自定义规则

shiyuelaohu

      这里盗用了墨大和熊猫版主的规则，参考了叶知版主的规则制作的思路。饭友们原谅在下擅用原创标签。
01 全局注册表保护（项）
要包含的进程：*
要排除的进程：**\ChinaNet\**, *\**\Program Files (x86)\**, *\**\Program Files\**, *\**\Windows\**, acad.exe, C:\Users\Administrator\AppData\Local\liebao\**, C:\Users\Administrator\AppData\Roaming\**, DCSHelper.exe, eMule.exe, MATLAB.exe, War3.exe
要保护的注册表项或注册表值：HKALL/**

02 全局注册表保护（值）
要包含的进程：*
要排除的进程：*\**\Program Files (x86)\**, *\**\Program Files\**, *\**\Windows\**, acad.exe, C:\Users\Administrator\AppData\Local\liebao\**, C:\Users\Administrator\AppData\Local\Temp\ChinaNet\AutoSetup\AutoUpdate.exe, C:\Users\Administrator\AppData\Roaming\**, DCSHelper.exe, GetSusp.exe, MATLAB.exe, War3.exe
要保护的注册表项或注册表值：HKALL/**

01和02排除要相当谨慎才行，注册表相当于系统的神经，在不影响使用的前提下尽量不要排除。


03 全局控制网络端口连接
要包含的进程：*.*
要排除的进程：360Doctor.exe, 360SE.exe, 360seNotify.exe, AcroRd32.exe, adb.exe, C+WClient.exe, lsass.exe, ccSvcHst.exe, dwwin.exe, emule.exe, explorer.exe, FrameworkService.exe, iexplore.exe, knbcenter.exe, KSafe.exe, KSafeSvc.exe, KSafeTray.exe, ksafevulfix.exe, liebao.exe, Lingoes.exe, ManualUpgrade.exe, mcsacore.exe, McScript_InUse.exe, mcshield.exe,  QQDownload.exe, QvodDaily.exe, QvodPlayer.exe, QvodTerminal.exe, QvodTips.exe, RenRenService.exe, saUpd.exe, SeDown.exe, sesvc.exe, seup.exe, softmain.exe, sppsvc.exe, svchost.exe, tencentdl.exe, Thunder.exe, ThunderPlatform.exe, TM.exe, urlproc.exe, War3.exe, xntalk.exe
0——65535
双向

01、02、03全都是墨大的规则。


04 Windows文件夹的保护（读、写、执行）
要包含的进程：*.*
要排除的进程：**\ksafe\**, acad.exe, C:\Windows\Explorer.EXE, C:\Windows\splwow64.exe, C:\Windows\System32\AUDIODG.EXE, C:\Windows\System32\DllHost.exe, C:\Windows\System32\Dwm.exe, C:\Windows\System32\services.exe, C:\Windows\System32\svchost.exe, C:\Windows\System32\wbem\wmiprvse.exe, FNPLicensingService64.exe, FormatFactory.exe, ISYSbridge.exe, LMU.exe, mplayer.exe, winword.exe, WSCommCntr1.exe
要阻止的文件或文件夹名：C:\Windows\**
要禁止的文件操作：读、写、执行

05 Windows文件夹的保护（创建、删除）
要包含的进程：*.*
要排除的进程：**\ksafe\**, C:\Program Files (x86)\McAfee\**, C:\Windows\system32\lsass.exe, C:\Windows\System32\spoolsv.exe, C:\Windows\system32\svchost.exe, C:\Windows\system32\wbem\WMIADAP.EXE
要阻止的文件或文件夹名：C:\Windows\**
要禁止的文件操作：创建、删除

04和05这两条规则最为关键，一般04和05要谨慎排除，如果遇到应用程序调用系统文件、创建系统文件的情况，请擦亮眼睛。


06 应用程序保护(读、写、执行）
要包含的进程：*
要排除的进程：**\ksafe\**, acad.exe, AcroRd32.exe, C+WClient.exe, C:\Program Files (x86)\McAfee\**, C:\Windows\Explorer.EXE, C:\Windows\system32\services.exe, C:\Windows\System32\svchost.exe, ccSvcHst.exe, DCSHelper.exe, FormatFactory.exe
要阻止的文件或文件夹名：C:\Program Files*\**
要禁止的文件操作：读、写、执行

07 应用程序保护(创建、删除）
要包含的进程：*
要排除的进程：**\ksafe\**, C+WClient.exe, C:\Program Files (x86)\McAfee\**, ccSvcHst.exe, Lingoes.exe, saUpd.exe
要阻止的文件或文件夹名：C:\Program Files*\**
要禁止的文件操作：创建、删除

08 监视全盘驱动写入
要包含的进程：*
要排除的进程：C:\Users\Administrator\AppData\Local\liebao\**, C:\Windows\servicing\TrustedInstaller.exe, C:\Windows\system32\DrvInst.exe, C:\Windows\System32\svchost.exe, GetSusp.exe
要阻止的文件或文件夹名：**\*.sys
要禁止的文件操作：创建、删除

