我知道一个软件可能可以破坏影子

显示全部楼层 · 发表于 2007-7-29 02:26:50

原帖由 baidu9833 于 2007-7-29 02:06 发表
hips也不能分析过来的只能做到它访问底层存储那一步（有的还做不来），之后这个程序就为所欲为了

HIPS也是基于Win的，放行磁盘访问这个步骤后HIPS的FD自然没办法去那个什么的了

显示全部楼层 · 发表于 2007-7-29 08:56:51

原帖由 sb 于 2007-7-29 00:25 发表
扫描结果 : 4%的杀软(1/25)报告发现病毒
扫描完成时间 : 2007/07/29 00:23:20
软件名称引擎版本病毒库版本病毒库时间扫描结果扫描完成时间
a-squared 3.0.0.123 2007.07.27 2007-07-27 没有检测 ...

报Hack tools 而已啊......

显示全部楼层 · 发表于 2007-7-29 09:06:21

访问磁盘底层不一定就能突破影子吧
以前那个猪三就没有突破
沙盘也能防磁盘底层访问吧
不过这里按了按钮后会出现什么，也好验证，好有准备

显示全部楼层 · 发表于 2007-7-29 09:42:31

原帖由 pluto1313 于 2007-7-29 02:26 发表

HIPS也是基于Win的，放行磁盘访问这个步骤后HIPS的FD自然没办法去那个什么的了

看来这类似的东西
只能依靠sandbox来分析

显示全部楼层 · 发表于 2007-7-29 10:01:46

我不敢下载诶
下面是影子系统运行原理:
影子系统其实也是一种虚拟系统化技术,它的原理更加类似于微软提出的操作系统分层化概念.模块化和虚拟化被认为是未来操作系统的方向,不过微软也提出了自己的概念,即将操作系统分成若干个层,每个层负责操作系统不同的功能.
例如系统内核会放在最第层,驱动程序则放在中间某个层,而应用软件则放在最高层.这些层面的功能不会相互干扰,即应用层和驱动层的问题完全不会影响其他层面的功能继续发挥作用,操作系统仍然会正常地运行,用户只需解决对应层面的问题即可.
影子系统所谓的影子,也就是为现有操作系统添加了个虚拟应用层,用户所有的操作都在这个应用层内完成,只要撤消应用层实际上也就撤消了所有操作.这就是影子系统既能完全还原系统-------因为影子系统并没有真正还原操作系统,知识每次操作系统关闭启动时撤消重建应用层,又不影响系统运行效率的秘密--------影子系统也没有虚拟任何硬件环境,只是截取磁盘分区的读写操作将其指向应用层而已.

摘自<大众软件>06期

显示全部楼层 · 发表于 2007-7-29 13:14:59

这个东西早就见过了，我有个同学开始不会用，还搞到他的电脑蓝屏
这个当然不是病毒！拜托~~~~~~~~

显示全部楼层 · 发表于 2007-7-29 13:54:21

影子系统说白了就是还原卡~

显示全部楼层 · 发表于 2007-7-29 13:58:57

原帖由 lsyer 于 2007-7-29 13:54 发表
影子系统说白了就是还原卡~

可惜它比不上硬件的还原卡

显示全部楼层 · 发表于 2007-7-29 14:30:14

原帖由 微点卫士 于 2007-7-29 13:58 发表

可惜它比不上硬件的还原卡

是啊，硬件保护总比软件保护可靠！

显示全部楼层 · 发表于 2007-7-29 15:09:20

影子和还原卡还原精灵之类的东西看似一样，但实现原理完全不同

硬件不说，还原精灵的防护级别远不如影子。

还原精灵这些东西实质上已经是向硬盘写了东西重启后再恢复，有时候系统卡的时候你甚至能够看到新建的文件被删除的过程，也就是说用了还原精灵可以用数据恢复之类的软件把被还原的东西恢复出来，而影子就完全不行，因为原理不一样。。。