对昨天金山毒霸和360的两个“畸形”“漏洞”的样本简析

显示全部楼层 · 发表于 2011-11-24 13:58:09

本帖最后由 jefffire 于 2011-11-24 14:03 编辑

   昨天热闹的冒出了一堆“畸形”漏洞的帖子，还给出了实例样本。
首先分析一下360出问题的那个样本。样本为一自解压文件，大小112k。

解压该样本，发现其内含24个arj压缩包，每个arj压缩包内均含有一个解压前1.9G的超大文件regedt32.exe，实际上就是24个压缩炸弹。

类似的，金山出问题的那个样本也是一自解压文件，大小212k。

解压得到52个7z压缩包，每个压缩包内含的超大文件与前者一样。

这样当杀毒软件设置为扫描压缩文档时，会对自解压包内每个压缩文件解压扫描，遇到此类压缩炸弹，解压耗时很大，致使速度大幅下降。为何金山毒霸扫描第一个样本很快呢？？原因就在于样本作者所特意采用的arj这个压缩格式上，因为金山毒霸不会对arj格式进行解压。

  这两个样本几乎没有什么实际意义，也完全谈不上漏洞一说。但是也暴露出两者在扫描预判上的缺陷，没对解压时间进行预判，以规避过长时间的解压。

样本下载：

显示全部楼层 · 发表于 2011-11-24 13:59:24

广告位招租

显示全部楼层 · 发表于 2011-11-24 14:02:42

360杀毒扫描用时 5 分钟 , 还不算太离谱

显示全部楼层 · 发表于 2011-11-24 14:23:26

看来需要判断压缩比，类似这样过大的，直接扫描跳过，扫描完成后给出信息：有多少个这样文件，是哪些个，提示需要解压后扫描。

显示全部楼层 · 发表于 2011-11-24 14:28:31

极限压缩啊

显示全部楼层 · 发表于 2011-11-24 14:29:17

一般人电脑上压缩包炸弹类的文件，没这么多。

显示全部楼层 · 发表于 2011-11-24 14:30:27

学习了

显示全部楼层 · 发表于 2011-11-24 14:31:32

不知道“畸形”漏洞这个词是谁发明出来的

显示全部楼层 · 发表于 2011-11-24 14:36:03

先看看

显示全部楼层 · 发表于 2011-11-24 14:37:15

占位围观

[讨论] 对昨天金山毒霸和360的两个“畸形”“漏洞”的样本简析

本帖子中包含更多资源

评分