webguard究竟有什么用? 让我们做个小测试

显示全部楼层 · 发表于 2008-11-22 16:25:51

引言:

很多伞饭都不喜欢webguard.原因不外乎两点:1.影响网速(的确如此) 2.即使没有WG红伞能扫描网页缓存,似乎工作得一样好

但实际情况真的如此吗?为什么几乎所有的AV都要煞费心机引入web模块?让我们做个无害的小测试吧:

测试:

测试环境:

启发: 高(中也行)

首先关闭WG,让我们去www.google.cn,搜索 BD96C556-65A3-11D0-983A-00C04FC29E36
哦,发生了什么? 红伞报警了:

看来红伞扫描到了网页缓存有"脚本病毒"(顺便提下,上面那个特殊的字串是ms06-014 msadco.dll的CLSID,红伞过于敏感了)

我们选择Deny access(或者其他):

网页还是成功加载了!
红伞对网页的拦截完全无效!

作为对比,下面是装上了WG的情况:

结论及分析:

网马发作流程如下:

1.客户端浏览器请求下载网页----->2.网页被下载到浏览器内存并解释执行------>3.1网页保存到硬盘缓存
------->3.2网马下载到硬盘------>4.网马被执行

webguard通过lsp劫持,在网页被请求阶段1就拦截扫描,不给其解释执行的机会

而扫描硬盘的av在阶段3拦截

hips在阶段4

不装wg红伞对网页的扫描就失去意义,报警时网页已经被加载进内存解释执行了,这时网马已经下载进硬盘了.

[ 本帖最后由 godeye 于 2008-11-22 16:41 编辑 ]

显示全部楼层 · 发表于 2008-11-22 16:28:05

不好意思
没看懂

显示全部楼层 · 发表于 2008-11-22 16:31:21

没编辑完？

显示全部楼层 · 发表于 2008-11-22 16:37:41

编辑好了,刚才不小心按了提交

显示全部楼层 · 发表于 2008-11-22 16:38:49

说完了？得出的结论呢？

开高启，用FF浏览器、IE 作同样的搜索，打开同样的网页，伞没动静。

显示全部楼层 · 发表于 2008-11-22 16:44:55

就是啊，结论呢？

显示全部楼层 · 发表于 2008-11-22 16:45:39

原帖由 ngh55 于 2008-11-22 16:38 发表
说完了？得出的结论呢？

开高启，用FF浏览器、IE 作同样的搜索，打开同样的网页，伞没动静。

显示全部楼层 · 发表于 2008-11-22 16:46:52

原帖由 icivil 于 2008-11-22 16:44 发表
就是啊，结论呢？

结论及分析:
网马发作流程如下:

1.客户端浏览器请求下载网页----->2.网页被下载到浏览器内存并解释执行------>3.1网页保存到硬盘缓存
------->3.2网马下载到硬盘------>4.网马被执行

webguard通过lsp劫持,在网页被请求阶段1就拦截扫描,不给其解释执行的机会

而扫描硬盘的av在阶段3拦截

hips在阶段4

不装wg红伞对网页的扫描就失去意义,报警时网页已经被加载进内存解释执行了,这时网马已经下载进硬盘了.

显示全部楼层 · 发表于 2008-11-22 16:53:08

但我的同学Vista系统开WG，直接开不了网页....

显示全部楼层 · 发表于 2008-11-22 17:02:47

原帖由 godeye 于 2008-11-22 16:25 发表
引言:
不装wg红伞对网页的扫描就失去意义,报警时网页已经被加载进内存解释执行了,这时网马已经下载进硬盘了

不过即使已经下载进硬盘，红伞应该还是能查杀吧

[技术原创] webguard究竟有什么用? 让我们做个小测试

本帖子中包含更多资源

评分

本帖子中包含更多资源