【轉貼】殺毒軟體背後的黑幕—中國最嚴重的資訊安全問題
殺毒軟體背後的黑幕—中國最嚴重的資訊安全問題
發佈日期：2004-10-31 17:29:05
來 源：黑客基地
作 者：佚名
翻開2004年第18期《大眾軟體》A那個殺毒軟體市場佔有率排名讓我百感交集：
毒霸38%邢蝚P29%，Norton14%，KV11%......，不要以為這只是幾個簡單的數位
，這後面有太多的故事，一時，竟不知從何講起。這樣，我們先看看各個殺毒軟
體的真實能力。（本評測中KV指KV2004）
一、病毒庫
這些年頭看過許多評測，有民間的也有媒體的，幾乎都是以病毒庫是否全面為依
據。這是非常不科學的！暫且不說別的因素，我認為用殺毒軟體對一堆病毒木馬
一通亂殺最後僅僅以檢出率論英雄，是一種對讀者不負責的數位遊戲。
舉兩個最簡單的例子，你有用過Norton去殺黑洞2004嗎？不說別的，就說最有影
響力的0815版，Norton也是怎麼殺也殺不出。這完全不是什麼巧合，Norton如果
殺 n年前的經典木馬冰河84，也還是殺得出來的，只是會在隔離區裡加上兩個字
作注釋——罕見...... Norton是一個非常典型的例子，因為在這個方面的問
題Norton是最明顯的。不過其他的外國殺毒軟體也好不了多少，哪怕是那個公認
的殺毒王兼升級狂 AVP，大家拿手上那幫大馬小馬自個兒試試吧，保證叫它們死
得慘不忍睹，AVP那麼好的引擎又有何用呢？(據說當年因為Pc-cillin殺不了CIH
的某些國內變種，所以有人就......) 就是不算木馬，各種蠕蟲變種也夠這幫
老外受的，其中最典型的就是 Lovgate系列了。有些用Norton的單位就算是天天
更新，也總是不如它的變種來得快，甚至面對有些 n年前的國產病毒，那幫老外
也一聲不吭。
綜上所述，我們只能得到兩個結論：
1、面對眾多國產病毒木馬，外國殺毒軟體只是一幫廢物；
2、以檢出率論英雄是一個徹底的錯誤，因為一個 1%可以包含很少的東西，也可
以包含太多的東西，同樣的檢出率，一個可以殺灰鴿子，一個可以殺Beast或
××國外二線木馬，你會選哪個？
雖然如此，但如果檢出率相差太大，那就是另一回事兒了。Norton的病毒庫是非
常不全的，儘管在殺木馬時與其他國外殺毒軟體差不多，但在殺病毒時檢出率相
差實在太大。在許多病毒庫比較齊全的評測中，（不包括公安部）Norton總是在
最後幾名徘徊，遠遠落在其他老外後面，甚至在有國外媒體評測時僅給了Norton
6.8分，（滿分10分，，AVP9分）簡直是......
