高质量 过大部分杀软扫描 卡巴360均被过扫描

sanhu35

hx1997 发表于 2012-5-10 20:42
注入才是真正的危险行为，运行算什么？我觉得有些治标不治本的感觉。

而且传统 HIPS 也不一定像你说 ...

嗯，运行和控制分开比较好

a256886572008

hx1997 发表于 2012-5-10 20:42
注入才是真正的危险行为，运行算什么？我觉得有些治标不治本的感觉。

而且传统 HIPS 也不一定像你说 ...

1.在这里，如果你按了阻止svchost.exe被注入，这和 阻止svchost.exe 被运行 的效果一样。

2.只弹一个框，那是刚好 没加阻止运行的规则。

3.有一个和 这里一样情况的例子，你看看 传统 HIPS 这样弹框提示好不好。

范例如下： 有一种双进程型的病毒a.exe，动作如下

(1)a.exe 运行 a.exe

(2)a.exe 注入 a.exe

传统 HIPS 会如上 提示这两个动作，你不觉得连(2) 也弹框 有点多余吗？

saga3721

老机子 发表于 2012-5-10 20:55
呵呵，喜欢组合装备！—这也是我在卡饭混的原因！

特混编队——狙击二人组，很多人的经历
卡饭软件区能收集到不少好软件，今天刚弄到Nero11最新版本的注册机

lbb9432

ADSLgg 发表于 2012-5-10 19:20
红伞miss，to

速度不慢

zilch

MSE4.0  MISS。

hx1997

a256886572008 发表于 2012-5-10 21:00
1.在这里，如果你按了阻止svchost.exe被注入，这和 阻止svchost.exe 被运行 的效果一样。

2.只弹一个框 ...

1. 效果当然一样，不过我觉得提示注入比提示运行更准确且更能引起用户注意。如果您把自己想像成小白，看到 “运行系统程序” 的提示，您可能就放行了，而看到 “控制系统程序” 的提示，我想放行的几率就小了吧。

2. 阻止注入能达到阻止运行一样的效果，且提示更准确，那为什么还要加阻止运行的规则？

3. 嗯，您这里说的 a.exe 是病毒体吧？而这个样本调用并注入的是 可信的系统程序 svchost.exe，这完全不同。注入系统程序当然有必要弹框，而注入自身或许就没必要弹框了。
传统 HIPS 也是可以不提示注入自身的嘛，像 EQ 的 $parent$ 一用，就达到这种效果了。

总之，对于这个例子，我是偏向提示注入比提示运行要更好。

a256886572008

hx1997 发表于 2012-5-10 21:10
1. 效果当然一样，不过我觉得提示注入比提示运行更准确且更能引起用户注意。如果您把自己想像成小白，看到 ...

关於3，其实这里注入的 svchost.exe 就是病毒自身，你看我14楼发的那张图就能发现。

红框 标示 的 svchost.exe 不是系统进程。

只有 services.exe 下面的那些 svchost.exe 才是系统进程。

hx1997

a256886572008 发表于 2012-5-10 21:19
关於3，其实这里注入的 svchost.exe 就是病毒自身，你看我14楼发的那张图就能发现。

红框 标示 的 svc ...

您可以看看 5L 的图，样本注入的 svchost.exe 是系统目录下的，也就是说样本启动了一个 可信的系统进程，再把代码注入到系统进程里做坏事。HIPS 都是根据路径判断的，就是说在这里，样本启动的 svchost.exe，对 HIPS 来说就是一个系统进程。

您说它不是系统进程，那是您通过经验得出的结论，HIPS 可不会这么聪明。

这也是为什么纯防火墙不行，它们根据路径判断，一看是系统目录的系统程序，就都放行了。

悠柚

FS的deepguard

zyx9

双击avg idp kill
双击avast7未自动入沙？
双击瑞星无反应

ps：Local Settings\Application Data下的urlmon.exe可以自行删除，貌似只是尸体？

没有手动hips，除了复制本身到Local Settings\Application Data下，看不出其他动作啊！