杀毒软件全分析
【转帖】杀毒软件全分析（转自网易）个人觉得很中肯近期卡巴斯基、诺顿的“误杀”事件在中国IT界闹得沸沸扬扬，个人感觉杀毒软件之争事关中国IT发展的根本安全保障，因此整理了一下自己的杀毒软件客观使用感受，给大家做点小小的参考：
首先来说说世界五大杀毒引擎
1、第一个当然是要说说诺顿了，首创实时监控技术，还知道微软的代码。大家都说诺顿不好，其实诺顿的引擎很强大。从最底层保护计算机，所以运行起来不太快，只是杀毒理念不同，才让诺顿不适合个人用户。它主要以隔离为主，防止企业文件被删除。因为有些被病毒感染了的文件根本不能完全杀毒。直接删除又会破坏文件，所以诺顿最适合企业用户选择。
诺顿的杀毒软件实际上防止侦测方面做得并不是很好，很多病毒程序在子程序段中经常借鉴搞崩诺顿的代码，希望在新版本中诺顿可以采用更强的自身防护技术。诺顿的引擎应该是完全自成封闭体系的，没有资料证实诺顿曾经购买或者借鉴过别的杀毒引擎。传闻很多公司都在设计时参考过卡巴斯基的泄漏版引擎设计，因此曾经在微软社区在线聊天时，问过这个问题。回贴一致认为诺顿借鉴卡巴斯基的杀毒引擎毫无必要，它自己的引擎搞得挺好的。有一个叫fenssa的家伙甚至回贴说不考虑病毒库因素，诺顿的杀毒引擎相当先进，综合防护性能很好。在微软，除了用Mcafee的就使用诺顿的（这一点我比较相信，很少见到别的杀软在微软被使用）。从诺顿的技术文档描述和在病毒论坛上流传的29A的一个家伙搞的一篇叫虚拟机环境下诺顿工作过程的步进追踪和反编的文章来看，诺顿的杀毒引擎应该是传统的静态代码对应与实时监控的完美结合，应该有一些改进的虚拟机技术在里面（诺顿的人并不怎么推崇虚拟机技术）。诺顿的杀毒速度慢，应该源于诺顿采用了较多的静态代码这种传统的检查方式有关。我个人非常喜欢诺顿的隔离机制，我认为在没有确定完全正确的处理方式之前，删除是不应该被采用的。一个高手写的病毒应该能尽可能的与系统进程相关，在这种情况下，隔离的优势立刻显现。诺顿资源占用量比较大，但实现了如下设计目标：能识别的病毒和被识别为病毒的进程完全可以正确处理，对已经不可能产生破坏作用的“病毒尸体”不会产生误判，更不会出现一次又一次的在处理完某病毒后又检测其为病毒的状况。
很多人认为诺顿企业版和个人板采用的引擎完全一致，这种理解不很正确。实际上企业版在个人板的技术上还是有改进的。Zdnet上刊登过一篇文章指出：企业版和个人版引擎的核心规则完全一样，但在前端文件汇入部分企业版是优于个人版的，企业版使用了更多的API接口。文章中说，在大规模文件扫描时，企业版明显优于个人版。并且由于使用了负载技术，企业版资源占用还好一点。另外据说企业版支持基于网络的多重负载技术。
2、第二应该就是咖啡了，这个杀毒软件把主要能力放在防毒上，也用了虚拟脱壳技术，基本所有壳都可以干掉，现在知道为什么它这么火了吧，北斗的壳，我不知道能不能干掉，但它的虚拟技术没有DR.WEB的好，用加密XTA算法（基本与DES一样很难破解）写的病毒，它和卡巴就都废掉了。
3、第三个就是熊猫了，哈哈，这个西班牙的东东，全球第一个自动升级的，人家的引擎也相当不错，速度绝对一流，查杀彻底，但病毒库有点欧洲化，所以在中国用着不太好用，占内存很大，金山好像现在就在仿熊猫，监控好像不是，杀毒和升级都是仿造熊猫的，金山的监控很LJ，你用用就知道了。
4、这个就是俄罗斯的卡巴斯基了，6.0 的引擎我还没有分析过，人家的确是自己的引擎，以前KV就是防造的卡巴。但现在的KV好像更优化了。
5、DR.WEB、也是俄罗斯的引擎，俄罗斯国家科学院合作开发的，军方和克里姆林宫专用。启发式加虚拟脱壳，北斗的壳，外面再加壳，加跳针也可以干掉，占用内存很少。可以说是最强的引擎。对付变种病毒和木马最好了。可以干掉加密XTA算法。清除极其复杂的病毒。
驱逐舰用的它的引擎，但毕竟是假蜘蛛，杀毒效果和DR.WEB根本不一样。
今天用驱逐舰全面扫描了一下，没有发现什么。但用DR.WEB一扫发现这么多没有扫出来，虽然大多数是广告。