至於瑞星的病毒庫也好不了多少，經常在民間評測中與Norton一起墊底，唯有木
馬庫齊全了許多，所以其殺毒能力可想而知.....當然，瑞星殺Lovgate這些國產
病毒的檢出率顯然高些，但木馬不同的是，病毒是會自我傳播的，所以國外病毒
在國內照樣常見。於是有一次，我的一個用瑞星的同學在用Norton掃盤時掃出滿
盤的病毒......順便說一句，當年瑞星2003時人家可是一周一次升級！在這個方
面，只有KV與毒霸過關，其他的實在差太遠了。
二、殺殼能力
在我看過的評測中，基本上沒有哪個把殺殼能力放在眼堛滿C事實上，沒有殺殼
能力，一個殺毒軟體在面對木馬以及病毒變種時，基本上就成了廢物，有誰用馬
不加殼？有誰改病毒不換殼？只要人家有意，你的殺毒軟體一瞬間就可以挂掉。
（近來網上有傳言說加了殼的木馬自釋放時會還原，這個說法是假的）經本人實
驗，各大殺毒軟體殺殼能力如下：
McAfee及大多數國外二流殺毒軟體：UPX
瑞星：無
毒霸：無
Norton：無
AVP：大多數流行殼
KV：大多數流行殼
UPX 是一種免費軟體，所以支援殺UPX無需交專利費，如果一個殺毒軟體連UPX都
殺不了，那只能說明他們那幫人偷懶。當然，無論如何，沒有殺殼能力的這些殺
毒軟體會輕易地讓你死翹翹的，所以大家今後必須重視殺殼能力。
同樣的木馬，一加殼便是不同的下場！！
三、清除能力
不得不說，任何一個殺毒軟體在清除 Autorun.inf這類病毒產生的垃圾文件時效
果都不理想，不過由於在殺毒過後這些文件都成了死鏈結，所以隨便找一個清垃
圾文件的軟體就可以了。
其實關於清除能力，大多數的殺毒軟體都差不多，不過倒還是有幾個特例：
瑞星總是清不乾淨自我複製型病毒。在開即時監控且每天一次全盤掃描的情況下
，殺Lovgate用了2天，殺某蠕蟲病毒用了一周，殺folder.htt病毒用了超過一周
時間也殺不乾淨，最後只用搜索並刪除同名文件卻殺乾淨了！明顯是跳殺現象。
Norton則是一見染毒文件就刪，實在令人懷疑Symantec的人是否學過彙編。另外
Norton在撞上一個病毒在記憶體中的進程時，竟經常不會自動關閉，需要你手動
關閉，而其他任何殺毒軟體大都有此規則。
四、記憶體殺毒及DOS殺毒
當今國外殺毒軟體基本沒有再提供DOS殺毒的了，所以面對dll進程守護式的病毒
木馬就只能到安全模式下碰運氣了，並且有時還會失敗。相比之下，毒霸、瑞星
、KV都有DOS殺毒能力，只是毒霸殺不了NTFS，KV可以殺殼。
國產殺毒軟體都號稱可以記憶體殺毒，但大都只是即時監控加進程關閉的換湯不
換藥，殺不了dll進程守護，甚至不去檢查調用的dll文件，等於一個功能沒加，
只有KV一個一個 dll地檢查，並有查到毒後反復檢查記憶體及必要時自動開機檢
查的功能，dll進程守護的病毒木馬基本上都可以挂掉。實話說，只有 KV的可以
算有記憶體殺毒功能，其他的都是吹牛。
五、即時監控
當今的殺毒軟體幾乎都要吹一吹自己的即時監控，但實話說，沒什麼稀奇的：
一是對進入記憶體的程式進行掃描，
二是預讀。（解壓時查毒屬於第一項）第一項沒啥子稀奇，至於第二項，國產殺
毒軟體的速度大幅超過了老外，的確可喜可賀。
儘管如此，不得不說說KV。KV的即時監控技術，即"動態比特濾毒"技術實在是太
強了。為什麼我一直在用Net Transport呢？因為在打開 KV文件監控的時候，KV
會自動對進入電腦的文件進行掃描。如果是帶毒的壓縮包，KV會在下載結束的一
瞬間報警，如果是EXE或DLL等，那麼有時才下載到一半就會報警。另外如果你用
