转载请注明出自雨林木风 bbs.ylmf.com,本贴地址:
http://bbs.ylmf.com/read.php?tid=573074&u=745547看了很多技术性分析的文章，我觉得不要老是争来争去,各个杀软都有他的好,没说谁的就好谁的就不好,如果这样,不好的不就不用DO了????..那么多杀软,是让大家有选择,什么人使用,什么样的机子,就用什么杀软,如果就是游戏玩家,NOD32+网游保镖或AVG正版就足够.(平时就开两个是完全不卡的!用网游保镖是因为NOD对国内木马反应太慢,这方面也比较垃圾,这如果是企业,当然不能这么就算了.
心急,不想麻烦的人就别用卡巴等杀软了.
非常怕给盗号和病毒的就应该应用一些杀壳能力好的杀软啦..~~~
下面对各杀软进行我的评价,说明:本文是自我意见+上一些测试+一些技术性分析文章,本人绝对不保证我说的全部正确,错了请大家指正,但别骂我,文明聊天!
在介绍之前，先简单结合自己的理解和引用一些文章，来说点技术性的知识：
`杀毒软件引擎与病毒库的关系
其实病毒库与杀毒引擎没有直接的关系，杀毒引擎的任务和功能非常简单，就是对指定的文件或者程序进行判断其是否合法。而病毒库，只不过是对杀毒引擎的一种补充，也就是说：“我们没有足够聪明的杀毒引擎来完成这个过程”，那个过程，就是杀毒引擎对文件或者程序判断。明白这一点，就应该知道，好的杀毒软件，重要在引擎的优秀，病毒库只不过是补充，而且病毒库越大，杀毒速度肯定会降低。因为病毒库杀毒的过程，是引擎把判断能力交给病毒库，用病毒库与指定的文件进行对比判断。
现在很多人反应,为什么号都给盗了杀软还查不出病毒?这是因为病毒+了壳的原因,壳出了这么久,还是有很多杀软不能查出,这就是一个众大的隐患!...什么是+壳??技术性的话语我就不说了,简单说,就是利用一种技术,把文件的特征码改变（目前还有一些加壳软件可以压缩、加密驱动程序）,以达到保护的作用.
如何判断一个可执行文件是否被加了壳呢？有一个简单的方法（对中文软件效果较明显）。用记事本打开一个可执行文件，如果能看到软件的提示信息则一般是未加壳的，如果完全是乱码，则多半是被加壳的。我们还可以使用一款叫做Fileinfo的工具来查看文件具体加的是什么壳。目前，较常见到的壳有“UPX”、“ASPack”、“PePack”、“PECompact”、“UPack”、“NsPack”、“免疫007”、“木马彩衣”等等。
为什么黑客能够利用加壳技术来对抗反病毒软件呢？众所周知，目前杀毒软件主要依靠特征码技术查杀病毒。由于加壳软件会对源文件进行压缩、变形，使加密前后的特征码完全不同.(这句我刚才说过,好象有点废话~~)
脱壳能力不强的杀毒软件，对付“加壳”后病毒就需要添加两条不同的特征记录。如果黑客换一种加壳工具加壳，则对于这些杀毒软件来说又是一种新的病毒，必须添加新的特征记录才能够查杀。如果杀毒软件的脱壳能力较强，则可以先将病毒文件脱壳，再进行查杀，这样只需要一条记录就可以对这些病毒通杀，不仅减小杀毒软件对系统资源的占用，同时大大提升了其查杀病毒的能力。
脱壳
马甲”能穿也能脱。相应的，有加壳也一定会有解壳（也叫脱壳）。脱壳主要有两种方法：硬脱壳和动态脱壳。
第一种，是硬脱壳，这是指找出加壳软件的加壳算法，写出逆向算法，就像压缩和解压缩一样。由于，目前很多“壳”均带有加密、变形的特点，每次加壳生成的代码都不一样。硬脱壳对此无能为力，但由于其技术门槛较低，仍然被一些杀毒软件所使用。
第二种，是动态脱壳。由于加壳的程序运行时必须还原成原始形态，即加壳程序会在运行时自行脱掉“马甲”。目前，有一种脱壳方式是抓取（Dump）内存中的镜像，再重构成标准的执行文件。相比硬脱壳方法，这种脱壳方法对自行加密、变形的壳处理效果更好。
虚拟机脱壳引擎（VUE）技术
对于病毒，如果让其运行，则用户计算机就会被病毒感染。因此，一种新的思路被提出，即给病毒构造一个仿真的环境，诱骗病毒自己脱掉“马甲”。并且“虚拟环境”和用户的计算机隔离，病毒在虚拟机的操作不会对用户计算机有任何的影响。
