本帖最后由 jone_jys 于 2011-9-21 00:57 编辑
防病毒标准保护:禁止远程创建/修改可执行文件和配置文件
此默认规则，所有咖啡迷几乎都是修改过的，关于“阻止的文件或文件夹”貌似官方文档叙述的与实际并不相符：
我自己修改后的规则如下：
禁止远程创建/修改可执行文件和配置文件
要包含的进程：*.*
要排除的进程：*\**\Program Files (x86)\**.exe, *\**\Program Files\**.exe, *\*\mrtstub.exe, C:\Windows\Microsoft.NET\Framework\v?.?.**\*.exe, C:\Windows\servicing\TrustedInstaller.exe, C:\Windows\system32\MRT.exe, C:\Windows\System32\poqexec.exe, C:\Windows\system32\taskhost.exe, C:\Windows\system32\vssvc.exe, explorer.exe, services.exe, svchost.exe
要阻止的文件或文件夹名：？？？？？？？？
要禁止的文件操作：创建 写入 删除
上面“要阻止的文件或文件夹”暂时用？替代。 因为官方文档叙述为：“*.exe, *.scr, *.ocx, *.dll, *.pif”（墨池详解）
C:\Windows\*.*, C:\*.*, %systemdrive%\*.ini （貌似是storyhare同学新增）。
但，实际从触犯规则日志来看还不止包含上述文件或文件夹：
触犯日志：
2011/9/20 8:45:31 已由访问保护规则禁止 NT AUTHORITY\SYSTEM C:\Windows\System32\powercfg.exe C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat 防病毒标准保护:禁止远程创建/修改可执行文件和配置文件 已阻止的操作: 写入 2011/9/20 8:45:32 已由访问保护规则禁止 NT AUTHORITY\SYSTEM C:\Windows\System32\powercfg.exe C:\Windows\Temp\Temporary Internet Files\Content.IE5\index.dat 防病毒标准保护:禁止远程创建/修改可执行文件和配置文件 已阻止的操作: 写入 2011/9/20 14:10:48 已由访问保护规则禁止 lisa-PC\lisa C:\Windows\system32\NOTEPAD.EXE C:\Users\lisa\AppData\LocalLow\SogouPY\env.ini 防病毒标准保护:禁止远程创建/修改可执行文件和配置文件 已阻止的操作: 写入 2011/9/20 15:24:19 已由访问保护规则禁止 NT AUTHORITY\LOCAL SERVICE C:\Windows\Microsoft.Net\Framework\v3.0\WPF\PresentationFontCache.exe C:\Windows\ServiceProfiles\LocalService\AppData\Local\FontCache3.0.0.0.dat 防病毒标准保护:禁止远程创建/修改可执行文件和配置文件 已阻止的操作: 删除
综上，“阻止的文件或文件夹名”实际保护为：
目前，完整的是：*.exe, *.scr, *.ocx, *.dll, *.pif， C:\*.*,C:\Windows\**, %systemdrive%\**\*.ini |
[复制链接]
发表于 2011-9-20 18:58:17
楼主