Windows搜索時開 KV文件監控，KV會順帶地掃出很多東西，（前提是你硬碟上有
）上次我就是忘了這一點，結果把自己的黑軟庫一大半倒進了隔離區。（開個KV
在網站上防Asp木馬，爆爽！）
六、殺未知病毒能力
當今的殺毒軟體對這一點都"非常重視"；所謂"重視"就是大肆做相關的廣告；行
為判斷、虛擬機法、智慧跟蹤......如果這些都是實話，那麼面對一個歪殼壓的
病毒，殺毒軟體們理應報警，但事實上沒有一個殺毒軟體做到這一點，這些謊言
也就不攻自破了。
當今的殺毒軟體的防未知病毒機制其實只有啟發式掃描，即僅僅是掃描文件中的
可疑代碼。也就是說，如果解不了殼，再強的啟發式掃描引擎也什麼用也沒有，
由此，KV、AVP 的表現大幅超過了其他的殺毒軟體。在加殼病毒橫行的今天，其
他的殺毒軟體幾乎全是吃鴨蛋。
不論如何，毒霸、瑞星和 AVP的誤報率都算比較高，尤其是前兩者，幾乎只有誤
報紀錄，毒霸的即時未知病毒檢測甚至會干擾到已知病毒檢測。Norton與KV到目
前為止我也沒發現誤報，不過Norton的未知病毒檢測也不乍地，只是比毒霸、瑞
星強了許多。
不看誤報率，只有AVP與KV的能力令人滿意，AVP自然不用說，人家可是啟發式掃
描的鼻祖，具體能力大家也清楚。事實上KV也是非常強的，只是可能大家不知道
，最經典的例子就是當年的KV3000不升級就可以挂掉衝擊波！不過據說KV未知病
毒檢出率略低於AVP，也許這是為達到誤報率為 0 所必須犧牲的吧。
大家注意，哪怕是KV、AVP，它們殺未知木馬的能力也為0，也許它們一向都只是
在研究病毒吧。若要殺未知木馬，大家一定要用木馬克星。據我實驗，木馬克星
是第一個採用行為判斷法的安全軟體，同時有超強的專門對付木馬蠕蟲的啟發式
掃描引擎，對付加殼木馬也非常有一套，實為史上最強的殺馬軟體，曾被 ZDNet
評為年度十佳軟體......
如果你用過老版本的木馬克星殺當今的黑洞灰鴿子你就知道了。不過這有點扯遠
了。
七、速度
首先對毒霸的"閃電掃描"提出質疑：
●有誰願意為了一點點時間而僅僅去掃某些病毒呢？安全至上呀。
●病毒經常是相互附身一齊出現的，這可是常識呀。
●鬼知道它掃的是哪100個病毒？
"閃電掃描"頂多是一個花哨的噱頭，基本上沒有人用，大家不必理會它。大多數
殺毒軟體速度都差不多，可以接受就行了，不必排先後。不過 AVP由於支援殺殼
，所以在開了殺殼後速度慢了很多。但瑞星令人實在受不了，慢得甚至出現了專
殺工具速度跑不過其他完整殺毒軟體的奇特現象......。KV還是令人佩服，又支
援殺殼，速度仍然很快，著實先進，不能殺殼的毒霸掃再快也無法動搖這一點。
八、集成度
老外們在這兒不得不出局：不支援QQ？Game over！
KV的集成度肯定是最高的：有了動態濾毒，KV等於是支援了一切聊天軟體與下載
軟體，同時效率最高，名義上不支援QQ算什麼？
毒霸及網鏢在一次死機後圖示全會消失不見，極不方便使用。瑞星用 DLL進程守
護解決了這個問題，不過同時也帶來了無盡的資源佔用與衝突問題......
九、壓縮格式查殺支援（出於實用，我們只看ZIP與RAR）
KV：普通ZIP、超真空ZIP、RAR
AVP：普通ZIP、超真空ZIP、RAR
毒霸瑞星：普通ZIP、RAR
其他大多數國外二流殺毒軟體：普通ZIP
大多數外國人都不用RAR，所以Norton與McAfee等都殺不了RAR
十、資源佔用與衝突：
KV與AVP資源佔用最小，獲得廣泛好評。Norton與毒霸則為一般般，但開了 QQ後
Norton資源佔用暴升......
