ClamAV无法检测大ZIP及Go压缩包中的EICAR签名问题

核心现象回顾 #

• 包含EICAR的大ZIP文件无法被ClamAV检测，解压后可正常扫描出签名；小ZIP文件检测稳定，大文件检测结果不稳定
• Go/Java库生成的ZIP无法检测到内部的EICAR签名，但zip命令行工具压缩的文件可以正常检测
• 已将Max file size和scan size设置为0，取消了文件大小相关限制

可能的原因分析 #

1. ZIP格式结构兼容性问题 #

Go的archive/zip包生成的ZIP文件，在头信息格式、路径处理、数据描述符使用上，可能与标准zip命令生成的文件存在差异：

• 手动通过CreateHeader设置的头信息可能缺少某些标准字段，或字段值不符合ClamAV解压引擎的预期
• filepath.Rel生成的路径可能包含系统相关的分隔符（如Windows的\），而ClamAV的解压逻辑默认依赖Unix风格的/，导致无法正确定位内部文件
• Go的ZIP实现可能默认使用流式压缩的数据描述符，而ClamAV对这种结构的处理存在兼容性缺陷

2. 大文件解压的边界处理缺陷 #

尽管已取消文件大小和扫描大小限制，ClamAV仍可能存在以下隐藏限制：

• 大文件解压时内存缓存不足，导致部分数据流被截断，无法完整提取EICAR签名
• ZIP内部文件的解压分段处理逻辑存在bug，大文件场景下无法正确还原完整内容
• 未调整MaxScanTime、MaxRecursion、MaxFiles等其他配置项，这些参数会间接影响大ZIP文件的扫描流程

3. 压缩算法实现的细微差异 #

Go的archive/zip的Deflate压缩实现，在压缩级别、窗口大小等细节上可能与zip命令依赖的系统库（如zlib）不同。虽然EICAR是明文，但如果ClamAV的流式扫描逻辑依赖压缩数据流的特定特征，这种差异可能导致签名匹配失败。

验证与解决方法 #

验证步骤 #

• 用unzip -v命令对比Go生成的ZIP和zip命令生成的ZIP，检查头信息、压缩参数、路径格式的差异
• 开启ClamAV debug模式扫描目标ZIP：clamscan -v --debug yourfile.zip，查看日志中是否有解压失败、文件截断等错误信息
• 逐步调整ZIP内部文件大小，定位检测失效的临界点，确认是否与文件大小直接相关

代码调整建议 #

修改Go的ZIP生成逻辑，贴近标准格式：

package main

import (
    "archive/zip"
    "io"
    "log"
    "os"
    "path/filepath"
    "strings"
)

func zipSource(source, target string) error {
    f, err := os.Create(target)
    if err != nil {
        return err
    }
    defer f.Close()

    writer := zip.NewWriter(f)
    defer writer.Close()

    return filepath.Walk(source, func(path string, info os.FileInfo, err error) error {
        if err != nil {
            return err
        }

        // 替换系统路径分隔符为Unix风格，避免跨系统格式差异
        relPath, err := filepath.Rel(filepath.Dir(source), path)
        if err != nil {
            return err
        }
        relPath = strings.ReplaceAll(relPath, "\\", "/")

        var headerWriter io.Writer
        if info.IsDir() {
            relPath += "/"
            headerWriter, err = writer.Create(relPath)
        } else {
            // 使用Create而非CreateHeader，自动生成符合标准的ZIP头信息
            headerWriter, err = writer.Create(relPath)
        }
        if err != nil {
            return err
        }

        if info.IsDir() {
            return nil
        }

        f, err := os.Open(path)
        if err != nil {
            return err
        }
        defer f.Close()

        _, err = io.Copy(headerWriter, f)
        return err
    })
}

func main() {
    if err := zipSource("/path/to/source", "target.zip"); err != nil {
        log.Fatal(err)
    }
}

• 使用writer.Create替代CreateHeader，自动生成符合标准的ZIP头信息
• 强制将路径分隔符替换为/，避免系统差异影响ClamAV的文件定位

ClamAV配置调整 #

检查并修改clamd.conf或freshclam.conf中的以下参数：

MaxScanTime 0
MaxRecursion 0
MaxFiles 0

这些参数分别控制扫描超时时间、嵌套压缩层数限制、压缩包内文件数限制，设置为0表示取消限制。

版本升级 #

尝试升级ClamAV到最新稳定版，旧版本的ZIP解压引擎可能存在已知bug，新版本通常会修复这类兼容性问题。

内容的提问来源于stack exchange，提问作者Mani Kanta Ankam