走下神坛————NPE神器？？？伪神器？？？

显示全部楼层 · 发表于 2011-5-31 22:36:47

简单点就读前两个WORD 看是不是4D 5A...

显示全部楼层 · 发表于 2011-5-31 22:41:31

可以把NPE比作世博会~~~ 至于为什么jeff你懂的

显示全部楼层 · 发表于 2011-5-31 22:45:40

liangfangCN 发表于 2011-5-31 22:36
简单点就读前两个WORD 看是不是4D 5A...

好办法

显示全部楼层 · 发表于 2011-5-31 22:48:01

圈里画圆发表于 2011-5-31 22:34
不懂技术，不过看到这个帖子还是忍不住的要说一下，加入通过md5碰撞，让两个不同的文件的md5值相同的话，不 ...

md5弱碰撞可能，强碰撞倒不是不可能，不过基本没有实际性，所以这个根本就不必担心

显示全部楼层 · 发表于 2011-5-31 22:49:43

liangfangCN 发表于 2011-5-31 22:36
简单点就读前两个WORD 看是不是4D 5A...

嘿嘿MZ

显示全部楼层 · 发表于 2011-5-31 22:49:46

jefffire 发表于 2011-5-31 22:23
实际上就两点
1、NPE对可执行文件的判定通过后缀名实现，这个很坑爹
2、所谓Aggressive detection tech ...

因为官人曾跟我说不能检测tdss。。。。。。
如果单纯白名单的话就无所谓特定类型。。。。。
所以我觉得还是内部逻辑并不单一

显示全部楼层 · 发表于 2011-5-31 22:52:01

帅就是帅发表于 2011-5-31 22:49
因为官人曾跟我说不能检测tdss。。。。。。
如果单纯白名单的话就无所谓特定类型。。。。。
所以我觉得 ...

你知道TDSS厉害在哪儿么？？TDSS感染系统文件，但是通过驱动来掩盖这种感染，比如你读取文件这个动作被TDSS驱动发现后，就返回一个正常的值。也就是说如果你的驱动不够给力的话，压根不能发现感染。

显示全部楼层 · 发表于 2011-5-31 22:52:32

从来就没把NPE当神器过

显示全部楼层 · 发表于 2011-5-31 22:54:35

jefffire 发表于 2011-5-31 22:52
你知道TDSS厉害在哪儿么？？TDSS感染系统文件，但是通过驱动来掩盖这种感染，比如你读取文件这个动作被TD ...

囧，不是这个问题；
我的意思是，如果仅靠md5或者其他神马单一白名单的话，就没必要专门指出类型出来，因为根本就和类型无关

显示全部楼层 · 发表于 2011-5-31 22:56:10

本帖最后由 jefffire 于 2011-5-31 22:56 编辑

帅就是帅发表于 2011-5-31 22:54
囧，不是这个问题；
我的意思是，如果仅靠md5或者其他神马单一白名单的话，就没必要专门指出类型出来，因 ...

当然有关。仅靠白名单也未必能查出全部来。比如TDSS，你如果驱动不够给力压根就不能发现感染的真实文件，又何谈白名单对比？？？

[讨论] 走下神坛————NPE神器？？？ 伪神器？？？