红伞不是以文件大小报毒的

浙江一哥

我现在发现红伞一个现象比如一个软件只要打开  如果这个软件打开之后那软件里出现网页之后红伞就报 也不知道为什么 特别是对外挂这东西最容易报如果找个外挂他不带网页的就不报

陆仁晓白

压缩方式的选择不同，文件结构发生改变

xiaojinglf

晓月关于小红伞“根据文件大小判断病毒”的测试及释疑   
       今天多个地方看到作者 Lawliet所写帖子称：“小红伞以文件大小报毒？”
（原贴分别为：http://bbs.kafan.cn/thread-323677-1-1.html、http://antimalicious.blogspot.com/2008/09/blog-post.html、http://www.avpclub.ddns.info/discuz/thread-13326-1-1.html）
     今天我正在再次测试完美磁碟机病毒时。正好对此问题感兴趣。突然看见这个帖子。
大家看一下我的结果吧：

我的测试结果正好和此贴原著截然相反：
    首先，我测试这个磁碟机的样本setup.exe（winrar自解压文件）时，小红伞报DR/Xorer.A.3 [dropper]
      其次，解压测试内部病毒本体时（文件名也是setup.exe），小红伞报TR/Xorer.94208' [trojan]，这个正好和实际病毒文件大小相同。

但是，重要的是以下内容：
为了验证小红伞是否根据文件大小来进行判断。我突发奇想，用编辑器修改了一下这个病毒本体，将其大小由94208修改为94206，修改后病毒仍然可以运行，破坏作用相同。再次用小红伞检查，发现仍然报TR/Xorer.94208' [trojan]。（没有出现不报的情况，大家注意）
    大家注意没有，小红伞根本没有去检查病毒的大小，而是根据特征库检查的。
    所以我认为：这个94208只是定义病毒版本的。也即是说，该病毒原版病毒本体（当它被制作出来的时候）大小是94208的版本被检测出来。

请大家不必惊慌。

根据以上测试表明：小红伞并非判断病毒的文件大小。

fzz8848

这年头明白人太少了

ㄚ一

原帖由 xiaojinglf 於 2008-9-8 18:12 發表
曉月關於小紅傘「根據文件大小判斷病毒」的測試及釋疑   
       今天多個地方看到作者 Lawliet所寫帖子稱：「小紅傘以文件大小報毒？」
（原貼分別為：http://bbs.kafan.cn/thread-323677-1-1.html、http://anti ...

你沒看我後面發的嗎？
已經不是檔案大小的問題，而是引擎的問題
紅傘的機器人用檔案大小做定義名

xiaojinglf

。
我分别测试丫一和我找的样本进行呢对比

[ 本帖最后由 xiaojinglf 于 2008-9-9 13:44 编辑 ]

huangking1988

各位太激动了吧！！不过学术问题是不能马虎的！！不过如果搞学术的，也要有一点文化人的气质哦！！1

spaceplane

嘴臭的伞饭理它干什么，你只需要和讨论的人讨论就可以了

ㄚ一

標題改的還真快啊．．
引擎的問題難道就這麼算了嗎？

iuan

原帖由 ㄚ一 于 2008-9-8 18:38 发表
標題改的還真快啊．．
引擎的問題難道就這麼算了嗎？

你当这是红伞官网吗，能给你什么官方解决和回答吗，有的莫名其妙，
也来个特别声名，我不是红伞fans,也不是任何杀软fans