沙箱运行一样本，蓝屏

Tron

此问题是样本对自身设置了BreakOnTermination导致的，设置了此标志后，进程在退出或被结束时将引起系统蓝屏。

0: kd> dt _EPROCESS BreakOnTermination 8af421e0  
nt!_EPROCESS
   +0x270 BreakOnTermination : 0y1

不过不明白为什么结束进程是诺顿发起的，可以发来样本看看，是不是诺顿去结束这个进程了。

jefffire

Tron 发表于 2011-11-24 21:52
此问题是样本对自身设置了BreakOnTermination导致的，设置了此标志后，进程在退出或被结束时将引起系统蓝屏 ...

样本已发。
刚刚又试了试，用任务管理器结束进程也照蓝

Tron

jefffire 发表于 2011-11-24 22:12
样本已发。
刚刚又试了试，用任务管理器结束进程也照蓝

那你是怎么结束的？倒沙时被结束还是被诺顿报毒结束了。

jefffire

Tron 发表于 2011-11-24 22:14
那你是怎么结束的？倒沙时被结束还是被诺顿报毒结束了。

我诺顿的监控防御全关了，然后倒沙结束的，没道理是诺顿结束的。

Tron

jefffire 发表于 2011-11-24 22:18
我诺顿的监控防御全关了，然后倒沙结束的，没道理是诺顿结束的。

恩，那就是倒沙时结束的了。无论谁结束都会蓝屏的，包括进程自己退出。

考虑在沙箱中禁止设置BreakOnTermination。