虽然是2006的旧文章了 但内头讲到很多真正防毒软体的真面貌 是少见的。 文章作者根据技术层次发现 最好的防毒软体是 Dr. Web --- 2006-10-19 22:37:00 1、先从监控来看，瑞星2004-2005是用的DLL注入写的，也就是很多病毒用的方式，所 以占内存非常大，监控很差劲。DLL注入监控最大的弱点就是对网页病毒监控困难，这也 是瑞星最大的弱点。2006用了好像用了挂钩子技术，有很大进步。 江岷KV的监控要好很多，差不多相当於防毒墙，你用迅雷下个病毒就知道了，在下载过程 中就被干掉，而瑞星要在下载完才可以杀掉。 2、杀毒方面，这个就要看杀毒引擎了，KV的引擎跟卡巴的很类似，我不想打击大家 ，全世界只有五家公司有自己的引擎，其它都是仿制的，中国的杀毒软件也一样。瑞星的 引擎不太好，无法彻底清除自我复制型病毒。这是瑞星第二大弱点。瑞星无法彻底清除病 毒，像爱情後门、ROSE.瑞星杀毒不彻底。ROSE用瑞星杀毒以後还是不能直接双击打开， 用KV直接可以恢复原样。 3、杀壳方面，瑞星现在的引擎是杀不了壳的，新的引擎还不知道脱壳技术怎麽样， 现在在公测。KV可以干掉流行的壳，这很不错了。不能杀壳的杀毒软件，意味着什麽，对 付有壳保护的病毒变种基本是废品。这也是杀毒软件引擎好坏的基本标准，为什麽大家用 卡巴，就是它脱壳厉害，是变种木马的克星。 4、病毒库方面，在这个方面，KV就差很多了，现在的KV病毒库非常不全，特别是木 马库。引擎很好，但病毒库不全，这是KV的一个致命弱点。 5、自带的防火墙，瑞星的墙要比KV的墙好很多，这个我就不用说了。 不过我最後说一句，全世界最厉害的杀毒引擎是DR.WEB 的比卡巴的都厉害。基本上 可以杀所有的壳，用的动态虚拟机脱壳技术，连北斗的也可以轻松干掉。 DR.web是一个俄罗斯的杀毒软件，就是大家所说的大蜘蛛。和卡巴基本是一样的，但 引擎和技术不一样，是俄罗斯官方和军队的采用的产品，商业和个人大多是采用卡巴，分 两个版本。 驱逐舰用的它的引擎，但毕竟是假蜘蛛，杀毒效果和DR.WEB根本不一样。 只有一个对外，而且它的技术是俄罗斯国家科学院为後盾的。这个杀毒软件公司目标 不是赚钱，纯粹为了技术，所以现在都没有中文版，它从来不把二进制病毒和不能发做的 木马列入病毒库，所以在一些测试中名字不是很靠前，甚至很少参加测评，但杀毒实力绝 对在卡巴以上，占用内存很少，差不多4兆。 全世界五大杀毒引擎： 1、第一个当然是要说说诺顿了，首创实时监控技术，还知道微软的代码。大家都说 诺顿不好，其实诺顿的引擎很强大。从最底层保护计算机，所以运行起来不太快，只是杀 毒理念不同，才让诺顿不适合个人用户。它主要以隔离为主，防止企业文件被删除。因为 有些被病毒感染了的文件根本不能完全杀毒。直接删除又会破坏文件，所以诺顿最适合企 业用户选择。 2、第二应该就是咖啡了，这个杀毒软件把主要能力放在防毒上，也用了虚拟脱壳技 术，基本所有壳都可以干掉，现在知道为什麽它这麽火了吧，北斗的壳，我不知道能不能 干掉，但它的虚拟技术没有DR.WEB的好，用加密XTA算法（基本与DES一样很难破解）写的 病毒，它和卡巴就都废掉了。 3、第三个就是熊猫了，哈哈，这个西班牙的东东，全球第一个自动升级的，人家的 引擎也相当不错，速度绝对一流，查杀彻底，但病毒库有点欧洲化，所以在中国用着不太 好用，占内存很大，金山好像现在就在仿熊猫，监控好像不是，杀毒和升级都是仿造熊猫 的，金山的监控很LJ，你用用就知道了。 4、这个就是俄罗斯的卡巴斯基了，6.0 的引擎我还没有分析过，人家的确是自己的 引擎，以前KV就是防造的卡巴。但现在的KV好像更优化了。 5、DR.WEB、也是俄罗斯的引擎，俄罗斯国家科学院合作开发的，军方和克里姆林宫 专用。启发式加虚拟脱壳，北斗的壳，外面再加壳，加跳针也可以干掉，占用内存很少。 可以说是最强的引擎。