病毒区一病毒测360主防 及一些 疑问

wei581314

测试环境：本人电脑win7 旗舰版，360卫士版本是7.6.0.1003。（电脑里还装有卡巴和金山网盾但都已经关闭）
测试缘由：一直用360，看到leisong一直在测qvm和主防，貌似每次都加主防100%，就想自己尝试一下，另外借这个机会问一些问题。
测试样本：样本区一病毒。   http://bbs.kafan.cn/thread-880269-1-1.html
测试过程：实机测试。解压到桌面没反应，后双击运行。

1.360木马防火墙全开，测试之前没病毒。



2.双击之后的一系列过程，提示清除病毒的就清除病毒，提示阻止的就阻止

file:///C:/Users/wzc/Desktop/QQ%E6%88%AA%E5%9B%BE%E6%9C%AA%E5%91%BD%E5%90%8D.jpg











期间弹出广告，搜讯弹出来的。





这个不知道怎么解释，应该是被360拦截了吧



最后机器给装上了这个搜讯和极品桌面



再次全盘扫描，结果如下:







这个是木马防火墙日志:



在此，主要有几个问题和想说的：
（1）主防成功拦截的标准到底是什么？我上面该阻止的阻止，该清除的清除，但是后来还是被装上了那两个软件是怎么回事？最后扫描出来那些东西是没拦住？还是所谓的病毒尸体？这个怎么判断？我这个测试到底算不算100%完美拦截？
（2）实机测毒的情况下，各位大大给点人气啊！哈哈。
（3）leisong测主防辛苦了。

apcclxj

辛苦了

leisong

回复 1楼 wei581314 的帖子

===============最后机器给装上了这个搜讯和极品桌面=========

这2个应该是灰色程序，本身不是毒，也不是木马，只是推广方式流氓，灰色程序不是单项拦截式主防的任务

从日志来看，该拦截的都拦截了，自动允许修改关键应用程序DLL，以我的测试经验看，应该是灰色程序安装时修改自身而已

你可重启看下有没有不明自启动项，有的话就是主防失败，那个服务应该被拦截了，你可用XUETR看一下，或用360自己也可以看服务项

实机测试，勇气可嘉，但并不提倡，没有绝对100%的防御，至少也的弄个影子测试，影子基本不多占资源

Lgwu

回复 1楼 wei581314 的帖子

修改MD5后，运行整个样本，弹窗提示



不论点清理还是暂不处理，任务管理器只有一个 吾爱破解免费.tmp进程。无其它后续动作。所以无法对比楼主所示后续行为。

对于楼主的问题：
如果楼主测试属实，那就是过了360的主防。主防测试一般是辅助HIPS类或系统快照类软件才可以直观的比较样本运行前后的结果。像微点主防测试，单纯靠微点自己的日志来判断是否拦截成功，个人就很不认同。注册表写入拦截成功，线程注入拦截成功，有害进程及时关闭，捆绑软件安装阻止成功，恶意程序启动项拦截成功等都是标准。病毒尸体一般就是指写入磁盘成功，但后续不会被调用的文件。具体的标准楼主多做测试就会明白。

wei581314

回复 3楼 leisong 的帖子

已重启，没有异常现象，系统很流畅。应该没什么问题。
恩，只是突发奇想试验下，影子系统下载就太慢了，所以直接实机，还好没什么问题哈哈

TTTAOa

实体机下测试？！额，很佩服楼主！
我站下楼慢慢学习

wei581314

回复 4楼 Lgwu 的帖子

      我第一次双击的时候也只是弹出这一个，清理了之后就没什么动作了。但是后来双击之后就产生了一系列的动作。很奇怪。测试绝对属实。

知微

实机危险

bluewormlee

leisong 的说法有道理的

leisong

回复 5楼 wei581314 的帖子

我看截图和日志就知道没什么问题，那2个捆绑安装的软件自身也应该有卸载项的，勉强属正常程序，只是推广方式流氓，我测试时遇到的多了，单项拦截的主防不管这个