★在来挑战 安全软件★（看看你的安全软件拦截不拦截）测主防和引擎（删除系统文件）

liulangzhecgr

今早转换从全面封锁de系统盘 到开放的系统盘啊！此样本如何测试...

liulangzhecgr

我不入地狱，谁入？！

2012-6-14 12:01:53    创建新进程    允许
进程: c:\windows\explorer.exe
目标: e:\downloads\管理员\1\1-new.exe
命令行: "E:\downloads\管理员\1\1-new.exe"
规则: [应用程序]*

2012-6-14 12:01:57    创建文件    允许
进程: e:\downloads\管理员\1\1-new.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\C.tmp
规则: [应用程序]* -> [文件]*

2012-6-14 12:02:00    删除文件    允许
进程: e:\downloads\管理员\1\1-new.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\C.tmp
规则: [应用程序]* -> [文件]*

2012-6-14 12:02:03    创建文件夹    允许
进程: e:\downloads\管理员\1\1-new.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\C.tmp
规则: [应用程序]* -> [文件]*

2012-6-14 12:02:09    创建文件    允许
进程: e:\downloads\管理员\1\1-new.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\C.tmp\1.bat
规则: [应用程序]* -> [文件]*

2012-6-14 12:02:31    创建新进程    允许
进程: e:\downloads\管理员\1\1-new.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c ""C:\Documents and Settings\Administrator\Local Settings\Temp\C.tmp\1.bat""
规则: [应用程序]*

2012-6-14 12:02:42    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\cmd.exe
命令行: C:\WINDOWS\system32\cmd.exe /c fsutil fsinfo drives
规则: [应用程序]*

2012-6-14 12:02:47    修改文件 (2)    允许
进程: c:\windows\system32\cmd.exe
目标: \Device\NamedPipe\Win32Pipes.00000510.00000001
规则: [应用程序]* -> [文件]*

2012-6-14 12:02:50    删除文件    允许
进程: e:\downloads\管理员\1\1-new.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\C.tmp\1.bat
规则: [应用程序]* -> [文件]*

2012-6-14 12:02:53    删除文件夹    允许
进程: e:\downloads\管理员\1\1-new.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\C.tmp
规则: [应用程序]* -> [文件]*

到底出了什么事？！活见鬼！

hddu

实机测试，全允许无杯具，重启无杯具。XP系统。



2012-06-14 12:33:30    运行应用程序      操作:允许
进程路径:F:\virus\1\1.exe
文件路径:C:\WINDOWS\system32\conime.exe
触发规则:应用程序规则->自动创建规则->F:\virus\1\1.exe


2012-06-14 12:35:44    创建文件      操作:允许
进程路径:F:\virus\1\1.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\A.tmp
触发规则:应用程序规则->自动创建规则->F:\virus\1\1.exe


2012-06-14 12:35:44    删除文件      操作:允许
进程路径:F:\virus\1\1.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\A.tmp
触发规则:应用程序规则->自动创建规则->F:\virus\1\1.exe


2012-06-14 12:35:44    创建文件      操作:允许
进程路径:F:\virus\1\1.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\A.tmp
触发规则:应用程序规则->自动创建规则->F:\virus\1\1.exe


2012-06-14 12:35:44    创建文件      操作:允许
进程路径:F:\virus\1\1.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\A.tmp\1.bat
触发规则:应用程序规则->自动创建规则->F:\virus\1\1.exe


2012-06-14 12:36:00    运行应用程序      操作:允许
进程路径:F:\virus\1\1.exe
文件路径:C:\WINDOWS\system32\conime.exe
触发规则:应用程序规则->自动创建规则->F:\virus\1\1.exe


2012-06-14 12:36:02    运行应用程序      操作:允许
进程路径:F:\virus\1\1.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c ""C:\Documents and Settings\Administrator\Local Settings\Temp\A.tmp\1.bat""
触发规则:应用程序规则->自动创建规则->F:\virus\1\1.exe


2012-06-14 12:36:04    运行应用程序      操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c fsutil fsinfo drives
触发规则:应用程序规则->系统程序->%windir%\system32\cmd.exe->%windir%\system32\cmd.exe


2012-06-14 12:36:04    删除文件      操作:允许
进程路径:F:\virus\1\1.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\A.tmp\1.bat
触发规则:应用程序规则->自动创建规则->F:\virus\1\1.exe


2012-06-14 12:36:04    删除文件      操作:允许
进程路径:F:\virus\1\1.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\A.tmp
触发规则:应用程序规则->自动创建规则->F:\virus\1\1.exe


2012-06-14 12:37:09    创建文件      操作:允许
进程路径:F:\virus\1\1.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\B.tmp
触发规则:应用程序规则->自动创建规则->F:\virus\1\1.exe


2012-06-14 12:37:09    删除文件      操作:允许
进程路径:F:\virus\1\1.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\B.tmp
触发规则:应用程序规则->自动创建规则->F:\virus\1\1.exe


2012-06-14 12:37:09    创建文件      操作:允许
进程路径:F:\virus\1\1.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\B.tmp
触发规则:应用程序规则->自动创建规则->F:\virus\1\1.exe


2012-06-14 12:37:09    创建文件      操作:允许
进程路径:F:\virus\1\1.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\B.tmp\1.bat
触发规则:应用程序规则->自动创建规则->F:\virus\1\1.exe


2012-06-14 12:37:15    运行应用程序      操作:允许
进程路径:F:\virus\1\1.exe
文件路径:C:\WINDOWS\system32\conime.exe
触发规则:应用程序规则->自动创建规则->F:\virus\1\1.exe


2012-06-14 12:37:19    运行应用程序      操作:允许
进程路径:F:\virus\1\1.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c ""C:\Documents and Settings\Administrator\Local Settings\Temp\B.tmp\1.bat""
触发规则:应用程序规则->自动创建规则->F:\virus\1\1.exe


2012-06-14 12:37:23    运行应用程序      操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c fsutil fsinfo drives
触发规则:应用程序规则->系统程序->%windir%\system32\cmd.exe->%windir%\system32\cmd.exe


2012-06-14 12:37:23    删除文件      操作:允许
进程路径:F:\virus\1\1.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\B.tmp\1.bat
触发规则:应用程序规则->自动创建规则->F:\virus\1\1.exe


2012-06-14 12:37:23    删除文件      操作:允许
进程路径:F:\virus\1\1.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\B.tmp
触发规则:应用程序规则->自动创建规则->F:\virus\1\1.exe

liulangzhecgr

hddu 发表于 2012-6-14 12:48
实机测试，全允许无杯具，重启无杯具。XP系统。

原来如此啊！

hddu

无防护下实机测试一次，无杯具，XP系统  

龙而非.

hddu 发表于 2012-6-14 13:33
无防护下实机测试一次，无杯具，XP系统

你看看你还可以使用文本文档吗？哈哈.....

hddu

龙而非. 发表于 2012-6-14 14:06
你看看你还可以使用文本文档吗？哈哈.....

哪类文本文档？ TXT文档？

liulangzhecgr

hddu 发表于 2012-6-14 14:25
哪类文本文档？ TXT文档？

不要讽刺啊！ 编程序偶尔写错命令的时候...

qwe12301

这不是可以拦截么，哪至于这么牛逼了

liulangzhecgr

qwe12301 发表于 2012-6-14 15:31
这不是可以拦截么，哪至于这么牛逼了

md ,eq 都没有拦截的行为 金山毒霸拦截？！该扔了吧！