★★★我来告诉你金山提取”微特征的方法”完全分析结果公布,大家可以参考.或者启发

显示全部楼层 · 发表于 2011-3-15 18:37:18

langsileaa 发表于 2011-3-15 18:32
回复 56楼 jefffire 的帖子

MD5法，微特征法本来就只是解决防御的一部分，而不是完全靠它。只要能解决大部 ...

根据我近来观察，随着360云威力的增大，通过增大体积、不断改MD5的国产木马越来越多。单纯的MD5对比，越来越无力。

显示全部楼层 · 发表于 2011-3-15 18:41:51

回复 60楼 jefffire 的帖子

不会，用多套微特征是因为本地没有定义这个需要云查询的文件是应该对应哪一种微特征的取法，所以所有方法都取一遍，去云端查一下，其中有一个方法有对应的记录，就可以反馈结果了，当然除了微特征之外还需要一个后台用了做主索引的值，可能是PE头部或者入口点的某些文件块的hash之类的，这个值加上有效的那个微特征的值最终才是一个完整的“DNA”

显示全部楼层 · 发表于 2011-3-15 18:43:21

小紫英发表于 2011-3-15 18:41
回复 60楼 jefffire 的帖子

不会，用多套微特征是因为本地没有定义这个需要云查询的文件是应该对应哪一种微 ...

这算是特征码自动提取的一种简化形式吧。。[:26:]

显示全部楼层 · 发表于 2011-3-15 18:44:17

看不懂，来支持。

显示全部楼层 · 发表于 2011-3-15 18:46:18

小紫英发表于 2011-3-15 18:41
回复 60楼 jefffire 的帖子

不会，用多套微特征是因为本地没有定义这个需要云查询的文件是应该对应哪一种微 ...

靠~~没人气给你加了。。。。

显示全部楼层 · 发表于 2011-3-15 18:46:27

回复 63楼 jefffire 的帖子

大致就是这样的方法，具体方式不知道过了1年金山改了没，和特征值+偏移量的传统特征还是有区别的，和红伞有点像，但又不太一样。

显示全部楼层 · 发表于 2011-3-15 18:48:31

小紫英发表于 2011-3-15 18:46
回复 63楼 jefffire 的帖子

大致就是这样的方法，具体方式不知道过了1年金山改了没，和特征值+偏移量的传统 ...

明白了。我说怎么本地离线库对查杀率提高极为有限，原来是微特征库。。。

显示全部楼层 · 发表于 2011-3-15 18:52:28

回复 67楼 jefffire 的帖子

这个库比红伞的180w微特征库大多了，而且基本上也是老旧的特征了，对新的流行样本意义不大。
红伞大概一共就20MB是定义的库，剩下靠静态启发引擎，所以扫描速度嗖嗖的快啊。

但金山的静态启发引擎检出和红伞比差远了，当然误报也少一些

显示全部楼层 · 发表于 2011-3-15 19:12:47

金山云的确做得很不错。。。

显示全部楼层 · 发表于 2011-3-15 19:37:47

支持下李白金山区太少技术贴了

[金山] ★★★我来告诉你金山提取”微特征的方法”完全分析结果公布,大家可以参考.或者启发