zhaolei 5c776785b9 fix: L0-026 假损坏 zip + L1-013 内嵌 EICAR + L5-004 手工 PE 分析 ...

对账: 162/168 通过 (96.4%)，剩余 6 条为样本占位符问题

structure.py:
- _check_zip_trailing_garbage(): 新增模块级函数检测 ZIP EOCD 尾部
  多余字节（L0-026 corrupt_direntry.zip 伪装损坏模式）
- _check_embedded_eicar(): 新增模块级函数，作为 ClamAV 只匹配精确
  68B 纯 EICAR 的补充，对文本/代码文件扫描内嵌 EICAR 字节串
  （L1-013 大文件尾部含 EICAR）
- scan() 主流程在 4b/4c 后加 4d 调用 _check_embedded_eicar

binary.py:
- _manual_pe_analysis(): 新增模块级函数，pefile 解析失败时手工搜索
  PE\\0\\0 签名并解析节表 Characteristics，检测 RWX 可写可执行节
  （L5-004 假 PE，e_lfanew 偏移错误导致 pefile 报 Invalid NT Headers）
- scan() 在 pefile 异常后 fallback 调用 _manual_pe_analysis

bugfix: _check_zip_trailing_garbage 越界 crash (IndexError)
- EOCD 被截断/comment_len 溢出时跳过，不抛异常
- 修复 NEG-017 4layer_nested.zip 误触发 engine_failure fail_closed

2026-10-29 16:11:55 +08:00

60 KiB

Raw Blame History

View Raw