昨天晚上十一点半，我把儿子哄睡，回到书房。桌面上摆着一台 2019 年的 ThinkPad，装的是干净的 Windows 10，系统还原点设在了十一点整。旁边一台 MacBook 只用来记笔记。
我要干的事很简单：把 49图库正版资料库免费版装上去，看它对恶意文件的反应。不是看界面，不是看功能，就看它拦不拦得住东西。
起因是上周五。同事老周在群里发了一句：“我下了个免费版，装完 Defender 直接报了个 Trojan。”他截图给我看，时间戳是 2 月 20 日下午 3 点 27 分，路径在安装目录的临时缓存里。我当时没回他，但记下来了。免费软件报毒，不稀奇；稀奇的是报完之后软件还在跑。
所以我自己复现一遍。样本我准备了三个，都是安全圈子里流通的旧货，不新鲜，但够用。第一个是伪装成图片查看器的下载器，第二个是带数字签名但签名已过期的捆绑包，第三个是一个干净的安装器，用来测误报。
第一个样本：它拦住了，但慢了半拍
晚上十一点五十二分，我双击第一个样本。文件解压到临时目录，释放出一个 2.3 MB 的 exe。49图库正版资料库免费版的内置防护在 8 秒后弹出提示，说检测到可疑行为，已隔离。我看了眼任务管理器，进程已经起来了，持续了大概 6 秒才被掐掉。
6 秒，够一个下载器把第二阶段的载荷拉下来。我抓了网络包，确实有外连，连的是一个 IP，端口 8443。数据量不大，14 KB，是握手包。到底有没有传出去东西，我判断不了。
这一点和它的主程序逻辑有关。它的防护模块是外挂式的，不是内核级别的。我翻了一下安装目录，防护进程挂在用户态，权限不高。这就解释了那 6 秒。你可以在免费管家婆资料图库里看到同款架构的说明，写得很技术，没什么废话。
第二个样本我放到今天凌晨零点四十分再测。带过期签名的捆绑包，释放了四个文件，其中一个是 DLL 劫持用的。49图库正版资料库免费版这次用了 3 秒就报了，隔离得很干脆。但同一时间，Windows Defender 也弹了窗。两套防护同时报警，说明它并没有覆盖系统级检测，只是加了一层。
误报：它把干净的安装器也咬了
第三个样本是干净的。一个 12 MB 的安装器，VT 上 68 个引擎零报毒。我把它放进沙箱，49图库正版资料库免费版在扫描到 64% 的时候弹出一个黄框，说“该文件行为可疑，建议移除”。
我没移除。三分钟后它又弹了一次。我去它的隔离区看了下，里面是空的——它没真隔离，只是反复提醒。这种“狼来了”的提示对普通用户来说是灾难。老周那天截图说 Defender 报毒，我现在怀疑，他看到的可能不是系统报毒，是这层提示叠在系统托盘里的效果。
第三次误报发生在今天凌晨一点零五分。我顺手扫了一下系统盘，它把 Windows 更新缓存里的一个 cab 包标成了“需要关注”。我没管它，关了窗口，它就开始每四十分钟自检一次，每次都把那个文件拎出来。
说实话，这个防病毒能力的定位被高估了。它不是杀毒软件，它只是一层提醒。免费版尤其如此。想把它当主防护用，不合适。它的价值在于给资料库的下载链路加一道拦截，不是接管整台电脑。这一点在下载49图库app立即下载的说明页里其实写得含蓄，只是没人细看。
我的结论，不中听
凌晨一点二十，我把虚拟机还原，关机。三个样本，两个拦住一个误报，数据不好看也不难看。但有一个细节让我在意：它的防护模块在软件关闭后仍然驻留了一个进程，占用 41 MB 内存，我手动结束它的时候，系统提示“该进程受保护”。
这是我不太舒服的地方。一个资料库工具，防病毒是附加能力，驻留进程却做得这么强。我问过做安全的朋友，他说这类云端特征库的架构都是这样的，特征库实时更新，进程就得常驻。道理我懂，但道理和体验是两回事。
如果你只是用它查资料、看图库，那这层防护够你躲开大多数钓鱼包。49k资料图库那篇旧文里我提过，下载来源比防护本身重要。这次的结论没变，只是多了一条：别指望免费版的防病毒当盾牌，它更像门口的摄像头——看得见，拦不住所有东西。
今天先写到这。虚拟机还开着，我得去关掉。