连载：反病毒误报问题机理技术蓝皮书(五)

【上文我们认识了特征提取环节，下面再进一步学习引擎机理环节。】

有时特征提取本身并没有问题，但由于引擎的机理问题，也会导致误报。

哈希碰撞：很多反病毒软件的特征库中并不存储特征码，而是用特征码的某种数学描述，比如CRC、MD5等等，这种方法的好处是显而易见的，首先他把病毒库变长的数据结构，变成一种等长结构，有利于优化和减少空间占用，同时也降低了病毒特征被抄袭的风险。但显然一个CRC32值的内容涵盖力，不如一个128字节的特征码。如果正好有一段其他的代码与病毒特征的CRC32值相同，则会导致误报。

格式识别与预处理：早期病毒误报的重要原因，是反病毒引擎的格式识别与预处理机制，不够完备，比如一个病毒只感染DOS MZ可执行程序，那么对该病毒特征的匹配应该只针对同类型的文件进行。如果用来匹配一些图片、音乐文件，很难保证其中不会有特征碰撞，早期令人惊诧的“JPG病毒、BMP病毒”实际上并不是今天大家比较了解的格式化溢出，而是反病毒软件的误报。

脚本：脚本带来的误报是屡见不鲜的，因为脚本不象2进制机制有严谨的结构。因此病毒脚本和正常脚本和网页之间的往往不容易划清边界。大家比较典型的就是看到一些关于批处理命令和注册表编辑的教程经常被反病毒软件误报。

【后面的文章里，我们将了解未知检测环节。】

【相关文章】

反病毒误报问题机理技术蓝皮书(一)

反病毒误报问题机理技术蓝皮书(二)

反病毒误报问题机理技术蓝皮书(三)

反病毒误报问题机理技术蓝皮书(四)

最新相关文章

• ·认识映象劫持技术原理与解决办法
• ·大水牛下载者分析及手工清除办法
• ·计算机病毒中毒症状、预防和系统恢复
• ·mdm.exe专杀以及处理方法
• ·手工清除病毒mdm.exe和RavMon.exe
• ·mdm.exe病毒的解决方法
• ·不再草木皆兵 三招对付捆绑木马！
• ·如何清除Taskmgr.exe病毒
• ·taskmgr.exe进程CPU占用率高的原因
• ·taskmgr.exe系统进程及相关病毒介绍
• ·QQ“缘”病毒taskmgr.exe狂占CPU内存
• ·警惕伪SoundMan.exe病毒 SoundMan.exe病毒清除办
• ·巧治Vista下U盘自动运行病毒方法
• ·计算机病毒的说明、预防和恢复
• ·病毒反抗杀毒软件主要手段
• ·经典九招 防止自动播放引来病毒