对付变种病毒和木马最好了。可以干掉加密XTA算法。清除极其复 杂的病毒。 驱逐舰用的它的引擎，但毕竟是假蜘蛛，杀毒效果和DR.WEB根本不一样。 今天用驱逐舰全面扫瞄了一下，没有发现什麽。但用DR.WEB一扫发现这麽多没有扫出 来，虽然大多数是广告。 看来核心技术比DR.WEB 还是差很多，大家不要以为你真的用上了DR.WEB.人家俄罗斯 说了，核心的东西是不卖的。 关於NOD这个我说一下，我不是很清楚这个杀毒软件，不过它的引擎好像不是自己的 。好像是自己做了很大的改进，杀毒很像熊猫，又不是熊猫，监控和DR.WEB很像，形势好 像也一样，有两个进程，监控用的虚拟脱壳加启发式，但方式绝对不一样。我也不清楚它 是谁的引擎，监控很智能，我晚上试了一下可以对付一次北斗加壳的病毒，加了跳针就不 行了。我一运行灰鸽子竟然在我的计算机上生成了一个自动连接的文件，NOD一点都没有 感觉。让我忙了好久才杀掉。加了内存免杀直接就过了，监控上存在一个很大的问题，对 付两次加北斗壳的病毒，完全没有感觉，你可以加两次壳上报给它，估计会得奖。 再就是它对付国内的木马，很差劲，很多杀不出来。特别是现在国内木马这麽猖獗， 你看到瑞星升级的病毒库了吗？木马几乎占90%，我感觉还是别用这个杀毒软件好。我试 了几个盗QQ的木马，结果就查出一个来。这个杀毒软件我感觉还是不错的，在国内用就感 觉不合适了。对付灰鸽子不如KV，不是说它杀毒不行，是病毒库的问题。软件很不错，我 很喜欢这个杀毒软件，理念很先进，占内存又少。我对它不是很了解，不要骂我。 今天我加入趋势和小红伞，趋势是日本控股的杀毒软件，所以我一直都不用。不过我大二 的时候趋势出了一个很好的破解，我就把学办的计算机都装了趋势（我当时在法学院学办 和网站勤工俭学做反病毒和维修工）。不是因为它好用，我只是想让小日本的升级服务器 硬盘多转转，给它耗耗电，也让他为中国人民免费工作工作。趋势前几年很厉害的，特别 是它的企业版，基本可以和咖啡抗衡。它的引擎是模仿诺顿的，理念也和诺顿一样。记得 我上中学时它出了一个乐亿阳，当时卖28块钱，还有监控带升级。那个时候，瑞星还是3 张软盘呢，但它的个人版真的不怎麽样，要用就用企业版吧。 小红伞是典型的DR.WEB的模仿产品。至少杀毒引擎一样，应该和驱逐舰的效果差不多，连 启动扫瞄的方式都一样。内存扫瞄和杀毒扫瞄分开。这个家伙我是很喜欢的，很早以前就 用过，竟然杀掉了当时瑞星杀不了的爱情後门，用的还是那个免费的。你们喜欢的钛金版 ，当时由於没有升级的方法就放弃了。 还有人说卡巴的杀毒太占内存了，这个是真的。我感觉卡巴并不成功，至少不是一个最好 的杀毒软件。一个好的杀毒软件，最应该做到的就是不托计算机。看看NOD32的设计，要 是NOD有卡巴的病毒库，估计我会一直用它。今天用NOD32开了几个网页，又中毒了，简直 就是对中国用户的漠视，关键是在中国没有市场，没有利润才会这样。不过要是大家买正 版的话，我还是推荐中国的。我就一直买正版，包括我的XP都是正版的，真的就是比大街 上买的那些Xp稳定。所以测试还是别用那些所谓的破解，瑞星2005的盗版和正版的杀毒就 有区别。但我很少买外国的正版，一直用江民的正版，瑞星我也有正版，当时是为了测试 用了它。你知道以前的瑞星总会有个提示，请反覆查杀。什麽叫反覆，就是一次清除不了 ，就是说明2005版瑞星的引擎跳杀很严重，一次不能彻底清除自我复制型病毒。那个瑞星 2005的时候，我当时拿着盒饭站在服务器前面，看着它的监控被爱情後门干掉的，伤心死 了。金山我是买的金山网镖V，90大洋啊。用金山的朋友注意了，它的中级规则，是不防 止别人PING的，调到高级又没法在线看电影，规则真的不太好，不过一般家庭也够了。卡 巴斯基防黑客在局域网好像也不能防止别人PING你，KIS6.0的防火墙，我还没有试过，但 推荐你把它调成学习模式，它默认的是低。