EMSI的hips拦截还是信息量太少啊

显示全部楼层 · 发表于 2017-6-13 08:46:11

qftest 发表于 2017-6-10 14:26
我记得详情里好象可以查看父子进程路径的啊，改了吗？
哈希可以用来查VT辅助判断，有数签的不一定 ...

我自己向官方反应了下，回复很快啊，隔天就收到了，然而没啥用。我说你提示注入代码的时候把目标进程也显示下吧，他就让你把文件传上去做分析。我昨天下了个毛豆和SSF，才知道啥叫HIPS

显示全部楼层 · 发表于 2017-6-13 09:56:07

猫大人发表于 2017-6-13 08:46
我自己向官方反应了下，回复很快啊，隔天就收到了，然而没啥用。我说你提示注入代码的时候把目标进程也显 ...

不知道什么时侯改的，除非我记错

SSF和BUG豆那种叫做“经典HIPS”或者叫“传统HIPS”，和EMSI不太好直接横向对比，EMSI这种带行为分析的触发条件没有公开，所以没有SSF直观和直接
但如果有一行目标信息就更好了可以辅助判断，我会三天两头反复给官人洗脑这个好处的

显示全部楼层 · 发表于 2017-6-13 11:13:47

qftest 发表于 2017-6-13 09:56
不知道什么时侯改的，除非我记错
SSF和BUG豆那种叫做“经典HIPS”或者叫“传统HIPS”，和EMSI不太 ...

防漏洞部分最好也能和hmpa那样公开显示trace进程。希望他们成功被洗脑，加油哦

显示全部楼层 · 发表于 2017-6-13 13:45:36

qftest 发表于 2017-6-13 09:56
不知道什么时侯改的，除非我记错
SSF和BUG豆那种叫做“经典HIPS”或者叫“传统HIPS”，和EMSI不太 ...

但如果有一行目标信息就更好了可以辅助判断，我会三天两头反复给官人洗脑这个好处的

小Q 加油

显示全部楼层 · 发表于 2017-6-13 15:02:34

猫大人发表于 2017-6-10 13:17
举个例子，Fan{过}{滤}Qiang用的Shadowsocks大家都知道吧，我用的是SSR，运行之后就这样

我已经提交了几次了，云端都排除了，当然版本更新后就会再包，需要重新排除。
这个排除是基于MD5检测的，不是根据行为进行排除。

建议你点一次隔离，然后在里面点击误报，就可以排除了。

麻烦的是TX游戏的跟新，总是包自启，文件数目又多，很麻烦

显示全部楼层 · 发表于 2017-6-13 15:05:18

qftest 发表于 2017-6-10 14:26
我记得详情里好象可以查看父子进程路径的啊，改了吗？
哈希可以用来查VT辅助判断，有数签的不一定 ...

EMSI对于信誉不明的程序基本都会报，尤其是新出现的，任何异动都会警报，比如TX游戏1跟新，报那些跟新程序自启，虽然那些程序应该不会有毒，但是修改自启这项很奇怪，游戏更新用不着开机自启。，需要自己的判断。

有好有坏。

显示全部楼层 · 发表于 2017-6-13 17:21:36

JAYSIR 发表于 2017-6-13 15:02
我已经提交了几次了，云端都排除了，当然版本更新后就会再包，需要重新排除。
这个排除是基于MD5检测的 ...

如果信任那个游戏的话，有没试过提前手动排除该游戏整个文件夹？

显示全部楼层 · 发表于 2017-6-13 17:22:20

KevinYu0504 发表于 2017-6-13 13:45
小Q 加油

看我的渣鸟语威力，把官人侃晕

显示全部楼层 · 发表于 2017-6-13 17:30:26

qftest 发表于 2017-6-13 17:22
看我的渣鸟语威力，把官人侃晕

其实我以前问过 Emsi 客服，
如果英文很差，用中文给他们写信行不行，
官方回我可以，不过他们客服部门没人懂中文，
所以会靠翻译机来协助。

不过机器翻译出来的品质，中文也变成外星文了，
有时候还是靠人脑翻译比较值得信任

说个小笑话，
我有个亲戚英语完全不行，
所以跟外国人沟通时，都靠翻译网站协助，
有次他想问 " 你这些东西全部多少钱 "，
但翻译机抽风，竟然把原意翻译成 " 你全部财产有多少 "，
让老外看了傻眼

后来才知道闹了笑话

显示全部楼层 · 发表于 2017-6-14 11:14:02

主要是自己注入自己的时候也会提示注入，这就比较尴尬了

最好有提示谁注入谁，路径分别显示出来

[讨论] EMSI的hips拦截还是信息量太少啊