关于瑞星系统内核加固中"关闭电脑"规则的探讨(截至4-15仍未修复))

显示全部楼层 · 发表于 2011-4-7 16:57:40

本帖最后由星空下的吻于 2011-4-15 13:09 编辑

这个讨论是基于http://bbs.kafan.cn/thread-950325-1-1.html进行的,不定期的测试反馈一些瑞星主防的漏洞.
今天测试昨天的卡饭样本20号,发现绝大多数的动作都能够拦截,仅仅漏掉了病毒试图重新启动这一动作,因为原帖没有定制关闭电脑的规则,于是马上加上后再次尝试,仍然以失败告终.分析行为后发现病毒调用系统文件shutdown来完成重新启动的动作,这就让我怀疑,系统加固的关闭电脑只能防御类似调用系统API ExitWindowsEx这样的函数来关闭电脑的行为,而无法阻止调用shutdown来重新启动.经过测试的确如此,自动关机的小软件就可以成功防御.这应该是系统加固的一个缺陷.
可以尝试的解决办法:
(1)在探测调用shutdown程序时,可以查看调用的参数,正常的关机重启操作是不会限定时间的,除了系统关键进程崩溃;

(2)检查调用shutdown程序的父进程是否为系统进程或可信进程.

希望能够引起官方人员的重视!!

附上样本:

可成功拦截关机的软件:

显示全部楼层 · 发表于 2011-4-7 18:18:59

人才啊

显示全部楼层 · 发表于 2011-4-7 18:39:20

这个应该防御，楼主的建议很好啊

显示全部楼层 · 发表于 2011-4-7 18:52:48

以帮你去卡卡联系官人前来！

显示全部楼层 · 发表于 2011-4-7 22:21:15

很好很强大，支持楼主。。。

显示全部楼层 · 发表于 2011-4-7 22:37:37

cmd不容易防御吧，只能用系统加固设置提示

显示全部楼层 · 发表于 2011-4-8 09:47:03

回复 1楼星空下的吻的帖子

此问题已反馈到瑞星相关部门，感谢lz对瑞星产品的支持。

显示全部楼层 · 发表于 2011-4-8 10:16:20

楼主可以做黑客了哟

显示全部楼层 · 发表于 2011-4-8 10:35:17

楼主果然有见地，很犀牛哥的说哦，反应给有关部门，以便加强改进！

显示全部楼层 · 发表于 2011-4-8 10:38:04

一般我选择瑞星的默认，基本上没什么问题

[瑞星] 关于瑞星系统内核加固中"关闭电脑"规则的探讨(截至4-15仍未修复))

本帖子中包含更多资源