“虚拟机脱壳”技术已经成为近年来全球安全业界公认的、解决这一问题的最有效利器。但由于编写虚拟机系统需要解决虚拟CPU、虚拟周边硬件设备、虚拟驱动程序等多个方面的困难，即使有雄厚的研发实力，也未必能在短时间内达到实用的程度。
启发试杀毒(启发式代码扫描技术)
启发式指的“自我发现的能力”或“运用某种方式或方法去判定事物的知识和技能。”
启发式杀毒代表着未来反病毒技术发展的必然趋势，具备某种人工智能特点的反毒技术，向我们展示了一种通用的、不需升级（较省需要升级或不依赖于升级）的病毒检测技术和产品的可能性。由于诸多传统技术无法企及的强大优势，必将得到普遍的应用和迅速的发展。资料显示，目前国际上最著名的排名在前五名的反病毒软件产品均声称应用了这项技术，从来自不同机构和出处的评测结果来看，纯粹的启发式代码分析技术的应用（不借助任何事先的对于被测目标病毒样本的研究和了解），已能达到80%以上的病毒检出率，
而其误报率极易控制在0.1%之下，这对于仅仅使用传统的基于对已知病毒的研究而抽取“特征字串”的特征扫描技术的查毒软件来说，是不可想象的，一次质的飞跃。在新病毒，新变种层出不穷，病毒数量不断激增的今天，这种新技术的产生和应用更具有特殊的重要意义。 (简单说明,就是通过这种技术,对一个行为进行分析,看是否可以可疑,从而判断的,这种方法,不但速度快,占用资源少,更是能查杀未知病毒,虽然有误报,但一般不会可疑的给杀了.这种方法的应用,明显可以不那么依赖病毒库了)
杀毒引擎介绍
1.诺顿：诺顿的引擎采用了系统最底层的核心驱动方式，应该说是最安全、最高级、最稳定的方式，但是需要微软的系统核心代码，如果说系统工作的步骤是3-2-1，那么诺顿便是这种方式工作。
2.McAfee：咖啡的工作方式相对与诺顿，叫做硬件虚拟层，3-2-1-1-2，其他的绝大多数是3-2-1-1-2-3咖啡采用启发式杀毒+虚拟脱壳，启发和虚拟技术是非常高的。
主要能力放在防毒上，也用了虚拟脱壳技术，基本所有壳都可以干掉，现在知道为什么它这么火了吧，北斗的壳，我不知道能不能干掉，但它的虚拟技术没有DR.WEB的好，用加密XTA算法（基本与DES一样很难破解）写的病毒，它和卡巴就都废掉了。
3.熊猫：西班牙的东东，全球第一个自动升级的，人家的引擎也相当不错，速度绝对一流，查杀彻底，但病毒库有点欧洲化，所以在中国用着不太好用，占内存很大
4.卡巴:废话不用了吧?还很不错的,为什么会被木马当为客星就是这个道理
5.Dr.Web:俄罗斯国家科学院合作开发的，军方和克里姆林宫专用。启发式加虚拟脱壳，北斗的壳，外面再加壳，加跳针也可以干掉，占用内存很少。可以说是最强的引擎。对付变种病毒和木马最好了。可以干掉加密XTA算法。清除极其复杂的病毒。
DR.WEB:这个软件不是很多人认识吧?蜘蛛是世界第一的杀毒引擎，我觉得这毫无疑问！他的启发式扫描技术和虚拟脱壳技术都是第一的，到现在，没一个壳可以绕过蜘蛛!也曾是1994年第一个可以根除OneHalf病毒的杀毒软件。另外，2006年末和07年初最猖狂的熊猫烧香病毒，灭掉了卡巴、咖啡、诺顿、冰刃、江民、瑞星等等几乎所有的著名杀毒软件和辅助工具，而Dr.Web及采用Dr.Web引擎的驱逐舰(这个只是假蜘蛛,后面再解释)杀毒软件，由于其引擎的优越性，是很少几个没有被病毒关闭的著名杀软。卡巴都不能比,不信大家去试试..他能完全清除复杂的病毒和壳,监控占用超小,完全没感觉,什么机都不会觉得卡,而且非常牛...这个软件大家都忽略了,是很厉害的,但到现在都没中文版,只有汉化,KEY也非常珍贵,不过英文倒是很容易..呵呵..如果你觉得我说得不对,你说在世界排名没见过他,那你就可以拿只扫把+个西瓜皮去打俄罗斯吧...如果连军方机密都保护不了,那能干个毛?DR.WEB很少参加比赛,因为他只为技术不为名誉,你何曾见过他卖过广告?好东西自然就有人懂得欣赏..这个我个人强力推荐.呵呵,就算不使用也可以装个绿色版的,有空就拿来杀杀~还是不错的..(补一句,DR.WEB牛逼到什么程度知道吗?他看不入眼的病毒他是不会放入病毒库的,也不报毒,那是不是就不能杀呢?不是,只要那些病毒一接触就马上给干掉了~牛吧..)
