關於 partially limited 能否對付 logger類

显示全部楼层 · 发表于 2011-11-19 09:21:12

我發現，只要先阻止"加載全局鉤子"，之後logger動作，都會攔截。

反之，不會攔截，真神奇。

附件提供，spyshelter 和 AKLT 的測試。

显示全部楼层 · 发表于 2011-11-19 10:04:02

不神奇呀，通过SetWindowsHookEx安装Global Messege Hook，比如WM_KEYBOARD获得全局应用程序的消息控制权，实现keylogger，不阻止加载全局钩子自然就不能拦截了。部分限制好像不会直接自动阻止消息钩子。

显示全部楼层 · 发表于 2011-11-19 10:20:56

本帖最后由 a256886572008 于 2011-11-19 10:29 编辑

myzuzong 发表于 2011-11-19 10:04
不神奇呀，通过SetWindowsHookEx安装Global Messege Hook，比如WM_KEYBOARD获得全局应用程序的消息控制权， ...

你用 AKLT 測試，就知道我在說什麼了。

目前這種設計是，任何 logger類病毒，在側錄之前，都會先加載全局鉤子。

如果只有單單側錄，卻沒有加載全局鉤子，就不會盜號。

显示全部楼层 · 发表于 2011-11-19 10:53:11

a256886572008 发表于 2011-11-19 10:20
你用 AKLT 測試，就知道我在說什麼了。

目前這種設計是，任何 logger類病毒，在側錄之前，都會先加載 ...

看了下，确实不是全用的SetWindowsHookEx。你阻止的时候是否在弹窗处点击了“更多选项”？

显示全部楼层 · 发表于 2011-11-19 11:03:30

本帖最后由 a256886572008 于 2011-11-19 11:07 编辑

myzuzong 发表于 2011-11-19 10:53
看了下，确实不是全用的SetWindowsHookEx。你阻止的时候是否在弹窗处点击了“更多选项”？

沒有

------------------
點了更多選項之後，不管是否阻止，之後的logger，一概不攔截，真奇怪的設計。

显示全部楼层 · 发表于 2011-11-19 12:58:37

a256886572008 发表于 2011-11-19 11:03
沒有

------------------

在安全模式下，不点更多选项比点了更多选项“效果更强”。就是说，没有更多选项时，允许后会允许所有相关操作，阻止后会阻止所有相关操作。而打开更多选项时不会这样。这是我的测试结果，也不知道为何这样设计。

显示全部楼层 · 发表于 2011-11-19 22:46:02

myzuzong 发表于 2011-11-19 12:58
在安全模式下，不点更多选项比点了更多选项“效果更强”。就是说，没有更多选项时，允许后会允许所有相关 ...

實際上是不攔截，只是剛好遇到這種彈窗的設計，間接攔截。

显示全部楼层 · 发表于 2011-11-20 00:29:13

看来老掉牙的经验还是不过时——
远程线程、改写内存、使用钩子，是病毒注入的常用手段
安装钩子是窃密的常用手段，安装钩子之后，可以截屏，可以键盘记录，可以拦截消息或发送假消息……

显示全部楼层 · 发表于 2011-11-20 00:47:04

全局钩子我知道是什么回事，但什么判断一个钩子是不是全局钩子，comodo会有提示吗？还有一般什么软件会需要安装全局钩子，杀软需要吗？

显示全部楼层 · 发表于 2011-11-20 00:50:45

岁月遐想发表于 2011-11-20 00:47
全局钩子我知道是什么回事，但什么判断一个钩子是不是全局钩子，comodo会有提示吗？还有一般什么软件会需要 ...

就是因為很多正常的程序，會被報 install global hooks，所以 comodo 的沙盤(只有 partially limited 和 limited)不自動阻止，而是提示用戶。

[分享] 關於 partially limited 能否對付 logger類