试试各家主防的极限在哪

显示全部楼层 · 发表于 2012-5-10 22:37:25

saga3721 发表于 2012-5-10 22:35
2012-05-10 21:37:55 C:\WINDOWS\system32\wuauclt.exe Modify Key HKLM\SOFTWARE\Microsoft\Win ...

这是 wuauclt.exe 在修改注册表项 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer。

估计是修改这下面的 Run 项来实现自启动。

显示全部楼层 · 发表于 2012-5-10 22:41:11

humanlwj52 发表于 2012-5-10 22:23
都有用的，是安装在一个虚拟机里面的。

嗯嗯，pc感覺怎麼樣？沒用過不是很清楚

显示全部楼层 · 发表于 2012-5-10 22:42:52

hx1997 发表于 2012-5-10 22:37
这是 wuauclt.exe 在修改注册表项 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer。 ...

哦，是的，注册表自启动啊，那就是个服务器后门喽，那就没啥力量能突破主防了

显示全部楼层 · 发表于 2012-5-10 22:43:23

本帖最后由 humanlwj52 于 2012-5-10 22:57 编辑

hx1997 发表于 2012-5-10 22:37
这是 wuauclt.exe 在修改注册表项 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer。 ...

的确是这样的

显示全部楼层 · 发表于 2012-5-10 22:46:18

saga3721 发表于 2012-5-10 22:35
2012-05-10 21:37:55 C:\WINDOWS\system32\wuauclt.exe Modify Key HKLM\SOFTWARE\Microsoft\Win ...

不就是修改注册表启动项，你会看不懂？

显示全部楼层 · 发表于 2012-5-10 22:46:37

hx1997 发表于 2012-5-10 22:37
这是 wuauclt.exe 在修改注册表项 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer。 ...

不过你这个NOD的日志所谓“防止注入系统进程”存在吗？它注入真正的微软更新进程了吗？没有吧……

显示全部楼层 · 发表于 2012-5-10 22:47:27

870097067 发表于 2012-5-10 22:41
嗯嗯，pc感覺怎麼樣？沒用過不是很清楚

挺好用的

显示全部楼层 · 发表于 2012-5-10 22:48:40

a256886572008 发表于 2012-5-10 22:46
不就是修改注册表启动项，你会看不懂？

刚整完svchost.exe注入的玩意儿，所以光留意后面那个explorer了，前面没看
这两个注入最恶，其他本来就没有可联网规则的很难出去

显示全部楼层 · 发表于 2012-5-10 22:55:50

humanlwj52 发表于 2012-5-10 22:47
挺好用的

查殺怎麼樣呢？主防怎麼樣？還想不支持64位哦？

显示全部楼层 · 发表于 2012-5-10 22:56:06

saga3721 发表于 2012-5-10 22:46
不过你这个NOD的日志所谓“防止注入系统进程”存在吗？它注入真正的微软更新进程了吗？没有吧……

没太懂您的意思，您若不相信，我可以用 EQ 来佐证。（英文操作系统，中文显示有点问题）

注入

故意允许后，wuauclt.exe 行为出现异常。

[病毒样本] 试试各家主防的极限在哪