ClamAV学习【7】——病毒库文件格式学习

搜查到一份详细的ClamAV病毒文件格式资料（http://download.youkuaiyun.com/detail/betabin/4215909），英文版，国内这资料不多的感觉。

重点看了下有关PE的病毒文件格式，就是*.mdb文件。还有之前郁闷用途的*.cvd文件。

就粘贴下刚刚的一点笔记：

1、介绍
CVD的前512bytes是其文件头，格式如下：
ClamAV-VDB:build time:version:number of signatures:functionality
level required:MD5 checksum:digital signature:builder name:build
time (sec)
2、保存脱壳后的签名，这样可以预防用其它壳
3、签名格式
3.1、MD5
最简单的方法，比较适用于静态malware。*.hdb文件，可以包含任意数量的签名，是最简单的数据库文件。

放在share/clamav下可以自动加载。用哈希签名要注意，只要遇到有一个byte不同，就会停止匹配。
3.2、PE section based的MD5
.mdb文件，格式如下：
PESectionSize:MD5:MalwareName
（貌似Cl