再來個過卡巴的現抓樣本，過很多殺軟

chow2006

原帖由 EQ2 于 2007-5-7 16:14 发表

拜托。。偶没有说这个费尔的启发式全部报壳。。。。只是上面贴的启发式是报壳而已。类似于不少杀软的启发式

根据是不是带壳来报告启发和
启发报告可疑带壳程序是两个不同概念。

aoyang

附件中的图为费尔的一个设置，有一个选项是“探测未知壳”，当你去掉这个选项的时候是不会报壳的，如果真要报壳就会直接报告为“带壳程序”这一点绝不含糊
当然在勾上“探测未知壳”以后，启发出来的就是假象了，有些时候加壳的也会报告启发。

[ 本帖最后由 aoyang 于 2007-5-7 16:43 编辑 ]

chow2006

取消勾选探测未知壳后，相同文件仍然报启发，可知费尔并非以壳报的启发，只是告诉你程序带壳

[ 本帖最后由 chow2006 于 2007-5-7 16:56 编辑 ]

The EQs

偶并没有说费尔启发全都是报壳。。。。而是你贴的图的确是用启发报的壳。。。。。。

aoyang

EQ2，我可以给你做个测试
同一个加壳木马，用两种不同设置进行扫描，见附件1和2两个不同设置。
附件一的图进行设置，扫描无反应
附件二的图进行设置，扫描有可能报告启发也有可能报告带壳程序，绝对有反应，只是报告的结果有两种，不是启发就是带壳程序。
我帖的费尔扫描报告图，都是在没有选择“探测未知壳”这个功能的前提下。
样本一时没找到，给你说明一下，不知道你还有什么好说的。
现在你应该没话可说了。

The EQs

用这个证明不了什么的。。。。

aoyang

原帖由 EQ2 于 2007-5-7 17:08 发表
用这个证明不了什么的。。。。

这个还不能证明，实在。。。。。
那你解释一下，为什么同一个被加了壳的木马
为什么两种不同设置进行扫描，会有两种不同的反应报告[:27:]

The EQs

你自己不是在证明了那个人贴的图在报壳吗？？还要偶说干什么？吐血了。。

aoyang

原帖由 EQ2 于 2007-5-7 17:17 发表
你自己不是在证明了那个人贴的图在报壳吗？？还要偶说干什么？吐血了。。

我没明白你说的话是什么意思
不和你说了，你说怎样就怎样了。否则就会像你和M一样，每次争论的话题都是壳壳壳。

[ 本帖最后由 aoyang 于 2007-5-7 18:23 编辑 ]