瑞星這方面問題極嚴重，不僅是當之無愧的衝突王，也是萬"死"不辭的資源佔用
王，有些配置稍遜的電腦在開了瑞星後，(只裝瑞星)彈出右鍵功能表竟需3—5秒
......
另外好象有一個說法，就是裝了瑞星後裝其他殺毒軟體，基本上都會起衝突：裝
毒霸後不開即時監控系統也爆慢，網上有人把Norton這樣裝則是根本進不了系統
。當然也有例外，就看你的造化了。
總結：
Norton實在太廢，除了公安部和某些菜鳥，幾乎是人神共誅，連外國同行都不以
為然。（6.8分，媽呀！）雖然 Norton是即時監控的鼻祖，但卻不思進取，活該
。大家若一定要崇洋媚外，那就請用 AVP。不過我一開頭就跟大家講得很清楚，
非本土化的殺毒軟體的下場嘛......
毒霸的表現勉強算二流，面對加殼木馬還是太嫩了。
瑞星則是我見過的最廢的殺毒軟體：毒庫不全，耗資源，易衝突，不殺殼，速度
慢，跳殺！
這年頭民間防病毒軟體非常多，大的有十幾兆，小的只有幾十KB，沒有一個有跳
殺的問題，掃上 7天對它們都算神話來的！毫不客氣地說，這一點可以讓我們確
定，瑞星是全世界最廢的殺毒軟體——誰不知道跳殺意味著什麼？
至於我對KV的評價，也絕不是一家之言。有許多國外媒體都在吹 AVP，但這並不
代表AVP比KV強，因為大家都沒見過 KV，唯一的例外是日本人評了一次，結果大
家也知道，KV獲勝。與此同時，國內大多數的黑客專業網站推薦的也是KV。這跟
本文的結論是一致的。KV如果做好了國外病毒木馬的收集工作，屆時一定可以在
國外壓過AVP的風頭。
我個人認為，本篇評測，是當今世界上最科學的評測之一：
1.一個評測如果只看重病毒庫，那麼只說明這幫人壓根兒就不知道木馬加殼術，
不認可加殼後的無敵木馬的危險性，甚至連瑞星的跳殺問題都看不到！
2.一個殺毒軟體的能力是有限的，並非一個數字可以代表得了，正如水滸英雄的
能力並非那些"水滸人物卡"上的幾個數字可以代表的，另外國外殺毒軟體殺國
產木馬的狼狽相與評測時得到的檢出率與分數完成不成比例，也能很好地說明
這一點。
一個真正合格的評測應該是把各個殺毒軟體的優點缺點都列出來，讓讀者自己
去按自己的需要來判斷，最多分不同情況給它們簡單排排名。
3.一個評測如果只是泛泛而談，而不分出殺毒軟體的優劣高下，這只能說明這是
一個廣告大串聯，而不是什麼評測。本評測中出現KV一邊倒的局面並不能說明
本人的方法不科學，反倒說明其他的評測根本算不上評測。
4.最重要的一點，本評測一切論據與細節都是公開的。（比如病毒名稱，評價原
因）就算去除一些口說無憑的個人經驗，只剩下大家可以自己操作自己實踐的
部分，大家仍會得到同樣的結論。
本評測的真實性無可懷疑正基於此，大家盡可亂試。
如果僅僅是做個評測，那麼離"黑幕"就差太遠了，但是事情遠不止這麼簡單。我
認為，如果壓在 KV頭上的是AVP，我認為大家還有些討論的餘地，但我們可以看
到，排在KV之前的儘是些垃圾：毒霸、瑞星和Norton。
它們的流行與中國人隨波逐流、輕信廣告、做事不細究這些毛病都有關，這自然
不用說，但我認為最重要的原因就是公安部的評測。
公安部的評分是這樣的：毒霸95，瑞星95，KV90，Norton85，其他的殺毒軟體依
次列在後面。所謂檢出率則是：毒霸100%，瑞星100%，KV100%，Norton 9x%，依
此類推。
