。
其实要是弄也可以。。但是我们毕竟没驱动 那么做反而被绕的几率更大

谁说改了后缀就无法运行的？一些 exe你改成com的后缀 看看能不能运行

zhq445078388

evilrabbit 发表于 2011-10-26 20:34
谁说改了后缀就无法运行的？一些 exe你改成com的后缀 看看能不能运行

“.exe” 或  “.dll” 或 “.com” 或 “.ocx” 或  “.sys” 或 “.dat”
目前只扫这部分
没办法 如果没驱动做打开文件的话 很多文件 比如被占用的文件 是打不开的
如果把文件整个读进内存的话 又太慢了
现在只能这么做的

引擎是判断文件头的mz字样的 没有mz的不杀。。
界面做的速度优化 所以只传递“.exe” 或  “.dll” 或 “.com” 或 “.ocx” 或  “.sys” 或 “.dat”后缀
没有驱动 扫描都不好扫的 因为你根本打不开文件

BHHZDQL

evilrabbit 发表于 2011-10-26 20:34
谁说改了后缀就无法运行的？一些 exe你改成com的后缀 看看能不能运行

改成com可杀的

evilrabbit

zhq445078388 发表于 2011-10-26 20:40
“.exe” 或  “.dll” 或 “.com” 或 “.ocx” 或  “.sys” 或 “.dat”
目前只扫这部分
没办法 如果 ...

这块 不需要考虑这么多呀，别人拿这个只是用来做扫描器玩的，打开文件被占用，即使你有驱动未必就能判断出来吧，也有个抢先和强度摆在那吧。

JillPal

现在对加壳的误报比较多,识别能力有待提高.

zhq445078388

evilrabbit 发表于 2011-10-26 20:45
这块 不需要考虑这么多呀，别人拿这个只是用来做扫描器玩的，打开文件被占用，即使你有驱动未必就能判断出 ...

好办法。。
下个版本尝试 界面打开文件 读入4个字节 然后寻找mz字样 找到就送引擎
打开失败直接送引擎
就不做后缀判断了

zhq445078388

JillPal 发表于 2011-10-26 20:45
现在对加壳的误报比较多,识别能力有待提高.

谁教教我怎么算法 脱壳啊。。

evilrabbit

BHHZDQL 发表于 2011-10-26 20:44
改成com可杀的

改成txt 就不能学习了，算了，我太较真了，你们无视我吧。。

BHHZDQL

evilrabbit 发表于 2011-10-26 20:50
改成txt 就不能学习了，算了，我太较真了，你们无视我吧。。

表示z+不拦截txt。。。txt也不能运行

BHHZDQL

zhq445078388 发表于 2011-10-26 20:49
谁教教我怎么算法 脱壳啊。。

dll源码给我折腾下，我也许能帮你