现在不买金山了，你要买的话就买KV和新引擎 的瑞星吧。估计新引擎的瑞星要胜过KV，前提是KV不进步，但KV和卡巴最近的合作很密切 ，估计到下一个版本，引擎可能会达到卡巴6.0的标准。支持国产，中国才会强大！！你 看看韩国的汽车，基本韩国人都用韩国自己的汽车。卡巴的扫瞄是所有文件都扫瞄，所以 很卡阿，你关了监控也没有用，它在系统内部运行。不过杀毒绝对........不说了。 对了今天出了熊猫的2007中文，熊猫最新的引擎已经超过了NOD32的速度，在一个国外的 测评上看到的，占内存少了很多，我现在在测试，很流畅。你们可以试一下。感觉还是不 错的。过几天再做个防火墙的分析。希望大家支持我，我把字放大了，这样对视力有好处 ，有什麽问题就说好了，我会不断更新，一定记住杀毒软件一定不要托机器，要不就违反 了基本的原则。那和你常年中毒有什麽区别！！ 杀毒引擎 以下为各家厂商的杀毒引擎简介，文中有一部分来源於业已公开的技术资料，有一部分来 源於在病毒论坛上被奉为经典的反编，还有一部分来源於厂商技术人员的介绍（官方和私 下的都有）。 1.诺顿：这个最熟悉了，诺顿的杀毒软件实际上防止侦测方面做得并不是很好，很多病毒 程序在子程序段中经常借监搞崩诺顿的代码，希望在新版本中诺顿可以采用更强的自身防 护技术。诺顿的引擎应该是完全自成封闭体系的，没有资料证实诺顿曾经购买或者借监过 别的杀毒引擎。传闻很多公司都在设计时参考过卡巴斯基的泄漏版引擎设计，因此曾经在 微软社区在线聊天时，问过这个问题。回贴一致认为诺顿借监卡巴斯基的杀毒引擎毫无必 要，它自己的引擎搞得挺好的。有一个叫fenssa的家伙甚至回贴说不考虑病毒库因素，诺 顿的杀毒引擎相当先进，综合防护性能很好。在微软，除了用Mcafee的就使用诺顿的（这 一点我比较相信，很少见到别的杀软在微软被使用）。从诺顿的技术文档描述和在病毒论 坛上流传的29A的一个家伙搞的一篇叫虚拟机环境下诺顿工作过程的步进追踪和反编的文 章来看，诺顿的杀毒引擎应该是传统的静态代码对应与实时监控的完美结合，应该有一些 改进的虚拟机技术在里面（诺顿的人并不怎麽推崇虚拟机技术）。诺顿的杀毒速度慢，应 该源於诺顿采用了较多的静态代码这种传统的检查方式有关。我个人非常喜欢诺顿的隔离 机制，我认为在没有确定完全正确的处理方式之前，删除是不应该被采用的。一个高手写 的病毒应该能尽可能的与系统进程相关，在这种情况下，隔离的优势立刻显现。诺顿资源 占用量比较大，但实现了如下设计目标：能识别的病毒和被识别为病毒的进程完全可以正 确处理，对已经不可能产生破坏作用的「病毒屍体」不会产生误判，更不会出现一次又一 次的在处理完某病毒後又检测其为病毒的状况。 很多人认为诺顿企业版和个人板采用的引擎完全一致，这种理解不很正确。实际上企业版 在个人板的技术上还是有改进的。Zdnet上刊登过一篇文章指出：企业版和个人版引擎的 核心规则完全一样，但在前端文件汇入部分企业版是优於个人版的，企业版使用了更多的 API接口。文章中说，在大规模文件扫瞄时，企业版明显优於个人版。并且由於使用了负 载技术，企业版资源占用还好一点。另外据说企业版支持基於网络的多重负载技术。 2.Mcafee：记得看过一篇报导说Mcafee收购过别的杀毒软件引擎设计公司，据回贴可知为 所罗门。在网上很少能看到关於对Mcafee的杀毒引擎进行过分析的技术文档，但从他自己 宣传的资料看，Mcafee对虚拟机技术和实时监控研究的都挺彻底的。比如他最近宣传防止 应用程序溢出（大致这个名字）的技术，应该是在不考虑硬件平台的情况下虚拟机技术和 实时监控技术结合的上乘之作，尽管经常出现错误的溢出侦测（软件层面的防溢出技术确 实不很稳定）。在处理大量的文件时，Mcafee有一定的速度优势（微软社区中有这个问题 的论述）。有来自於Mcafee论坛的消息说，Mcafee 正在研究更先进的智能码扫瞄技术， 估计肯定比东方卫士搞得要好。