某些人所谓的NPE靠文件名或后缀名杀毒纯所胡扯

绿茵守望者

理由如下：
一、NPE的扫描速度极慢，如何仅仅是云端对比的话可以快很多，再快十倍都没问题。
二、卡饭的样本国内的云都没能完全收集到，NPE要实现100%除非采用非白即黑的方法。但是我自己编了一个小程序，结果并没有报，可见并不是非白即黑。
事实上NPE的工作原因是这样的：本地对可执行文件进行分析（为了提高效率只对可执行文件进行分析，这和很多杀软不监控txt之类的文件的意思是一样的，什么后缀名杀毒就是胡扯！），找出可疑文件再通过信誉云降低误杀。
各位如有不同意见欢迎补充，但是不欢迎某些为了捧某家“人工智能”而恶意贬低其它人产品的人。
不得不佩服某些人啊，我通过逻辑分析甚至编写程序得出的事实直接被华丽地无视了。算了算了，反正我的帖子永远被某些人毫无理由冠以“苍白无力”四个字。
有些东西在帖子中已有说明，如果某些人选择性无视，那么对不起，我也只能无视你了。
我的帖子中所有的内容都可以通过自己动手很快地实现，个人不知道怎么样提供证据或截图才不会被某些人选择性无视。有兴趣的朋友自己动手用自己的大脑去判断吧，对于某些人的一些逻辑严重混乱的结果大家看过笑笑就好。
我并不认为我理解错了，看图。
看了某人的帖子后在给大家补充点常识吧：
COM文件是一种可执行程序的内存映象文件，它与只有16位地址线的8位机上的CP/M操作系统下的可执行程序结构相似。在COM程序执行过程中，除了调用DOS功能和 ROM BIOS 功能，以及用户特意安排外，段寄存器一般不发生变化。四个段寄存器具有同样的内容，都指向PSP，因此程序的大小仍限于64k以内。COM文件的入口必须是100H，而EXE文件可以有多个段。其中CS和SS以及IP和SP在程序装入时由DOS根据文件头中的信息初始化，ES和DS则指向PSP。EXE文件除了程序本身外，还要包括文件头(512字节的整数倍)，因而所占磁盘空间大一些，装入也慢一些，但程序大小不受限制。EXE文件用debug修改后，无法直接写回磁盘上去。

一、相同点
二者都是DOS下的可执行文件。.COM文件是可执行的二进制代码文件，.EXE文件是可执行的浮动代码文件。
二、不同点
(1).COM文件一般比较小，其大小不能超过64KB，而.EXE文件一般比较大，可以超过64KB。
(2).COM文件装入内存较快，而.EXE文件较慢。
(3).COM文件一般比较简单，.EXE文件则比较复杂，编写的难度较大。
(4).COM文件在执行时段寄存器含有相同的值，即代码、数据等混合在一起，而.EXE文件在执行时段寄存器含有不同的值，即代码、数据等驻留在不同的段中。
(5)驻留在磁盘上的.COM文件既无文件头也没有任何其它的内部标识信息，而驻留在磁盘上的.EXE文件有一个文件头(也称作控制信息块)、一个重定位图以及DOS使用的其它信息。
xxxx(6)对.COM文件来说，DOS的装入程序不能为其执行段重定位，而对.EXE文件来说，其执行段可以被重定位。
(7).COM文件只能有一个段，而.EXE文件可以有一个以上的段。
(8).COM文件不能有段堆栈，.EXE文件则可以有。

Thunice

...说NPE靠后缀和文件名查杀的简直是没有文化的表现。不过我在卡饭还没看过有人这么说的~

剑步如飞

偶也是论坛的新人啊，具体的这个也不太清楚～

llawliet

首先是NPE，第二，我觉得LZ应该发到国外版区...，第三我不用这个，因为分辨不出来

nezimi

事实上改成.com扩展名就不报，这确实存在低级漏洞

大胖

楼主的实验精神可嘉

juechao2000

我觉得LZ简单靠这几句话想推翻别人列出事实的观点太苍白了
还是在技术上反击更为有力
PS：还是不要随意指责别人为好

wanglei7865

肯定不会靠这么简单的所谓的文件名，支持楼主

知微

那怎么解释把xuetr改后缀为。com和.scr结果不一样呢？

wulanautumn

知微 发表于 2011-6-1 10:42
那怎么解释把xuetr改后缀为。com和.scr结果不一样呢？

执行效果呢？