毛豆全套视频 教学 （新手看六楼 高手看123楼）解密3天学会编写规则不是梦 震撼上演(

huangzhifan1

新手看六楼 高手看123楼

新增com接口复制录像

晚上解密      已经解密21楼     新增通配付替换教程28楼

套规则零基础同学必看

毛豆彻底卸载工具以备用

安装毛豆需注意事项
以前也做过视频 有空上传 这部分就省略了


1毛豆基本设置

删除两个文件就可以清空毛豆信任厂商
\Comodo\COMODO\COMODO Internet Security\database\vendor.sha

还一个文件也是vendor后缀 也在这个目录反正能删除的就是信任厂商

2 修改默认规则 重要性

大家会发现有时候两个规则之间互相切换的时候会出现 很多规则失效现象
比如规则原来禁用沙盘 现在规则沙盘没禁用

造成原因是默认规则没修改

沙盘禁用 云扫描禁用 受信任文件 不信任文件清空

自动升级 自动检测私有网络 可执行控制 全部禁止

升级会添加信任厂商名单 并且可能造成规则失效

3把规则通配付替换成绝对路径(可借鉴文章很多)
    学会记事本修改规则 以前做了视频 等有空上传

    学会通配付表达方式 很多文章都有自己看

    套规则主要学会注册表的通配付就成(实在不懂通配付就用绝对路径) ok 假如你只是套用规则 这部分只要看两眼就行
不要浪费太多时间到这里


4 首先学会看日志并复制日志拦截路径
有空上传视频

5 打磨应用程序看软件需要运行哪些主进程
比如打磨QQ 先不添加软件路径 运行QQ  会被秒杀 日志会记录 G:\Program Files\TM\Bin\TM.exe  com接口访问\Windows\ApiPort
图一
ok把 G:\Program Files\TM\Bin\TM.exe加进软件路径里  再打磨QQ看还有那些主进程 一直到没有被秒杀为止
QQ主进程好像只有两个
有同学说为什么不干脆添加整个目录比如 G:\Program Files\TM\Bin\* 或者 G:\Program Files\TM\Bin\*.exe

不安全这样一旦有病毒的exe文件进入目录

你这样整个添加就死路一条了所以只添加主要进程即可 除游戏和大型软件的主进程多些 其他软件主进程不多


反过来打磨了主进程 有病毒进入QQ目录也是套用全局规则 直接会被毛豆秒杀 呵呵

6 com接口阻止排除
很多同学会发现某某程序访问com接口被阻止
ok你只要在这个程序所在组的预定义的规则排除com接口 即可
图二
首先要知道com优先级  

里面允许 大于 里面阻止 大于   外面阻止

题外话假如com全局的话 外面阻止就是阻止全局了

注册表没全局保护的话  外面阻止只是阻止了注册表项 而不是阻止全局 不全局保护会出现即使注册表阻止了也拦截不住


访问权限优先级是从上至下  保护设置优先级是从下至上 ok现在论坛大多数规则是全局禁止


所以优先级问题不是很难不要花太多时间去琢磨优先级

重要的是琢磨规则的整体防御框架(IE 还有游戏比较多的访问com接口干脆全部放行 里面允许全局就可以了)别老来问怎么排除com接口很烦的 直接允许全局就搞定图三
受保护的文件和文件夹
受保护的注册表键
受保护的com接口


你理解成都是存放组的 地方
所以你排除什么都得先到这三个地方 建组 （当然别人建好组了你　自己到组里添加排除文件或者注册表或者ｃｏｍ）


预定义就是 设置各个组的权限　一般都到例外允许里加组　例外允许权限最大　新手一般都到这里排除


被拦截的文件意思是任何程序都不能调用文件读取文件 修改文件 当然你QQ放进被拦截的文件 ＱＱ自己也用不了


被拦截的文件权限大于Ｄ＋你关掉Ｄ＋　ＱＱ也运行不了　只有把ＱＱ从被拦截文件里删除
一般日志显示  某某程序阻止某某文件　这个文件就是被放入了被拦截文件了
7 注册表排除和com一样但是建议多看看U版那篇打磨文章 熟悉一些黑白名单

8 钩子排除 一般没什么要排除的 我的规则基本都排除好了钩子 个别大型软件老兄你就放杀毒软件组吧

9 防火墙部分 不想讲太细 直接给你们换简单的直接套上就能用的墙

10 文件保护
比如某某程序  "阻止"  某某文件 不用想是黑名单阻止了 解释下黑名单就是D+的被拦截文件
比如某某程序  "修改"  某某文件 好的到预定义文件保护里放行
比如某某程序“拦截” 一般是保护设置 和访问权限问题

比如某某程序不是有效的 "win32程序"估计是过滤组阻止了 涉及到优先级问题 只有调整相应的组了
ok我的过滤组不多 所以优先级问题不会让大家头疼
管道设备排除一般常用软件都涉及修改的几个管道和设备 组成一个组 然后在文件保护里放行
一句话排除也得有组的概念 这样才不费劲

11 假如你的文件保护想打磨更细点 比如浏览器你想让他只修改特定文件 ok我这里有些排除浏览器的文件组
你复制到规则里即可 关于怎么用记事本修改规则 前面有教程

至于哪些管道和设备是常用修改的请看U版打磨帖子 高危管道和设备请看局长命名管道保护帖子
http://bbs.kafan.cn/thread-869979-1-1.html
12.如何复制别人防火墙规则和注册表

如何把别人的防火墙规则和自己的D+规则结合
防火墙只有整体复制
一 首先把要复制的防火墙规则导入毛豆激活
二 把防火墙应用程序规则全部删除然后导出规则
三 用记事本打开被复制的规则 搜索<Firewall>之间复制</Firewall>防火墙规则
四 用记事本打开规则 搜索<Firewall></Firewall>之间覆盖以前防火墙规则即可


注册表 COM保护复制步骤
一部分复制
第一步激活规则新建几个注册表和com组
第二步在自己的规则里建几个注册表 COM组导入规则
第三步打开规则搜索</AV>或者<HIPS> 就到了注册表复制项了查找刚才新建的组
<Files></Files>之间复制就可以搞定了



