V6 的 BB情報圖 (29、33、105、116、166、184、214，有新消息; 43、257、284、299有新

yhjtj

a256886572008 发表于 2012-7-20 20:04
樣本 由兩個文件組成，安全的 exe + 病毒dll，都在同一目錄下。

雙擊那個 exe 樣本，會注入病毒dll，之 ...

真正攔截成功，應該是這樣的：
原本沒注入病毒dll之前，是完全信任那個exe文件。
然後，在exe進程 注入病毒dll 之後，才轉成不信任這個exe。

如33樓中所說的，目前也只有 defensewall hips 能辦到。

这也是建立在dll是不信任状态的基础上的，如果exe和dll文件都是信任状态，dw也没用
如果是聊天软件收到的病毒文件包，那要么将聊天软件加入不信任，这样收到的病毒文件自然状态就是不信任，要么，如聊天软件是信任的，那么收到的不明文件，必须通过手动设置为不信任才可以。
如果是浏览器下载的不明文件，同上处理才可以免于中毒
所以说，dw也不是万能的，他只管不信任的，信任的他不管的，除非是信任程序中途又加载不信任文件，才会变成不信任。

a256886572008

yhjtj 发表于 2012-7-26 11:54
这也是建立在dll是不信任状态的基础上的，如果exe和dll文件都是信任状态，dw也没用
如果是聊天软件收 ...

標記型，的確有那個缺點。

但，白名單型，如果採用DW那種作法，反而有不錯的效果。

yhjtj

a256886572008 发表于 2012-7-26 12:08
標記型，的確有那個缺點。

但，白名單型，如果採用DW那種作法，反而有不錯的效果。

我觉得白名单型采取不了dw的作法，dw的作法是建立在不信任+危险行为限制的基础上的
1、白名单型安软如果用-不信任-的策略，那么怎么面对大量的数字签名程序呢，所以这点不靠谱
2、白名单型安软如果用-危险行为限制-的策略，同样很难，毕竟有数字签名程序的行为，很多是和病毒一样的行为的，比如说安软之类。不可能对每个签名程序制定一套他自己的安全规则，以规范他的行为，防止危险行为。
（工作量太大了，不现实，不过貌似卡巴斯基有个设置选项是自动套用网络服务器上的规则）

全世界的有数字签名的程序何其多，不校验dll的又何其多，金山，360，微软都有这样的exe被利用。

总之，我感觉，白名单，数字签名，dll等组件校验，对于安软来说是个巨大的很难绕过的难题！除非回到像md这样的远古时代，全手动，呵呵！

a256886572008

yhjtj 发表于 2012-7-26 12:43
我觉得白名单型采取不了dw的作法，dw的作法是建立在不信任+危险行为限制的基础上的
1、白名单型安软如果 ...

這樣不就是任何東西都不信任嗎？

那乾脆開虛擬機算了

yhjtj

a256886572008 发表于 2012-7-26 13:07
這樣不就是任何東西都不信任嗎？

那乾脆開虛擬機算了

1、最理想的状态是类似卡巴那样的--自动套用网络服务器上的规则，但是强大如卡巴这样的收集能力强的大厂，也不可能做到完全收集制作所有的已知程序的正常行为规则给你套用，只可能是尽可能的安全些。
2还有就是虚拟重定向+回滚了（完全的dw模式），不在白名单内的未知程序，所有危险动作阻止，危险注册表和文件重定向（这个白名单很难做，做小了，很多程序不能正常，做大了，会有被白加黑利用的危险），这样还是走了dw的老路，虽然防住了白加黑，但是这个易用性就难了，不在白名单内的程序很容易出错或者功能不全。

嘿嘿，个人觉得comodo的新版本值得期待，但是还是会有尴尬的地方，有得必然有失。

a256886572008

yhjtj 发表于 2012-7-26 13:18
1、最理想的状态是类似卡巴那样的--自动套用网络服务器上的规则，但是强大如卡巴这样的收集能力强的大厂， ...

個人猜測，可能直接 VK 裡運行下載的程序(不管有無在白名單)

--> 間接攔住 白+黑

------------------------
如果真是這樣，就....................

bukkake

任务栏图标是啥样子

lwtpla

真心期待！不知道什么时候才能用上！

leafyoung

单看HIPS项就觉得很墙大啊

jrsmith

期待啊

等出來換掉g data