"还有，我想大家肯定知道360safe和qqkav这个2个软件，它们在蜘蛛的扫猫结果中，是被列为病毒的范畴！360safe我个人肯定不会去用，也不了解，但我想周XX那个家伙在其中做点龌龊行为，一点都不奇怪！杀掉的原因，我想跟qqkav的原因差不多。
那么qqkav呢？它是有此我用蜘蛛扫D盘的时候就把它干掉了。技术角度讲，qqkav肯定要加壳来防止被病毒破坏，虽然qqkav处理某些qq病毒还算可以，但是它本身却也恶意捆绑浏览器主页，说它是病毒便是理所索应当的了。这点来看，qqkav的丑恶行为没能骗过蜘蛛虚拟脱壳技术，但是其他杀软都无法达到蜘蛛的水平，至少同样是启发式扫描+虚拟脱壳技术的McAfee，却没能判断qqkav是病毒。而卡巴跟360safe的关系，就更不用说报毒了。 "(这是引自网友的解释~~我个人觉得360很好,虽然有点那个,但还是不错的,功能不错,但就是开有点卡,他那个监控也没什么用``)
"看来做龌龊行为还想要挂完美的牌坊，除非把你的加壳能力做到可以绕过蜘蛛！"
卡巴:我为什么第2个说呢?我怕给卡巴迷骂,因为卡巴迷骂人是最牛的!我见识多了..卡巴杀毒和杀壳,病毒反应(包括变种)的能力,我是绝对承认的..在6.0出版后,也改进了不少,我用过,还不错,没以前那么卡,但相比5.0,杀毒速度更慢..汗...这个软件还是相对比较卡的,建议需要高级保护的用户使用.但不怕死也说一句了,他就算再牛也比不上DR.WEB的,因为DR是世界级的超专家,而卡巴是一些狂热人员研制的~
杀毒方式：卡巴杀毒的方式，第一依据不是文件或者程序行为的判断，而是病毒库。卡巴病毒库非常的优秀，病毒库与引擎结合的也非常好，但是感觉卡巴太过依赖他的病毒库了，强势的地方反而是缺陷。所以，他的脱壳能力，有的时候却不如咖啡！卡巴的拥护者可能不愿承认，但事实不可否认！综合来说，卡巴的杀毒能力仅弱于蜘蛛，其他的包括卡巴的模仿者都还要差点火候！
监控能力：卡巴的后台监控能力弱，这是不可否认的。比如开启迅雷等下载工具的监控，一个含有病毒的压缩包下载后就会被卡巴删除。但是如果关闭卡巴的下载后扫描，压缩病毒包下载到硬盘后，卡巴的监控就差了很多，可能你会很容易把病毒解压出来，或者双击运行病毒文件，卡巴都没法组织病毒发作，只能是这时候发现病毒，怎么办？这时候才是真正的卡巴斯基，杀毒！所以，卡巴更适合玩家，对于有重要资料的人，并不太适合！
资源占用：卡巴占用系统资源实在太多了，网上有些人似乎不承认，认为自己优化一下就没问题。但是任何事情都是相对的。在一台纯净的系统上，安装卡巴斯基后，不管你怎么优化，只要主监控打开，你去对比纯净系统看PF值增加，我想不承认卡巴浪费资源的人会闭嘴的！
McAfee(迈克菲，俗称咖啡或麦咖啡) :这个杀软我一认识就是一个感觉:口碑超好..他有些是免费的,而且监控也一流!杀壳能力诺顿一样(在一个杀壳测试中,他和诺顿并列第2)~~~我感觉还不错,这个软件还是好滴..那时候我放弃是为了试别的杀软..
