火绒3.0简易规则《实现部分AD功能》

电脑发烧友

win10慎用

我记得火绒论坛有一个规则叫做精钢盾，结果出来不到一天，因弹窗奇多，人称弹窗盾。但是3.0的HIPS方面有了两个令人欣喜的改变
支持定义动作发起者。
自动处理规则可用通配符。

这两点结合起来，加以利用，就可以减少大量的弹窗。

规则内容。
【文件组】系统关键目录
【文件组】特殊位置禁运
【文件组】风险程序禁运
【文件组】双后缀名欺骗
【文件组】系统引导程序
【文件组】图片\办公文档
【文件组】风险程序拦截
【文件组】程序创建监控
【文件组】常用软件保护
【注册表组】系统账户相关
【注册表组】安全模式相关
【注册表组】服务\驱动相关
【注册表组】详细安全策略
【注册表组】自启动项相关
【注册表组】系统图标相关
【注册表组】存储安全策略
【注册表组】网络协议相关
【注册表组】IE浏览器相关
【注册表组】特殊注册表项
【注册表组】网络保护相关


很遗憾，自动处理规则还是无法导出，需要我们手动设置。
我们点击左下角的——右上角的——输入*\Windows\*——下一步——
添加文件规则
    ?:\autorun.inf 禁止读取  
添加注册表规则  
    HKEY_LOCAL_MACHINE\SAM\SAM\Domains\*  禁止创建，写入删除。
    HKEY_LOCAL_MACHINE\SAM\SAM\LastSkuUpgrade\*   禁止创建写入删除   
    HKEY_LOCAL_MACHINE\SAM\SAM\RXACT\*     禁止创建写入删除
添加文件规则
    *   允许读写，创建，删除，执行。
添加注册表规则
    *   允许读写，创建，删除。

注意前后顺序，至于为什么，最后在说。


我们点击左下角的——右上角的——输入 ?:\Program Files\*  ——下一步
添加文件规则
    *   允许读写，创建，删除，执行。
添加注册表规则
    *   允许读写，创建，删除。

非×64系统不要看这行  我们点击左下角的—右上角的——输入?:\Program Files (x86)\*——下一步
添加文件规则
    *   允许读写，创建，删除，执行。
添加注册表规则
    *   允许读写，创建，删除。

我们点击左下角的——右上角的——输入System——下一步
添加文件规则
    *\Windows\*   允许读写，删除，创建，执行。


我们点击左下角的——右上角的——输入 *\>adb>.exe ——下一步
添加文件规则
    *\temp\*   允许读写，删除，创建，执行。
    ?:\Program Files (x86)\*    允许读写，删除，创建，执行。
    ?:\Program Files\*    允许读写，删除，创建，执行。
添加注册表规则
    *   允许读写，删除，创建。

我们点击左下角的——右上角的输入*╲＞zip＞╲*
添加文件规则
    *\temp\*  允许读写，删除，创建，执行。


基本就是这样了，以下是注意事项。




1.相信你已经发现了，这个规则有一个致命的弱点，就是权限放的太松了，Program Files下甚至允许全部操作，如果被恶意修改的化后果不堪设想，目前的解决方法就是。
，然后在自动处理里允许修改Program Files文件夹下的所有东西，允许修改临时目录和共享目录，还有一些常用的位置比如桌面。注册表方面例外允许临时项和网络方面，若触犯其他规则一律阻止。这样即使被注入，也不会有什么严重的后果。


2.在《【文件组】特殊位置禁运》规则中，禁运了临时目录，这样可以干掉大部分的流氓安装，但是也会影响正常的安装升级。如果直接双击压缩包内的文件，那么压缩软件会把文件拷贝到临时目录执行。所以自动处理允许了压缩软件修改执行临时目录。下载了安装包，在名字的任意一个位置添加“adb”三个字母即可进入“安装模式”，避免繁琐的弹窗。


3.嗯，打个广告，表介意

4.自动处理规则应该是阻止优先的，或者是从上到下读取，所以我说注意上下顺序。

电脑发烧友

2015年11月27日 19:23:08加入规则 风险动作拦截，实现部分AD防御。以及高危程序名的禁运。


最新规则全部已经打包上传到一楼，请自行下载。

wjy19800315

样本区看你的配置是火绒+沙盘
你的wd开了吗

9chengwo

支持火绒，虽然暂时还没用上

电脑发烧友

wjy19800315 发表于 2015-11-15 13:46
样本区看你的配置是火绒+沙盘
你的wd开了吗

主机，目前为止只有火绒，前一段时间是单奔CFW，后来发现通配符方面似乎有问题，导致原本很好的规则愣是搞得正常软件跑不起来，换成火绒了。WD我刚才看了一下，不知道是什么时候关的。

清道夫900

支持.EXE

corex

感谢分享

funken

果然是大神级别啊...

电脑发烧友

funken 发表于 2015-11-15 14:23
果然是大神级别啊...

其实这些想学就能学会

funken

火绒3.0貌似不能用系统变量写文件规则了，如%Windir%这样的