二全部复制别人注册表和com接口
第一步先在原来规则里把原来的预定义里的注册表 或者com接口都删除


第二步就是导出规则搜索开头<HIPS>结尾<RegistryGroups>全部copy

com组件搜索开头COMGroups结尾COMGroups




一白一黑 加加减减之中就打磨完了



何况规则已经整理了很多管道黑名单了 你只要排除个别的白名单即可
最后总结下本想长篇大论一番 先写怎么多 其实套规则排除规则没多难的 难的是写规则的人更多视频请到清风三群群共享下载 附件太大论坛上传不了

huangzhifan1

回复 1楼 huangzhifan1 的帖子通配付替换这是我系统路径 xp系统 win7自己查看吧
并且做了通配付替换
1用记事本打开规则 点编辑 点替换 然后替换一下就可以了
control.exe控制面板
COMGroupsRegistryGroups
%Windir%\*\                  C:\WINDOWS\system32\
%Windir%\system??\           C:\WINDOWS\system32\
%Windir%\                    C:\WINDOWS\
%AllUsersProfile%\           C:\Documents and Settings\All Users\
%systemdrive%\               C:\
                             C:\Program Files\Common Files
%systemdrive%\Documents and Settings\  C:\Documents and Settings\
%systemdrive%\users\         C:\users\
%AllUsersProfile%\           C:\Documents and Settings\All Users\
--------------------------------------------------------------------------------------------------------------------------------------------
上网排除 (自己转化成通配付 我的绝对路径是C:\Documents and Settings\Administrator\)

资源管理器放行
*\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\*
*\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.???\*
*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders\Common Startup
*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders\Startup
*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\*
*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler\*
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\*\shell\*
*\Software\Microsoft\Windows\Currentversion\Explorer\Browser helper objects\*
?:\Documents and Settings\*\Cookies\index.dat
?:\Documents and Settings\*\Cookies\*.txt
?:\Documents and Settings\*\Favorites\*.url
?:\Documents and Settings\*\Recent\index.dat
?:\Documents and Settings\*\Recent\*.lnk
?:\Documents and Settings\*\UserData\index.dat
?:\Documents and Settings\*\UserData\*.xml
?:\Documents and Settings\*\Local Settings\History\*\index.dat
?:\Documents and Settings\*\Local Settings\History\History.IE5\MSHist*
?:\Documents and Settings\*\Application Data\*
?:\Documents and Settings\*\Local Settings\Application Data\*
?:\*Download*\*
?:\Documents and Settings\*\Local Settings\Temp\*.tmp
?:\Documents and Settings\*\Local Settings\Temp\etilqs_????????????????????

聊天排除
?:\Documents and Settings\*\Local Settings\index.dat
?:\Documents and Settings\*\Local Settings\History\*
?:\Documents and Settings\*\Local Settings\Temp\*.gif
?:\Documents and Settings\*\Local Settings\Temp\*.jpg
?:\Documents and Settings\*\Local Settings\Temp\*.tmp
%ProgramFiles%\*\Users\*
?:\Documents and Settings\*\Local Settings\Application Data\*
?:\Documents and Settings\*\Application Data\*
\Device\NamedPipe\lsarpc
\Device\NamedPipe\ROUTER
秒杀通道
%userpofile%\Local Settings\Temp*\*.exe
%userpofile%\Local Settings\Temp*\*.cmd
%userpofile%\Local Settings\Temp*\*.bat
%userpofile%\Local Settings\Temp*\*.sys
%userpofile%\Local Settings\Temp*\*.com
%userpofile%\Local Settings\Temp*\*.dll
%userpofile%\Local Settings\Temp*\*.vb
%userpofile%\Local Settings\Temp*\*.vbs
%userpofile%\Local Settings\Temp*\*.fnr
%programfiles%\*.com
%programfiles%\*.bat
%programfiles%\*.sys
\Device\HarddiskVolume?\RECYCLE?\*
%programfiles%\*.com
%programfiles%\*.fnr
%programfiles%\*.dll
%programfiles%\*.vb
%programfiles%\*.reg
%programfiles%\*.vbs
%programfiles%\*.asp
%programfiles%\*.hta
%programfiles%\*.url
%programfiles%\*.msi
%programfiles%\*.php
%programfiles%\*.vbs
%programfiles%\*.vbe
%programfiles%\*.scr
%programfiles%\*.mst
%programfiles%\*.pcd
%programfiles%\*.msp
%programfiles%\*.mde
%programfiles%\*.mdb
%programfiles%\*.isp
%programfiles%\*.bas
%programfiles%\*.chm
%programfiles%\*.crt
%programfiles%\*.adp
%programfiles%\*.abe
%ProgramFiles%\Common Files\Microsoft Shared\MSINFO\*
开始启动菜单拦截
%AllusersProfile%\Microsoft\Windows\Start Menu\Programs\Startup\*
%AppData%\Microsoft\Windows\Start Menu\Programs\Startup\*
%systemdrive%\Documents and Settings\*\启动\*
%windir%\system32\GroupPolicy\Machine\Scripts\Startup\*
%windir%\system32\GroupPolicy\User\Scripts\Logon\*
{35786D3C-B075-49B9-88DD-029876E11C01}
{42AEDC87-2188-41FD-B9A3-0C966FEABEC1}资源管理器放行
系统修改的文件
%windir%\msgtn.ini
%windir%\psnetwork.ini
%windir%\powerplayer.ini
%windir%\Sti_Trace.log
%windir%\WindowsUpdate.log
%windir%\Debug\UserMode\ChkAcc.log
%windir%\Debug\UserMode\ChkAcc.bak
%windir%\inf\*.pnf
%windir%\LastGood\TMP*.tmp
%windir%\Prefetch\*.pf
%windir%\system32\cid_store.dat
%windir%\system32\catroot2\dberr.txt
%windir%\system32\catroot2\edb*.log
%windir%\system32\catroot2\tmp.edb
%windir%\system32\drivers\SET*.tmp
%windir%\system32\drivers\disk.sys
%windir%\system32\drivers\usbstor.sys
*\Thumbs.db
*\Thumbs.db:encryptable