杀毒能力：很多人认为咖啡的杀毒能力弱，其实我并不觉得，咖啡的启发式杀毒做的非常优秀，根据文件或者程序的行为特性来判断是否是病毒，再加它的很成熟的虚拟脱壳技术，脱壳杀马能力也是非常强大。某些专业的杀毒的测试中，杀壳能力某些测试甚至超过卡巴斯基。而我个人认为：咖啡杀毒能力弱也只是相对于蜘蛛，或者稍弱于卡巴！
占用:其实我觉得不多啊,我用了也不卡,我都不知道你为什么说卡,我的电脑都用得起,大家也应该可以的~但听说2007比较不行~~~
NOD32:我现在在用,全世界杀毒速度最快的杀软,好象是别的杀软的几十倍..汗..真的很不错,占用也不这么样,升级在不知不觉中完全,唯一缺陷就是木马方面垃圾,+个AVG或防火就可以了..他对注册表也不怎么样..呵呵,还是很好滴...不过这个容易误报~他的启发式没咖啡和DR稳定..因为误报相比会高一点,但只是跟这两个相比,应该是世界第3启发了~呵呵``破解补丁和正版帐很容易找,正版也比较便宜,我认识的人几乎都用,而且都存钱去买正版,很便宜``特别是NOD+AVG或网游保镖,实在是不卡!是玩家的最佳选择!```个人极度推荐!(我在发这文章之前又做了一个测试,事实证明--NOD32已经可以杀北斗的壳了!!!大家鼓掌!!爽!!哈哈!!而猛壳的壳虽然不能确定是病毒,但我已经发出去了,虽然不能确定,但也给他的启发试干掉了!爽啊!!我又试了很多个,全部OK~真TM厉害~~我测试的那个病毒是QQ木马~但QQ完全没发觉...我不知该怎么说..)
诺顿:杀软的元老,杀客能力跟杀毒反应能力强,老实说我第一个用的杀软是瑞星,第2个就是诺顿了~很多人说企业版强,但也有人说他的监控垃圾,杀毒垃圾==,个人并不认为,Symantec首创实时监控技术，还拥有微软的源代码。大家都说Symantec不好，其实Symantec的引擎很强大。从最底层保护计算机，所以运行起来不太快，只是杀毒理念不同，才让Symantec不适合个人用户。它主要以隔离为主，防止企业文件被删除。因为有些被病毒感染了的文件根本不能完全杀毒。直接删除又会破坏文件，所以Symantec最适合企业用户选择。做为个人用户来说，其实也是不错的选择。超强的稳定性在加上强悍的木马查杀效果，较少的资源占用，还有就是真正的免费，我们没有理由拒绝一个如此优秀的杀软！
~~~~~大家也别说诺顿垃圾,卡巴做为领头羊,虽然杀毒能力不含糊,但是有不少网友反应卡巴给病毒干掉了,是在6.0才出了防病毒崩溃系统,但也不完善,但诺顿在很早就有了.这说明什么呢?
BitDefender:这个在2007的世界排名是第一.我觉得世界排名怎么可以以病毒库多少来决定呢?你看看卡巴,病毒库也不少吧,他之所以杀毒那么慢,一是脱壳,二还要对照病毒库,这样你知道有多慢吗?但你看看启发式的杀软,虽然误报率高,但也不失为一个好选择,因为他们不会乱处理被怀疑的东西..
BD好象是世界病毒库最多的一个吧..这个我没试过,到现在都没中文版,汉化版又不完全..玩过的网友来说!
