金山引擎的缺陷，扫描文件卡死

显示全部楼层 · 发表于 2011-11-14 18:29:57

本帖最后由 jefffire 于 2011-11-20 11:56 编辑

前一阶段看见cutemole同学发表了一篇阐述金山启发的文章http://bbs.kafan.cn/forum.php?mod=viewthread&tid=1121004 中间有这么一段描述

采用文件流分段分析启发技术，分流后的二进制数据逐流进行校验，计算出不同的文件流熵值，然后把此熵值作为文件的计算权值

抛开其中一些新创名词，总结如下：分段——》校验——》计算熵值——》加权处理

其中的“分段”，虽然没有明确提示，但是考虑到PE文件的结构，做了一些尝试。

DOS MZ header
DOS stub
PE header
Section table
Section 1
Section 2
Section 3

......

Section n

结果发现金山对PE每个节都会复制节（section）内容到指定区域然后做一些计算处理，在对普通PE不到5个节（section）很容易，但是这里有个手工构造的具有65535个节（section）的畸形文件。一扫描，结果悲剧了，扫描期间需要6万5千多次上述操作，复制导致出现大量缺页异常，影响系统性能且不能退出。

畸形PE http://115.com/file/clf94hc4# 密码：virus
文件由dl123100大牛提供

总结：
1、基于PE的启发研发时对异常情况没怎么考虑
2、扫描事件响应机制不成熟，出现异常没有处理机制

显示全部楼层 · 发表于 2011-11-14 18:32:40

顺便说一句，某黑客可以歇歇了，这个问题只有金山有，抄代码没用。

显示全部楼层 · 发表于 2011-11-14 18:34:21

本帖最后由寂静de雨季于 2011-11-14 18:35 编辑

看看

显示全部楼层 · 发表于 2011-11-14 18:37:19

其实只要加小一个判断，对节过大的文件直接报毒，应该就没事了……

显示全部楼层 · 发表于 2011-11-14 18:39:24

zckey 发表于 2011-11-14 18:37
其实只要加小一个判断，对节过大的文件直接报毒，应该就没事了……

是很简单，但是如果没想到，那就不简单了。

显示全部楼层 · 发表于 2011-11-14 18:48:35

确实是楼主说的现象啊，问题转给工作人员看看

显示全部楼层 · 发表于 2011-11-14 19:48:08

技术还是不够成熟

显示全部楼层 · 发表于 2011-11-14 20:34:12

1、在某帖回复中已回复金山要注意校验PE文件
2、产生的page fault远远超过一般软件，最终会达到普通程序的万倍
3、长达8分钟的卡死虽然是暂时现象，但是严重影响用户

显示全部楼层 · 发表于 2011-11-14 20:41:38

谢谢测试，我们这边先看一下问题

显示全部楼层 · 发表于 2011-11-14 20:51:57

8楼DL总能给出很多料，学习了

[金山] 金山引擎的缺陷，扫描文件卡死

评分

评分