迷你迅雷
DownloadServer.XLDownloadService.1
Microsoft.XMLDOM.1.0
{00000000-0000-0000-0000-000000000000}
\RPC Control\AudioSrv
\RPC Control\epmapper
LocalSecurityAuthority.LoadDriver
{7B8A2D94-0AC9-11D1-896C-00C04FB6BFC4}
{807553E5-5146-11D5-A672-00B0D022E945}
{00000338-0000-0000-C000-000000000046}
\LsaAuthenticationPort
{275C23E2-3747-11D0-9FEA-00AA003F8646}
{00000339-0000-0000-C000-000000000046}
*\Windows\ApiPort

TM2009
{00000000-0000-0000-0000-000000000000}
LocalSecurityAuthority.LoadDriver
\LsaAuthenticationPort
{275C23E2-3747-11D0-9FEA-00AA003F8646}
\RPC Control\AudioSrv
\RPC Control\epmapper

Msxml2.DOMDocument\RPC Control\epmapper
*\Windows\ApiPort
Shell.Explorer.2
{62BE5D10-60EB-11D0-BD3B-00A0C911CE86}
{3050F3BC-98B5-11CF-BB82-00AA00BDCE0B}
LocalSecurityAuthority.IncreaseBasePriority
{529A9E6B-6587-4F23-AB9E-9C7D683E3C50}
{DCB00C01-570F-4A9B-8D69-199FDBA5723B}
TXPlatform.TXAppManager.1
{860BB310-5D01-11D0-BD3B-00A0C911CE86}


{3050F406-98B5-11CF-BB82-00AA00BDCE0B}
{7B8A2D94-0AC9-11D1-896C-00C04FB6BFC4}
JScript
{42AEDC87-2188-41FD-B9A3-0C966FEABEC1}
{00000323-0000-0000-C000-000000000046}
{FF393560-C2A7-11CF-BFF4-444553540000}
{871C5380-42A0-1069-A2EA-08002B30309D}
{50D5107A-D278-4871-8989-F4CEAAF59CFC}
{6C736DB1-BD94-11D0-8A23-00AA00B58E10}
Trident.HTMLEditor.1
TXFTNActiveX.FTNUpload.1
Microsoft.XMLHTTP.1.0
{8F6B0360-B80D-11D0-A9B3-006097942311}
PeerFactory.PeerFactory.1
{3050F3B2-98B5-11CF-BB82-00AA00BDCE0B}
ImgUtil.CoMapMIMEToCLSID.1
Msxml2.XMLHTTP
{603D3800-BD81-11D0-A3A5-00C04FD706EC}
{03C036F1-A186-11D0-824A-00AA005B4383}
BehaviorFactory.Microsoft.DXTFilterFactory.1
{42AEDC87-2188-41FD-B9A3-0C966FEABEC1}
{00BB2763-6A77-11D0-A535-00C04FD7D062}
AppCom.RichPicObj.1
风雷
{603D3800-BD81-11D0-A3A5-00C04FD706EC}
{03C036F1-A186-11D0-824A-00AA005B4383}
\LsaAuthenticationPort
{E436EBB3-524F-11CE-9F53-0020AF0BA770}
\RPC Control\epmapper
系统钩子
%windir%\*\MSCTF.dll
%windir%\*\shell32.dll
%windir%\*\mshtml.dll
%windir%\*\dwmapi.dll
%windir%\*\ati2evxx.dll
复习阅读器一般启动
{03C036F1-A186-11D0-824A-00AA005B4383}
{603D3800-BD81-11D0-A3A5-00C04FD706EC}
{03C036F1-A186-11D0-824A-00AA005B4383}
\RPC Control\epmapper

winrar
修改 文件  \Device\NamedPipe\lsarpc

LocalSecurityAuthority.12bd7c
{00BB2765-6A77-11D0-A535-00C04FD7D062}
{35786D3C-B075-49B9-88DD-029876E11C01}
{03C036F1-A186-11D0-824A-00AA005B4383}
{640167B4-59B0-47A6-B335-A6B3C0695AEA}
{00BB2763-6A77-11D0-A535-00C04FD7D062}
{E211B736-43FD-11D1-9EFB-0000F8757FCD}
{00000000-0000-0000-0000-000000000000}
{0AF10CEC-2ECD-4B92-9581-34F6AE0637F3}

搜狗浏览器排除
\RPC Control\AudioSrv
\RPC Control\epmapper


\BaseNamedObjects\msctf.serverDefault1
\ThemeApiPort
\LsaAuthenticationPort
{BCDE0395-E52F-467C-8E3D-C4579291692E}
{3050F406-98B5-11CF-BB82-00AA00BDCE0B}
htmlfile
\NLAPublicPort
{00000339-0000-0000-C000-000000000046}
{79EAC9E2-BAF9-11CE-8C82-00AA004BA90B}
{00000000-0000-0000-0000-000000000000}
LocalSecurityAuthority.LoadDriver
{275C23E2-3747-11D0-9FEA-00AA003F8646}
{56FDF344-FD6D-11D0-958A-006097C9A090}
{50D5107A-D278-4871-8989-F4CEAAF59CFC}
{FF393560-C2A7-11CF-BFF4-444553540000}
{7B8A2D94-0AC9-11D1-896C-00C04FB6BFC4}
JScript
8D6D1E9A-EB0B-7986-3042-39E98CE9B587.Addr
{00000323-0000-0000-C000-000000000046}
{3050F3BC-98B5-11CF-BB82-00AA00BDCE0B}
{79EAC9E5-BAF9-11CE-8C82-00AA004BA90B}
{8F6B0360-B80D-11D0-A9B3-006097942311}
{6C736DB1-BD94-11D0-8A23-00AA00B58E10}
Trident.HTMLEditor.1
PeerFactory.PeerFactory.1
BehaviorFactory.Microsoft.DXTFilterFactory.1
ImgUtil.CoMapMIMEToCLSID.1
ShockwaveFlash.ShockwaveFlash.10
{D1FE6762-FC48-11D0-883A-3C8B00C10000}
{0002E005-0000-0000-C000-000000000046}
ImgUtil.CoSniffStream.1
*\Windows\ApiPort


\Device\Ip
\Device\Tcp*
\Device\KsecDD
\Device\RasAcd
\Device\Afd\*Hlp
\DosDevices\pipe\
\Global??\FltMgrMsg
\Device\Afd\Endpoint
\Device\NetBT_Tcpip_*

