關(guān)于反病毒軟件的話題

hwj3

眾所周知，目前的反病毒軟件名目繁多，究竟誰好誰壞，也不清楚。
只知道國(guó)產(chǎn)的，瑞星的廣告是挺多的。
老外的，以前用諾盾，這幾年估計(jì)也鈍了，卡巴斯基成了后起之秀。

但是，我發(fā)現(xiàn)，所有的殺毒軟件都是一個(gè)道理。就是必須升級(jí)病毒庫(kù)。
通常所說的查殺未知病毒，也就是根據(jù)病毒行為特征，進(jìn)行啟發(fā)式掃描查殺。
但目前殺毒軟件最主要的查毒方式依然是根據(jù)病毒特征代碼來判定。

這種依賴網(wǎng)絡(luò)升級(jí)病毒庫(kù)的方式，我覺得始終不是很好的。
比如家庭使用的pc,如果不能夠聯(lián)網(wǎng)，就是你買了殺毒軟件，也是廢品。

我最近萌發(fā)一個(gè)想法，就是什么是病毒。
病毒的理解，我這樣認(rèn)為：在你使用機(jī)器期間，能正常工作，并能保證數(shù)據(jù)的完整性，準(zhǔn)確性，不發(fā)生信息泄露。那么我可以認(rèn)為，這臺(tái)機(jī)器不存在病毒。

這就是病毒與正常程序共存的理念。
這就好比一個(gè)人得了癌癥，但是在癌癥發(fā)作前，這個(gè)人已經(jīng)死了。我們就可以說，這個(gè)人根本沒有癌癥，是一個(gè)道理。

這個(gè)想法有什么用處呢。

我在考慮，就是這臺(tái)機(jī)器即使感染了病毒，但是病毒特征無法表現(xiàn)出來。那么就可以說，這臺(tái)機(jī)器沒有感染病毒。在反病毒軟件工作中，我們可否這樣考慮：對(duì)基于操作系統(tǒng)的文件系統(tǒng)的利用序列密碼（利用完全基于硬件的LFSR形成）加密，形成一個(gè)連病毒都不認(rèn)識(shí)的操作系統(tǒng)和文件它怎么感染阿。就象unix下ELF格式的文件相關(guān)病毒較少，而不像WIN下的PE文件病毒較多一個(gè)道理。只有我要處理數(shù)據(jù)的時(shí)候，才在內(nèi)存中進(jìn)行解密相關(guān)數(shù)據(jù)（解密密鑰同加密密鑰）。應(yīng)該是可以抵抗多態(tài)啊，變形之類的病毒。再也不用升級(jí)病毒庫(kù)拉！
系統(tǒng)還有改善的就是如何對(duì)付內(nèi)存病毒，我還沒想到好點(diǎn)子。
還有系統(tǒng)的反病毒的實(shí)現(xiàn)，不僅僅是軟件，還要依靠部分硬件。如LFSR,否則要利用軟件來實(shí)現(xiàn)LFSR，我想這樣會(huì)大幅度降低系統(tǒng)性能的。

希望大家給提提意見.

注：LFSR（liner feedback shift register)構(gòu)成的m序列為序列密碼的驅(qū)動(dòng)序列。

[ 本帖最后由 hwj3 于 2006-6-26 16:53 編輯 ]

testab

[quote]原帖由 hwj3 于 2006-6-26 16:49 發(fā)表
眾所周知，目前的反病毒軟件名目繁多，究竟誰好誰壞，也不清楚。
只知道國(guó)產(chǎn)的，瑞星的廣告是挺多的。
老外的，以前用諾盾，這幾年估計(jì)也鈍了，卡巴斯基成了后起之秀。

"卡巴斯基成了后起之秀。"  這個(gè)說法是錯(cuò)誤的,卡巴斯基一直都很優(yōu)秀.

"保證數(shù)據(jù)的完整性，準(zhǔn)確性，不發(fā)生信息泄露。那么我可以認(rèn)為，這臺(tái)機(jī)器不存在病毒。"
暈倒,這樣的想法真的很可怕,看來是沒有分析過病毒.有人說過,分析1個(gè)病毒,10個(gè)病毒,100個(gè)病毒,1000個(gè)病毒之后的境界和認(rèn)識(shí)想法有很大的區(qū)別. 簡(jiǎn)單的例子:這個(gè)病毒就是占用cpu資源,每隔5秒鐘彈出一個(gè)對(duì)話框.也滿足你說的要求.這樣的機(jī)器還能用嗎?


