|
|
b6a004bdb7
|
fix: 六引擎误报根因修复 — 解包递归、YARA 恒真规则、签名分级、real_type 溢出
检测范围与证据链修复，不改裁决口径（口径改动在下一条提交）。
- extractor：zip/tar 成员在超限分支外漏加回扫描队列，解包后内容永远不参与检测；
zip 目录条目被当成内嵌对象；tar 超限成员先落盘不删。递归真正生效后深扫耗时可测。
- clamav：_HIGH/_MEDIUM/_UNWANTED 关键词是小写，而签名名是 "Win.Trojan..." 大小写混排，
分级判定恒不命中全走默认档；改统一大写匹配。超过 clamd MaxFileSize 的裸奔区间
(1G~1.5G) 新增 ClamAVSkippedSizeLimit(30) — 按"不可扫描不放行"进复核。
- yara：pe.yar C1 系列改用导入表判定，不再靠裸子串命中字符串表；
linux.yar C7 多条规则条件恒真（裸 nc/fetch 之类）已收紧；C8/C3 相应收窄。
- structure：DangerousExecutableExtension 是载体信号而非恶意行为，critical 权重 45→35，
不再作为把中低置信度信号一起顶过 block_score 的底座。
- scanner/documents：real_type 拼进 libmagic 对 MSI/OLE 的元数据串实测 334+ 字符，
超列宽导致整条 scan_tasks INSERT 连 findings 一起丢（被拒文件不留痕）→
列宽 256→512，migrate.sql 补 ALTER。
|
2026-11-02 20:26:56 +08:00 |
|
|
|
6e3c1a40e5
|
feat: YARA .yar 规则自动化生成 + 边界记录验证
rules/test_rules.yar (7 条规则):
- Test_ReverseShell_Basic: nc 反弹 shell
- Test_PowerShell_Download: Invoke-WebRequest
- Newly_Added_Rule_Test: 热加载验证
- Meta_Label_Test: metadata 输出验证
- Regex_Shell_Pattern: powershell -enc 正则
- Count_Condition_Test: count >= 3 条件
- Size_Condition_Test: filesize <= 10KB 条件
YARA 命中验证: 7/7 ✅
L4-001 → Test_ReverseShell_Basic + keywords.ReverseShellNetcat 复合命中
L4-004 → Test_ReverseShell_Basic + Test_PowerShell_Download + 3 条关键词
L4-005/007/010/011/012 → 全部命中 ✅
边界记录验证: 4/4 ✅ 全 clean
L1-005 EICAR 1 字节修改 → ClamAV 不命中 ✅
L1-012 EICAR base64 → ClamAV 不解码 ✅
L3-007 高危串 base64 → 关键词不解码 ✅
L3-019 unicode 同形字 → 关键词不还原 ✅
|
2026-10-29 14:16:37 +08:00 |
|
|
|
da05c544e9
|
feat: 旧样本 L7 归类 + 中文规则标签
- rules/rule_labels.yaml: 64 条 rule_name → 中文标签映射
- console.py: 加载 rule_labels + layer_definitions 传给 template
- test_center.html: 期望规则 / 实际规则 全显示中文名（hover 保留英文原名）
- scripts/regen_v2.py: 全量扫描自动打 L7 标签 + case_id
- tests/samples/index.json: 168 条全有 case_id，层分布 L0=27 L1=25 L3=25 L4=15 L5=21 NEG=20 L7=35
前端效果: NC 反弹 Shell / UPX 加壳 / 压缩包路径穿越 / RWX 可写可执行节...
|
2026-10-29 11:51:31 +08:00 |
|
|
|
16f134e328
|
feat: MeshSafe 文件摆渡安全卫士 v1.0 初始提交
核心功能:
- 6 层检测管线: L0 结构分析 → L1 ClamAV → L2 文档深度检测 → L3 关键词匹配 → L4 YARA → L5 PE/二进制
- FastAPI + PostgreSQL + Redis + Docker Compose 架构
- 客户端 HMAC-SHA256 签名鉴权 + 限流 + 幂等性
- 控制台 UI (登录/Dashboard/诊断中心/策略管理/任务列表/测试中心/产品介绍页)
- 三层诊断定时器 (error_scan 30s / db_aggregate 30s / container_check 5min)
并发与稳定性修复:
- 诊断定时器 Redis 时间槽位锁 (多 worker 同一槽位只有一个执行)
- JSONL 存储 fcntl 跨进程排他锁 + 容错解码 + 原子重写
- 移除 SQLite fallback, 统一 PostgreSQL
- API_CLIENTS 脱敏为环境变量, .env 已 .gitignore
|
2026-10-28 19:07:11 +08:00 |
|