迅雷看看
{00000000-0000-0000-0000-000000000000}
Microsoft.XMLDOM.1.0
\RPC Control\epmapper
\LsaAuthenticationPort
{0002E005-0000-0000-C000-000000000046}
\RPC Control\OLED174D1FDED224BDFA044FB6C1859
DapCtrlModule.OFrameObject.1
DapCtrlModule.OFrameObject.1
ImgUtil.CoMapMIMEToCLSID.1
{D5F0FE02-E8E0-4F8D-98D1-2381E3F773E6}
LocalSecurityAuthority.LoadDriver
{00000323-0000-0000-C000-000000000046}
APlayer.Player.1
Shell.Explorer.2
{275C23E2-3747-11D0-9FEA-00AA003F8646}
DapCtrl.DapCtrl.1
{3050F3BC-98B5-11CF-BB82-00AA00BDCE0B}
\RPC Control\tapsrvlpc
htmlfile
{8F6B0360-B80D-11D0-A9B3-006097942311}
{7B8A2D94-0AC9-11D1-896C-00C04FB6BFC4}
ImgUtil.CoSniffStream.1
Trident.HTMLEditor.1
PNGFilter.CoPNGFilter.1
{6C736DB1-BD94-11D0-8A23-00AA00B58E10}
{00000339-0000-0000-C000-000000000046}
{FF393560-C2A7-11CF-BFF4-444553540000}
Microsoft.XMLHTTP.1.0
BehaviorFactory.Microsoft.DXTFilterFactory.1
{50D5107A-D278-4871-8989-F4CEAAF59CFC}
{807553E5-5146-11D5-A672-00B0D022E945}
{D5F0F030-E8E0-4F8D-98D1-2381E3F773E6}
{D1FE6762-FC48-11D0-883A-3C8B00C10000}
\RPC Control\AudioSrv
\ThemeApiPort
{CDA42200-BD88-11D0-BD4E-00A0C911CE86}
{B78801F1-152C-4F1D-9224-1A42087651CE}
{3050F3B2-98B5-11CF-BB82-00AA00BDCE0B}
C:\WINDOWS\explorer.exe
酷狗com组件等于迅雷看看加上这个
lnkfile
{D27CDB6E-AE6D-11CF-96B8-444553540000}
{3050F406-98B5-11CF-BB82-00AA00BDCE0B}
{E436EBB3-524F-11CE-9F53-0020AF0BA770}
\RPC Control\*
{871C5380-42A0-1069-A2EA-08002B30309D}
{1E651CC0-B199-11D0-8212-00C04FC32C45}
{E436EBB1-524F-11CE-9F53-0020AF0BA770}
{51B4ABF3-748F-4E3B-A276-C828330E926A}
{E4979309-7A32-495E-8A92-7B014AAD4961}
{3050F3BC-98B5-11CF-BB82-00AA00BDCE0B}
{2D2E24CB-0CD5-458F-86EA-3E6FA22C8E64}
BehaviorFactory.Microsoft.DXTFilterFactory.1


?:\FavoriteVideo\*
?:\ppsvodcache\*
%windir%\System??\catroot
%windir%\System??\catroot2
G:\KuGou\*
\DosDevices\pipe\*
D:\Program Files\KuGou\KuGou2010\*



酷狗排除注册表
*\SOFTWARE\KuGoo\*
*\SOFTWARE\Microsoft\Direct3D\MostRecentApplication\*
*\SOFTWARE\CoreVorbis\UsePostGain
*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\MigrateProxy
*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common AppData
*\SOFTWARE\Microsoft\PCHealth\ErrorReporting\DW\*

ps日志
*\SOFTWARE\Microsoft\Windows\CurrentVersion\StillImage\*
HKUS\SOFTWARE\Classes\CLSID\{6A104E4C-74AB-4C4F-BC77-10FC0FD1B172}\ProgID
*\SYSTEM\CurrentControlSet\Control\StillImage\Trace  
*\SYSTEM\ControlSet???\Services\Tcpip\Parameters
*\SYSTEM\ControlSet001\Control\StillImage\*
*\Software\Adobe\Photoshop\*

修改文件
\SystemRoot\AppPatch\AppPatch64\sysmain.sdb
\Device\C:
\Device\D:

智能优盘使用方法

第一步，插入打算禁用的优盘，在位于桌面上的“计算机”图标上单击鼠标右键，选择快捷菜单上的“属性”命令。在弹出的对话框中，单击左侧任务窗口上的“设备管理器”选项。

第二步，展开页面中的“便携设备”选项，在下级的优盘设备菜单上单击鼠标右键，选择右键菜单上的“属性”命令（如图1）。

此时会弹出属性对话框。切换至“详细信息”页面，展开“属性”列表，然后选择“硬件ID”，在“值”区域中会显示该优盘的硬件ID信息。接着将该设备的硬件ID信息复制下来。为便于叙述，在此其称为“值1”。由于每个优盘的硬件ID均独一无二，就像人们的身份信息一样，因此便为后面禁用该设备打下伏笔。

第三步，返回“设备管理器”主窗口，然后展开“通用串行总线控制器”列表，右键单击其中的“USB大容量存储设备”选项，选择右键菜单上的“属性”命令。在打开的对话框中单击“详细信息”选项卡，同样在“属性”列表中选择“硬件ID”选项，将“值”区域中的内容复制下来，在此称其为“值2”。

制定禁用策略

按一下组合键“Win+R”以开启“运行”对话框，在“打开”栏目中输入“gpedit.msc”，此时“组策略编辑器”将会被开启。

第一步，依次选择“计算机配置→管理模板→系统→设备安装→设备安装限制”选项，右键单击右侧的“阻止使用与下列设备安装程序类相匹配的驱动程序安装”选项（如图2）。

第二步，选择“属性”命令打开属性对话框，然后选择“已启用”可选项，按一下“显示”按钮。在接下来出现的对话框中，单击“添加”按钮，将前面所复制的“值1”粘贴其中（如图3）。

第三步，返回到“设备安装限制”页面，双击“阻止安装与下列任何设备ID相匹配的设备”选项。单击“已启用”可选项并按下“显示”按钮。在随后打开的对话框中单击“添加”按钮，粘贴“值2”于输入框内。

