)《“鹰眼”评测之——“活木马”挑战六大知名杀毒软件》

xgxb2005@126.co

　先说抱歉，我对安全软件的概念一直没多大研究，我想查杀效果最有说服力，３６０是定位在查杀木马方向，而木马威胁占当前互联网威胁９０％以上。如果杀木马不算杀毒，那杀毒软件是不是只能防范不到１０％的威胁呢，况且杀毒厂商们也承认木马是一种病毒，并占据主要威胁，当前云安全的关键是查杀木马。所以本次测试选择了查杀经过处理的“活马”。我想还是比很多媒体上些拿死马的评测多一点意义，希望本文能在卡饭起到抛砖引玉的作用！


当然我水平有限，文中提到的几种木马免**段也比较片面，测试的不足之处请多多包涵！


－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－





某杀毒软件通过了某权威评测，查杀率在99.99%……

     经常关注安全业内新闻的网友，可能对上述词句并不陌生。几乎每一款杀毒软件在宣传上都称自己拿过很多评测大奖，有着八九不离十的木马、病毒查杀率。
可周围朋友被黑客攻击、盗号的例子又屡见不鲜。很多网友随着杀毒软件评测报告的指引，不断的更换自己的杀软，可每次又都会成为那0.001%的少数派报告。
如果细心关注，你会发现这些扫描评测无一例外，是拿N多个样本，堆在一起，让那些杀软去扫，然后得出一个查杀率多少的结论。可现实中那些木马、病毒会老老实实在放在那里任由摆布吗？
这就好比评测一队敌军的战斗力，如果测试方法却是拿刀砍一堆缴械的敌军俘虏，是不可信的。被俘获的敌军自然不会反抗、那些被捕获的木马、自然不具有抵抗能力，而现实中的敌军或者是病毒的是会反击你的！
现在让我们站在黑客的角度，借用最新的测试工具，采用主流的木马免杀技术，“武装”一个全新的木马，来挑战杀毒软件，模拟一场黑客与杀软之间的真实的较量，来检验杀毒软件的实战能力。就像网球比赛中的鹰眼系统一样，如果想要说服大家相信你的判断，必须充分还原事件的全部过程。

一、
首先介绍一下测试工具：

（工具来自网络，专门用来测试杀毒软件的监测能力，已经使用特殊处理无法被黑客利用）

1、InstDrv.exe
一个驱动加载器，打开后，将测试驱动拖入程序中，可以选择“安装、启动、停止、卸载”等操作。

2、SSDT.sys 测试驱动之一，通过HOOK SSDT的方式来隐藏名字叫“test”的任意文件，HOOK SSDT的技术已经很通用了，也是木马最常用的技术之一，相对隐藏能力较弱。

3、InlineHOOK.sys测试驱动之二，通过InlineHOOK NtQueryDirectoryFile的方式来隐藏test文件，此技术也在被很多木马使用，强度比SSDT HOOK略强。

4、Filter.sys测试驱动之三，通过文件过滤驱动来隐藏文件，强度比上两种又深一层。
下载地址：
本来还想再加几种隐藏方式，可测试过这三种之后发现，实在没必要再加了。
Test.txt（木马） 测试用样本一
Test.dll （木马）测试用样本二（专为贝壳构造）

二、测试的杀毒、杀马软件成员：

瑞星2009
金山2009
江民2009
卡巴2010
360安全卫士6.01
金山贝壳
三、测试方法：
将正常情况下几款杀软都可以认别的木马样本，通过不同的技术来隐藏，看这几款安全软件可以突破哪一种隐藏技术。
四、测试过程记录：

1、测试之一：瑞星
首先，在不加任何保护的情况下，用瑞星去扫描存放木马样本“test.txt”的文件夹，结果如下：

                               
登录/注册后可看大图

没有任何悬念，扫到了test.txt是木马。

让我们继续测试瑞星对真正被保护的木马的查杀能力，保护强度从弱到强来试，先打开InstDrv.exe：

                               
登录/注册后可看大图

把SSDT.sys拖到程序里去，点“安装”，再点“启动”


（注意操作完成后不要关掉这个程序，因为测试完后还需要点“停止”、“卸载”来把驱动保护去掉）
然后再用瑞星去扫描存放样本的文件夹，结果如下：

                               
登录/注册后可看大图

从图中可以看到，木马仍然好好的放在那里，但瑞星的扫描结果为“发现病毒数：0个”。
各位，眼镜可还完好？没跌破吧？木马最弱的保护，都没有被突破！
       对上面的两个图，细心一点的网友可能会发现，第一次扫描时，瑞星显示扫了7个文件，而后面的图上，则显示扫描了4个文件，只是隐藏掉了一个文件，扫描数量却少了3个，原因是test.txt加了壳，瑞星会当多个文件去扫，并不是两次扫描的不是同一目录。
       反正我这测试报告发出去后，测试程序也会随着提供，大家可以亲自动手去试，说我做弊的朋友们也就闭上嘴巴，去动手吧。

OK，第一个测试完成，在驱动加载工具里点“停止”、“卸载”，保护被去掉，然后拖InlineHOOK.sys到驱动加载工具里，点“安装”、“启动”，再用瑞星去扫，查看结果，再试Filter.sys，再看结果，重复这个过程，可以发现，瑞星没有能突破任何的防护。

       其实，如果第一个没有被突破，那么后面的两个也就不用试了，基本上也没有可能被突破。
瑞星进步似乎没有卡饭瑞星专区网友说的那么夸张 呵呵，这个结果，我并没有感到意外，我们接着来测试其它的。


2、测试之二：江民
按上面的流程，我们继续测试江民，不加保护的情况下，结果如下：

                               
登录/注册后可看大图

嘿，发现木马了，然后直接删除了！都没给我选择如何处理的机会，值得期待！

把SSDT.sys加载，进行保护，再扫描，结果……

                               
登录/注册后可看大图

扫描完成，没有发现病毒……无语，又是第一层保护都没过！

低调的江民一向以技术团队自居，这个结果实在让我感到有点意外。

逐海飘的风

这个内容太老了。