绕过动态启发之Microsoft篇

显示全部楼层 · 发表于 2017-2-10 08:49:47

学习了，感谢分享！

显示全部楼层 · 发表于 2017-2-10 08:50:50

涨姿势了，学习学习

显示全部楼层 · 发表于 2017-2-10 10:41:08

B100D1E55 发表于 2017-2-9 21:51
哈哈说明可以检测EICAR变种很多厂商不实际测一下误报都不知道他们做了什么恐怖的事，江民有一个do ...

EICAR变种

江民早就剩个壳了

显示全部楼层 · 发表于 2017-2-11 20:42:50

LZ 能不能贴一下程序源码？

显示全部楼层 · 发表于 2017-2-11 21:53:02

B100D1E55 发表于 2017-2-9 11:46
吼吼，有点好奇SP2这个小道消息是哪打听来的……话说我对这个测试的解读也有可能有误，毕竟我们只能做 ...

有空测一下火绒吗，我现在正在跟官人吐槽火绒监控不行，正好缺证据

显示全部楼层 · 发表于 2017-2-11 23:40:15

驭龙发表于 2017-2-9 11:19
其实我想说的是你应该用别的威胁特征测试绕过微软启发，因为这个测试代码是在MA 引擎中的，并不是启发报法

是的，可以用检测到的木马小程序做实验。另外，龙大看来资深，知道一些内幕哈~

显示全部楼层 · 发表于 2017-2-12 01:46:52

f59375443 发表于 2017-2-11 21:53
有空测一下火绒吗，我现在正在跟官人吐槽火绒监控不行，正好缺证据

估计比较麻烦，这个构造的样本仅适用于微软……

显示全部楼层 · 发表于 2017-2-12 01:48:16

ymcyyf 发表于 2017-2-11 20:42
LZ 能不能贴一下程序源码？

只要10行左右，相信我

一行初始化EICAR字符串
一行创建文件
一行写入文件
一行关闭文件句柄
剩下几行留给括号和include

显示全部楼层 · 发表于 2017-2-12 10:34:42

Hacker29cn 发表于 2017-2-11 23:40
是的，可以用检测到的木马小程序做实验。另外，龙大看来资深，知道一些内幕哈~

我只是关注WD多一点，并不是资深，哈

显示全部楼层 · 发表于 2017-2-12 10:55:01

本帖最后由灭灭之痕于 2017-2-12 10:58 编辑

linzh 发表于 2017-2-9 11:26
话说全程除了这叁其他全部哑火？

我按照楼主的方式试了一下，写了一个特别蠢的程序（C语言初学者水平），目标也是写入一个EICAR文件。第一次不延时，第二次我用了一种特别笨的办法延时（写入文件前加了一个循环输出），结果很惨……

[分享] 绕过动态启发之Microsoft篇