单击“确定”按钮完成组策略中所有的设置。

在做完手脚前，需再次进入“设备管理器”窗口，分别将“便携设备”下的设备驱动以及“USB大容量存储设备”的驱动卸载。

经此设置后，当他人再次在电脑中使用该优盘时，便会出现“设备安装被策略阻止的提示，令该优盘无法使用（如图4）。

按上述方法，我们可以逐一将打算禁用的优盘实施相同的操作，以达到禁用之目的，而未处在禁用之列的优盘则不会受到任何限制，可以任意使用。

小提示

倘若禁用的优盘过多，也可以进入组策略编辑器的“设备安装限制”页面，启用右侧区域中“禁止安装可移动设备”选项，然后在设备管理器中将相关优盘驱动卸载，以达到禁用所有移动设备（包括优盘）的目的。当自己打算使用移动设备时，再将该选项禁用即可。


（1）要找到局域网内其他运行Windows Vista/7操作系统的计算机，请打开下列端口:

UDP 3702 UDP 5355 TCP 5357 TCP 5358

（2）要找到局域网内其他运行Windows 2000/XP系统的计算机，或者需要使用“文件与打印机共享”，请打开下列端口:

UDP 137 UDP 138 TCP 139 TCP 445 UDP 5355

（3）要找到网络设备（使用网络设备发现功能），请打开下列端口:

UDP 1900 TCP 2869 UDP 3702 UDP 5355 TCP 5357 TCP 5358

（4）要使两台运行Windows 7的计算机能够正常通过HomeGroup连接，请打开下列端口:

UDP 137  UDP 138 TCP 139 TCP 445 UDP 1900 TCP 2869 UDP 3540 UDP 3702
UDP 5355 TCP 5357TCP 5358

huangzhifan1

回复 2楼 huangzhifan1 的帖子

抄袭斑竹 资源管理器注册表放行

--------------------------\Explorer\Shell Folders\12个--------------------------------------

HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\AppData

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common AppData
KUS\*\SOFTWARE\SogouInput.user\Used


HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Local AppData


HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Desktop


HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Programs


HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Start Menu


HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Recent


HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Favorites


HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\CD Burning


HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Personal




--------------------------HKLM\*\Explorer\Shell Folders\5个开机--------------------------------------
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Startup




HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Administrative Tools




HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Start Menu


HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Programs




HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Desktop这里大家自己补充


----------------------------------------------------HKUS\Internet Explorer\Desktop\7个开机--------------------------------------7个开机--------------------------------------
HKUS\*\SOFTWARE\Microsoft\Windows\ShellNoRoam\BagMRU\NodeSlots 磁盘驱动器


HKUS\*\SOFTWARE\Microsoft\Windows\ShellNoRoam\BagMRU\MRUListEx


HKUS\*\SOFTWARE\Microsoft\Internet Explorer\Desktop\Components\0\Position


HKUS\*\SOFTWARE\Microsoft\Internet Explorer\Desktop\Components\0\CurrentState


HKUS\*\SOFTWARE\Microsoft\Internet Explorer\Desktop\Components\0\RestoredStateInfo


HKUS\*\SOFTWARE\Microsoft\Internet Explorer\Desktop\Components\GeneralFlags


HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu\Programs\Order


--------------------------\Explorer\3个--------------------------------------

HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\FaultCount


HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\FaultTime


HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\CleanShutdown


--------------------------\Clients\1个--------------------------------------
HKLM\SOFTWARE\Clients\StartMenuInternet\*


--------------------------\Explorer\MountPoints2\CPC\Volume\用了通配付--------

HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\CPC\Volume\*\Data


HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\CPC\Volume\*\Generation


HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\CPC\Volume\*\Data


HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\CD Burning\Drives\Volume*


--------------------------Explorer\MountPoints2\2个--------
HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\*\BaseClass




HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartPage\ProgramsCache


--------------------------\Microsoft\Windows\Shell\2个--------
HKUS\*\SOFTWARE\Microsoft\Windows\Shell\BagMRU\NodeSlots


HKUS\*\SOFTWARE\Microsoft\Windows\Shell\BagMRU\MRUListEx


-------------------------\Tracing\Microsoft\eappcfg10个--------
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\Microsoft\eappcfg\LogSessionName


HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\Microsoft\eappcfg\ControlFlags


HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\Microsoft\eappcfg\traceIdentifier\Guid


HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\Microsoft\eappcfg\traceIdentifier\BitNames


HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\Microsoft\eappprxy\LogSessionName


HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\Microsoft\eappprxy\Active


HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\Microsoft\eappprxy\ControlFlags


HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\Microsoft\eappprxy\traceIdentifier\Guid


HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\Microsoft\eappprxy\traceIdentifier\BitNames


HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Applets\SysTray\Services


HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Applets\SysTray\Services


-------------------------\MenuOrder\Start Menu\3个--------
HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu\Order


HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\Microsoft\eappcfg\Active


HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu\NetConnections\Order


------------------------\Explorer\Shell Folders\1个--------
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\Microsoft\eappcfg\LogSessionName


HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\My Pictures


HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Discardable\PostSetup\Component Categories\*\Enum\Implementing


HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu\Programs\*\Order


应用程序图标
HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\*\Count\HRZR_*


我的电脑
HKUS\*\SOFTWARE\Microsoft\Internet Explorer\Toolbar\Locked

HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProxyBypass

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\*这个用了通配

HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\*这个用了通配 可以缩小范围 太累 大家可以去掉这个自己缩小范围
盘符
*\Software\Microsoft\Windows\ShellNoRoam\MUICache\*这个用了通配


回收站图标
HKUS\*\Software\Microsoft\Windows\CurrentVersion\Explorer\BitBucket\?\*


HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\*\Count\HRZR_*

文件关联


HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\FileExts\*




*
开关机
HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StuckRects2\*

HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Streams\Desktop\TaskbarWinXP

HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Streams\Desktop\Toolbars

HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\TrayNotify\PastIconsStream

HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\TrayNotify\IconStreams

HKLM\SYSTEM\ControlSet003\Services\Eventlog\Application\ESENT\*这个用了通配

HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\UserRequestedUpdate

注销
HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SessionInfo\*\StartupHasBeenRun

HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SessionInfo\*这个用了通配

HKUS\*\SOFTWARE\Microsoft\Internet Explorer\Desktop\Old WorkAreas\*这个用了通配
画图
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\*这个用了通配
HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs\*这个用了通配

