32、杀毒软件与Web应用测试全解析

杀毒软件与Web应用测试全解析

1. 杀毒软件的误报与漏报测试

1.1 误报与漏报的概念及影响

杀毒扫描器有时会产生误报。误报分为两种情况：
- 误报阳性（False Positive） ：合法文件被错误标记为感染。高比例的误报阳性可能使扫描器无法使用，如桌面用户不会接受一天内频繁弹出的病毒通知，系统管理员也会放弃将大量合法邮件标记为感染的产品。
- 误报阴性（False Negative） ：受感染文件被错误确认为干净。误报阴性可能由至少两个原因导致，一是扫描器数据库中缺乏病毒定义；二是即使扫描器包含特定病毒的正确签名或其他检测机制，也可能因检测引擎的漏洞（如无效的文件处理或模式匹配问题）而无法识别病毒。

1.2 误报阳性的处理

以ClamAV为例，其病毒分析师努力确保签名质量，但发布新签名前需通过特殊的全自动签名测试机制。该机制的核心是大量干净文件的集合，其大小、质量和多样性是消除误报匹配的关键因素。这些文件包括数百GB的各种可执行文件、库和流行操作系统及软件的其他组件，且均已确认安全。
操作步骤如下：
1. 作者准备发布新签名时，将其上传到特殊界面并点击一个按钮。
2. 系统自动用这些签名扫描文件集合，确保不产生任何检测结果。
3. 若产生检测结果，作者会收到通知，发布过程立即停止。
为提高测试速度，该过程会分布在多台机器上进行，当所有节点都报告无检测结果时，测试成功。

1.3 误报阴性的处理

通常扫描器未检测到某些恶意软件，意味着没有对应的签名，解决方法是更