heurhtml開發者回復我了

jimmyleo

Hello, Jimi

The HTML heuristics detects several "anomalies" in HTML pages. One of
them are infected pages. There are several malware samples trying to add
iframes at specific positions of a normal page leading to malware.

The URL where the malware is hosted changes very often. There is no good
way detecting the infected pages using this URL.

The rule is very important because every day thousands of web pages get
infected.

The detection is quite tricky and caused some false positives. But they
should be fixed now.
The last week I got no False Positive from a non-infected and normal web
page.

Your sample has been detected because there is no reason for an iframe
in the middle of a no-content page to lead anywhere.

Thank you!

Thorsten Sick

承認了這個偵測手段是比較狡猾 。
同時又否認了造成大量正常的網站誤報，只承認造成了一些。
并硬要堅持這是必須的 。


說我發的史上最強是因為沒有內容……所以激活了。
那我們來做個實驗：
google,yahoo,amazon首頁和我們的卡飯BBS都是不報的。
但是在插入史上最強之后，……全報了。
明顯這個說法是站不住腳跟的～

但是話又說回來，Iframe個零零的確不會有什么好事，
但是看得出antivir的目標明顯是thousand of script……

另：不要造成heur/html.exploit只會報這個的誤解，
這只是其一部分，還有他提到的其他“反常”。
當然，有時候這個東西報的還是很準確的。

[ 本帖最后由 jimmyleo 于 2007-8-21 08:24 编辑 ]

saga3721

这些雅虎等一万年也不会这么做的没有道理的事

jimmyleo

記住……是“被”iframe……

taihuxian

“史上最强？“翻译有问题
最后一句翻译应该是，你的样本之所以被侦测出，是因为无论在哪里，在一个没有内容的页面中间有一个iframe（框架），都是毫无理由的。

jimmyleo

汗 我是稱呼我發給他的東西…… 你看過沒……

我又沒……翻譯

saga3721

什么呀？别搞了

jimmyleo

別搞？承認antivir無敵？！……

對于這種盲目 我不需要……

我要搞……

taihuxian

。。。还以为你在翻译呢，至少也要说清楚吗，不要给新鸟误会了，不知道的人都以为你在翻译原文

jimmyleo

還有他提到的其他“反常”。

第三人稱……能是翻譯麼……這和新不新鳥沒關系吧……

taihuxian

当然可以翻译的咯，因为大多数新鸟英文都看不懂得