HKUS\*\SessionInformation这个注册表不知道干嘛的  资源管理器要修改注册表太多了 还是阻止关键的
文件共享注册表
HKLM\SYSTEM\ControlSet???\Control\Lsa\ForceGuest

huangzhifan1

回复 3楼 huangzhifan1 的帖子
以下accordion 老弟补充自行缩小范围
音频文件HKLM\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\*
资源管理器放行ie
HKUS\*\Microsoft\Internet Explorer\Toolbar\Explorer\ITBarLayout
HKUS\*\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\*\iexplore\*
HKUS\*\Software\Microsoft\Internet Explorer\Desktop\Old WorkAreas\NoOfOldWorkAreasHKUS\*\Software\Microsoft\Internet Explorer\Desktop\Old WorkAreas\OldWorkAreaRects
HKUS\*\Software\Microsoft\Internet Explorer\TypedURLs
打印
HKUS\*\Printers\Settings\Wizard\*
安装程序注册表


HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\*\Products\*\Usage\*

显示隐藏文件
*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\*
HKUS\*\SOFTWARE\Microsoft\Windows\ShellNoRoam\BagMRU\*



ctfmon启动项
HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\internat.exe


HKUS\*\SOFTWARE\Microsoft\CTF\LangBar\ShowStatus
HKUS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ctfmon.exe

huangzhifan1

回复 4楼 huangzhifan1 的帖子
资源管理器全局 要排除的com接口    系统xp 常用全局排除 是抄袭accordion 老弟的开机显示需要

资源管理器显示需要

{ECD4FC4D-521C-11D0-B792-00A0C90312E1}

{750FDF0E-2A26-11D1-A3EA-080036587F03}

HardwareDeviceNotif.1 这个接口可要可不要

\RPC Control\epmapper

{00000339-0000-0000-C000-000000000046}

C:\WINDOWS\system32\svchost.exe

\RPC Control\OLE671E031DE77A40C9A0D0A3098C3A

{68284FAA-6A48-11D0-8C78-00C04FD918B4}

{42AEDC87-2188-41FD-B9A3-0C966FEABEC1}

{8B4A02DB-97BB-4C1B-BE75-8827A7358CD0}

{603D3801-BD81-11D0-A3A5-00C04FD706EC}

开始菜单需要
{E13EF4E4-D2F2-11D0-9816-00C04FD91972}
{AF604EFE-8897-11D1-B944-00A0C90312E1}
{4622AD11-FF23-11D0-8D34-00A0C90F2719}
{5B4DAE26-B807-11D0-9815-00C04FD91972}
{A5E46E3A-8849-11D1-9D8C-00C04FC99D61}
{E13EF4E4-D2F2-11D0-9816-00C04FD91972}
\RPC Control\OLE1CFBB782A1D64276A79A5597C550
{ECD4FC4F-521C-11D0-B792-00A0C90312E1}
{E13EF4E4-D2F2-11D0-9816-00C04FD91972}
{53BD6B4E-3780-4693-AFC3-7161C2F3EE9C}
{D912F8CF-0396-4915-884E-FB425D32943B}
{7FEBAF7C-18CF-11D2-993F-00A0C91F3880}
{95CE8412-7027-11D1-B879-006008059382}
{D912F8CF-0396-4915-884E-FB425D32943B}
文件搜索需要
{9BA05972-F6A8-11CF-A442-00A0C90A8F39}
{7EB5FBE4-2100-49E6-8593-17E130122F91}
{169A0691-8DF9-11D1-A1C4-00C04FD75D13}
{C08AFD90-F2A1-11D1-8455-00A0C91F3880}
{7B8A2D94-0AC9-11D1-896C-00C04FB6BFC4}
LocalSecurityAuthority.LoadDriver
{C08AFD90-F2A1-11D1-8455-00A0C91F3880}
{DD313E04-FEFF-11D1-8ECD-0000F87A470C}
\RPC Control\epmapper
{00000338-0000-0000-C000-000000000046}
{01E04581-4EEE-11D0-BFE9-00AA005B4383}
{00000339-0000-0000-C000-000000000046}
{C4EE31F3-4768-11D2-BE5C-00A0C9A83DA1}
{FFAC7A18-EDF9-40DE-BA3F-49FC2269855E}
{B005E690-678D-11D1-B758-00A0C90564FE}
CavShell.CntMenu.1
{2AD1B782-53A4-4CDA-8A81-CD4DC6D716D4}
{35786D3C-B075-49B9-88DD-029876E11C01}
{7B8A2D95-0AC9-11D1-896C-00C04FB6BFC4}
{B41DB860-8EE4-11D2-9906-E49FADC173CA}
{7007ACC7-3202-11D1-AAD2-00805FC1270E}
全局排除
\RPC Control\senssvc
\RPC Control\AudioSrv
\RPC Control\ntsvcs（V3要，V5不要）
{00000000-0000-0000-0000-000000000000}
{00000323-0000-0000-C000-000000000046}
{43A8F463-4222-11D2-B641-006097DF5BD4}
{275C23E2-3747-11D0-9FEA-00AA003F8646}
{603D3800-BD81-11D0-A3A5-00C04FD706EC}
{6F237DF9-9DDB-47AD-B218-400D54C286AD}
{62BE5D10-60EB-11D0-BD3B-00A0C911CE86}
\LsaAuthenticationPort
\ThemeApiPort
Msxml2.DOMDocument
ImgUtil.CoMapMIMEToCLSID.1
ImgUtil.CoSniffStream.1
PeerFactory.PeerFactory.1
PNGFilter.CoPNGFilter.1
lnkfile
Object.Microsoft.DXTFilterCollection.1
Object.Microsoft.DXTFilter.1
DXImageTransform.Microsoft.AlphaImageLoader.1
DXImageTransform.Microsoft.Shadow.1
DXImageTransform.Microsoft.Alpha.1
{22252E8E-2509-465E-AF6A-4C638A93DF4B}
CorRegistration.CorFltr.1
Microsoft.DirectMusic*
{33C53A50-F456-4884-B049-85FD643ECFED}
{9FC9E105-C546-4990-BEEA-2421F8FE842F}
{D969A300-E7FF-11D0-A93B-00A0C90F2719}
{53B1C95B-9AE7-4D8A-8735-539E9E246C38}
ShockwaveFlash.ShockwaveFlash.10
Shell.Users.1（我的文档，如果想打开“我的电脑”的时候不想看到我的文档那个文件夹的话，可以删掉，桌面的不受影响）
BehaviorFactory.Microsoft.DXTFilterFactory.1
网络拨号需要
\RPC Control\OLE????????????????????????????大家可以缩小范围


