又发现一红伞误报

显示全部楼层 · 发表于 2008-6-13 01:57:02

从深度上见到发的一个html文件，原文件最后如下：

...
</html>
<script src='http://s108.cnzz.com/stat.php?id=492835&web_id=492835&online=1' language='JavaScript' charset='gb2312'></script>

红伞报可疑

当我仅仅调换顺序，改为

...
<script src='http://s108.cnzz.com/stat.php?id=492835&web_id=492835&online=1' language='JavaScript' charset='gb2312'></script>
</html>

之后，就不报了～～

这是红伞认定它是恶意隐藏的异常结构吗？我觉得这也是误报吧

[ 本帖最后由伞兵づ泡泡于 2008-6-13 16:21 编辑 ]

显示全部楼层 · 发表于 2008-6-13 02:03:05

进一步，发现写一个只有这两行的htm文件，红伞报可疑；但是language和charset这两个参数去掉任意一个之后红伞都不报了，顺序改变无影响，值无影响

还请高手指点了

我最后写了这样一个文件，作为FP上报给avira了，不知道他们会如何回应

[ 本帖最后由伞兵づ泡泡于 2008-6-13 16:22 编辑 ]

显示全部楼层 · 发表于 2008-6-13 16:22:42

有没有人能从html语言的结构上来分析一下为什么红伞会认定第一种情况是可疑呢

显示全部楼层 · 发表于 2008-6-13 16:29:11

因为一般规范的静态网页都是以<html>起头以</html>结尾的
所以<script > </script>这一行按照编写的规范性来说是应该放在</html>之前的

但是<script > </script>这一行却在</html>之后，就有些像是被病毒感染的html文档了
被病毒感染的html文档一般都有恶意代码插在正常代码最头端或最尾端

显示全部楼层 · 发表于 2008-6-13 16:32:38

yeap 看了lz的帖本来想回帖的
拉下来看到光光的贴了
说的很完整了

不出意外报的应该是是heur\html.malware

显示全部楼层 · 发表于 2008-6-13 16:39:27

原帖由 jimmyleo 于 2008-6-13 16:32 发表
报的应该是是heur\html.malware

正是如此

感谢两大版版的指点

等看到红伞给我的回复结果之后，还会继续尝试看看

显示全部楼层 · 发表于 2008-6-13 16:42:29

其实也说明深度论坛插统计时编写不规范

显示全部楼层 · 发表于 2008-6-13 16:53:42

原帖由 jimmyleo 于 2008-6-13 16:42 发表
其实也说明深度论坛插统计时编写不规范

这个不是深度论坛的网页，是在深度的红伞区见到的一个样本

显示全部楼层 · 发表于 2008-6-13 17:37:53

In this case, it's a website with further code, attached after the -tag.

这话什么意思？？上次问分析师也是这句话。。

显示全部楼层 · 发表于 2008-6-13 21:09:18

和几位版主分析的是一样的

大概意思是：有附加内容

[ 本帖最后由 aarwwefdds 于 2008-6-13 21:10 编辑 ]

[讨论] 又发现一红伞误报

评分

本帖子中包含更多资源

回复 3楼伞兵づ泡泡的帖子

回复 9楼 Joker 的帖子

浏览过的版块

[讨论] 又发现一红伞误报

评分

本帖子中包含更多资源

回复 3楼 伞兵づ泡泡 的帖子

回复 9楼 Joker 的帖子

浏览过的版块

回复 3楼伞兵づ泡泡的帖子