穿破 V6 partially limited,limited,restricted 和 HIPS

显示全部楼层 · 发表于 2013-1-25 15:17:09

本帖最后由 mengld 于 2013-1-25 15:24 编辑

firefox3 发表于 2013-1-25 14:46
单纯的讨论我认为没有意义

你认为我连学习模式都搞不懂？
说的是

默认以ask 即询问为主~~~
ps 一个注入的之前在process monitro开阻止创建远程线程后依旧无法搞定，难道要配合打开进程那个？
另外开手动挡外加不信任，纯粹只能来试毒（当然之前的学习模式可以缓解一部分弹窗），对于新的软件，弹窗很dt

对不住lz，又歪了~~~不过是纯讨论，望谅解，送上人气吧

显示全部楼层 · 发表于 2013-1-25 15:31:03

本帖最后由 sobee 于 2013-1-25 15:40 编辑

实机运行了一下，允许运行后，电脑有短暂卡顿情况，任务管理器打不开，COMODO正常，约五秒后，分别启动XT和Autoruns，检查无异常启动项！再次打开任务管理器正常！只是奇怪COMODO没有它的拦截日志。
结论：伤不了COMODO
注：我一直用老版本 v3.14

为了检查彻底点，重启后，再次检查启动项仍正常！

显示全部楼层 · 发表于 2013-1-25 15:31:17

先后在虚拟机试过3.14、5.12，均没有拦截成功（样本访问并修改explorer.exe内存这个动作）

看来这次不是关于防御理念方面的不足，而是样本有效绕过comodo内部的监控算法（函数？不清楚，瞎猜）

显示全部楼层 · 发表于 2013-1-25 15:55:31

a256886572008 发表于 2013-1-25 13:11
不是有人說什麼comodo 舊版HIPS很安全嗎？

在 X86之下試這隻吧

win8 X86 5.12

显示全部楼层 · 发表于 2013-1-25 15:59:44

本帖最后由 a256886572008 于 2013-1-25 16:02 编辑

AIDS1982 发表于 2013-1-25 15:55
win8 X86 5.12

這樣看來，就是 V6 的問題了。

還有，FD 不用加* 規則，這隻不會搞破壞。

显示全部楼层 · 发表于 2013-1-25 16:05:49

mengld 发表于 2013-1-25 15:17
你认为我连学习模式都搞不懂？
说的是

一个注入的之前在process monitro开阻止创建远程线程后依旧无法搞定

复制代码

样本在哪里？

显示全部楼层 · 发表于 2013-1-25 16:06:52

a256886572008 发表于 2013-1-25 15:59
這樣看來，就是 V6 的問題了。

還有，FD 不用加* 規則，這隻不會搞破壞。

FD.AD.RD.com.全局保护,去除白名单,俺是手动控,小心无大错

显示全部楼层 · 发表于 2013-1-25 16:17:16

毛豆就这样再次被弱爆了

显示全部楼层 · 发表于 2013-1-25 16:30:33

firefox3 发表于 2013-1-25 16:05
样本在哪里？

测试性的，无危害，纯注入ie~~~当时为了测试组策略让人帮忙写的一个，要的话找到后扔网盘给你。

显示全部楼层 · 发表于 2013-1-25 16:31:29

mengld 发表于 2013-1-25 16:30
测试性的，无危害，纯注入ie~~~当时为了测试组策略让人帮忙写的一个，要的话找到后扔网盘给你。

mengld好人，长命百岁，日月同辉

[其他相关] 穿破 V6 partially limited,limited,restricted 和 HIPS

本帖子中包含更多资源

本帖子中包含更多资源