使用ESET的[HIPS]/[防火墙]限制绿色软件的活动范围（设置简单，懒人专用）

fireherman

如果可以，我想大部分用户都喜欢用绿色版的软件。

为什么？

因为无需安装：避免和系统无媒媾和

因为卸载时没有残留：无产阶级好，离婚了不会出现争产风波，好聚好散。

但是……但是……但是……绿色软件真的那么绿色，那么环保吗？

我想大部分人都抱怀疑态度，尤其是当下这个物欲横流的、纸醉金迷的、星色犬马的、有中国特色的环境下……很多“绿色”软件们都总要留个小尾巴，嗲声嗲气地、万种风情地在你耳边吹吹风：“大哥，您会想我吗？” 然后右手轻轻地抚摸着你的后背，左手悄悄插进你的裤兜……

好啦好啦，黄文就不写了，用一个实例来说说该怎么做吧。

这里以一个绿色版的街机模拟器为例：

软件	MAME plus 0.118
地址	http://mamecn.com/jiejirom/42.html
配件	ROM（powerins.zip）
地址	http://mamecn.com/jiejirom/393.html
说明	需要把ROM放在MAME的roms目录里（如：D:\Games\MAME_plus_0118\roms）
备注	此网站的下载虽说要用FlashGet（已改变），但其实可以用浏览器下载 （FTP服务器，如果防火墙设置精细，记得开放21端口） 我使用的是FireFox的DTA

首先要进行扫描（没扫描过就解压运行就是作死）

fireherman

重头戏：就算扫描miss，但不代表这个绿色软件就没问题。

编写HIPS规则限定软件的【可操作范围】

【通杀规则】：

名称：[阻止]MAME街机模拟器
操作：阻止
启动规则[√] 日志[√] 通知用户[×]
源应用程序	D:\Games\MAME_plus_0118\mamep.exe D:\Games\MAME_plus_0118\mamepgui.exe （ESET的HIPS不支持通配符 *.exe，需要一个一个填写）
目标文件 [FD规则]
	删除文件	全部有效（留空）
	写入到文件
	直接访问磁盘
	安装全局挂钩
	加载驱动程序
目标应用程序 [AD规则]
	调试其他应用程序	全部有效（留空）
	拦截其他应用程序的事件
	终止/暂停其他应用程序
	启动新应用程序
	修改其他应用程序的状态
目标注册表 [RD规则]
	修改启动设置	全部有效（留空）
	从注册表删除
	重命名注册表键
	修改注册表

---

通杀规则建立后，就要建立【放行规则】，否则程序无法正常使用：

由于此目录里有两个程序（可执行文件），就这样设置，它们在自己的目录里怎么捣鼓都影响不到系统。

这里其实可能有漏洞的，望大神/高手支招

名称：[允许]MAME街机模拟器
操作：允许
启动规则[√] 日志[√] 通知用户[×]
源应用程序	D:\Games\MAME_plus_0118\mamep.exe D:\Games\MAME_plus_0118\mamepgui.exe
目标文件 [FD规则]
	删除文件	D:\Games\MAME_plus_0118\*.* 绝对不能勾选加载驱动程序（加驱），高危行为 真正的绿色软件也不应该有加驱行为，都加驱了还绿色个毛线啊？
	写入到文件
	直接访问磁盘
	安装全局挂钩
	加载驱动程序
目标应用程序 [AD规则]
	调试其他应用程序	D:\Games\MAME_plus_0118\*.* ESET的HIPS就是奇怪，源不能用通配符，调用却可以。
	拦截其他应用程序的事件
	终止/暂停其他应用程序
	启动新应用程序
	修改其他应用程序的状态
目标注册表 [RD规则]
	修改启动设置	全部无效（留空）
	从注册表删除
	重命名注册表键
	修改注册表

fireherman

HIPS规则只能限制程序本地动作，把防火墙也设置起来，形成联动机制（避免程序下载文件，然后调用）

两个程序要分开建立，但规则是一样的（禁止程序联网），就把一条写出来吧。

名称：[拒绝][双向][TCP/UDP]禁止MAMEp通信[全局]
启动规则[√] 日志[√] 通知用户[×]
应用程序	D:\Games\MAME_plus_0118\mamep.exe
常规
	方向	两者（出站/入站）
	操作	拒绝
	协议	TCP & UDP
	配置	用于每个
	日志	勾选
本地
	本地端口	留空（用于每个）
	应用程序	D:\Games\MAME_plus_0118\mamep.exe
远程
	远程端口	留空（用于每个）
	远程地址	留空（用于每个）

