走下神坛————NPE神器？？？伪神器？？？

显示全部楼层 · 发表于 2011-5-31 21:55:32

-oAo- 发表于 2011-5-31 21:42
真的靠文件名查杀？

不是文件名

只是对可执行程序的判断是利用文件后缀实现的,因此可以认为NPE本身没有启发能力,因为启发的基础之一就是识别pe文件

实际上改文件后缀名后,这个文件仍然可以运行,只是无法双击运行,但是可以通过其他方式调用,比如bat

windows识别可执行程序不是靠的文件后缀

总而言之,NPE只是一个云扫描器

显示全部楼层 · 发表于 2011-5-31 21:58:21

早应该辟谣了……

显示全部楼层 · 发表于 2011-5-31 21:59:30

jefffire 发表于 2011-5-31 21:41
不是。NPE对PE文件的判定是通过后缀来识别的，com由于是dos程序的后缀，所以自然就不在行列了。改成其他的 ...

额.....这只能说明引擎不给力...

当然了，也只能说明他只是一个急救箱......

显示全部楼层 · 发表于 2011-5-31 22:01:31

z13667152750 发表于 2011-5-31 21:55
不是文件名

只是对可执行程序的判断是利用文件后缀实现的,因此可以认为NPE本身没有启发能力,因为启发的 ...

说错了，靠文件后缀

显示全部楼层 · 发表于 2011-5-31 22:13:09

神游懒猪发表于 2011-5-31 21:59
额.....这只能说明引擎不给力...

当然了，也只能说明他只是一个急救箱......

作为急救箱也比较勉强。目前这个状态，好在没什么写木马的盯上，否则那就是稀里哗啦了。

显示全部楼层 · 发表于 2011-5-31 22:20:06

jefffire 发表于 2011-5-31 21:49
今天才说嘛

http://community.norton.com/t5/N ... -Eraser/ba-p/292256

官方坑爹

另外，查看NPE的扫描日志基本就是上传md5，改文件名改不了md5。。。。。。所以反而也有点小问题。。。。所以也许这个只是一个或者一部分个体，也许是多重内部逻辑问题，囧，最后是乱猜的。。。。。

显示全部楼层 · 发表于 2011-5-31 22:23:30

帅就是帅发表于 2011-5-31 22:20
http://community.norton.com/t5/Norton-Protection-Blog/What-s-driving-Norton-Power-Eraser/ba-p/2922 ...

实际上就两点
1、NPE对可执行文件的判定通过后缀名实现，这个很坑爹
2、所谓Aggressive detection techniques 实质上就是云端信誉判定，当然从广义的角度来说这算是一种启发，这个狭义的白名单有所区别。

显示全部楼层 · 发表于 2011-5-31 22:27:49

见识了，没用过那玩意，管他坑爹坑娘呢

显示全部楼层 · 发表于 2011-5-31 22:32:09

姐夫就是给力

显示全部楼层 · 发表于 2011-5-31 22:34:27

不懂技术，不过看到这个帖子还是忍不住的要说一下，加入通过md5碰撞，让两个不同的文件的md5值相同的话，不知道这玩意的误报率咋样。

[讨论] 走下神坛————NPE神器？？？ 伪神器？？？

[讨论] 走下神坛————NPE神器？？？伪神器？？？