关于全盘降权的一点说明

柯林

在默认规则的基础上，制作全盘降权规则，是一个很好的方法，可以实现自动过滤+补漏。预定义规则很好写，一般禁止驱动、物理内存、底层磁盘，外加高危com、注册表阻止危险项目、文件操作禁止系统目录（至少是系统目录里的可执行文件），就可以了。

而适用对象——路径，其他盘都好办，系统盘有点麻烦，因为要考虑程序的安装卸载，以及系统程序的运行问题。实际上解决这个主要是两个路径的放行：system32路径与%Temp%路径，这两个路径的规则怎么写，需要结合沙盘等级来看。

譬如说，沙盘等级设置的低权限，除了钩子询问以外，其它的按阻止处理。如果你给system32路径与%Temp%路径套用“可信程序”的预定义，那么，当病毒跑进这两个路径里时，毛豆云验证识别它是未知程序而隔离进沙盘执行时，钩子项目将依据所在路径套用的“可信程序”而自动放行，并不会弹窗询问。要解决这个问题，有两个办法：一是预定义的降权规则阻止钩子项目（这会影响到一些需要安装钩子的正常程序，需要例外排除）；二是不要给system32路径与%Temp%路径套“可信程序”的权限，而是自定义——除了必须放行的项目外，其它的保持询问。

解决以上问题，全盘降权（包括U盘在内）的规则，其实很简单，3条规则就搞定了：
1、%Temp%\*  自定义规则
2、%windir%\system32\*.exe   自定义规则
3、\Device\HarddiskVolume?\*   降权规则

accordion

在XP的话，要改成\Device\Harddisk* 吗？（U盘）

123mmm

accordion 发表于 2012-6-12 14:52
在XP的话，要改成\Device\Harddisk* 吗？（U盘）

\Device\Harddisk*
是所有磁盘（硬盘、U盘）

柯林

accordion 发表于 2012-6-12 14:52
在XP的话，要改成\Device\Harddisk* 吗？（U盘）

不用
\Device\HarddiskVolume1=C盘
\Device\HarddiskVolume2=D盘
一直往下推，只要你的磁盘分区不超过8个，第九个就是U盘，依旧包含在\Device\HarddiskVolume?中
如果超过9个以上才到移动磁盘，就再加一条\Device\HarddiskVolume??\*的规则

accordion

柯林 发表于 2012-6-12 15:03
不用
\Device\HarddiskVolume1=C盘
\Device\HarddiskVolume2=D盘

XP U盘的写法不是直接\Device\Harddisk？的吗？

还是说在XP上顺数第9个也是U盘？

柯林

accordion 发表于 2012-6-12 15:05
XP U盘的写法不是直接\Device\Harddisk？的吗？

还是说在XP上顺数第9个也是U盘？

你下个微软的SysinternalsSuite工具包，用里面的Winobj.exe看下——插上U盘时显示的路径

accordion

柯林 发表于 2012-6-12 15:13
你下个微软的SysinternalsSuite工具包，用里面的Winobj.exe看下——插上U盘时显示的路径

回去给图你

但我记得是\Device\Harddisk1

柯林

accordion 发表于 2012-6-12 15:17
回去给图你

但我记得是\Device\Harddisk1

嗯，你按实际写吧
我唯一的U盘给别人了

柯林

回斑竹
%windir%\system32\*.exe   除了钩子外，其它给予全允许，都没问题，这样也不影响系统更新（其实只要给予FD和com及注册表的重要键值允许，就可以让安装程序顺利运行了）

firefox3

柯林 发表于 2012-6-12 16:15
嗯，你按实际写吧
我唯一的U盘给别人了

好伤感

1. 我唯一的U盘给别人了

复制代码