如何测试 ClamAV 服务是否存在潜在威胁答案

【问题标题】：How to test ClamAV service for potential threats如何测试 ClamAV 服务是否存在潜在威胁
【发布时间】：2022-01-17 18:31:22
【问题描述】：

作为企业软件项目的一部分，我们的应用程序连接到由 ClamAV 支持的防病毒服务，使用 ICAP 作为通信协议。我想测试防病毒服务对恶意文档的响应，但当然，我不能使用实际上感染了恶意软件的文档。我找到了 EICAR 反恶意软件测试文件，但它似乎只能以 .txt 或 .zip 格式出现，并且系统只允许上传 Word 或 PDF。防病毒服务仅在“按原样”发送给它的情况下识别 EICAR，但在嵌入 Word 或 PDF 时不识别。

我的问题是：我怎样才能创建一个被 ClamAV 识别为威胁的 Word 和/或 PDF 文档，尽管它实际上根本没有害处？

【问题讨论】：

谢谢@k-j 简单的重命名不起作用，因为系统在将文件扩展名发送到防病毒服务之前使用 Apache Tika 检查文件扩展名与实际内容。因此，重命名的文件会被拒绝，甚至不会上传以供扫描。
感谢@k-j 将 .docx 重命名为 .zip 然后再重新命名为 .docx 的技巧确实有效。你为什么不把你的评论变成一个可以被投票的答案呢？

标签： pdf antivirus clam antivirus-integration icap

【解决方案1】：

我最初是建议的

由于 docx 是一个 zip，您可以尝试将 eicar.zip 重命名为 eicar.docx，这仅证明 docx 类似于 zip 进行审查/扫描，而不是 AV 可以检测到恶意 VBA 宏，这将是不同的有效负载。

但是，涉及 Apache Tika 文件验证的上传步骤阻止了这种简单化的方法，因为文件类型与预期不符。

我的第二个建议是

使用有效的 docx 重命名，使用资源管理器将 eicar 文本压缩到其中（或使用 zip add）并重命名为 docx，因为这可能会绕过 Tika 检查。

显然有效。

同样，应该可以将 eicar.txt 嵌入到 PDF 中，但是再次检测并不意味着 av 正在扫描 JavaScript 漏洞，只是在 PDF 文件中可以看到纯文本签名，因此仅暗示 PDF 是扫描。

由于 PDF 加密，这更加困难，但在编辑器中使用手工制作的文本文件附件，它可能不会被编码，只是存储为纯文本，足以让 eicar 触发器被看到。

它可能看起来像这样，但剪切和粘贴显示为文本的二进制文件可能会由于 ansi 行结尾编码而无法存储为 eicar.pdf。所以从下面的链接中获取二进制副本

%PDF-1.4
%µ¶

1 0 obj
<</Pages 2 0 R/Type/Catalog>>
endobj

2 0 obj
<</Count 1/Kids[3 0 R]/Type/Pages>>
endobj

3 0 obj
<</Contents 4 0 R/MediaBox[0 0 500 800]/Parent 2 0 R/Resources<</Font<</F1 5 0 R>>>>/Type/Page>>
endobj

4 0 obj
<</Length 57>>
stream
q BT /F1 24 Tf 1 0 0 1 50 720 Tm (Hello World!) Tj ET Q

endstream
endobj

5 0 obj
<</BaseFont/Courier/Subtype/Type1/Type/Font>>
endobj

xref
0 6
0000000000 65536 f 
0000000016 00000 n 
0000000062 00000 n 
0000000114 00000 n 
0000000227 00000 n 
0000000333 00000 n 

trailer
<</Size 6/Root 1 0 R/ID[<89311A609A751F1666063E6962E79BD5><FDDAE606D8247DFCBA7D13E1833DEDE3>]>>
startxref
395
%%EOF
%X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*
%%EOF

从https://gofile.io/d/53fylg 临时可用的应该是这样的 假设您的防病毒软件允许下载 :-) 尝试将下载保存为文本，否则我需要上传为 RAR

然而，这两个“阳性”将与任何 AV 正在搜索这些文件类型以查找当前已知漏洞的迹象一样好。

我建议下载本文底部的实时脚本运行版本进行更深入的测试。 https://blog.didierstevens.com/2015/08/28/test-file-pdf-with-embedded-doc-dropping-eicar/

【讨论】：