諾頓2010的 SONAR 的智商還是不夠 空文件都殺

小乔美子

首先聲明  狂熱份子 勿進/   理性討論歡迎

NIS2010有意思的SONAR 大家可以這樣測試它

首先在Program Files文件夾下 找一個已安裝好的EXE文件 然後把這個文件做成自解壓替換  記住在模式中選擇 全部隱藏  並在更新方式中 選解壓並替換文件 覆蓋方式選 覆蓋所有文件。當然路徑要正確 用絕對路徑。

然後把這個自解壓文件移到非Program Files文件夾下 就移動到盤根下吧 然後雙擊這個自解壓文件 自動替換已安裝好的那個EXE文件。

稍等 SONAR出來了 直接做掉這個自解壓文件


在測一種方法  新建一個文本  把後綴改成EXE 即一個空文件。同樣用上邊的方法在做一個自解壓文件 替換  同樣被SONAR刪除
至此 可見 SONAR的智力還不怎麼高

那天有空在測一下它的對假冒數字簽名能力如何



最後放張殺了空文件的圖 作紀念








呵呵 突然發現很多人盡然不會做自解壓文件 現在出幾張圖教教你們















那天有空在教你們把BAT做成EXE

[ 本帖最后由 小乔美子 于 2009-12-1 02:24 编辑 ]

pomajiuwo

囧中......囧啊囧

semir

楼主有心了

gzy_hao

用了Ashampoo Magical Optimizer中的AMO





然后，Norton没有任何动静

小乔美子

原帖由 gzy_hao 于 2009-11-30 19:27 发表
用了Ashampoo Magical Optimizer中的AMO
669982

669981
669983

然后，Norton没有任何动静

看你圖就沒照我的設置

還顯示了替換 呵呵 啥 叫隱藏 啥叫覆蓋不提示  你怎麼不完全按照說明來呢

難道你不會使用 壓縮文件高級選項？更加幽默的是選 RAR作為自解壓 俺一直都選用ZIP

[ 本帖最后由 小乔美子 于 2009-11-30 19:37 编辑 ]

嘁。不稀罕~

诺顿是提示系统中不应出现的文件，并不需要识别他是否为恶意文件，如果识别那不就又成了特征码查杀了？这也是对未知风险的一种防御。在之前，这类防护手段通常出现在反间谍软件中。

gzy_hao

不过
刚才又测了一下

用空文本文件改后缀为exe，存到Program Files下，做成sfx，sfx复制到c盘根目录下
之后运行，的确报了

这说明了什么？
说明了Norton的NCW用户群足够强大
可以给SONAR足够的白名单

SONAR报空白文件的sfx，因为这个动作的确可疑，没有用户会去这么做
不过在大部分情况下，这是误报，我们承认
不过Symantec的确在改变这一点，不是吗？

在电脑里好不容易找到几个不可信或是信用为弱的（都是良好程序，不含任何恶意）
这样做也没报
从这你可以发现，Symantec现在已近是竭尽全力在降低SONAR误报
你可以看看以前，在卡饭，SONAR的误报数比以前少了不少
……

gzy_hao

你用的是什么？
WinRAR？WinZip？


恕我才疏学浅，我的确不知道这些在哪里调
能不能把压缩时的设置发给我？

再者，你用繁体中文，我也看不大懂……

[ 本帖最后由 gzy_hao 于 2009-11-30 19:48 编辑 ]

小乔美子

官方下的火狐是不是白名單  百分百是

用同樣的方法 同樣殺


自解壓教程發在了主貼中

[ 本帖最后由 小乔美子 于 2009-11-30 19:49 编辑 ]

小乔美子

原帖由 gzy_hao 于 2009-11-30 19:40 发表
不过
刚才又测了一下

用空文本文件改后缀为exe，存到Program Files下，做成sfx，sfx复制到c盘根目录下
之后运行，的确报了

这说明了什么？
说明了Norton的NCW用户群足够强大
可以给SONAR足够的白名单

S ...

你說了半天其實一點都沒說在重點上 因為你不懂這個過程的原理 它為什麼 要殺

首先隱藏替換 已安裝文件 這就是一些惡意程序常做的事 這個測試是模仿一些惡意程序的行為。但在微點或TF這些相對比較成熟的智能主防中 他們可以避免這種正常文件替換時誤殺。 但TF還是笨的以前常常殺RAR 就是 殺父進程  而SONAR卻做的不好 SONAR目前無法避免這種誤殺