问问5.3

显示全部楼层 · 发表于 2011-10-24 09:48:14

如果用5.3只开D+和墙，在规则一样的情况下，防护效果是否和5.8相同呢？

显示全部楼层 · 发表于 2011-10-24 09:51:06

本帖最后由 a256886572008 于 2011-10-24 09:52 编辑

照樣被 .cpl 病毒穿破。

其實，目前只有 5.8，才能攔截 .cpl 病毒，舊版只會信任病毒。

显示全部楼层 · 发表于 2011-10-24 09:54:20

a256886572008 发表于 2011-10-24 09:51
照樣被 .cpl 病毒穿破。

其實，目前只有 5.8，才能攔截 .cpl 病毒，舊版只會信任病毒。

请问：3*全局，疯狂模式也能穿？没试过，故有此问。

显示全部楼层 · 发表于 2011-10-24 10:06:14

本帖最后由 a256886572008 于 2011-10-24 10:07 编辑

墨池发表于 2011-10-24 09:54
请问：3*全局，疯狂模式也能穿？没试过，故有此问。

就算你開瘋狂模式，還能分辨病毒的行為嗎？

那個東西就是 rundll32.exe，不過舊版會顯示 shell32.dll

显示全部楼层 · 发表于 2011-10-24 10:16:29

a256886572008 发表于 2011-10-24 10:06
就算你開瘋狂模式，還能分辨病毒的行為嗎？

那個東西就是 rundll32.exe，不過舊版會顯示 shell32.dl ...

那它是劫持还是替换了rundll32.exe，如果规则用绝对路径控制了C:\WINDOWS\system32\rundll32.exe还制不住的话，那就真有问题。可否给一个旧版使用坛子里某规则被穿的链接！

显示全部楼层 · 发表于 2011-10-24 10:21:11

墨池发表于 2011-10-24 09:54
请问：3*全局，疯狂模式也能穿？没试过，故有此问。

除非你限制所有的系统程序，不然都有被穿的可能

显示全部楼层 · 发表于 2011-10-24 10:22:12

墨池发表于 2011-10-24 10:16
那它是劫持还是替换了rundll32.exe，如果规则用绝对路径控制了C:\WINDOWS\system32\rundll32.exe还制不住 ...

主要的問題是，舊版會認為父進程是 shell32.dll ，你的規則會限制 shell32.dll 嗎？

显示全部楼层 · 发表于 2011-10-24 10:34:46

本帖最后由墨池于 2011-10-24 10:35 编辑

a256886572008 发表于 2011-10-24 10:22
主要的問題是，舊版會認為父進程是 shell32.dll ，你的規則會限制 shell32.dll 嗎？

明白了，病毒把老版毛豆骗了。不过这反而说明4.0优秀，可执行镜像控制设置可以添加检查文件。我主要玩咖啡，这个问题咖啡两条规则就可以搞定。谢谢你的耐心解答！

显示全部楼层 · 发表于 2011-10-24 10:42:35

footman 发表于 2011-10-24 10:21
除非你限制所有的系统程序，不然都有被穿的可能

限制所有的系统程序恐怕不行，只能限制非系统进程执行系统进程。

显示全部楼层 · 发表于 2011-10-24 10:42:52

墨池发表于 2011-10-24 10:34
明白了，病毒把老版毛豆骗了。不过这反而说明4.0优秀，可执行镜像控制设置可以添加检查文件。我主要玩咖 ...

咖啡看到的父進程，應該是 rundll32.exe 吧？

[求助] 问问5.3