请高手来驳：谁说Free版红伞无网页监控？红伞与网盾共存＝网盾无用？

显示全部楼层 · 发表于 2009-7-11 20:55:59

原帖由 SONGLEI 于 2009-7-11 19:47 发表
我用红伞试过很多毒网，红伞都是启发的JS文件，但网盾也是拦截恶意脚本的，为什么不起作用，只能说红伞太灵敏了，速度比它快。

请注意，不是说网盾不起作用，而是说网盾跟红伞共存时，红伞会抢于网盾拦截威胁。那么，所有的活都让红伞干了，网盾只在旁边干瞪眼，你说是不是这个道理：红伞跟网盾共存＝网盾无用？？

[ 本帖最后由 bank-w3000 于 2009-7-11 20:59 编辑 ]

显示全部楼层 · 发表于 2009-7-12 00:07:00

原帖由 bank-w3000 于 2009-7-11 12:03 发表
感谢44的回复，你的解答看明白了。
但，有个问题想问：
你说有的网马并不一定会下载病毒，如果网马不下载病毒，那就是说这个网马是无害的，既然是无害的，那F版红伞当然不会报警拦截。那是否就说明带真正“网页监控 ...

另一种情况
红伞的文件监控主要是基于特征码和启发的
如果有免杀过了红伞的文件监控
病毒下载下来了文件监控没报你中招了
如果有网页监控病毒根本下不下来

显示全部楼层 · 发表于 2009-7-12 00:12:51

原帖由 SONGLEI 于 2009-7-11 20:05 发表

可是F版也报JS文件的。这个解释只是拦截时机不一样

报JS文件和报.exe文件是不同的虽然结果都是报警
一半
网页完成的是病毒的下载
真正的破坏工作是由病毒 .exe完成的
拦截的两个对象不一样
不是说时机不同说时机不同的话要对同一个对象来说

显示全部楼层 · 发表于 2009-7-12 00:30:55

原帖由 sky123456 于 2009-7-12 00:07 发表

另一种情况
红伞的文件监控主要是基于特征码和启发的
如果有免杀过了红伞的文件监控
病毒下载下来了文件监控没报你中招了
如果有网页监控病毒根本下不下来

你的意思是免杀可以过文件监控，但根本过不了“网页监控”？？什么原理？

[ 本帖最后由 bank-w3000 于 2009-7-12 00:35 编辑 ]

显示全部楼层 · 发表于 2009-7-12 00:33:18

原帖由 sky123456 于 2009-7-12 00:12 发表

网页完成的是病毒的下载
真正的破坏工作是由病毒 .exe完成的
拦截的两个对象不一样

对象不一样，但最终结果是一样：都是拦截住了威胁。强调一下，追求的是“最终结果”，而不是过程。

[ 本帖最后由 bank-w3000 于 2009-7-12 00:36 编辑 ]

显示全部楼层 · 发表于 2009-7-12 01:59:41

原帖由 bank-w3000 于 2009-7-12 00:33 发表

对象不一样，但最终结果是一样：都是拦截住了威胁。强调一下，追求的是“最终结果”，而不是过程。

1. f版没有网页监控：对于网页上的病毒木马，f版报的是浏览器缓存中的文件，起作用的是文件监控，而p版的网页监控报的是网页的URL等
网页监控和文件监控的原理是不一样的，虽然最终都能拦截

2. 至于红伞和网盾共存时，红伞先报，网盾不起作用，也许这只是某些时候下是这样，不能保证所有情况下都是是如此。我很少上些乱七八糟的网站，也没有装网盾，所以不是很清楚

3. 网页监控的存在能提高安全性，某些情况下是文件监控无法替代的。极端的例子：一个网页上挂有1000个木马，很遗憾的是，红伞只认识其中的一个（网页监控和文件监控都是如此）。在有网页监控的情况下，即使只发现一个木马，也会拒绝访问该页面；如果只有文件监控，除了被发现的那个木马，其余999个……

显示全部楼层 · 发表于 2009-7-12 02:18:59

很好奇，LZ一直在说在访问挂马网站的时候，小红伞报了，而网盾没报。
这仅仅是你个人的假设而已，那个网站呢？你怎么知道是挂马的网站呢？你怎么定义挂马网站的？只要有杀软报了的网站就有问题？没报的杀软就是差的软件？

LZ的前提条件都有待商讨。

再多的争论也是无谓的。

显示全部楼层 · 发表于 2009-7-12 09:58:14

一个是下载到本地报毒，一个是没下载前报毒，WG速度更快

显示全部楼层 · 发表于 2009-7-12 10:54:17

原帖由 bank-w3000 于 2009-7-11 12:03 发表
感谢44的回复，你的解答看明白了。
但，有个问题想问：
你说有的网马并不一定会下载病毒，如果网马不下载病毒，那就是说这个网马是无害的，既然是无害的，那F版红伞当然不会报警拦截。那是否就说明带真正“网页监控 ...

或许你更需要知道一些JS及DOM写法...
JS并不一定是以script file运行, 可以直接插码进html code, 甚至可以连phototype, function也不用...
这样JS就会在你连上网页时实时运行...
假设在只有avg情况下, avg发现下载了病毒, 代表的是JS已运行, 甚至到达DOM的.window level...
(嘛, 你说FF没有修改就不能到.window level?那这样叫漏洞攻击吗?)
这个时侯他就可以呼叫其他程序, 即使avg查杀了html, 但程序已被呼叫出来了, 偷取资料目的达到了...
在呼叫其他程序后, 后果就只看作者呼叫了什么了...

在有wg情况下, 在执行前是已经透过行为特征停了script运作了...
这就是见杀与后杀的分别...

显示全部楼层 · 发表于 2009-7-12 11:02:02

原帖由 sky123456 于 2009-7-12 00:12 发表

报JS文件和报.exe文件是不同的虽然结果都是报警
一半
网页完成的是病毒的下载
真正的破坏工作是由病毒 .exe完成的
拦截的两个对象不一样
不是说时机不同说时机不同的话要对同一个对象来 ...

真正破坏工作亦可靠telnet完成

[讨论] 请高手来驳：谁说Free版红伞无网页监控？红伞与网盾共存＝网盾无用？

评分