再论Unicode控制符反转伪装后缀名漏洞

qwe12301

回复 15楼 leisong 的帖子

“某原创帖”测试的就是传统特征码检测机制对于这种反转后缀情况是否可以检测到威胁

后面又测试了实际运行拦截情况，证明了特征码可以检测到且文件监控以及主防均可拦截，仅此而已。

你是过说让他测试未知样本测试沙箱情况，但是你却忽略了你做的另一件事，即

从卫士的MD5检测机制不能检测这种因反转后缀的威胁，谈到后面上升到厂商的竞争一些不相关的内容，这不是歪是什么






不觉得你讨论的那些东西“歪”么？

fuqiangwt5213

楼主 我就听明白了 一点 主防 还是必须的

qwe12301

对测试有意见，麻烦后面端端正正的回个复教楼主怎么测试

Lgwu

chen116 发表于 2010-10-29 08:33
后来仔细想了想，这应该不算漏洞。。。
另：老版测试辛苦了。。。可惜没人妻给你、、、

在那个共享贴，我就说了这个严格来说不算是漏洞。但是却可能是触发病毒木马的条件。
病毒木马可以激活，对那些靠入库来查杀的安软就是一种挑战。呵呵

Lgwu

回复 15楼 leisong 的帖子

360卫士就剩下点尸体，但金山不是。不过一个样本我不想强调这点。之所以再次用Unicode控制符反转伪装 做标题，是为了关联真相帝那个帖子。因为这两个帖子都已经脱离了讨论Unicode控制符反转伪装 的主题，而是上升到安软对样本的防御和查杀。既然真相帝测试有失偏颇，就有必要有一篇测试和那篇做个公正对比。
对金山那个沙箱不熟悉，两个软件都是从官方下载，金山的是最新的预览版，样本运行毒霸就检测到两个dll，没有其它动作。对未知文件貌似是会提示是否在沙箱运行的吧？但是我这里没有提示。360卫士用7.3正式版，而不用最新的7.5beta版，是不想给人留下口水的余地。
这篇帖子只是测试而已，并没啥技术含量，本来不想用原创贴的。后来想想还是用了，原创贴可以更好的吸引眼球，引人进来，让更多的人看到两个帖子。
抽时间我看下金山的沙箱如何操作的。如果有可能，我再补充到帖子里面。

jinzijie

有技术的就是不一样，原创贴辛苦~静等RQ

jinzijie

jefffire 发表于 2010-10-29 07:54
再次说明HIPS的重要性。。。

云+hips

leisong

回复 25楼 Lgwu 的帖子

那个技术预览版--双进程的那个，才有沙箱，毒霸SP4哪有？技术预览版有未知自动入沙的设置

PS:其实我想知道预览版防御未知有多大的作用，不是想和某人口水，原贴编辑掉了

Lgwu

leisong 发表于 2010-10-29 15:19
回复 25楼 Lgwu 的帖子

那个技术预览版--双进程的那个，才有沙箱，毒霸SP4哪有？

不知道现在那里有了。我的毒霸预览版SP4就是从官人在卡饭发的帖子内前几天才下载的。

找到了：http://bbs.kafan.cn/thread-819512-1-1.html

qwe12301

我来见证预览版测试情况