再就是它对付国内的木马，很差劲，很多杀不出来。特别是现在国内木马这么猖獗，你看到瑞星升级的病毒库了吗？木马几乎占90%，我感觉还是别用这个杀毒软件好。我试了几个盗QQ的木马，结果就查出一个来。这个杀毒软件我感觉还是不错的，在国内用就感觉不合适了。对付灰鸽子不如KV，不是说它杀毒不行，是病毒库的问题。软件很不错，我很喜欢这个杀毒软件，理念很先进，占内存又少。我对它不是很了解，不要骂我。
。
还有人说卡巴的杀毒太占内存了，这个是真的。我感觉卡巴并不成功，至少不是一个最好的杀毒软件。一个好的杀毒软件，最应该做到的就是不托计算机。看看NOD32的设计，要是NOD有卡巴的病毒库，估计我会一直用它。今天用NOD32开了几个网页，又中毒了，简直就是对中国用户的漠视，关键是在中国没有市场，没有利润才会这样。不过要是大家买正版的话，我还是推荐中国的。我就一直买正版，包括我的XP都是正版的，真的就是比大街上买的那些XP稳定。所以测试还是别用那些所谓的破解，瑞星2005的盗版和正版的杀毒就有区别。但我很少买外国的正版，一直用江民的正版，瑞星我也有正版，当时是为了测试用了它。你知道以前的瑞星总会有个提示，请反复查杀。什么叫反复，就是一次清除不了，就是说明2005版瑞星的引擎跳杀很严重，一次不能彻底清除自我复制型病毒。那个瑞星2005的时候，我当时拿着盒饭站在服务器前面，看着它的监控被爱情后门干掉的，伤心死了。金山我是买的金山网镖 V，90大洋啊。用金山的朋友注意了，它的中级规则，是不防止别人PING的，调到高级又没法在线看电影，规则真的不太好，不过一般家庭也够了。卡巴斯基防黑客在局域网好像也不能防止别人PING你，KIS6.0的防火墙，我还没有试过，但推荐你把它调成学习模式，它默认的是低。现在不买金山了，你要买的话就买KV和新引擎的瑞星吧。估计新引擎的瑞星要胜过KV，前提是KV不进步，但KV和卡巴最近的合作很密切，估计到下一个版本，引擎可能会达到卡巴6.0的标准。支持国产，中国才会强大！！你看看韩国的汽车，基本韩国人都用韩国自己的汽车。卡巴的扫描是所有文件都扫描，所以很卡阿，你关了监控也没有用，它在系统内部运行。不过杀毒绝对……不说了。
对了今天出了熊猫的2007中文，熊猫最新的引擎已经超过了NOD32的速度，在一个国外的测评上看到的，占内存少了很多，我现在在测试，很流畅。你们可以试一下。感觉还是不错的。过几天再做个防火墙的分析。希望大家支持我，我把字放大了，这样对视力有好处，有什么问题就说好了，我会不断更新，一定记住杀毒软件一定不要托机器，要不就违反了基本的原则。那和你常年中毒有什么区别！
卡巴斯基：被过度神话的杀毒软件。我个人非常尊重卡巴斯基的高水准，但说句实话，在不考虑资源占用的情况下，卡巴斯基并没有什么足够的理由能够让我放弃诺顿，二者的水平并没有什么差异。在稳定性上，卡巴斯基比诺顿要差一些。由于早些年卡巴斯基的引擎曾经泄漏（实际上泄漏的并不是初始源代码，只是泄漏的引擎可以比较容易的反编），因此网上可以找到很多关于卡巴斯基引擎的非常详细的技术分析，尤其是德国的病毒高手写的关于如何优化卡巴斯基杀毒引擎的文章，被认为是所有采用卡巴斯基引擎的杀毒软件厂商必看的文章之一，就象美国人写的那篇 VB100到底怎么测试杀毒软件（里面作者综合近几年的测试结果推测了VB100在测试时可能使用的病毒类型，相关比例等）是杀毒软件厂商在将自己的软件送测前必看的文章一样。从网上大量的分析文档看卡巴斯基的虚拟机技术是很优秀的，但是去年有人发贴认为卡巴斯基的良好的性能来源于它非常庞大的病毒库和良好的升级速度，其杀毒引擎设计水平并不高于其余的公司。卡巴斯基的引擎采用了所谓的单一形式的规则判断，众所周知诺顿是基于分类的规则处理。卡巴斯基的引擎在文件标识比对病毒库的时候被认为有着很好的性能，充分利用了处理器的处理能力，“但令人担忧的是，该公司对最新出现的技术并不充分重视”（英国的计算机杂志去年年末的评论），究竟是对原有引擎进行彻底改进还是大量使用新技术，估计谁都不知道。卡巴斯基的引擎存在叫做所谓的“过于简短的文件码”问题，说白了就是有时候会鞭尸，它的研究人员说正在改进。前段时间有人发帖子中指出病毒编写者只认可卡巴斯基，说实话看了很多论坛文档，好像没有哪个强人这么说过。卡巴斯基走的是与美国厂商有很大区别的研发道路，卡巴斯基很少引用别的公司开发的技术，而是在不断的深化，改进自身的杀毒引擎，单从某些方面评论，卡巴斯基的引擎代表着业界最高水准，但并不是全部。卡巴斯基是一款很好的杀毒软件，但并不是神。应该说它与诺顿，Mcafee一样都站在杀毒软件的顶峰水平上。
