对PE有效性没有进行检测,竟成安全软件的通病!

显示全部楼层 · 发表于 2011-8-30 11:14:51

本帖最后由星空下的吻于 2011-8-30 11:36 编辑

RT

说实话表示很震惊,对于PE有效性的检测本应该为最基本的测试,可是多数杀软居然都没有相关的测试,仅仅匹配特征码!

下面分别放上一些查杀的图片,大家也可以将自己的装备查杀截图放上来,共同讨论!!

云杀软因为查杀的特殊性,很显然没能通过测试

红伞可以说是误报最厉害的杀软之一

瑞星查杀不力却也没有测试PE

相比之下BD和QVM的表现就好得多

放上昨天测试的部分样本,全部无效无法运行

显示全部楼层 · 发表于 2011-8-30 11:22:48

老外的引擎对PE“不感冒”嘛！

显示全部楼层 · 发表于 2011-8-30 11:25:53

因为很多引擎判定PE有效性的方式，就是只看PE头部。

显示全部楼层 · 发表于 2011-8-30 11:31:32

为什么要看pe,看pe就会有漏洞

你可以试试小红伞，据说头部全砍了一样报

显示全部楼层 · 发表于 2011-8-30 11:35:26

Tron 发表于 2011-8-30 11:31
为什么要看pe,看pe就会有漏洞

你可以试试小红伞，据说头部全砍了一样报

好像确实是这样子的,请问MJ比较好的判断方法是什么

显示全部楼层 · 发表于 2011-8-30 11:38:24

说实话我没有看懂我再看两遍

显示全部楼层 · 发表于 2011-8-30 11:42:44

如果看pe有效性
有些毒会写一些无效文件
自身也无毒然后在内存把无效文件的病毒代码加载

所以看pe有效性就需要做回溯但是静态怎么做回溯
所以基本都不检查有效性

显示全部楼层 · 发表于 2011-8-30 11:45:59

本帖最后由 Tron 于 2011-8-30 11:47 编辑

星空下的吻发表于 2011-8-30 11:35
好像确实是这样子的,请问MJ比较好的判断方法是什么

真要仔细研究，没有几家判断完美的，windows的loader实现得比较诡异，很多文档上说那样就不行得，他就是可以加载运行

真想完美解析，比较好的方式是完全逆向各个操作系统加载时的逻辑算法（这个算法也是一变再变，例如我之前给微软汇报的windows7内核远程拒绝服务漏洞ms11-048,就是win7修改这个算法改出的bug,类似的bug我还给微软报过很多，连他们自己都解析不好pe)

还要区分不同的loader种类（这个就更难了，比如sys和dll的loader是不一样的，但是对杀软来说只有文件怎么知道这个到底是要内核加载还是r3加载）
主要还是pe设计得太灵活了，当然这是有好处的这使得它流行了数十年，最近blackhat usa正好有一篇讲pecoff的论文，可以看看

显示全部楼层 · 发表于 2011-8-30 11:50:02

Tron 发表于 2011-8-30 11:45
真要仔细研究，没有几家判断完美的，windows的loader实现得比较诡异，很多文档上说那样就不行得，他就是 ...

膜拜学习....

显示全部楼层 · 发表于 2011-8-30 11:52:27

Tron 发表于 2011-8-30 11:31
为什么要看pe,看pe就会有漏洞

你可以试试小红伞，据说头部全砍了一样报

不看PE，误报就上来了。

[讨论] 对PE有效性没有进行检测,竟成安全软件的通病!

本帖子中包含更多资源

评分