是否所有程序运行卡巴都能检测并且分组？

wazi

原帖由 woshijiqiren 于 2009-5-17 20:14 发表
刚才害怕是环境影响，把该exe拷贝都同学电脑上还是出现不管的现象

哥们，你的是控制台程序啊，cmd早就在卡巴的分组里了吧。

woshijiqiren

不是的，目前看来原因是我的程序是被被NTVDM翻译虚拟执行.
ntvdm.exe是Windows 16位虚拟机的一部分。该进程用于使16位的进程能够运行在32位的系统环境下。这个程序对你系统的正常运行是非常重要的。

woshijiqiren

那么我可以这样理解吗，只要在机器上可以运行的程序都应该叫可执行程序吧，就拿程序本身而言，ntvdm启动后也实现了程序的原本功能，这样这个程序也应该叫运行了吧，那么卡巴为什么没有对其分组。是否可以这样认为   因为是ntvdm时期运行，那么ntvdm就成为了其父进程，所以改程序的行为就被忽略了，那么这种时候可以认为过分组呢，那么不就可以被其他别有用心的人利用呢？

[ 本帖最后由 woshijiqiren 于 2009-5-18 13:28 编辑 ]

tawny2008

如果是运行16位的程序，那么运行后会直接调用ntvdm来解析，卡巴可能为了兼容性对ntvdm内置了白名单，所以不是说ntvdm的运行不能被卡巴所拦截，而是卡巴对ntvdm进行了放行，你可以试验下，如果解析后的程序行为是恶意的，卡巴的主动防御是否会拦截，如果不会，那么这就是一个漏洞。

对于这点，在专业HIPS里面是不会被放行的。