09 禁止未经授权调用IE
要包含的进程：*
要排除的进程：acad.exe, C:\Program Files (x86)\Internet Explorer\*.exe, C:\Program Files\Internet Explorer\*.exe, C:\Program Files\Windows Media Player\wmpnetwk.exe, C:\Users\Administrator\AppData\Local\liebao\**, C:\Users\Administrator\AppData\Roaming\**, C:\Windows\Explorer.exe, C:\Windows\system32\DeviceDisplayObjectProvider.exe, C:\Windows\system32\DllHost.exe, C:\Windows\system32\msfeedssync.exe, C:\Windows\system32\rundll32.exe, C:\Windows\System32\svchost.exe, foobar2000.exe, GetSusp.exe, MATLAB.exe
要阻止的文件或文件夹名：C:\Program File*\Internet Explorer\**
要禁止的文件操作：执行

08、09是熊猫版主的规则。


10 禁止对本地注册表进行创建、写入活动
要包含的进程：*
要排除的进程：C:\Users\Administrator\AppData\Roaming\**
要阻止的文件或文件夹名：**\*.reg
要禁止的文件操作：创建、删除

这条规则稍微有些鸡肋，最主要的作用我想是防止一些绿色软件在本机上创建一些有害于本机的注册表文件。对于注册表导入这种操作，还是从源头上制止比较好。

11 防止Cookies泄密个人隐私
要包含的进程：*
要排除的进程：**\ksafe\**, C:\Windows\Explorer.EXE, C:\Windows\**\rundll32.exe, TM.exe, winword.exe
要阻止的文件或文件夹名：**\Cookies*\**
要禁止的文件操作：读、写、创建

本条规则在本机上存在了很长时间了，不知道是哪位前辈的了。

12 防U盘病毒
要包含的进程：*.*
要排除的进程：C:\**, D:\**, E:\**, F:\**
要阻止的文件或文件夹名：*
要禁止的文件操作：读、写、执行、创建、删除

这条规则精简强大，建议大家使用一下。


13 全局禁运exe文件
要包含的进程：*.*
要排除的进程：C+WClient.exe, C:\Program Files (x86)\**, C:\Program Files\**, C:\Users\Administrator\AppData\Local\liebao\**, C:\Users\Administrator\AppData\Local\Temp\ChinaNet\AutoSetup\AutoUpdate.exe, C:\Users\Administrator\AppData\Roaming\**, C:\Windows\**, D:\AUTODESK\**, D:\MATLAB\**, DCSHelper.exe, GetSusp.exe, HWDeviceService64.exe, War3.exe
要阻止的文件或文件夹名：*.exe
要禁止的文件操作：读、写、执行、创建、删除

14 全局禁运dll文件
要包含的进程：*.*
要排除的进程：C:\Program Files (x86)\**, C:\Program Files\**, C:\Users\Administrator\AppData\Local\liebao\**, C:\Users\Administrator\AppData\Local\Temp\ChinaNet\AutoSetup\AutoUpdate.exe, C:\Users\Administrator\AppData\Roaming\**, C:\Windows\**, clt.exe, D:\AUTODESK\**, D:\MATLAB\**, DCSHelper.exe, eMule.exe, GetSusp.exe, HWDeviceService64.exe, War3.exe
要阻止的文件或文件夹名：*.dll
要禁止的文件操作：：读、写、执行、创建、删除


说到这条规则，不得不说白加黑的故事，黑dll一旦被加载就会注入系统钩子，拦截你的设备输入信息，盗取密码。当然在开启规则的情况下，白加黑是无法发作的。但是白加黑发作的时候都是在安装软件的时候，而安装软件的时候恰恰是规则关闭的时候。一个压缩包，解压出来，里面有正常的exe文件，也有黑dll文件，这个时候只要运行正常exe软件，那么接下来……
曾经想过一个规则，如下：
要包含的进程：*.*
要排除的进程：
要阻止的文件或文件夹名：**\你的下载文件夹\**.dll（这里假定运行绿色软件的时候都是在下载文件夹中进行的。）
要禁止的文件操作：读、写、执行、创建、删除
不过这条规则也是没有多大的实际意义，因为我们看到的只是dll的文件名，无法判断是黑是白。
要真正对付白加黑，只能从黑dll上入手，只要杀软能够检测出黑dll就可以了。在这方面家庭版咖啡和国产卫士做得不错。我想应该不是将黑dll入库了，因为这样以来会使得病毒库几何级数地增长，也会给杀软监控造成相当大的压力，自己电脑也会吃不消。
个人猜测，应对策略应该是充分利用云端，因为黑dll想要找到一个可以利用的白名单exe文件也是非常不容易的，所以，我想咖啡和国产卫士的思路大概是这样，根据出现的白加黑样本，将白加黑样本中的exe文件先放在云端，当本地引擎检测到这样的exe文件时，如果文件夹中还附带有dll文件，就会将dll文件上传到云端进行验证，这种预防措施还是不错的。
这样我们就有一个思路了，是不是可以将这样的exe文件收集起来，做一个总的集合，由此可以形成一个预防白加黑的规则，假定a.exe和b.exe是被黑dll利用过的，那么规则可以如下：
要包含的进程：a.exe,b.exe
要排除的进程：
要阻止的文件或文件夹名： **.dll
要禁止的文件操作：读、写、执行、创建、删除
这样在安装软件的时候尝试先关掉一些规则，记得开启这条规则，这条规则至少可以起到一个预警的作用。
这里帖一张图片实例，大家可以更加具体的了解一下白加黑的原理。