病毒可以在內(nèi)存中感染系統(tǒng)文件.所以你后面說的 基本不成立.  請(qǐng)不依靠所謂的密碼來保證程序的安全性.

hwj3

"卡巴斯基成了后起之秀。"  這個(gè)說法是錯(cuò)誤的,卡巴斯基一直都很優(yōu)秀.
呵呵，我一直沒有使用過卡，最近下載安裝使用了下。是應(yīng)為在今年年初的殺毒率排行榜上，它排了老大吧。
但是我在使用過程中發(fā)現(xiàn)，該軟件特別耗費(fèi)系統(tǒng)資源。有時(shí)候，機(jī)器就不動(dòng)了。所以，我平時(shí)用瑞星（正版）的防護(hù)，卡是停止使用的。感覺系統(tǒng)有異樣的情況下，再使用卡來徹底掃下系統(tǒng)。

暈倒,這樣的想法真的很可怕,看來是沒有分析過病毒.有人說過,分析1個(gè)病毒,10個(gè)病毒,100個(gè)病毒,1000個(gè)病毒之后的境界和認(rèn)識(shí)想法有很大的區(qū)別. 簡(jiǎn)單的例子:這個(gè)病毒就是占用cpu資源,每隔5秒鐘彈出一個(gè)對(duì)話框.也滿足你說的要求.這樣的機(jī)器還能用嗎?

呵呵，的確，我沒有分析過病毒。但是病毒的分析過程往往都是被動(dòng)的，都是接受到病毒樣本后，再分析，寫出相應(yīng)的殺毒代碼出來。

“有人說過,分析1個(gè)病毒,10個(gè)病毒,100個(gè)病毒,1000個(gè)病毒之后的境界和認(rèn)識(shí)想法有很大的區(qū)別.”呵呵，我覺得分析10個(gè)病毒與分析100個(gè)病毒的差別，就是技巧熟練，經(jīng)驗(yàn)豐富了，當(dāng)然薪水也不一樣了：（
本質(zhì)上來說，都是疲于奔命的分析不同的新病毒樣本，而沒有一勞永逸地來解決殺毒辦法。

“簡(jiǎn)單的例子:這個(gè)病毒就是占用cpu資源,每隔5秒鐘彈出一個(gè)對(duì)話框.也滿足你說的要求.這樣的機(jī)器還能用嗎?”
我再“保證數(shù)據(jù)的完整性，準(zhǔn)確性，不發(fā)生信息泄露。那么我可以認(rèn)為，這臺(tái)機(jī)器不存在病毒”之前，還有段文字，樓上的可能忽略了。那就是前提條件：在你使用機(jī)器期間，能正常工作。

“病毒可以在內(nèi)存中感染系統(tǒng)文件.”這點(diǎn)也就是我所說的內(nèi)存病毒吧？我擔(dān)心的問題，不是該類型的病毒感染我假想中加過密的系統(tǒng)文件。而是，我假想中的數(shù)據(jù)解密過程得在內(nèi)存中完成。這個(gè)時(shí)候，解密的數(shù)據(jù)是裸露的，能被內(nèi)存病毒認(rèn)識(shí)而感染。

“所以你后面說的 基本不成立.  請(qǐng)不依靠所謂的密碼來保證程序的安全性”
呵呵，我只是假想，想利用密碼系統(tǒng)來保證系統(tǒng)的安全。當(dāng)然，是否成立肯定還得依賴大家多多指點(diǎn)，
提出寶貴意見啊。

謝謝樓上的分析阿，能不能再提出一些一招讓我斃命的問題。

其實(shí)，我的想法核心問題就是：病毒能否侵害我所謂加密過的系統(tǒng)（包括從bios里開始引導(dǎo)數(shù)據(jù)到平時(shí)使用的DOC文件都給加密了過的系統(tǒng)）。

testab

[quote]原帖由 hwj3 于 2006-6-27 10:48 發(fā)表
"能不能再提出一些一招讓我斃命的問題。"

去反病毒廠商那 做兩年病毒分析,然后做三年程序員(方向:寫殺毒引擎).
瑞星 江民 金山 根本和AVP不是一個(gè)重量級(jí)的.原因如下:
1.病毒庫(kù)結(jié)構(gòu)
2.特征碼的提取和計(jì)算方式
3.虛擬機(jī)和啟發(fā)掃描
4.駐留內(nèi)存的病毒清除
5.脫殼的能力(實(shí)際上是數(shù)學(xué)功底)
.... 這些國(guó)內(nèi)的幾乎無法和AVP 相比.

testab

原帖由 hwj3 于 2006-6-27 10:48 發(fā)表
我的想法核心問題就是：病毒能否侵害我所謂加密過的系統(tǒng)（包括從bios里開始引導(dǎo)數(shù)據(jù)到平時(shí)使用的DOC文件都給加密了過的系統(tǒng)）。  ...

肯定能侵害.因?yàn)閐oc文件在使用的時(shí)候要解密.
很多病毒也用加密方法,最終在內(nèi)存中要有解密的過程,否則自己都不認(rèn)識(shí)自己了.

uuhs_hiei

用正版操作系統(tǒng)，及時(shí)打補(bǔ)丁，安裝合法發(fā)布版的軟件，那防病毒基本沒用