根据组长的回贴，Mcafee自发布VSE8.0i以来就着重於「 前慑防范」这一新型的安全领域，并且NORTON也在朝这一方向迈进。「前慑防范」一共分 为两个部分，其一为运用部分防火墙技术外加其入侵检测技术有效的阻断病毒的传播源， 以至於病毒在传染的初期无法得到大面积的传播降低了危害性；其二为依靠其强大的特徵 码检测技术（Extra.dat）对病毒的行为方式、特徵代码等进行检测，依靠它强大的研发 团队以及策略联盟夥伴使其在这一领域独树一帜。诺顿能在其新版产品中也加入了一些原 本属於防火墙的功能。发邮件询问诺顿的研究人员为什麽没有采用特徵码杀毒技术，回应 说一个完美的特徵码扫瞄技术应该能够达到根据用户的指定加入特定文件为病毒的目的， 也就是当用户指定某个活动程序为病毒时，杀毒软件的引擎能够根据自身的规则为该活动 程序定义一个特徵码，并且在控制该活动程序时，能够有效地断绝其与系统正常进程的关 联。在没有这个水平之前，诺顿不会大规模采用特徵码技术。从Mcafee的技术文档来看， Mcafee也只是有限度的试验性的研究该技术，并在比较有把握的地方应用。实际上两家公 司在这方面还有很长的路要走。 3.卡巴斯基：被过度神话的杀毒软件。我个人非常尊重卡巴斯基的高水准，但说句实话， 在不考虑资源占用的情况下，卡巴斯基并没有什麽足够的理由能够让我放弃诺顿，二者的 水平并没有什麽差异。在稳定性上，卡巴斯基比诺顿要差一些。由於早些年卡巴斯基的引 擎曾经泄漏（实际上泄漏的并不是初始源代码，只是泄漏的引擎可以比较容易的反编）， 因此网上可以找到很多关於卡巴斯基引擎的非常详细的技术分析，尤其是德国的病毒高手 写的关於如何优化卡巴斯基杀毒引擎的文章，被认为是所有采用卡巴斯基引擎的杀毒软件 厂商必看的文章之一，就像美国人写的那篇VB100到底怎麽测试杀毒软件（里面作者综合 近几年的测试结果推测了VB100在测试时可能使用的病毒类型，相关比例等）是杀毒软件 厂商在将自己的软件送测前必看的文章一样。从网上大量的分析文档看卡巴斯基的虚拟机 技术是很优秀的，但是去年有人发贴认为卡巴斯基的良好的性能来源於它非常庞大的病毒 库和良好的升级速度，其杀毒引擎设计水平并不高於其余的公司。卡巴斯基的引擎采用了 所谓的单一形式的规则判断，众所周知诺顿是基於分类的规则处理。卡巴斯基的引擎在文 件标识比对病毒库的时候被认为有着很好的性能，充分利用了处理器的处理能力，「但令 人担忧的是，该公司对最新出现的技术并不充分重视」（英国的计算机杂志去年年末的评 论），究竟是对原有引擎进行彻底改进还是大量使用新技术，估计谁都不知道。卡巴斯基 的引擎存在叫做所谓的「过於简短的文件码」问题，说白了就是有时候会鞭屍，它的研究 人员说正在改进。前段时间有人发帖子中指出病毒编写者只认可卡巴斯基，说实话看了很 多论坛文档，好像没有哪个强人这麽说过。卡巴斯基走的是与美国厂商有很大区别的研发 道路，卡巴斯基很少引用别的公司开发的技术，而是在不断的深化，改进自身的杀毒引擎 ，单从某些方面评论，卡巴斯基的引擎代表着业界最高水准，但并不是全部。卡巴斯基是 一款很好的杀毒软件，但并不是神。应该说它与诺顿，Mcafee一样都站在杀毒软件的顶峰 水平上。 在国内，一直有江民的杀毒软件采用卡巴斯基引擎的传闻，说句实话业界相当一部分杀毒 软件都参考了其引擎设计，即使在国内也没有足够的信息证实只是江民参考了其引擎设计 。很多人都使用各种各样的病毒包对卡巴斯基和江民进行测试，测试结果是完全一样。说 句实话，这种测试并没有什麽可信性，对化石孢的检测各种杀毒软件结果几乎都一样。只 有两种方法能够说两者的引擎如何：1.将两款软件送至VB100或者类似的权威机构进行测 试，如果两者对其中未知病毒的测试结果（这个结果并不公布，厂商自己去买）完全一样 ，那什麽都没说的。两个不同的引擎机制在对待同样大规模的未知病毒库时出现相同的检 测结果近乎是不可能的。