再谈avira对于恶意html的处理

jimmyleo

响应下solcroft的这篇 说说WebGuard的重要性

<* http://bbs.kafan.cn/viewthread.php?tid=259546&extra=page%3D1
*>

是读到预先设置的特征

如果特征为urldownloada之前， 那么html流在写入缓存前，幸运地被avira拦截。
有这个情况，但很少。

大部分都是在完全写在缓存内之后才被识别。

故如果电脑内，存在利用的漏洞：系统和第三方软件的。
那么就是事后吃药了，事实上已经被下载恶意软件。
至于恶意软件是否被拦截，又是他话了。

还有avira的一部分启发原理。
heur/html.gen 部分采用了判断iframe是否可见，即大家说的00
heur/infectedpage.gen 判断script和iframe是否出现在正常html标记之外
html/ace.gen 估计这个脚本解释机，虚拟执行，获得明文，再判断特征，但是对于没有webguard来说也是没用的，道理同上。

个人看法 欢迎拍砖

asinasina

先支持下...看了solcroft的文章一直在疑惑中

solcroft

关键是能不能监控内存
IE浏览器都先读取后保存，不管你怎么定位只要你监控不到内存就等于无能为力