对昨天金山毒霸和360的两个“畸形”“漏洞”的样本简析

jefffire

zhq445078388 发表于 2011-11-24 21:34
为什么嗯？
即使是单独用7z引擎 自己没有解压软件 也应该是能解开的啊

不知道是个什么状况。看第二个样本，不过把arj换成7z，金山立马卡住了，说明金山并没有预判机制。

zhq445078388

jefffire 发表于 2011-11-24 21:36
不知道是个什么状况。看第二个样本，不过把arj换成7z，金山立马卡住了，说明金山并没有预判机制。

也就是说 可能金山对缓冲区 或者解壳目录下也进行了压缩判定
但是采用的模式可能并没有记录到arj？
或者 纯粹是再看一遍后缀 而金山的后缀库并没有arj（话说之前我也不知道arj是啥。。）

而360自己有压缩软件 所以对这方面可能更全面？

这就导致 对这方面判定比较多 但是不深入的杀软。。相对更容易卡壳？？
想来再加个压缩比的判定就可以了吧

李白vs苏轼

zhq445078388 发表于 2011-11-24 21:34
为什么嗯？
即使是单独用7z引擎 自己没有解压软件 也应该是能解开的啊

金山是没解压arj的,,把里面换成7z就同样卡了
这明摆着

zhq445078388

李白vs苏轼 发表于 2011-11-24 21:43
金山是没解压arj的,,把里面换成7z就同样卡了
这明摆着

好吧。。解压原来是看后缀的。。

Yin3700

学习了，看来不管是金山，还是360，都要好好改进一下了。

prawnliu

zhq445078388 发表于 2011-11-24 21:40
也就是说 可能金山对缓冲区 或者解壳目录下也进行了压缩判定
但是采用的模式可能并没有记录到arj？
或者 ...

之前一个毛豆区的优秀卡饭说过金山不能解gz的压缩包……（国外区的在国产杀软上应该没太大偏向性吧～）
当时我就震惊了……
http://bbs.kafan.cn/thread-1133470-1-1.html
军桑可是在微博拿bz2的压缩格式说过事的，还要大家小心这种“特殊”压缩格式造成病毒不能识别带来的隐患……
但现在看来开源的7z能解压的格式金山都解不全……这有点微蛋疼了～

【乱】

怎么样了 发表于 2011-11-24 15:20
问题是多长时间才算很长  ?      360在 5分钟查杀完毕也还算是过得去吧 ,  也算是一个可以忍受的时间范围 ...

对于普通小白用户而言 一个杀软对单一文件超过1分钟无反映 则被认为假死状态；之后取消查杀
我用金山查杀上百文件用了我15多分钟 蛋疼我也认可了；但查杀机制而已而且实战中不会遇到上百样本然后查杀时对如此大量样本进行自动云鉴定



像现在提供的一些畸形样本现实中 遇到的几率比你中第一等奖六合彩的都小

更何况每个杀软对于查杀机制和一些类型的样本类型危害性定义不同
像很多杀软杀化石病毒 但金山觉的没危害性就去除了

zhq445078388

prawnliu 发表于 2011-11-24 23:37
之前一个毛豆区的优秀卡饭说过金山不能解gz的压缩包……（国外区的在国产杀软上应该没太大偏向性吧～）
...

把蛋疼微创新=微蛋疼么？

夜ㄝ殇

prawnliu 发表于 2011-11-24 23:37
之前一个毛豆区的优秀卡饭说过金山不能解gz的压缩包……（国外区的在国产杀软上应该没太大偏向性吧～）
...

原来装过一段时间毒霸在样本区跑过，下载保护确实是不支持gz格式的，不过前几天在毒霸论坛，看到有人说现在已经可以支持了。。

/tiao眼镜鱼

是呀，好像所有的杀软都这样