杀毒软件背后的黑幕,超级震撼
转载要求： 除本站特殊申明之作品不得转载外，其余作品均可转载，转载作品请保留作者及来源信息。
一、病毒库
这些年头看过许多评测，有民间的也有媒体的，几乎都是以病毒库是否全面为依据。这是非常不科学的！暂且不说别的因素，我认为用杀毒软件对一堆病毒木马一通乱杀最后仅仅以检出率论英雄，是一种对读者不负责的数字游戏。
举两个最简单的例子，你有用过Norton去杀黑洞2004吗？不说别的，就说最有影响力的0815版，Norton也是怎么杀也杀不出。这完全不是什么巧合，Norton如果杀n年前的经典木马冰河84，也还是杀得出来的，只是会在隔离区里加上两个字作注释——罕见......
Norton是一个非常典型的例子，因为在这个方面的问题Norton是最明显的。不过其它的外国杀毒软件也好不了多少，哪怕是那个公认的杀毒王兼升级狂AVP，大家拿手上那帮大马小马自个儿试试吧，保证叫它们死得惨不忍睹，AVP那么好的引擎又有何用呢？(据说当年因为Pc-cillin杀不了CIH的某些国内变种，所以有人就......)
就是不算木马，各种蠕虫变种也够这帮老外受的，其中最典型的就是Lovgate系列了。有些用Norton的单位就算是天天更新，也总是不如它的变种来得快，甚至面对有些n年前的国产病毒，那帮老外也一声不吭。
综上所述，我们只能得到两个结论：1、面对众多国产病毒木马，外国杀毒软件只是一帮废物；2、以检出率论英雄是一个彻底的错误，因为一个1%可以包含很少的东西，也可以包含太多的东西，同样的检出率，一个可以杀灰鸽子，一个可以杀Beast或××国外二线木马，你会选哪个？
虽然如此，但如果检出率相差太大，那就是另一回事儿了。Norton的病毒库是非常不全的，尽管在杀木马时与其它国外杀毒软件差不多，但在杀病毒时检出率相差实在太大。在许多病毒库比较齐全的评测中，（不包括公安部）Norton总是在最后几名徘徊，远远落在其它老外后面，甚至在有次国外媒体评测时仅给了Norton6.8分，（满分10分，，AVP9分）简直是......
至于瑞星的病毒库也好不了多少，经常在民间评测中与Norton一起垫底，惟有木马库齐全了许多，所以其杀毒能力可想而知......当然，瑞星杀Lovgate这些国产病毒的检出率显然高些，但木马不同的是，病毒是会自我传播的，所以国外病毒在国内照样常见。于是有一次，我的一个用瑞星的同学在用Norton扫盘时扫出满盘的病毒......顺便说一句，当年瑞星2003时人家可是一周一次升级！在这个方面，只有KV与毒霸过关，其它的实在差太远了。
二、杀壳能力
在我看过的评测中，基本上没有哪个把杀壳能力放在眼里的。事实上，没有杀壳能力，一个杀毒软件在面对木马以及病毒变种时，基本上就成了废物，有谁用马不加壳？有谁改病毒不换壳？只要人家有意，你的杀毒软件一瞬间就可以挂掉。（近来网上有传言说加了壳的木马自释放时会还原，这个说法是假的）经本人实验，各大杀毒软件杀壳能力如下：
McAfee及大多数国外二流杀毒软件：UPX
瑞星：无
毒霸：无
Norton：无
AVP：大多数流行壳
KV：大多数流行壳
UPX是一种免费软件，所以支持杀UPX无需交专利费，如果一个杀毒软件连UPX都杀不了，那只能说明他们那帮人偷懒。当然，无论如何，没有杀壳能力的这些杀毒软件会轻易地让你死翘翘的，所以大家今后必须重视杀壳能力。
三、清除能力
不得不说，任何一个杀毒软件在清除Autorun.inf这类病毒产生的垃圾文件时效果都不理想，不过由于在杀毒过后这些文件都成了死链接，所以随便找一个清垃圾文件的软件就可以了。
其实关于清除能力，大多数的杀毒软件都差不多，不过倒还是有几个特例：
瑞星总是清不干净自我复制型病毒。在开实时监控且每天一次全盘扫描的情况下，杀Lovgate用了2天，杀某蠕虫病毒用了一周，杀folder.htt病毒用了超过一周时间也杀不干净，最后只用搜索并删除同名文件却杀干净了！明显是跳杀现象。
Norton则是一见染毒文件就删，实在令人怀疑Symantec的人是否学过汇编。另外Norton在撞上一个病毒在内存中的进程时，竟经常不会自动关闭，需要你手动关闭，而其它任何杀毒软件大都有此规则。
四、内存杀毒及DOS杀毒
当今国外杀毒软件基本没有再提供DOS杀毒的了，所以面对dll进程守护式的病毒木马就只能到安全模式下碰运气了，并且有时还会失败。相比之下，毒霸、瑞星、KV都有DOS杀毒能力，只是毒霸杀不了NTFS，KV可以杀壳。
国产杀毒软件都号称可以内存杀毒，但大都只是实时监控加进程关闭的换汤不换药，杀不了dll进程守护，甚至不去检查调用的dll文件，等于一个功能没加，只有KV一个一个dll地检查，并有查到毒后反复检查内存及必要时自动开机检查的功能，dll进程守护的病毒木马基本上都可以挂掉。实话说，只有KV的可以算有内存杀毒功能，其它的都是吹牛。
五、实时监控
当今的杀毒软件几乎都要吹一吹自己的实时监控，但实话说，没什么稀奇的：一是对进入内存的程序进行扫描，二是预读。（解压时查毒属于第一项）第一项没啥子稀奇，至于第二项，国产杀毒软件的速度大幅超过了老外，的确可喜可贺。
尽管如此，不得不说说KV。KV的实时监控技术，即"动态比特滤毒"技术实在是太强了。为什么我一直在用Net Transport呢？因为在打开KV文件监控的时候，KV会自动对进入电脑的文件进行扫描。如果是带毒的压缩包，KV会在下载结束的一瞬间报警，如果是EXE或DLL等，那么有时才下载到一半就会报警。另外如果你用Windows搜索时开KV文件监控，KV会顺带地扫出很多东西，（前提是你硬盘上有）上次我就是忘了这一点，结果把自己的黑软库一大半倒进了隔离区。（开个KV在网站上防Asp木马，爆爽！）
六、杀未知病毒能力
当今的杀毒软件对这一点都"非常重视"；所谓"重视"就是大肆做相关的广告；行为判断、虚拟机法、智能跟踪......如果这些都是实话，那么面对一个歪壳压的病毒，杀毒软件们理应报警，但事实上没有一个杀毒软件做到这一点，这些谎言也就不攻自破了。当今的杀毒软件的防未知病毒机制其实只有启发式扫描，即仅仅是扫描文件中的可疑代码。也就是说，如果解不了壳，再强的启发式扫描引擎也什么用也没有，由此，KV、AVP的表现大幅超过了其它的杀毒软件。在加壳病毒横行的今天，其它的杀毒软件几乎全是吃鸭蛋。