fireherman

搞完就当然可以运行看看了。






看看 HIPS/防火墙 记录



HIPS记录：有些注册表的访问，阻止也无大碍。

[mw_shl_code=css,true]2016/10/22 10:54:44        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\eggor.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:44        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\gorkans.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:44        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\mrtnt.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:44        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\eyeszac.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:44        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\eyes2.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:44        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\eyes.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:44        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\ctrpllrp.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:44        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\joyman.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:44        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\pacplus.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\paintrlr.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\mbrush.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\korosuke.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\maketrxb.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\maketrax.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\crush4.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\crush3.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\crush2.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\crush.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\abscam.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\piranhah.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\hangly3.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\hangly2.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\hangly.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\pacheart.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\newpuckx.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\newpuc2b.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\newpuc2.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\pacmod.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\puckmod.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\pacmanf.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\pacman.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\puckmanh.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\puckmanf.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\puckmana.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\puckman.ini        允许一些访问        [允许]MAME街机模拟器        删除文件
2016/10/22 10:54:43        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\MAME.ini        允许一些访问        [允许]MAME街机模拟器        写入到文件,获取文件独占访问权
2016/10/22 10:54:42        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\ini\mame32ui.ini        允许一些访问        [允许]MAME街机模拟器        写入到文件,获取文件独占访问权
2016/10/22 10:54:37        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\cfg\powerins.cfg        允许一些访问        [允许]MAME街机模拟器        写入到文件,获取文件独占访问权
2016/10/22 10:54:37        D:\Games\MAME_plus_0118\mamepgui.exe        获取文件访问权        D:\Games\MAME_plus_0118\cfg\default.cfg        允许一些访问        [允许]MAME街机模拟器        写入到文件,获取文件独占访问权
2016/10/22 10:54:04        D:\Games\MAME_plus_0118\mamepgui.exe        修改注册表        HKEY_USERS\xxx\Software\Microsoft\DirectInput\MostRecentApplication\MostRecentStart        已阻止        [阻止]MAME街机模拟器       
2016/10/22 10:54:04        D:\Games\MAME_plus_0118\mamepgui.exe        修改注册表        HKEY_USERS\xxx\Software\Microsoft\DirectInput\MostRecentApplication\Id        已阻止        [阻止]MAME街机模拟器       
2016/10/22 10:54:04        D:\Games\MAME_plus_0118\mamepgui.exe        修改注册表        HKEY_USERS\xxx\Software\Microsoft\DirectInput\MostRecentApplication\Name        已阻止        [阻止]MAME街机模拟器       
2016/10/22 10:54:04        D:\Games\MAME_plus_0118\mamepgui.exe        修改注册表        HKEY_USERS\xxx\Software\Microsoft\DirectInput\MostRecentApplication\Version        已阻止        [阻止]MAME街机模拟器       
2016/10/22 10:54:04        D:\Games\MAME_plus_0118\mamepgui.exe        修改注册表        HKEY_USERS\xxx\Software\Microsoft\Direct3D\MostRecentApplication\Name        已阻止        [阻止]MAME街机模拟器       
2016/10/22 10:54:04        D:\Games\MAME_plus_0118\mamepgui.exe        启动新应用程序        D:\Games\MAME_plus_0118\mamepgui.exe        已允许        [允许]MAME街机模拟器       
2016/10/22 10:51:33        D:\Games\MAME_plus_0118\mamepgui.exe        修改注册表        HKEY_USERS\xxx\Software\Microsoft\DirectInput\MostRecentApplication\MostRecentStart        已阻止        [阻止]MAME街机模拟器       
2016/10/22 10:51:33        D:\Games\MAME_plus_0118\mamepgui.exe        修改注册表        HKEY_USERS\xxx\Software\Microsoft\DirectInput\MostRecentApplication\Id        已阻止        [阻止]MAME街机模拟器       
2016/10/22 10:51:33        D:\Games\MAME_plus_0118\mamepgui.exe        修改注册表        HKEY_USERS\xxx\Software\Microsoft\DirectInput\MostRecentApplication\Name        已阻止        [阻止]MAME街机模拟器       
2016/10/22 10:51:33        D:\Games\MAME_plus_0118\mamepgui.exe        修改注册表        HKEY_USERS\xxx\Software\Microsoft\DirectInput\MostRecentApplication\Version        已阻止        [阻止]MAME街机模拟器       
2016/10/22 10:51:33        D:\Games\MAME_plus_0118\mamepgui.exe        修改注册表        HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\DirectDraw\MostRecentApplication\ID        已阻止        [阻止]MAME街机模拟器       
2016/10/22 10:51:33        D:\Games\MAME_plus_0118\mamepgui.exe        修改注册表        HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\DirectDraw\MostRecentApplication\Name        已阻止        [阻止]MAME街机模拟器        [/mw_shl_code]

---

防火墙记录：（无通信）

---

windows7爱好者

没分了，先来顶贴

小小瞻

学习一下

猪头无双

了解一下，触类旁通的给火绒的自定义规则来点料

ysj963

心累的规则。

ysj963

其实我还是建议 直接给个关键注册表项，文件夹、应用程序的名单，让我们添加，其他就看自己了 。

fireherman

猪头无双 发表于 2016-10-22 15:53
了解一下，触类旁通的给火绒的自定义规则来点料

WD+Comodo不是更好吗？