F-Secure:这个要说说了,好象比DR.WEB还要没人气(在中国而已).这个杀软可牛了,我看世界上只有几个杀软可以跟DR比,这个就是一个!4个引擎!一个失败马上令一个补上!安全吧?其中就有一个是卡巴的..你说安全不?虽然进程很多,20多个,但多引擎是这样的了,你试下就知道什么是多引擎杀毒了..一头大象快还是100只蚂蚁?就是这个道理,但此杀软还是推荐512内存以上用户使用..(我下了一个6.02破解+汉化,一装,蓝频!爽!!哈哈...又下了个2007中文版,要注册码,上网找不到,放弃..呵呵.但在一个杀壳测试里,全部查出,是众多杀软里最牛的一个!我==把网址出来大家去看,DR跟卡巴也漏杀2个..哎..有两个可能太垃圾,所以没被这两个"大哥"查出.)
PC-cillin:趋势~~~这个我没用过,不清楚,听说很多人喜欢,但在杀壳测试里居然漏杀10个,不是吧!!!!!!!!!!!!!!!.......
AVAST:本人没用过,引用高手的意见:"这个杀软我比较喜欢。只是我用的时候，没有太留心它的监控能力，只是杀毒能力不错，结合Ewido做系统保护是比较安全的组合。软件系统资源占用也让人满意。而它最值得推荐的莫过于DOS杀毒功能了。DOS是最好的杀毒环境，杀毒可以更彻底。但是DOS杀毒使用起来却很麻烦，比如需要软驱，软盘，或者现在先进一点的用U盘。而Avast,却只需要你界面设置下次系统启动前杀毒，就可以体验DOS杀毒了！这种方式也叫BootScan方式。国产的江民杀毒，从KV2006开始，便增加了这种方式，应该是学习，至少说是参考了Avast的吧！推荐给手动杀毒能力弱的用户！"
F-Prot:这是著名的冰岛F-Port杀毒软件~~很不错..但我不熟悉
驱逐舰:这个是大蜘蛛(DR.WEB)的半成品,买了DR的引擎,但不是完全的,因为俄罗斯的核心是不会卖的!这个我不知道为什么卡巴会把引擎卖给F-Secure..呵呵..这个杀软不是很行,杀壳能力中上吧.但反应很慢,到现在都查不出QQ盗号病毒,你说呢?有些高手还说可以当蜘蛛的中文版用,我晕死,那个人一定没用过的!虽然是买了蜘蛛的引擎,但假蜘蛛毕竟是假蜘蛛,完完全全不同的..
小红伞:这个口碑不错,不多做宣传,也没什么很恶心的界面,很现实,实力是一切!
瑞星:我觉得中国最好的一个杀软了，特别是在2007!出了脱壳技术,虽然不成熟但还是国产的领头了!占用中等,还可以,木马库比较完整,病毒库也可以,技术不错,但有拉政府做广告就太浪费钱了吧?
江民:杀壳技术没瑞星好,病毒库和木马库极度不完整,连金山过了他都没过,一直都在研究技术,不理这些了..哎...有人说江民模仿卡巴引擎,那是不可能的,卡巴不会卖,江民买不起.但有模仿过,而且优化了,也许现在大概有卡巴30%功力了..
金山:这个我呕吐!我真想自杀,更想叫拉灯炸了他!妈的垃圾只会做广告,说到自己这么这么好,这样这样行,结果却几乎是最垃圾的杀软!居然连用户都骗,都什么流行杀毒技术,放屁,还说可以杀壳,连个毛都杀不了居然敢那么大声??????哎..这个软件我本来很喜欢的,很好的界面,很好的服务,广告也写得很好,所以我那时不懂给迷惑了..哎..现在很多人都信了金山,其实全给骗了..金山根本没什么,只会做秀..哎..虽然通行证很好用，但那时我删了装咖啡,一个电脑查出10个左右的毒..晕了..那个反间谍杀木马也是垃圾,防火墙根本比0号还垃圾...我狂晕...我给骗了那么久..连3721这些小软件都不如的杀毒能力.我不知该怎么说了....
