七、“绿坝-花季护航”过滤功能之技术分析

1、 图像过滤和文字过滤

图像过滤：图像检测进程从待检图像队列中获取图像数据，先归一化图像尺寸，然后分离肤色区域和非肤色区域，在对肤色区域关系进行分析后去除干扰，提取区域的特征送入已训练SVM分类器。当图像被检为色情图像后送入人脸检测器，若人脸不是主要部分便确定为色情图像。这套算法的主要问题是，色情图像的识别严重依赖于肤色和肤色形状；而最后使用人脸检测加权判定也只是手工打补丁避免出现大幅人脸识别为色情图像问题的办法，且经验权值可靠性缺乏验证。

绿霸使用了OpenCV的haar分类器进行人脸检测，绿霸附带的cximage.dll、CImage.dll、xcore.dll和Xcv.dll也来自OpenCV的库文件，都反映出绿霸主要使用了OpenCV来进行图像方面的处理。

不过金惠公司承诺：

图像检测正检率>90%；

误检率<7%；

而检出率 = 正检率*色情图像比例 + (1 – 误检率)*(1–色情图像比例)，在色情图像占1%时，检出率为93%。

文字过滤方面：对政治性内容的分析和过滤，使用了北京大正语言知识处理科技有限公司提供的文字过滤引擎HncEng.exe、HncEngPS.dll、SentenceObj.dll，数据文件HNCLIB/FalunWord.lib中还包含以UTF-32LE编码的除法轮功外大量政治和色情有关的词汇。

测试时发现如果在记事本或者WordPad中输入任何高度敏感词汇的字样，都会关闭应用程序，但是在绘图板和MSN中输入这些字则不会有反应，这也说明其程序的不完备性。

有高手分析出其过滤关键词词库列表：(部分截图)

 

2、应用程序屏蔽

金惠公司称，绿霸软件能够控制未成年人上网、QQ、MSN及游戏的时间，避免过度沉溺于网络，有效戒除网瘾。

除了上网时间的控制外，对应用程序的控制也是较为重要的一项。举例添加QQ为禁止上网的程序，添加成功后，笔者尝试登陆QQ，一直处于“正在登陆” 状态，没有其他任何反应，也没有弹出禁止提示。

 

查看了下日志记录，果然发现登陆QQ.exe被阻止的信息。

 

技术分析点评：

部分反编译的内容发现有多种应用程序是其监控的对象：

00468940                                         .wow.exe.魔兽世界....yaho
00468980  omessenger.exe..雅虎通..wangwang.exe....阿里旺旺....start.exe...
004689C0  网易POPO....网易popo....uc.exe..新浪UC..新浪uc..icq.exe.ICQ6....
00468A00  icq6....skype.exe...Skype...skype...eph.exe.e话通...doshow..msnm
00468A40  sgr.exe.MSN.msn messenger...qqgame.exe..QQ游戏..qq游戏..qqchat.e
00468A80  xe..QQ聊天室....qq聊天室....qq.exe..QQ..qq2.bitbomet.exe....BitC
00468AC0  omet....bitcomet....

几乎市面上所有常见文本编辑工具（EditPlus, UltraEdit, EmEditor）、办公软件（WPS三部件，MS Office系列）、邮件客户端、IM客户端、浏览器都会受到监视。

从injlib.exe中（偏移地址0x89e8）提取出的字串，反映出一部分可能受监控的程序：editplus.exe uedit32.exe emeditor.exe wordpad.exe notepad.exe wps.exe wpp.exe et.exe powerpnt.exe frontpg.exe excel.exe msaccess.exe outlook.exe winword.exe mailmagic.exe popo.exe qqmail.exe aixmail.exe imapp.exe incmail.exe msimn.exe dm2005.exe foxmail.exe googletalk.exe miranda32.exe imu.exe ypager.exe tmshell.exe start.exe uc.exe icqchatrobot.exe qq.exe msnmsgr.exe gsfbwsr.exe greenbrowser.exe touchnet.exe theworld.exe maxthon.exe ttraveler.exe netscp.exe ge.exe firefox.exe opera.exe netcaptor.exe myie.exe iexplore.exe mmc.exe regedit.exe taskmgr.exe 

虽然提取出的字串中有maxthon和firefox进程，但经过诸多网友的测试表明了，绿坝对maxthon的监控能力很差，对firefox几乎是毫无检测能力。

3、绿坝潜在风险

系统进程和资源占用

“绿坝•花季护航”软件目前仅可工作于Windows（98-Vista）平台，占用内存40M左右，安装时无独立路径，强行爬入SYSTEM32目录，任务栏不加载任何图标；用户的两个进程分别为：XNet2.exe，XDaemon.exe；开机自启动，运行进程共四个：XDaemon.exe、XNet2.exe、HncEng.exe、MPSvcC.exe，其中XNet2.exe在端口1234和1032监听；安装后“免费 ”注册，网友堪称其为变相实名制；图像和语义过滤，开启“非法活动”过滤项；插入大量消息钩子，可监视鼠标和键盘活动；采用winsock spi过滤，可以对浏览器进程强制植入dll，程序的判断操作没有任何提示，目前不能监视Firefox浏览器，对傲游浏览器监视性差，与教学常用的电子教室冲突。

软件将把个人电脑与一个更新的被禁网站数据库连接起来，阻止电脑访问这些网络地址，可过滤时政类信息，确切的功能涵盖范围未知。

在这些看似强大而又弱智的监控功能背后，同时也深深埋下了一颗不定时炸弹，如果存在的安全漏洞一旦被黑客发现，恐怕所有安装绿坝的电脑都将成为“肉鸡”，重新演绎暴风事件也不是没有可能……

- THE END -

如需转载请务必注明出处：快科技

#快讯

责任编辑：