经测试某些情况下金山毒霸的云鉴定器无法提取“微特征”，且快速鉴定存在着“小问题”

langsileaa

回复 46楼 qwe12301 的帖子

鉴定过程和你阐述的有点不同，入库病毒很快就会返回结果，并不需要99秒。
但上传文件，从界面看，是分为三个过程的：
1.检查文件，应该是采集微特征，和云端匹配。（一个时间段）
2.匹配不到，开始上传。上传时间根据用户上传速度、文件大小决定。（一个时间段）
3.上传完毕，开始99秒鉴定计时，然后给出结果。（99S在这个时间段）

qwe12301

回复 48楼 fzq198776 的帖子

1.对技术对抗项目可是我最喜欢
2.不做狭隘的粉丝，更做有技术的粉丝。下午我分析下。

qwe12301

回复 51楼 langsileaa 的帖子

入库的当然会直接反馈结果，因为你在加入文件的时候会进行一个扫描

1.检测文件，微特征未找到匹配，算是未知了
2.上传时间依据文件大小和网速
3.分析时间。这块应该是服务端的问题了，对大文件分析慢是已知的。所以经常会出现大文件分析超过99秒最后直接给出“安全”两字。（这其实是交互上的设计，不太合理）

langsileaa

回复 52楼 qwe12301 的帖子

是否上传完整文件，个人还未去验证，只是测试99秒。
采用9.8M个人自写程序，上传速度在19K/S左右，上传时间大概120秒。估计上传大小在
1.5～2M左右，采用rar对程序做自解压，完成后1.47M。
如果不做更深入分析，压缩上传的说法是存在可能的。

qwe12301

回复 54楼 langsileaa 的帖子

是的，是会压缩上传。
其实说了这么多，你也大致有数了，一会完整上传，一会PE特征上传，一会微特征匹配，一会又压缩上传。
方法挺多种。不管如何，灵活的上传方式有益于用户。无论是占网速还是从响应速度角度，这都是有积极意义的。

fzq198776

langsileaa 发表于 2011-3-16 13:28
回复 52楼 qwe12301 的帖子

是否上传完整文件，个人还未去验证，只是测试99秒。

我告诉你，除非是云端库存在MD5，否则就是压缩上传，只是为了避免口水我才没在主题帖里挑明，那么为何采取 全自动的增大体积的工具给病毒文件把体积增大到100M之后，用金山上传总共就只用上传 几十KB 呢？这其实还是压缩！我主题帖里说的很明白，那些全自动的工具就是增加连续的全 0 字符，这样是很好压缩的，其实压缩的原理类似于winrar一样，比如说连续的一千KB的全零字符，那么压缩后的文件我只需要写上一个 0 字符，然后再在后面标记上此处还原时需要乘以一千，那么当我解压还原的时候，也只需要乘以一千即可。所以此时你会发现，金山上传的字节大小几乎和病毒程序的原始体积相同，但并非所有程序都这么好压缩的，比如说本例中。。。
PS：恕我直言，金山的“微特征”恐怕多半是忽悠。。。

jefffire

fzq198776 发表于 2011-3-16 13:39
我告诉你，除非是云端库存在MD5，否则就是压缩上传，只是为了避免口水我才没在主题帖里挑明，那么为何采 ...

不是这样的，简单的改变MD5和增大体积（比如添零）并不能改变微特征值，因此不影响整体判断

jefffire

fzq198776 发表于 2011-3-16 13:39
我告诉你，除非是云端库存在MD5，否则就是压缩上传，只是为了避免口水我才没在主题帖里挑明，那么为何采 ...

微特征值是肯定存在的
http://bbs.kafan.cn/forum.php?mo ... ;page=7#pid18176754

langsileaa

回复 56楼 fzq198776 的帖子

压缩上传个人看法也是这样，只是压缩内容不确定：
是直接对程序进行极限压缩，还是把文件分块，采集特征块上传。还是其它方式处理后上传。

风行侠

看技术贴，金山毒霸目前总体防护效果还是提升很快