试试各家 主防 的极限在哪

a256886572008

saga3721 发表于 2012-5-10 23:12
我觉得那个S是注入真正的系统进程S的，而这个不是，这个只是靠自己作为一个服务器后门来联网的
3种看法不知 ...

你如果有用传统 HIPS，应该会发现，在病毒注入 svchost.exe 之前 ，还有一步。

病毒  运行 svchost.exe

jefffire

防止系统进程被注入，这个防御策略显然没有问题

hddu

31楼图，进程注入自身都阻止，想不通，想不明。

saga3721

a256886572008 发表于 2012-5-10 23:14
你如果有用传统 HIPS，应该会发现，在病毒注入 svchost.exe 之前 ，还有一步。

病毒  运行 svchost.ex ...

是的，所以我说它确实奔真的svchost去了，但本贴这个0我觉得只是依靠自身作为后门

a256886572008

saga3721 发表于 2012-5-10 23:20
是的，所以我说它确实奔真的svchost去了，但本贴这个0我觉得只是依靠自身作为后门

那里的 svchost.exe 和  这里的 wuauclt.exe 情况一样，都被病毒运行完 然後注入。

a256886572008

hddu 发表于 2012-5-10 23:20
31楼图，进程注入自身都阻止，想不通，想不明。

主要是，一旦放行  "父进程  注入  子进程"，HIPS 就该转型了，

要有观测 该子进程 行为的能力。

saga3721

a256886572008 发表于 2012-5-10 23:24
那里的 svchost.exe 和  这里的 wuauclt.exe 情况一样，都被病毒运行完 然後注入。

怎么？那刚才还坚持那个svchost不是注入的系统，只是自身而已，怎么又变了

a256886572008

saga3721 发表于 2012-5-10 23:26
怎么？那刚才还坚持那个svchost不是注入的系统，只是自身而已，怎么又变了

这里的 wuauclt.exe 一样是病毒自身，因为是病毒的子进程。

saga3721

a256886572008 发表于 2012-5-10 23:27
这里的 wuauclt.exe 一样是病毒自身，因为是病毒的子进程。

对，但刚才那个svchost是真的注入微软的svchost了，这是我的看法

hx1997

saga3721 发表于 2012-5-10 23:29
对，但刚才那个svchost是真的注入微软的svchost了，这是我的看法

这里的 wuauclt.exe 也是系统的，自己看进程路径就知道了。