瑞星卡卡安全论坛

文件监控漏毒已经属于瑞星的老问题了，不过这个版本的瑞星改善了不少，不过仍有绕过文件监控直接执行病毒的方法。

复现步骤：

1. 把文件监控模式调整为快速：



2. 新建 test.bat，用记事本打开输入以下内容并保存：





3. 双击执行该 bat：



4. 再次打开记事本修改该 bat 为以下内容并保存：





这样一来 test.bat 就变成了瑞星可以检出的脚本病毒

5. 双击执行该 bat



可以发现，病毒成功运行，并且瑞星文件监控没有报警。

要注意的是，如果跳过第三步，从一开始就保存恶意代码并运行的话，瑞星是可以正常拦截的：



怀疑是瑞星文件监控自动信任了已经执行过的程序，第二次执行的时候哪怕之前执行过的程序已经被修改了，也是完全没有扫描就直接放行了。

瑞星版本：3.0.50.26
系统版本：Windows 11 22H2

用户系统信息：Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.0.0 Safari/537.36 Edg/107.0.1418.42

收到 感谢反馈

暂时可以通过尝试关闭二次扫描加速解决

或尝试勾选文件监控设置中的“不使用驱动缓存”

我觉得即使用户了选择了“快速”等级，驱动也应该在后台监测文件修改，不过这个时候如果有文件修改，驱动只需要单纯更新缓存，不需要实际进行扫描。
另外由于有的时候（比如来自网络硬盘或者用户通过wsl挂载的ext4分区）不存在文件修改这种事件，驱动检测不到，做缓存的话还是把文件路径和修改时间之类的属性信息共同考虑上比较好。

文件名缓存？？？？？？
这个不应该啊

一般都是根据路径和修改时间缓存的。计算哈希开销太大了会严重拖慢计算机速度。

嗯 二次扫描加速缓存区是检测到了文件变动的 只不过驱动缓存可能优先级更高 把驱动缓存关了就行