●●●●●●●●●●●●●●● 毛豆v6安全性之 —— 坑爹的手动入沙 ●●●●●●

darkwolf_99

测试环境：win7x64

测试样本：还是那个非著名QQ盗号样本 ，http://bbs.kafan.cn/thread-1434781-1-1.html

测试过程：

手动IE入沙，Limited级别



入沙的IE里启动样本



直接被过，整个测试过程，毛豆无任何弹窗



虽然在这里样本继承了IE的Limited的权限（毛豆也是奇怪，这权限一会儿继承，一会儿不继承 ，http://bbs.kafan.cn/thread-1439083-5-1.html），可是还是一样被过。但是单独测试这个样本时，在Limited级别，却能被防御住 ）


结论：v6的手动入沙让IE轻易被“在线秒杀”（模拟IE被在线秒杀），推而广之，v6手动入沙安全性大打折扣。

逻辑上的设计也许是正确的，但实际使用上，安全性很低


毛豆的虚拟型沙盘还有很长的路要走，没有沙盘多开，安全性永远是虚拟型沙盘头疼的问题

a256886572008

這樣本之前就測過了，只有 restricted 才能防住。

同個沙盤之下，和 sandboxie 的 drop rights 一樣，limited 無法攔截。

firefox3

我歪歪楼问下，那个沙盘可以用注册机注册的？3.46？

klhp

对v6沙盘短期内超越sandboxie不报希望，继续观望毛豆的沙盘优化

darkwolf_99

a256886572008 发表于 2013-1-3 18:02
這樣本之前就測過了，只有 restricted 才能防住。

同個沙盤之下，和 sandboxie 的 drop rights 一樣，li ...

错 　

restricted只是能比前面两个级别，防住样本隐藏QQ桌面窗口（SBie默认不降权就能防 ）

Partially limited　和　Limited都有下面这个弹窗，阻止了当然就防住



这个贴指出的是，Partially limited　和　Limited　两个级别下，本来能防住，但父进程如果是手动入沙（Partially limited　和　Limited级别），比如主题贴里的IE，反而防不住，虽然样本表面上继承了父进程的级别限制——这是另一个问题

就别说SBie了，同一个沙盘里运行那是错误的用法（主贴里的测试，QQ可是信任运行，图里有），就像毛豆已经是红色高危的弹窗，用户还要死脑筋点允许一样 　而且SBie无需降权


v6的另一个bug就不说了，你我都知道，v5没有

darkwolf_99

firefox3 发表于 2013-1-3 18:28
我歪歪楼问下，那个沙盘可以用注册机注册的？3.46？

这都歪哪儿去了

darkwolf_99

klhp 发表于 2013-1-3 19:15
对v6沙盘短期内超越sandboxie不报希望，继续观望毛豆的沙盘优化

只要没有沙盘多开，毛豆的虚拟沙盘长期做到与sbie平齐也不抱希望

只是没想到原来安全问题这么多，不只是虚拟上有问题，权限继承上也有问题

想想，要是S大来做，不至于搞成这样

没测v5，不清楚v5的手动入沙是不是也有同样的问题

a256886572008

darkwolf_99 发表于 2013-1-3 20:13
错 　

restricted只是能比前面两个级别，防住样本隐藏QQ桌面窗口（SBie默认不降权就能防[:1 ...

別把 HIPS 的功能 說成是 BB 的。

要測 BB之前，得先關 HIPS。

darkwolf_99

a256886572008 发表于 2013-1-3 21:06
別把 HIPS 的功能 說成是 BB 的。

要測 BB之前，得先關 HIPS。

测的是个整体，省得又有人说——怎么能单测某个模块呢，毛豆是个整体，晕

这个测试一样是毛豆的三个（hips，BB和sandbox）都开，一样被完过


另，毛豆对沙盘外进程的保护比SBie差多了

a256886572008

darkwolf_99 发表于 2013-1-3 21:40
测的是个整体，省得又有人说——怎么能单测某个模块呢，毛豆是个整体，晕

这个测试一样是毛豆的三 ...

既然說整體，怎麼不開雲和反病毒呢？