如何实现IAmsiStream支持Windows流式恶意软件扫描并修复20MB以上文件报错

你实现的IAmsiStream接口扫描大于20MB文件失败的核心原因是：Windows Defender AMSI引擎对体积超过20MB的扫描内容，会优先请求AMSI_ATTRIBUTE_CONTENT_ADDRESS属性直接读取内容所在的完整内存地址，而非逐段调用Read方法读取流。你现有代码中对该属性直接返回E_NOTIMPL（未实现），触发参数校验失败，就会抛出Value does not fall within the expected range错误。

你可以根据业务场景选择以下两种方案修复：

方案1：实现AMSI_ATTRIBUTE_CONTENT_ADDRESS属性（适用于内存流场景） #

如果你的扫描对象大多是MemoryStream这类可以直接拿到底层缓冲区的流，可以修改GetAttribute方法中对应分支的逻辑，正确返回内容内存地址：

case AMSI_ATTRIBUTE.AMSI_ATTRIBUTE_CONTENT_ADDRESS:
    if (_input is MemoryStream ms)
    {
        // 尝试获取MemoryStream的底层缓冲区
        var buffer = ms.GetBuffer();
        // 固定缓冲区地址防止GC移动
        var handle = GCHandle.Alloc(buffer, GCHandleType.Pinned);
        try
        {
            IntPtr address = handle.AddrOfPinnedObject();
            bytes = BitConverter.GetBytes((ulong)address.ToInt64());
        }
        finally
        {
            handle.Free();
        }
    }
    else
    {
        retValue = E_NOTIMPL;
    }
    break;

注意：该方案需要确保流在扫描完成前不会被释放，缓冲区地址不会发生变动

方案2：拆分大文件扫描（适用于所有流类型） #

如果需要处理无法直接获取内存地址的流（如文件流、网络流），可以在扫描前判断流大小，超过20MB的内容拆分为多个小于20MB的分段分别扫描，避开单流超过阈值的限制。

内容的提问来源于stack exchange，提问作者Bruno Lopes