文件会通过SIP包含的SAVE检测引擎、威胁情报检测引擎、 webshellkiller等多种检测引擎检测并综合得分计算结果。SAVE引擎原理（三步走）：从海量样本集合中筛选筛选出最有效的特征集合，特征降维，将所选特征集合的向量表示从数十万维压缩到数千维，构建模型和评分系统，以实现对已知和未知恶意文件的检测。

使用场景：随着杀毒引擎和沙箱的查杀能力不断提升，使用二进制病毒进行攻击越来越容易被检出，黑客开始倾向于使用脚本进行渗透攻击。在当前流行的众多网络攻击中我们都能看到脚本利用的影子，利用恶意脚本进行攻击有如下优点：免杀：目前绝大多数杀毒引擎对脚本几乎没有查杀能力。易混淆：绝大部分脚本类型都有开源的混淆器，混淆成本相当低。功能强大：结合现有的一些开源框架，黑客几行脚本就能实现挖矿勒索渗透扩散，功能极为强大，常用来作为APT攻击的绕过脚本。

由于恶意脚本种类多，变化大，利用传统的特征码查杀技术效果差，对此，我们另辟蹊径，通过对海量样本的分析训练，推出了多特征关联分析脚本查杀引擎-Smash。Smash引擎不仅仅针对脚本文件中的某个特征码，而是对脚本上下文进行语义分析，将检出的多个特征进行关联最终命中恶意脚本。在1000个不同类型的恶意脚本测试集里，检出83%，误报仅为5%。目前已覆盖常见的脚本如Powershell、VBS、Windows批处理脚本、Linux Shell、Python、Office宏脚本、挖矿配置脚本等的检测。