防毒沙箱是如何工作的？
防毒沙箱是如何工作的？
提问于 2016-07-05 11:34:28
假设我们有一个恶意的.EXE，它删除一个敏感的系统文件(使用DEL命令和cmd)。
首先，普通的杀毒软件会对文件进行特征检测分析。
其次，反病毒将在运行时对其进行沙箱化。
防毒沙箱是怎么装的？他是否通过在Windows上使用"ptrace命令“来”跟踪“它，并阻止恶意.EXE使用DEL？或者，它是否阻止操作系统生成关联进程，并在带有微小特定操作系统的小型虚拟机上运行恶意.EXE？
回答 1
Security用户
回答已采纳
发布于 2016-07-05 14:52:53
沙箱和AntiVirus是两个独立的东西。AV扫描文件，通常检查文件的“已知知识”(签名)和启发式，而沙箱则在孤立的环境中执行文件。正如Schroeder所说，沙箱的工作方式不同，取决于您正在运行的沙箱。
典型的沙箱将在运行示例之前获取进程、连接、线程、注册表的快照，运行示例，重新获取进程、线程等的快照，并比较差异。然后向您报告差异。这是确定正在发生的事情的最优方法。恶意软件(如果以升级的权限运行)可以(有时)做管理员可以做的任何事情。这意味着软件可以修改事件日志、擦除文件、隐藏连接/软件等等。使用“快照”，大多数沙箱可以显示(前后)的差异。AV如何取决于软件，其依据是相同的(比较)
页面原文内容由Security提供。腾讯云小微IT领域专用引擎提供翻译支持
原文链接：
https://security.stackexchange.com/questions/129189
复制相关文章
相似问题
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号