特洛伊木马（C中的简单客户端 - 服务器）

Question

所以我几天前开始进行网络编程，我创建了一个非常简单的木马（受害者执行一个客户端，创建与黑客PC的连接，然后黑客可以通过一个简单的系统执行CMD的功能（ ）命令）。

基本上我的木马有效，但我不明白为什么我的反病毒无法检测到它。我的意思是唯一可能阻止我的木马的是我的防火墙，它检测到传出的连接。所以我不明白为什么会检测到其他特洛伊木马，而不是新的特洛伊木马。

如果需要，我可以提供源代码，我想强调一下，我这样做仅用于教育目的。我永远不会使用任何这些知识来攻击任何人（无论如何我没有足够的技能），我只想学习和理解:)。

Answer 1

Avira：

  

AMES正在使用Avira引擎进行病毒检测。如果是Avira   引擎无法检测到病毒，那么最可能的原因就是   是这种病毒是全新的，无法检测到。我们会   如果您将可疑文件提交给我们，我们非常感谢   立即分析。我们的病毒实验室随后会发给您一个   反馈。如果我们无法将可疑文件检测为病毒，我们会   努力创建更新，以确保我们检测到的文件   将来

AVG：

  

即使您的AVG完全达到，有时也无法检测到新的病毒   日期。刚刚编写或发布威胁时会发生这种情况，或者   我们很久以前才发现它，现在正在研究它   更新将识别并包含病毒。

戴尔（https://powermore.dell.com/technology/teaching-your-computer-to-detect-new-viruses/）：

  

大多数防病毒程序都使用签名 - 以数学方式派生   字符串或恶意软件代码的正则表达式 - 用于检测病毒。   但这需要在野外发现恶意软件的漫长过程，   获取样本，分析它，生成签名并添加它   到反病毒更新中推送给用户的存储库。

因此，正如评论中所提到的那样，只有在安全软件记录其签名时才会检测到病毒。

以下是有关如何使用ClamAV创建自己的签名的链接：http://blog.adamsweet.org/?p=250

Answer 2

没有检测到它，因为大多数防病毒软件基于签名（黑名单），并且该方法基本上无法阻止恶意软件，因为ir需要：

1. 一家Antivirus公司收集样本，确认并写一个 签名;
2. 发布数据库更新;
3. 一般人 更新他们的病毒数据库定义。

在采取措施1-3之前，病毒可以自由传播并攻击您的设备。另外，由于步骤3涉及人员合作（允许防病毒软件更新），攻击窗口可能不会那么短。

人们普遍认为，基于签名的防病毒效率约为40％-45％。

在过去几年中，反病毒公司终于承认病毒签名不是可行的方式，他们必须从那里改为行为分析： http://www.pcworld.com/article/2150743/antivirus-is-dead-says-maker-of-norton-antivirus.html