怎么建立病毒特征库啊

Question

求各位大神，个人能够建立病毒特征库吗，嗅探器抓到的包又怎么和库进行比对

Answer 1

工作量非常大
首先，病毒的样本非常非常多，为了你检测的效果，你必须有足够全的特征库，这就意味着巨大的工作量。
其次，从病毒中提取特征是一个技巧性很强的工作。特征要尽可能小，这样你程序才能高速扫描，特征库才能保持最小的尺寸。
但是特征越小，你选取的特征就越难，如果你选取不恰当，会导致正常的数据也有这些所谓的特征被误判，或者病毒的变种无法识别。
所以这个选取就是一个非常技巧性的工作，要对病毒的机理，PE文件格式，逆向工程非常精通的人才能做好。同时这也是需要花费时间和人工的，特别是需要把你的特征在已知正常的文件上检查，看看会不会误报。（即便正规杀毒软件，也存在误报）
然后就是病毒样本的采集，每天都有新病毒产生，你单打独斗，人家有上亿用户，可以自动上报可疑文件，显然你搜集病毒的效率很低。
这些都解决以后，问题就是怎么扫描匹配病毒特征库和你的数据，相对来说，这个倒是没有特别的工作量，但是要把程序写高效，也不容易。