主动防御防病毒软件的技术讨论

最近，具有“主动防御未知病毒”功能的KV2005面世了，这对全世界的黑客来说意义重斯基，迈克菲和其他反病毒巨头都已经

向“主动防御” +“签名技术”的过渡是防病毒软件的必然发展趋势。

防火墙是使用“主动防御”技术的典型示例。每个人都使用过防火墙。关于防火墙的经验

是否经常询问用户是否允许进程访问网络，或者是否有未知的连接进入计算机并发出警告，令人印象深刻？

那又如何呢？实际上，防火墙会监视整个过程的网络行为，并在发现违反规则时发出警告，或者

此人根据用户的设置直接拒绝访问网络的过程。当然，当前的防火墙通常会处理系统网络进程（例如

services.exe，svchost.exe，lsass.exe等）记录在“受信任的列表”中，默认情况下允许这些进程访问

对于网络，如果被禁止，则操作系统将异常。这就是为什么许多病毒和木马现在喜欢远程注入的原因

进入这些系统进程以突破防火墙并访问网络的原因。

以下将重点介绍“主动防御”的实现技术。每个人都编写了程序，并且知道您是否想要在程序中

要实现自己的功能，必须通过界面调用操作系统提供的功能。 DOS中几乎所有系统

功能或第三方插件是通过中断提供的。在WINDOWS中，它们通常是通过DLL中的API提供的。还有一些。

通过INT 2E或SYSENTER提供。流程可能具有什么样的行为，可能是通过查看其调用的API

例如，清除它要读取和写入文件，必须调用CreateFile（），OpenFile（），NtOpenFile（），ZwOpenFile（）。

和其他功能，要访问网络，必须使用Socket功能。因此，只要您连接到系统API（尝试连接到RING0层

API，如果钩住RING3层的API，则可能会被绕过），您可以知道流程将执行哪些操作

如何处理危害系统等的行为。例如，瑞星杀毒，您可以在其安装目录中找到几个驱动程序

文件，实际上，这些驱动程序链接到关键系统模块（例如ntoskrnl.exe，ndis.sys等）中的API，以便进行访问

监视程序的正常行为，网络行为和注册表行为。

最后，让我们想象一下“主动防御”防病毒软件的一般过程：通过钩住系统来建立过程

API，防病毒软件如果发现SGDT，SIDT可自动定位，则会在建立进程之前先对其进行扫描

指令（通常普通软件没有这些指令），如果用户释放，它将提示，让进程继续运行；下一个

监视调用API的过程。如果您发现以读写模式打开EXE文件，则该进程的线程可能希望感染PE文件

，发出警告；如果发送和接收数据违反规则，则发出提示；如果该过程调用CreateRemoteThread（），

发出警告（因为CreateRemoteThread（）是一个非常危险的API，在正常过程中很少使用，但它是病毒。

最常用的是木马。 ....可以想象，将来，当我们运行程序时，可能会被多次提示，而当我们访问网络时，将被多次提示。

各种提示使大多数人困惑。如果要安全，就必须严格。放松并不安全！

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/shouji/article-317097-1.html