样本区新人请教个弱智问题，顺带提个建议

显示全部楼层 · 发表于 2009-12-4 15:59:15

新版规里都建议“MD5值是取压缩前的文件的指纹，不是压缩包”。刚刚学习到，准备执行。
不过就牵涉到一个问题：
——对于那些可能有毒的EXE样本，解压但不运行有可能中毒么？

另提个建议，为什么非得MD5值呢？运行Winrar，默认就能显示里面所有文件的CRC32值。何必多此一举呢？

显示全部楼层 · 发表于 2009-12-4 16:01:17

那个好像不是强制规定，但是附上MD5可以便于查找到重复样本，减轻斑竹的工作量

PS：解压压缩包不会中毒

显示全部楼层 · 发表于 2009-12-4 16:09:01

那个规定貌似没多少人执行的，也不是硬性规定
仅仅解压不会中毒

显示全部楼层 · 发表于 2009-12-4 16:14:56

搜索了下，论坛“伊の星”说：如解压这个行为触发附带的木马启动，就有可能中毒。不知道是不是讲的自解压可执行文件中含有自释放脚本命令的情况？
我本来想问的也是对普通rar压缩文件解压的情况，不是自解压文件。
那么说，对RAR、ZIP等压缩文件解压本身这个行为，并不会导致程序运行，嗯，菜鸟普及课。多谢啦！

[其他相关] 样本区新人请教个弱智问题，顺带提个建议