\RPC Control\OLE097ABE4AAC3D4E3FABACA8896713
{3C374A40-BAE4-11CF-BF7D-00AA006946EE}
\RPC Control\OLEDDAC5C15562F42B9BE00332D101D
{00000320-0000-0000-C000-000000000046}
{BA126AD7-2166-11D1-B1D0-00805FC1270E}
{7007ACD4-3202-11D1-AAD2-00805FC1270E}
{FF393560-C2A7-11CF-BFF4-444553540000}
{35786D3C-B075-49B9-88DD-029876E11C01}
{7B8A2D95-0AC9-11D1-896C-00C04FB6BFC4}
{7007ACC7-3202-11D1-AAD2-00805FC1270E}
{BA126AE5-2166-11D1-B1D0-00805FC1270E}
{B41DB860-8EE4-11D2-9906-E49FADC173CA}
\RPC Control\OLEE41FFF59AB7C49679A410B8C0CF6
{00BB2765-6A77-11D0-A535-00C04FD7D062}
{26FDC864-BE88-46E7-9235-032D8EA5162E}
{BA126AD1-2166-11D1-B1D0-00805FC1270E}
{F020E586-5264-11D1-A532-0000F8757D7E}
\RPC Control\OLEE449A45B628E4FEF8DB0DD9FF2ED
\RPC Control\OLEE41FFF59AB7C49679A410B8C0CF6
\RPC Control\tapsrvlpc

无线
{BA126ADB-2166-11D1-B1D0-00805FC1270E}
本地连接显示
{26FDC864-BE88-46E7-9235-032D8EA5162E}
{7007ACD3-3202-11D1-AAD2-00805FC1270E}
{46C166AA-3108-11D4-9348-00C04F8EEB71}
{7C857801-7381-11CF-884D-00AA004B2E24}
{5B035261-40F9-11D1-AAEC-00805FC1270E}
{BA126AD8-2166-11D1-B1D0-00805FC1270E}
\RPC Control\wzcsvc
{4590F812-1D3A-11D0-891F-00AA004B2E24}
声音托盘
{7849596A-48EA-486E-8937-A2A3009F31A9}
{00BB2764-6A77-11D0-A535-00C04FD7D062}
{A2A9545D-A0C2-42B4-9708-A0B2BADD77C8}
{438755C2-A8BA-11D1-B96B-00A0C90312E1}
{35CEC8A3-2BE6-11D2-8773-92E220524153}
{AAA288BA-9A4C-45B0-95D7-94D524869DB5}
{67EA19A0-CCEF-11D0-8024-00C04FD75D13}
{ECF03A33-103D-11D2-854D-006008059367}
{E6FB5E20-DE35-11CF-9C87-00AA005127ED}
{FBEB8A05-BEEE-4442-804E-409D6C4515E9}
\RPC Control\IcaApi
网络图标需要
{40DD6E20-7C17-11CE-A804-00AA003CA9F6}
{0B91A74B-AD7C-4A9D-B563-29EEF9167172}
{8C7461EF-2B13-11D2-BE35-3078302C2030}
{0002E005-0000-0000-C000-000000000046}

打印机需要 开关机需要 系统管理需要 都在我规则里
系统普通应用com接口 全局  放行三个com接口  
\RPC Control\AudioSrv
\RPC Control\spoolss
*\Windows\ApiPort
文件夹选项
{6D5313C0-8C62-11D1-B2CD-006097DF8C11}
Mmcshext.ExtractIcon.1
{3FC0B520-68A9-11D0-8D77-00C04FD70822}
{0AF10CEC-2ECD-4B92-9581-34F6AE0637F3}
{10CFC467-4392-11D2-8DB4-00C04FA31A66}
{EB9B1153-3B57-4E68-959A-A3266BC3D7FE}
工具栏
{540D8A8B-1C3F-4E32-8132-530F6A502090}
{0E5CBF21-D15F-11D0-8301-00AA005B4383}
{D82BE2B0-5764-11D0-A96E-00C04FD705A2}

RunDll32 应用
\ThemeApiPort
{4C892621-6757-4FE0-AD8C-A6301BE7FBA2}
{00000000-0000-0000-0000-000000000000}
{7487CD30-F71A-11D0-9EA7-00805F714772}
{41E300E0-78B6-11CE-849B-444553540000}
\RPC Control\IcaApi
\RPC Control\AudioSrv
{871C5380-42A0-1069-A2EA-08002B30309D}
{B12AE898-D056-4378-A844-6D393FE37956}
{41E300E0-78B6-11CE-849B-444553540000}
{B12AE898-D056-4378-A844-6D393FE37956}
{77597368-7B15-11D0-A0C2-080036AF3F03}
\RPC Control\spoolss

