精华区 [关闭][返回]

当前位置:网易精华区>>讨论区精华>>电脑技术>>● 电脑病毒>>☆反病毒技术论坛☆>>腐木中空,蝼蚁之穴 (5/6)

主题:腐木中空,蝼蚁之穴 (5/6)
发信人: CallDwordPtr()
整理人: jia(1998-08-12 12:56:57), 站内信件

发信人: CallDwordPtr (远调用), 信区: Virus 
标 题: 腐木中空,蝼蚁之穴 (5/6) 
发信站: BBS 水木清华站 (Thu Dec 18 15:15:43 1997) WWW-POST 

腐木中空,蝼蚁之穴 (5/6) 

如前文所述,“广谱特征码”本质上仍旧是特征码,只是在其基础上稍加变 
通而已。原本的特征码是病毒中一串有这种病毒自己特色的指令序列,例如一段 
检查自身是否已获控制权或者实施破坏的代码。这样的代码是这种病毒所独有的, 
在其它正常程序中不可能出现的序列。为了确保不会把其它程序中有可能出现的 
十分类似于这种病毒的数据也误判为病毒,特征码串一般都选得很长,有时甚至 
可达数十字节。这也是二代反病毒软件为了压缩病毒数据库不用特征码扫描,转 
而使用计算校验码的方法的原因。然而对多形性病毒,正象王江民自己所说的那 
样,不同形态之间“没有超过三个连续字节是相同的”。合理长度的特征码再也 
无法找到了。情急之下,王先生大大放宽了作为特征码的标准。不是没有超过三 
个字节是相同的吗?俺老王就只用两个。不是不连续吗?不连续就让它不连续着 
吧,反正这些新病毒已经把俺搞得焦头烂额,到了山穷水尽的地步了。于是乎象 
B8,01,%% 这样怪里怪气的“广谱特征码”就出台了。 

了解了“广谱特征码”的实质就不难看出其中的致命问题:首先是误报、误 
杀率极高。由于原本较长的特征码被分割、简化,其严密性早已丧失殆尽。 B8, 
01,%% 这样的“广谱特征码”去掉其中人为塞入的无意义的%%后,所剩还不到 
10个字节,而且不连续。以这样的“特征”作为检查标准,孰知何时一个原本无 
辜的文件就被无端扣上“有病毒”的大帽子,然后再被 KV300杀得肢体不全呜呼 
哀哉了。可是不知就里的使用者还以为 KV300真的立了功,王先生脸上也添了分 
光彩。可是KV300不是常有这样的好运气,却时不时把它的屠刀挥向那些 JPG、 
GIF文件上去。这种明目张胆的恶行哪里逃得过人民的眼睛,于是乎KV300被骂个 
狗血喷头,王先生脸上也挂不住了。只可惜了那些图中的美人,被无端砍了头、 
剁了脚,令没有备份的用户一阵唏嘘。( 此为比喻,但是对于基于流的媒体文件 
有类似的问题) 

KV300 这种“宁可错杀一千,也不放过一个”的霸道方法,果真能一个不漏 
地查出病毒也是功劳一桩,只可惜在错杀一千的同时,放走的病毒有时更多,这 
就是“广谱特征码”另一个致命问题──漏报率高。“广谱特征码”既是王先生 
费尽千辛万苦总结出来的,也仅仅是依靠了他个人的经验在众多染了病毒的文件 
间比较而得的所谓“经验公式”。“没有超过三个连续字节是相同的”一句当是 
王江民辛辛苦苦做完比较后的慨叹了。虽然他很辛苦,这样的工作又有什么意义 
呢?王江民先生也承认多形性病毒的静态形态有上亿种甚至无穷种可能,竭一人 
之力做出的比较也仅仅能覆盖其中的几十至几百种,这与巨大的形态总数相比简 
直是九牛一毛。王先生个人也许慧眼独具,能从这少数的变化中总结出大多数的 
规律。可是即便如此这“经验公式”也显然是不完善的和缺乏科学依据的。没有 
人能够保证多形性病毒成千上万种变形中没有任何一种能跳出“广谱特征码”所 
界定的范围。王先生在他发明这种“广谱特征码”之时恐怕早已心知肚明了,故 
而一方面煞有介事地警告那些使用非 KV300反病毒软件的用户:“有可能不能把 
那些变形病毒全部杀掉”,另一方面对使用 KV300的用户只有无奈地承诺:“漏 
杀的可能性很小”。真是自己打了自己一个响亮的耳光。 

(待续) 


--
※ 来源:.广州网易 BBS bbs.nease.net.[FROM: ab-4-37.bta.net]

[关闭][返回]