精确率PRE：mmdthash = ssdeep = vhash > tlsh

基于本篇的测试结果，在mmdthash阈值取0.95，ssdeep阈值取0.8，tlsh阈值取0.8的前提下，敏感哈希效果的综合排序如下：

tlsh > mmdthash > ssdeep > vhash

四类敏感哈希一览：

基于python_mmdt:KNN机器学习分类结果测试分析(五)文章中的mmdthash测试数据及测试结果，对ssdeep、tlsh、vhash进行对比测试。即计算mmdthash关联出的两个样本之间的ssdeep、tlsh、vhash相似度，并统计分析相关的异常值、精确度、召回率、精确率，从而得出敏感哈希算法之间的对比结果。

说明：ssdeep和tlsh在Windows上的安装比较折腾，测试直接在树莓派的Linux环境上进行。

ssdeep安装：

或者，如果linux的编译环境比较全（包含automake等工具），可以直接通过pip安装ssdeep的模糊哈希库：BUILD_LIB=1 pip install ssdeep

利用python的ssdeep库计算785个测试文件的ssdeep值，并使用json格式保存在文件中，代码如下：

ssdeep计算结果示例如下：

tlsh安装：pip install py-tlsh

利用python的tlsh库计算785个测试文件的tlsh值，并使用json格式保存在文件中，代码如下：

tlsh计算结果示例如下：

virustotal没有开源vhash的计算方法，目前只能通过virustotal的web api接口进行查询。通过virustotal的接口，同时可以获取到对应文件的ssdeep和tlsh值（估计tlsh上virustotal的时间比较短，一些老样本会缺失tlsh值）。virustotal的api文档点击这里，可以直接在页面上对接口进行测试以及生成对应开发语言的代码，使用非常方便。

注册virustotal的账户，申请api_key请参考virustotal的文档，几分钟即可完成。使用api接口进行查询的时候，注意查询频率限制。

使用python查询virustotal的代码如下：

vhash查询结果如下：

使用python_mmdt:KNN机器学习分类结果测试分析(五))中的测试结果。

将上述计算过程生成的ssdeep_test.json、tlsh_test.json、vhash_test.json、mmdthash_test.json文件中的数据，按字典形式，整合至ssdeep_tlsh_vhash_mmdthash_test.json文件中，示例如下：

使用python_mmdt:KNN机器学习分类结果测试分析(五))中的mmdthash分类结果作为依据，计算关联文件之间的ssdeep、tlsh、vhash的相似度值。计算过程有3点需要注意：

对比计算代码如下：

涉及的相关文件及下载地址：

ssdeep_tlsh_vhash_mmdthash_test.xlsx示例数据如下：

如前文所述，我们使用mmdthash的检出结果作为基线，对ssdeep、tlsh、vhash的结果进行对比。

mmdthash检出结果对比

mmdthash相似度阈值取0.95，相似度按从大到小排序，前133个文件是检出为恶意的文件，其中132个检测正确，为恶意文件，最后一个检测错误，恶意家族检测分类结果不一致。

mmdthash未检出结果对比

mmdthash相似度阈值取0.95，相似度按从大到小排序，后267个文件为未检出的文件，其中有200个检测正确，为干净文件，有67个检测错误，将恶意文件预测为干净文件。

对比

通过人工分析异常点对应的样本，mmdthash阈值取0.95，ssdeep阈值取0.8，tlsh阈值取0.8，得到统计数据如下：

如图所示：

在上述mmdthash阈值取0.95，ssdeep阈值取0.8，tlsh阈值取0.8的前提下，可得出如下结论：

综上，基于本篇的测试结果，敏感哈希效果的综合考虑如下：

tlsh > mmdthash > ssdeep > vhash

其他文件占比2%

为体现差异，特意在低性能的树莓派上执行，耗时如下：

[培训]科锐软件逆向54期预科班、正式班开始火爆招生报名啦！！！