在国内，一直有江民的杀毒软件采用卡巴斯基引擎的传闻，说句实话业界相当一部分杀毒软件都参考了其引擎设计，即使在国内也没有足够的信息证实只是江民参考了其引擎设计。很多人都使用各种各样的病毒包对卡巴斯基和江民进行测试，测试结果是完全一样。说句实话，这种测试并没有什么可信性，对化石孢的检测各种杀毒软件结果几乎都一样。只有两种方法能够说两者的引擎如何：1.将两款软件送至 VB100或者类似的权威机构进行测试，如果两者对其中未知病毒的测试结果（这个结果并不公布，厂商自己去买）完全一样，那什么都没说的。两个不同的引擎机制在对待同样大规模的未知病毒库时出现相同的检测结果近乎是不可能的。可惜的是，江民没有参加过VB100测试，好像也不大可能个人有足够庞大的未知病毒库来进行检测。2.采用类似于破解的方法进行反编，分析整个软件的工作机制，工作量有多大相信都能猜出来，也没有见过有人搞过这种研究。因此我个人只能认为江民可能（较大程度的）参考了卡巴斯基的杀毒引擎设计，但从两款杀毒软件的灵敏程度，杀毒速度等诸多方民看，即使江民采用了卡巴斯基的引擎，江民也应该进行了很大程度的源代码修改或者优化，另外也有消息说江民在引擎中加入了一些自己开发的技术，在实现方法上类似于数字码技术。霏凡上曾有高手指出假如公布两款软件的源代码，可能并不会有人能看出二者有什么关系。实际上，当发现江民的软件并不能使用卡巴斯基的病毒库的时候，我们就应该知道即便曾经借鉴过，二者也已经可以被认为是不同的杀毒引擎。可能在Windows3.x平台下，二者曾经很相近；但是今天我们在使用Windowsxp.即使江民确实采用过卡巴斯基的引擎，那么可以说江民在某些方面发展了这套引擎，尽管这种发展未必与原始的研发方向相符。但无论基于何种角度考虑，我认为江民的杀毒软件还是有优秀之处的。毕竟你回头看一看国内的杀毒软件厂商，在真正的技术研发领域只有这么一面旗帜偶尔飘扬。一步步走下来，江民还是有技术进步的。只就纯技术因素而论，假如江民采用了卡巴斯基的引擎，那么今天两家厂商在不同的方向上发展着那套原始的引擎，这未必是坏事，只要不固步自封，我们好像没什么必要争论两家厂商是否一个原始祖先，怕的就是在别人都往前跑的时候自己停下来，这跟自取灭亡没什么区别。尽管市场是杀毒软件厂商的第一要素，但别忘了技术是一个杀毒软件能否基业常青的决定性力量。
再加入金山和F-Secure杀毒，从它们来看多引擎。
这两款杀毒以前都以多引擎著称，看看真实的情况，说起金山，感觉有点遗憾和压抑。对自己的正版用户都撒谎骗人。大家一定知道金山毒霸是怎么出道的，途径和今天的病毒驱逐舰是一样的，在DR.WEB的引擎外面加了个包装。不过在中国是金山公司加的。当年的毒霸其实真的不错，可以说比当时的瑞星和KV都好，这也是应该的，拿DR.WEB和当时的瑞星和KV比，中国的当然干不过它。所以金山毒霸当时一举成功。但当时金山根本不是它说的多引擎，其实就一个DR.WEB的。为什么啊？大家一定认为我乱说，事实上毒霸2003号称集成AVP引擎，2002版及之前又号称是Dr.Web的，可见其所谓“国内引擎”是Dr.Web，金山并无其自己的引擎。其实DR.WEB在2002年以前就停止了和金山的合作，你现在知道金山毒霸的用户为什么从2002版金山开始就老是骂金山毒霸不管用了吧。的确从2002版金山毒霸，质量就十分差了。还有一点，你把金山毒霸和DR.WEB一起打开杀毒，看看占多少内存。估计今天的机器也够呛，要真是多引擎，当时的机器的性能能运行吗？扫描能那么快吗？简直就是骗人。
页:
[1]