huangzhifan1

图中1受保护的文件和文件夹  2  受保护的注册表3 受保护的com组件

这三个地方 直接理解成组存放的地方就成  

6 预定义就相当于设置单个组权限内在关系

5 D+规则把每个组优先级排位

1 受保护的文件和文件夹

实际上包含D+规则里的组 和文件保护里的黑名单组和白名单组  以及被拦截里的黑名单

                           一般黑名单只是的优先阻止里的文件  白名单指的是优先允许里的文件

                           同学们排除修改文件和注册表和com 一般都到优先允许里添加 但是为了让大家头脑里有组的概念

建议大家先到受保护的文件新建一个组  然后到预定义里优先允许里加这个组

                             比如QQ和浏览器经常要修改\Device\NamedPipe\ROUTER

\Device\KsecDD    \Global??\FltMgrMsg 组成一个组就方便多了

                          全局星和 *. *关系 实际上全局星比后者多了无后缀名文件 比如命名管道和设备                                                                  

                               ？:\* 和 * 都可以阻止创建文件夹  这个问号代表了本地磁盘 优盘不保护在类

                               ？和 *的区别 ？只代表一个字符 而星代表一堆字符

2 受保护的注册表很简单只是包含黑白名单 （什么是黑白名单看预定义）

4信任厂商是毛豆为了减少弹窗而搞的 实际上不安全 必须全部清空

假如你套别人规则毛豆启动不了 首先要做的是进安全模式换规则 禁用D+和防火墙

ppy0606

虽不用了

强烈支持个~


ＰＳ：实在抱歉！不知道你要占这么多


哪位斑竹删下吧！谢谢！

huangzhifan1

回复 6楼 huangzhifan1 的帖子

毛豆基本操作  激活和导入规则

                                                          D+和防火墙禁用 出了问题就进安全模式换规则禁用毛豆

                                                           进文件组添加软件路径方法

遇到优先级问题一般调整D+规则里的组

把组置顶看看

套用别人规则要注意进文件组 把软件路径添加进组里 比如你没有把

G:\Program Files\Comodo\COMODO\COMODO Internet Security\*添加毛豆的路径到毛豆套装组

那么恭喜老兄 毛豆事件查看器会被全局秒杀掉 相当于你没给毛豆运行的权限赶快 进安全模式禁用D+

接着 添加路径 放权

假如 你到以下情况就是被全局秒杀

01[/attach]

进D+事件查看器复制路径并且

导出毛豆日志提供给高手排除

点击更多最底下日志是最新刷的日志切记

排除 注册表三步

1 进事件查看器复制注册表路径

2进受保护的注册表 添加注册表路径到组里 或者新进一个组 把这个注册表路径放进组里

3看是哪个组的程序修改注册表 比如QQ修改注册表 你就得先到D+规则里看看 QQ是哪个组 比如QQ是聊天组

好的预定义规则 聊天组注册表优先允许里排除 （直接添加注册表项 或者添加注册表组）

com接口一回事

                                              日志基本排除

比如某某程序  "阻止"  某某文件 不用想是黑名单阻止了 解释下黑名单就是D+的被拦截文件
比如某某程序  "修改"  某某文件 好的到预定义文件保护里放行
比如某某程序“拦截” 一般是保护设置 和访问权限问题
比如毛豆cfp.exe“拦截”搜狗输入法钩子G:\Program Files\SogouInput\5.1.1.4954\Resource.dll

想都不用想搜狗耍流氓想注入毛豆主进程  直接把*\Resource.dll加进D+的被拦截文件  
*\代表全盘
*\Resource.dll 代表全盘这个文件
比如某某程序不是有效的 "win32程序"估计是过滤组阻止了 涉及到优先级问题 只有调整相应的组了
ok我的过滤组不多 所以优先级问题不会让大家头疼
管道设备排除一般常用软件都涉及修改的几个管道和设备 组成一个组 然后在文件保护里放行
一句话排除也得有组的概念 这样才不费劲

huangzhifan1

我的毛豆预定义规则

请讽刺请打击

                                                                                     系统关键组

                                                                                   系统关键组保护设置

毛豆套装组

系统重要组 也就是钩子组

1、运行一个可执行程序　　　最简单的在资源管理器中双击一个程序，通过explorer.exe调用这个程序就运行了。如果在上网时突然弹框运行某程序，一定要仔细看程序路径名称。一般先尝试阻止(不记录规则)，如果正常使用没有问题再提示可以选择阻止并记录。
2、进程间内存访问   进程间内存访问可以修改进程内存并插入自身代码到进程，通过目标进程完成操作，一般正常软件不会有此动作。
3、窗口或事件钩子   利用api来提前拦截并处理windows消息的一种技术，钩子实际上是一个处理消息的程序段，通过系统调用，把它挂入系统。每当特定的消息发出，在没有到达目的窗口前，钩子程序就先捕获该消息，亦即钩子函数先得到控制权。
4、进程终止   建议选询问，正常软件也会有此行为。对特定程序的终止行为可以直接阻止，如正常使用情况下突然要求终止毛豆进程。
5、设备驱动程序安装   要求加载驱动程序的正常程序很少，一般是杀软或者安全工具。注：安装并加载驱动后，程序将获得和毛豆一样的底层权限。
6、窗口消息钩子   为方便使用常用和已知程序的窗口消息钩子均可以允许，对于不清楚的建议先阻止，不影响使用就可以阻止并记住。有些病毒会利用窗口消息钩子破坏你的安全软件和系统。
7、受保护的COM口   COM可以理解为一些组件，对外提供公开的接口以供其他程序调用。有些组件是DLL，有些程序如IE，也对外提供COM接口，只要遵循com规范就可以相互直接通信。毛豆COM口内容很多，一般对提升权限、修改系统时间、服务管理重点防范。
8、受保护的注册表键   主要防止修改注册表自启动、服务驱动和映像劫持等。
9、受保护的文件/目录   FD内容，看具体程序而定，这个比较直观，主要保护系统重要文件及个人私有文件。
10、本地环回网络   应用广泛的一种虚拟接口，主要用于路由器。当本机上不使用本地代-理转发和接收类软件时，本地环回网络访问的是本机；当使用本地代-理时，某些程序不需要通过访问DNS就能实现与外部网络的通信。一般情况下允许，交由毛豆防火墙控制。
11、域名解析客户端服务   允许提供客户端域名解析服务。
12、内存   在NT内核系统中，操作系统是利用虚拟内存管理来维护地址空间映像。应用层的程序一般不需要直接访问物理内存地址，而是通过内核中的某些驱动程序将虚拟地址空间映射为物理地址空间，从而实现对物理内存的访问。直接访问物理内存也可以获得很高的系统特权，一般选择阻止。
13、屏幕监视器    这个不用解释了吧~
14、磁盘   受保护的文件/目录仅仅只是在Windows层面上进行访问控制，如果程序通过直接对磁盘进行操作的方法来可以绕过毛豆对其的FD控制，因此一般来说要阻止该底层操作。阻止之后一般软件的使用不会受到影响。
15、键盘   访问键盘、进行键盘输入监控是很多正常程序也有的行为，根据具体情况判断。
应用程序的自我保护参考上面的描述。不同的是一个是访问，一个是被访问。

huangzhifan1

回复 9楼 huangzhifan1 的帖子

占楼