关于the hips of ESET的小测试

显示全部楼层 · 发表于 2011-8-20 22:08:14

今天看到某贴http://bbs.kafan.cn/forum.php?mo ... id=1061243#lastpost
然后PM了小h，感谢他的测试
测试结果
第一个测试，ESET HIPS显示的是shel32.dll，按帖子里的说法，应该是有漏洞，但是我阻止后看了explorer.exe的模块，没有shell32.dll1
日志
2011-8-20 21:12:28 C:\Documents and Settings\Administrator\桌面\dw_test2.exe Install global hook c:\windows\system32\shell32.dll blocked

第二个测试，ESET HIPS照样识别路径错误
2011-8-20 21:17:23 C:\Documents and Settings\Administrator\桌面\Testdw3.exe Load driver \SystemRoot\system32\drivers\1234.sys blocked

但是阻止后查看驱动，驱动没有加载。（允许时驱动加载了，说明是ESET HIPS拦截的）

就是两个测试ESET HIPS的路径识别都出了错误，但是阻止却可以正常拦截。囧囧

显示全部楼层 · 发表于 2011-8-20 22:08:38

基本OK，还是其他以后能有更好的表现

显示全部楼层 · 发表于 2011-8-20 22:14:11

Bypass HIPS的路过……哈哈

显示全部楼层 · 发表于 2011-8-20 22:18:22

黄智琛发表于 2011-8-20 22:08
基本OK，还是其他以后能有更好的表现

按照当初MJ的说法，只要路径识别错误就表示HIPS存在漏洞，知所以ESET可以拦截是因为MJ的这个测试程序并没有针对ESET罢了。

显示全部楼层 · 发表于 2011-8-20 22:28:38

eset 的hips默认规则是不是挺多？我看我用了RC后，选交互模式，根本没什么弹窗，跟comodo不能比= =（我是不是小白了= =）？

显示全部楼层 · 发表于 2011-8-20 22:43:51

本帖最后由 hx1997 于 2011-8-20 22:55 编辑

路径识别错误是因为对路径字符串的处理有误，但是本身hook到了API只要阻止不管路径有没有错都可以成功拦截的。
另外还因为ESET HIPS没有默认对Shell32.dll信任的内置规则，所以能拦截。
至于DW是有漏洞，DW默认对Shell32.dll信任，而路径正好识别错误，于是就信任了。

这里说的是第一个测试。

显示全部楼层 · 发表于 2011-8-20 23:01:58

hips是什么？

谁简单解释下告诉我。。

显示全部楼层 · 发表于 2011-8-21 00:09:57

hx1997 发表于 2011-8-20 22:43
路径识别错误是因为对路径字符串的处理有误，但是本身hook到了API只要阻止不管路径有没有错都可以成功拦截的 ...

只要是安全软件肯定就有内置信认的东西，那么这样类型的BUG就一定存在被利用的机会，MJ也在那个帖子里说的得很清楚了，先让HIPS识别出错后面动作可以自由发挥，根据不同的安全软件做出不同针对性的修改完全是可以的。

显示全部楼层 · 发表于 2011-8-21 00:14:21

vfloppy 发表于 2011-8-21 00:09
只要是安全软件肯定就有内置信认的东西，那么这样类型的BUG就一定存在被利用的机会，MJ也在那个帖子里说的 ...

是啊所以说要看有没有可以利用内置信任的bug 有的话自然很容易突破了

显示全部楼层 · 发表于 2011-8-21 07:39:56

vfloppy 发表于 2011-8-20 22:18
按照当初MJ的说法，只要路径识别错误就表示HIPS存在漏洞，知所以ESET可以拦截是因为MJ的这个测试程序并没 ...

感谢您的解释，具体测试是小h做的实验

[讨论] 关于the hips of ESET的小测试