初步评测火绒杀毒

gongmo

本测试在断网情况下验证。测试的病毒种类并不多，测试了两个。

主要通过静态扫描去检测的。所以不能以偏概全，不是全面的评测火绒。

再者，无意冒犯火绒，也不会去做病毒。

火绒病毒库头部格式如下：

对应如下：


通过header可见，火绒在减小软件体积的同时，病毒库数量并不多。

header解密后格式如下：


在火绒3.x年代，有处代码写的相对不严谨，虽然在4.x时代已经修改了。这处代码在libxsse.dll解压病毒库的函数中。
如下：malloc后直接去使用了，而没有验证申请的内存是否成功……


针对conficker病毒测评，发现：


从病毒库和索引中，发现火绒命中的特征：





修改3处字符串的大小写，并不会影响代码执行。下图右侧是修改后的字符串。
当然，如果特征码在API上，是不能够修改的哇。 静态扫描的方式，大家都懂哇，不排除模拟cpu执行指令的程序。
类似于：We gave a presentation on Unicorn engine at the BlackHat USA 2015 security conference. The talk went well, and we got nice feedbacks from the audience.
链接网址：https://www.blackhat.com/us-15/b ... -emulator-framework
这个工具最新有1.0版本了……

扯远了- -




不再报毒。


病毒库pset和prop对应规则：

下图是pset库。以conficker病毒为例：
pset库中共4条索引，满足其中3跳则可以报毒。


下图是prop病毒库。用来匹配特征码的地方。其中第一条索引对应如下内容：




再拿一个病毒举例，这里用的火绒3.x杀毒（4.x效果是一样的）

这次命中的全部在API名称上，如下：
共4条特征：
特征1：67 65 74 52 61 6E 64 6F 6D 49 50   
特征2：63 6F 6D 6D 53 65 72 76 65 72   
特征3：73 65 6E 64 4A 55 4E 4B
特征4：73 63 61 6E 50 69 64

当然这里就不能随意修改了……毕竟修改了API肯定不能运行哇。

WEI.ER

火绒杀毒能力本身也就只能排二线，单纯测试一款综合型软件的某一项只能证明某一项的强弱，希望LZ在测评最后或者开头就用直白的语言描述你的测试以及相关结果，否则会引起很多小白的以讹传讹。

测试项目没问题，静态扫描，希望以后增加更多的测试项目，比如动态测试以及其他全方面的测试。

vm001

针对性免杀
。。。。

到处闲逛

要是能有一个全面的评测就好了

我是路人甲

支持楼主，这个分析还是很到位的

ysj963

ESET的特征应对有多复杂？

gongmo

WEI.ER 发表于 2017-2-28 11:35
火绒杀毒能力本身也就只能排二线，单纯测试一款综合型软件的某一项只能证明某一项的强弱，希望LZ在测评最后 ...

对~~ 这只是 从一个很小的方面测试的 火绒，只能证明一丢丢的小问题而已。

gongmo

ysj963 发表于 2017-2-28 13:16
ESET的特征应对有多复杂？

没验证过。不知道哇

vm001

才发现有人把楼主的帖子给反馈到火绒论坛了
楼主能证实一下这个回复不。

XZ8SM7Sx0bVkoUV

vm001 发表于 2017-2-28 14:53
才发现有人把楼主的帖子给反馈到火绒论坛了
楼主能证实一下这个回复不。