12   1  /  2  页   跳转页

[原创] 过瑞星行为的思路---修改版本！！！

收藏
shulun743
头像
特邀体验者
  • 帖子:4192
  • 注册: 2007-11-06
  • 来自:
瑞星金牌用户
发表于： 2010-11-29 17:23 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

过瑞星行为的思路---修改版本！！！

上传一个视频，其中作者将软件版本修改后---瑞星不再报警~！！！



http://u.115.com/file/f89fb126bf#
jdjmsrxmmxwfy.rar



请分析






用户系统信息：Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US) AppleWebKit/531.0 (KHTML, like Gecko) Chrome/3.0.195.0 Safari/531.0 SE 2.X
分享到：
gototop
 
瑞星工程师19
头像
在线技术支持工程师
  • 帖子:3977
  • 注册: 2008-09-08
  • 来自:
发表于： 2010-11-29 18:34 | 短消息 资料
字号： 小 中 大 2楼

回复：过瑞星行为的思路---修改版本！！！

已经反馈至相关部门，感谢楼主的支持。
gototop
 
瑞星工程师19
头像
在线技术支持工程师
  • 帖子:3977
  • 注册: 2008-09-08
  • 来自:
发表于： 2010-11-30 14:38 | 短消息 资料
字号： 小 中 大 3楼

回复：过瑞星行为的思路---修改版本！！！

楼主提供的视频是2010版本产品，请测试2011版本产品是否有此问题。
gototop
 
shulun743
头像
特邀体验者
  • 帖子:4192
  • 注册: 2007-11-06
  • 来自:
瑞星金牌用户
发表于： 2010-11-30 16:07 | 只看楼主 短消息 资料
字号： 小 中 大 4楼

回复: 过瑞星行为的思路---修改版本！！！

测试发现 此方法 一样适用2011版本！！！

测试方法一：


1、准备一个瑞星报毒的样本！！！


2、用软件信息修改器  将 病毒的版本信息  修改成 QQ.exe的 版本信息


结果：瑞星不在报毒----扫描测试！！！


测试方法二：


1、用软件信息修改器 修改 病毒样本的图标


2、用的qq主程序文件夹下的 Timwp.exe的 图表信息 替换病毒的图标！！！


结果：瑞星不在报毒----扫描测试！！！



软件修改器：：：      http://u.115.com/file/f83048cf20#
Restorator2009-软件信息修改器.rar


结论：：： 无论 修改病毒的图标  还是替换病毒的版本 ，瑞星都不会 报毒了！！！


请改进！！！

附件附件:

下载次数:295
文件类型:application/octet-stream
文件大小:
上传时间:2010-11-30 16:07:06
描述:rar

最后编辑shulun743 最后编辑于 2010-11-30 16:10:05
gototop
 
瑞星工程师16
头像
在线技术支持工程师
  • 帖子:9362
  • 注册: 2008-09-08
  • 来自:
发表于： 2010-11-30 16:25 | 短消息 资料
字号： 小 中 大 5楼

回复 4F shulun743 的帖子

感谢您对问题的补充！
gototop
 
newcenturymoon
头像
社区嘉宾
  • 帖子:15158
  • 注册: 2005-08-03
  • 来自:
论坛8周年活动礼物幸运草
发表于： 2010-11-30 18:43 | 短消息 资料
字号： 小 中 大 6楼

回复：过瑞星行为的思路---修改版本！！！

最后编辑newcenturymoon 最后编辑于 2010-12-02 09:03:02
gototop
 
电脑应用
头像
特邀体验者
  • 帖子:4097
  • 注册: 2005-02-04
  • 来自:帆船之都~~~
发表于： 2010-11-30 23:56 | 短消息 资料
字号： 小 中 大 7楼

回复: 过瑞星行为的思路---修改版本！！！



引用:
原帖由 newcenturymoon 于 2010-11-30 18:43:00 发表
楼主发现的不是问题
凡是报Trojan.Win32.Generic的病毒 因为是机器自动处理的 所以为了避免误报 这些病毒取的特征串比较严格 所以修改了版本之后会报不出来 这不是bug
当初设计的时候就是这样 目的是快速查杀当前的......


拜托
LS的哥们
你注意下你的言论：什么叫修改了版本之后会报不出来 这不是bug
不知道是你表述不清，还是本人理解能力差劲
你的意思就是说对于机器自动处理的病毒，用LZ某些软件修改了病毒样本自身的版本信息后，瑞星不报毒是正常的？（本回复开头所猜测）
那岂不是又回到按照文件名和样本文件版本查杀病毒的原始时代？病毒终究是病毒
严格的意思其实就是提取代码关键字，你这样拿样本版本说话，那不是开玩笑，就是开国际玩笑。还能以是不是BUG论处么？
如果LS清新阳光的意思不是本回复开头提到的猜测，那本回复请版本予以删除。
如果是，请清新阳光予以正面答复！

PS：本回帖对事不对人，就事论事，纯属对事物的讨论，因技术讨论而导致某人情绪的波动请予以自我调节~
最后编辑电脑应用 最后编辑于 2010-11-30 23:58:48
http://317058404.home.qq.com
gototop
 
newcenturymoon
头像
社区嘉宾
  • 帖子:15158
  • 注册: 2005-08-03
  • 来自:
论坛8周年活动礼物幸运草
发表于： 2010-12-01 21:17 | 短消息 资料
字号： 小 中 大 8楼

回复：过瑞星行为的思路---修改版本！！！

最后编辑newcenturymoon 最后编辑于 2010-12-02 09:02:49
gototop
 
电脑应用
头像
特邀体验者
  • 帖子:4097
  • 注册: 2005-02-04
  • 来自:帆船之都~~~
发表于： 2010-12-01 22:23 | 短消息 资料
字号： 小 中 大 9楼

回复：过瑞星行为的思路---修改版本！！！

很容易绕过意味着计算机某一阶段很危险~
而且你通篇都在解释病毒处理的机制，表达你的无奈。最后以现阶段这是一种办法结尾，意思是你们为了避免现阶段既有技术无法满足病毒的处理和不想大量投入人力物力的情况下，放过病毒来牺牲用户电脑安全来达到你们误报率降低的“业绩”，好像理所应当。岂不知这样的查杀最后电脑中毒，损坏的还是瑞星的名声。
你站在一个技术人员角度出来讲这不是BUG，也不是推脱，可以后期改进，这话确实不假，软件都要一个完善机制的过程，尤其是扮演警察角色的安全类软件，但你想过没有，你所谓的正在处理这样的一个取串方式期间，瑞星的用户岂不是要处在一种无法被保护的状态下。就像LZ所说，改变一个图标都能过得了监控。这样用户那里来的安全感？
事实摆在那里了，改变图标就能躲过查杀
最后编辑电脑应用 最后编辑于 2010-12-01 22:29:56
http://317058404.home.qq.com
gototop
 
newcenturymoon
头像
社区嘉宾
  • 帖子:15158
  • 注册: 2005-08-03
  • 来自:
论坛8周年活动礼物幸运草
发表于： 2010-12-02 09:03 | 短消息 资料
字号： 小 中 大 10楼

回复：过瑞星行为的思路---修改版本！！！

对不起 我不解释了 就这样吧
gototop
 
<<上一主题|下一主题>>
12   1  /  2  页   跳转页
页面顶部
Powered by Discuz!NT