可惜的是，江民没有参加过VB100测试，好像也不大可能个人有 足够庞大的未知病毒库来进行检测。2.采用类似於破解的方法进行反编，分析整个软件的 工作机制，工作量有多大相信都能猜出来，也没有见过有人搞过这种研究。因此我个人只 能认为江民可能（较大程度的）参考了卡巴斯基的杀毒引擎设计，但从两款杀毒软件的灵 敏程度，杀毒速度等诸多方民看，即使江民采用了卡巴斯基的引擎，江民也应该进行了很 大程度的源代码修改或者优化，另外也有消息说江民在引擎中加入了一些自己开发的技术 ，在实现方法上类似於数字码技术。霏凡上曾有高手指出假如公布两款软件的源代码，可 能并不会有人能看出二者有什麽关系。实际上，当发现江民的软件并不能使用卡巴斯基的 病毒库的时候，我们就应该知道即便曾经借监过，二者也已经可以被认为是不同的杀毒引 擎。可能在Windows3.x平台下，二者曾经很相近；但是今天我们在使用Windowsxp.即使江 民确实采用过卡巴斯基的引擎，那麽可以说江民在某些方面发展了这套引擎，尽管这种发 展未必与原始的研发方向相符。但无论基於何种角度考虑，我认为江民的杀毒软件还是有 优秀之处的。毕竟你回头看一看国内的杀毒软件厂商，在真正的技术研发领域只有这麽一 面旗帜偶尔飘扬。一步步走下来，江民还是有技术进步的。只就纯技术因素而论，假如江 民采用了卡巴斯基的引擎，那麽今天两家厂商在不同的方向上发展着那套原始的引擎，这 未必是坏事，只要不固步自封，我们好像没什麽必要争论两家厂商是否一个原始祖先，怕 的就是在别人都往前跑的时候自己停下来，这跟自取灭亡没什麽区别。尽管市场是杀毒软 件厂商的第一要素，但别忘了技术是一个杀毒软件能否基业常青的决定性力量。 再加入金山和F-Secure杀毒，从它们来看多引擎。 这两款杀毒以前都以多引擎着称，看看真实的情况，说起金山，感觉有点遗憾和压抑。对 自己的正版用户都撒谎骗人。大家一定知道金山毒霸是怎麽出道的，途径和今天的病毒驱 逐舰是一样的，在DR.WEB的引擎外面加了个包装。不过在中国是金山公司加的。当年的毒 霸其实真的不错，可以说比当时的瑞星和KV都好，这也是应该的，拿DR.WEB和当时的瑞星 和KV比，中国的当然干不过它。所以金山毒霸当时一举成功。但当时金山根本不是它说的 多引擎，其实就一个DR.WEB的。为什麽啊？大家一定认为我乱说，事实上毒霸2003号称集 成AVP引擎，2002版及之前又号称是Dr.Web的，可见其所谓「国内引擎」是Dr.Web，金山 并无其自己的引擎。其实DR.WEB在2002年以前就停止了和金山的合作，你现在知道金山毒 霸的用户为什麽从2002版金山开始就老是骂金山毒霸不管用了吧。的确从2002版金山毒霸 ，质量就十分差了。还有一点，你把金山毒霸和DR.WEB一起打开杀毒，看看占多少内存。 估计今天的机器也够呛，要真是多引擎，当时的机器的性能能运行吗？扫瞄能那麽快吗？ 简直就是骗人。 人家F-Secure的杀毒软件才真正是多引擎（以前的版本），故乡芬兰，集成了 AVP,LIBRA,ORION,DRACO四套杀毒引擎。基本是走的卡巴的路线，加上自己的引擎，现在 的F-Secure占内存很少。现在是不是多引擎我就不知道了，有很多人喜欢这个东东。我告 诉你有个办法可以拿到正版，你去用微软推荐杀毒，其中就有这个，不过是英文版的，可 以用一年，破解的生级後，容易出现像DR.WEB那样的情况，从汉化的变成英文的。如果只 杀毒的话，这个F-Secure我还是很推荐的，现在的病毒库也不如以前的版本了，你装上它 就会发现它有N个进程，很占内存。这个家伙才是真正的多引擎，这个家伙很早就集成了 卡巴的引擎，甚至在一段时间还在VB100中超过了卡巴，你运行一下就知道什麽叫多引擎 杀毒了。 --

※ 发信站: 批踢踢实业坊(ptt.cc) ◆ From: 182.18.223.27