不过他的国内病毒反应还是比江民要好，占用资源也比较小。除了太会做广告（而没有实质实质水平，欺骗用户就是大大的不好。）和杀壳技术极度垃圾之外，没别的了
大家看看,2006尾到2007的可爱熊猫,我们果产杀软是怎样做广告的?瑞星写了关于熊猫的报告和广告80多张,金山180多,江民不清楚,江民好象没做广告吧!但又看回来,瑞星跟金山到底能干个什么?给熊猫简单干掉的东西,居然敢说"全面免疫,全面抵抗"!我吐..就知道欺负我们老实的中国人,我极度+超级鄙视这种垃圾!自己的不好就不敢说不说还在这里吹,吹吹吹,没实力就是这样的了!我真的很鄙视~居然甘欺骗我们!
http://softbbs.pconline.com.cn/topic.jsp?tid=6087616 杀壳测试的网,去看看吧,有收获的,但别骂人哦!不然别说我介绍的!呵呵...这个虽然不代表什么,很多杀软都掉了水平,我也不知道为什么!
另外那个什么7000多个文件,3000多个病毒的病毒包,大家别给骗了!那个病毒库,2000年就有了,全是垃圾病毒(有4个也是挺牛的)..但查不出不代表杀软垃圾,我用大蜘蛛(DR.WEB)只查出3400+个,知道为什么吗?因为里面好多病毒都已经灭种了..没有了,查不出也不奇怪,根本代表不了什么..
有很多人问我该用什么软好，怎么配搭~我在这里把我知道的说一下
网游玩家：因为是游戏，第一要保证帐号的安全问题，不可以马虎。第二要保证占用不能太多，不会卡网，这样才可以，不然你再厉害也没用了~我推荐NOD32+AVG或网游保镖（如果用这个可以在玩游戏之前先扫描下游戏木马，这样就不用太经常杀毒了~还可以保护QQ的哦！）
企业：诺顿企业版（这不用说了吧？）
咖啡8.5或8.0的企业版,+几条规则,虽然麻烦点,但是要要的了~~~
在这里提醒一下,企业用户万不可使用DR.WEB,因为DR.WEB你不设置的话他是自动对病毒进行处理的.而汉化版的DR是设置了也没用的..如果要使用,我建议要先备份一下``
其他的不用说了吧,随意吧..呵呵
__________________________________________________________________________________________
!!!!!!《电脑安防论坛》->『国内杀软』->瑞星2007虚拟脱壳引擎测试评价（论坛版主：mervynlove）
http://www.dn66.net/read.php?tid-11852.html 单纯从虚拟机技术上说，瑞星的VM是很不错的，但从杀毒产品上来说，比较失败。瑞星当初为了对付以后可能存在的加壳病毒而研究虚拟机，应该说是比较有眼光和远见的，但经过多年直到今日，这个庞大的脱壳虚拟机只是为了应付商业宣传，从具体杀毒效果上来说，对上，比不过卡巴的脱壳引擎，比如卡巴基本是静态脱壳，速度极快、脱壳类型极多、且这个引擎与他们自身病毒库高度结合；也不比木马克星之类的末流木马查杀工具，因为当前木马病毒技术含量急速下降，外加某些特定原因，造成事实上大量传播的危害性木马采用同种文件体，也就是说查杀时候甚至不需要脱壳(即使他们本身有壳)。反观瑞星这个虚拟机模块，不仅臃肿，而且速度不够快，且仅能对付一般的压缩壳，数年时间闭关研制这个所谓的高级技术，也导致该模块与病毒库之间的脱节、耦合性非常差。
_______________________________________________________________________________________
我希望我的文章能给大家一点帮助,再次说明,本文是个人意见+测试结果以及认真分析所得...请大家文明聊天!互相帮忙!...
完!.
写完了..再添加几点见解..
病毒库与杀毒引擎有很直接的关系..从大家的评论中"bit最大病毒库,蜘蛛就是病毒库小点.."可以看出..引擎判定特征交给病毒库对比..怎能无直接关系..
诺顿的稳定是建立在公司:不自行上网..不自行安装软件..不自行修理的基础上的..
Dr.Web引擎最强吗?脱壳最强(传闻)..比多引擎的要差点吧..
McAfee强在防御..重点在规则...
还有就是..支持国产..你做的很好..其实RX没你想的那么强..金山也没你形容的那么弱..文章时间很长了吧..都没有微点..费尔..有nod32可是没ESS...
我个人比较顶 驱逐舰 杀广告真强..但在样本区的表现并不好..