15 全局禁运vxd文件
要包含的进程：*.*
要排除的进程：
要阻止的文件或文件夹名：*.vxd
要禁止的文件操作：读、写、执行、创建、删除

vxd文件被利用的几率很小，但是加上更加保险一些。


16 防黑客入侵
要包含的进程：system:remote
要排除的进程：
要阻止的文件或文件夹名：**\*\**
要禁止的文件操作：读、写、执行、创建、删除

17 保护ProgramData文件夹（读、写、执行）
要包含的进程：*
要排除的进程：**\ksafe\**, C:\Windows\system32\SearchIndexer.exe, C:\Windows\system32\SnippingTool.exe, C:\Windows\system32\Explorer.EXE, mcsacore.exe
要阻止的文件或文件夹名：C:\ProgramData\**
要禁止的文件操作：读、写、执行

18 保护ProgramData文件夹（创建、删除）
要包含的进程：*
要排除的进程：**\ksafe\**, acad.exe, C+WClient.exe, C:\Program Files (x86)\McAfee\**, C:\Windows\system32\SearchIndexer.exe, C:\Windows\system32\svchost.exe, FNPLicensingService64.exe, mcsacore.exe
要阻止的文件或文件夹名：C:\ProgramData\**
要禁止的文件操作：创建、删除

19 全局禁运drv文件
要包含的进程：*
要排除的进程：**\ksafe\**, acad.exe, AcroRd32.exe, AdobeARM.exe, APSearchClient.exe, C+WClient.exe, C:\Windows\Explorer.EXE, C:\Windows\notepad.exe, C:\Windows\splwow64.exe, C:\Windows\system32\DeviceDisplayObjectProvider.exe, C:\Windows\system32\SndVol.exe, C:\Windows\System32\spoolsv.exe, C:\Windows\system32\svchost.exe, CAJViewer.exe,DCSHelper.exe, Lingoes.exe, MATLAB.exe, TM.exe, winword.exe
要阻止的文件或文件夹名：*.drv
要禁止的文件操作：读、写、执行、创建、删除

20 windows报错
要包含的进程：C:\Windows\**\werfault.exe
要排除的进程：
要阻止的文件或文件夹名：**
要禁止的文件操作：读、写、执行、创建、删除

这条规则用来折腾软件的时候使用，一般情况下此条规则不会引起触红，如果出现了引起冲突的情况，就需要注意了，有可能造成了系统异常。
关于规则，个人人为咖啡在开启规则的情况下几乎是无敌的，01、02、04、05、20规则在不影响使用的情况下不要排除，至于其他的规则，只要是正常软件的正常动作就可以排除。关闭规则的时候是最危险的时候，这个时候不要去尝试做什么非法动作。
做这篇文字的目的是把自己的规则思路跟大家分享一下，大家看看规则中有什么可以值得借鉴利用的不妨使用一下，如果能够有一条规则能够帮到大家，那本菜鸟欢喜之至。另外，规则中有什么错误的话，欢迎指出。


由于叶知版主的建议，个人再补充一句，如果各位有兴趣使用其中一条规则的话，那么在排除的时候只将红色部分进程拷贝进去即可，其余的需要自己去排除。

huchedehaizi88

学习学习

462588842

感谢楼主分享，你的10和11我没有用，觉得没有必要！

shiyuelaohu

462588842 发表于 2012-11-24 16:31
感谢楼主分享，你的10和11我没有用，觉得没有必要！

10是有些鸡肋，不过个人觉得11对于一些扫描cookie的盗号木马还是有些用处的。

shiyuelaohu

huchedehaizi88 发表于 2012-11-24 16:01
学习学习

仅仅是菜鸟的胡闹文字，欢迎交流。

大猫熊

今天3RQ全给你了~加油~

敢写出来，就是一种莫大的勇气；我们也都是从这一步来的.........（不过，有点小小的建议：去掉排除中有关个人软件使用的进程；这样有间接泄密，和增加其他规则使用者排除调整的负担）

我们的规则，都是从已有的模板中，出来的；甚至更多的时候，仅仅是一些组合，而非创造！

shiyuelaohu

大猫熊 发表于 2012-11-24 17:09
今天3RQ全给你了~加油~

谢谢版主。

shiyuelaohu

storyhare 发表于 2012-11-24 17:13
敢写出来，就是一种莫大的勇气；我们也都是从这一步来的.........（不过，有点小小的建议：去掉排除中有关个 ...

感谢版主的建议。

jxfaiu

建议：
全局控制网络端口连接应该是：0-65535有效；1-65535无效

禁止未经授权调用IE：
要阻止的文件或文件夹名：C:\Program File*\Internet Explorer\**；有时失效
要阻止的文件或文件夹名：**\Internet Explorer\**；绝对有效